Rozporządzenie Ministra Zdrowia z dnia 28 marca 2013 r. w sprawie wymagań dla Systemu Informacji Medycznej

Rozporządzenie określa

1)

format elektronicznej dokumentacji medycznej udostępnianej przez usługodawców w Systemie

Informacji Medycznej, zwanym dalej „SIM”, warunki organizacyjno-techniczne jej przetwarzania,

udostępniania, autoryzacji oraz zabezpieczenia przed utratą;

2)

warunki organizacyjno-techniczne zamieszczania w SIM dokumentów elektronicznych niezbędnych

do prowadzenia diagnostyki, ciągłości leczenia oraz zaopatrzenia usługobiorców w produkty

lecznicze i wyroby medyczne i ich pobierania z SIM, zgodnie z zakresem zadań wykonywanych

przez usługodawców;

3)

warunki organizacyjno-techniczne realizacji dostępu i pobierania danych przetwarzanych

w SIM.

Użyte w rozporządzeniu określenia oznaczają

1)

elektroniczny dokument SIM - elektroniczny dokument zawierający dane identyfikacyjne

usługobiorcy, informacje dotyczące usług medycznych oraz informacje o elektronicznej

dokumentacji medycznej związanej z usługami medycznymi, przetwarzany w systemie informatycznym

usługodawcy i przekazywany do SIM;

2)

ustawa - ustawę z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia;

3)

zdarzenie medyczne - czynność inicjującą obsługę procesu biznesowego w ochronie zdrowia,

etapy albo wynik tej czynności, podlegające rejestrowaniu, przesyłaniu, analizowaniu

oraz gromadzeniu w systemie informacyjnym ochrony zdrowia, w szczególności obejmuje

to świadczenie zdrowotne w rozumieniu art. 5 pkt 40 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej

finansowanych ze środków publicznych

(Dz. U. z 2008 r. Nr 164, poz. 1027, z późn. zm. oraz zdarzenia medyczne określone w art. 67a ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta

(Dz. U. z 2012 r. poz. 159 i 742).

1.

Elektroniczna dokumentacja medyczna udostępniana przez usługodawców w SIM zawiera

1)

dokumenty elektroniczne w formacie XML, których zakres odpowiada danym gromadzonym

w dokumentacji medycznej określonym przepisami ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta;

2)

pliki multimedialne, będące w szczególności wynikiem diagnostyki obrazowej.

2.

Elektroniczna dokumentacja medyczna jest udostępniana w SIM w formacie XML oraz, w

zakresie wymiany i interpretacji danych medycznych związanych z diagnostyką obrazową,

w standardzie DICOM.

3.

Administrator systemu SIM określa strukturę logiczną elektronicznej dokumentacji medycznej

udostępnianej przez usługodawców w SIM.

4.

Struktura logiczna elektronicznej dokumentacji medycznej, o której mowa w ust. 3,

umieszczana jest w repozytorium interoperacyjności, o którym mowa w przepisach wydanych

na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne

(Dz. U. z 2013 r. poz. 235), w portalu edukacyjno-informacyjnym, o którym mowa w art. 36 ustawy, oraz w Biuletynie

Informacji Publicznej ministra właściwego do spraw zdrowia.

5.

Elektroniczna dokumentacja medyczna udostępniana przez usługodawców w SIM jest zbudowana

w formie hierarchicznych struktur danych w odniesieniu do wszystkich rodzajów zdarzeń

medycznych i plików multimedialnych, będących w szczególności wynikiem diagnostyki

obrazowej.

1.

Udostępnianie elektronicznej dokumentacji medycznej odbywa się w sposób umożliwiający

identyfikację uprawnionych osób, o której mowa w art. 20a ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów

realizujących zadania publiczne.

2.

Udostępnianie uprawnionym podmiotom elektronicznej dokumentacji medycznej następuje

przez elektroniczną transmisję danych w formie komunikatów.

3.

Komunikaty, o których mowa w ust. 2, są zgodne ze wzorcami struktury logicznej elektronicznych

komunikatów opisanych za pomocą formatu XML/XSD i standardu wymiany i interpretacji

danych medycznych związanych z diagnostyką obrazową DICOM.

Proces przygotowania i przesyłania komunikatów, o których mowa w § 4 ust. 2, obejmuje

1)

przesłanie przez zamawiającego do SIM zapotrzebowania na elektroniczną dokumentację

medyczną;

2)

przyjęcie przez SIM elektronicznego zapotrzebowania na elektroniczną dokumentację

medyczną;

3)

weryfikację uprawnień zamawiającego;

4)

w przypadku pozytywnej weryfikacji uprawnień zamawiającego, przesłanie przez SIM zapotrzebowania

na elektroniczną dokumentację medyczną do usługodawcy, do którego skierowano zapotrzebowanie;

5)

przygotowanie treści komunikatu przez pracownika medycznego usługodawcy udostępniającego

elektroniczną dokumentację medyczną;

6)

podpisanie przez pracownika medycznego usługodawcy udostępniającego elektroniczną

dokumentację medyczną komunikatu przy użyciu bezpiecznego podpisu elektronicznego

w rozumieniu art. 3 pkt 2 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym

(Dz. U. z 2013 r. poz. 262) albo podpisu potwierdzonego profilem zaufanym ePUAP w rozumieniu art. 3 pkt 15 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów

realizujących zadania publiczne;

7)

wysłanie do zamawiającego komunikatu przez usługodawcę udostępniającego elektroniczną

dokumentację medyczną;

8)

odebranie przez zamawiającego komunikatu;

9)

potwierdzenie odebrania komunikatu przez zamawiającego w SIM i w systemie teleinformatycznym

usługodawcy udostępniającego elektroniczną dokumentację medyczną.

1.

W przypadku zakończenia działalności leczniczej przez podmiot wykonujący działalność

leczniczą, w rozumieniu ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej

(Dz. U. z 2013 r. poz. 217), elektroniczna dokumentacja medyczna jest przekazywana do SIM.

2.

Jeżeli zadania podmiotu, o którym mowa w ust. 1, przejmuje inny podmiot, podmiot ten

przejmuje elektroniczną dokumentację medyczną.

3.

Elektroniczna dokumentacja medyczna, o której mowa w ust. 1, udostępniana jest przez

SIM uprawnionym podmiotom w sposób określony w § 4.

Warunki organizacyjno-techniczne przetwarzania, udostępniania, autoryzacji oraz zabezpieczenia

przed utratą elektronicznej dokumentacji medycznej udostępnianej przez usługodawców

w SIM są zapewniane przez

1)

odmowę dostępu do danych w przypadku braku pełnej identyfikacji lub autoryzacji zamawiającego,

o którym mowa w § 5;

2)

odmowę dostępu do danych w sytuacji braku zgody usługobiorcy na ich udostępnienie,

z zastrzeżeniem art. 35 ust. 4 ustawy;

3)

zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych

danych przed ich nieuprawnioną zmianą, utratą, uszkodzeniem lub zniszczeniem, odpowiednią

do zagrożeń oraz kategorii danych objętych ochroną;

4)

zachowanie integralności i wiarygodności danych.

1.

Usługodawcy przetwarzają elektroniczne dokumenty SIM w zakresie danych, o których

mowa w art. 10 ust. 2 ustawy.

2.

Przesyłanie elektronicznych dokumentów SIM polega na

1)

opracowaniu treści komunikatu zawierającego elektroniczne dokumenty SIM przez podmiot

zobowiązany do przekazywania informacji do SIM;

2)

podpisaniu komunikatu, o którym mowa w pkt 1, przy użyciu bezpiecznego podpisu elektronicznego

w rozumieniu art. 3 pkt 2 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym albo podpisu potwierdzonego profilem zaufanym ePUAP w rozumieniu art. 3 pkt 15 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów

realizujących zadania publiczne;

3)

wysłaniu komunikatu, o którym mowa w pkt 1, przez podmiot zobowiązany do przekazywania

informacji do SIM;

4)

odebraniu komunikatu, o którym mowa w pkt 1, weryfikacji prawidłowości i wysłaniu

potwierdzenia jego otrzymania lub wykazu stwierdzonych w nim błędów lub braków do

podmiotów zobowiązanych do przekazywania informacji do SIM.

3.

Struktury logiczne komunikatu, o którym mowa w ust. 2, zawierającego elektroniczne

dokumenty SIM w formacie XML/XSD oraz zasady weryfikacji komunikatów, umieszczane

są w repozytorium interoperacyjności, o którym mowa w przepisach wydanych na podstawie

art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne, w portalu edukacyjno-informacyjnym, o którym mowa w art. 36 ustawy, oraz w Biuletynie

Informacji Publicznej ministra właściwego do spraw zdrowia.

4.

Przekazanie do SIM przez usługodawców komunikatu, o którym mowa w ust. 2, w zakresie

danych, o których mowa w art. 14 ust. 4 ustawy, dokonywane jest na bieżąco, co najmniej

raz dziennie.

SIM w zakresie warunków organizacyjno-technicznych zamieszczania w nim dokumentów

elektronicznych niezbędnych do prowadzenia diagnostyki, ciągłości leczenia oraz zaopatrzenia

usługobiorców w produkty lecznicze i wyroby medyczne i ich pobierania z SIM, zgodnie

z zakresem zadań wykonywanych przez usługodawców oraz warunków organizacyjno-technicznych

realizacji dostępu i pobierania danych przetwarzanych w SIM, jest zgodny z warunkami

określonymi w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne, a w zakresie nieuregulowanym w tych przepisach, z następującymi normami, których

przedmiotem są zasady gromadzenia i wymiany informacji w ochronie zdrowia

1)

PN-EN 13606-1:2009 Informatyka w ochronie zdrowia - Przesyłanie elektronicznej dokumentacji

zdrowotnej - Część 1: Model referencyjny,

2)

PN-EN 13606-4:2009 Informatyka w ochronie zdrowia - Przesyłanie elektronicznej dokumentacji

zdrowotnej - Część 4: Bezpieczeństwo,

3)

PN-EN ISO 13606-5:2010 Informatyka w ochronie zdrowia - Przesyłanie elektronicznej

dokumentacji zdrowotnej - Część 5: Specyfikacja interfejsu,

4)

PN-ENV 13608-1:2003 (U) Informatyka w ochronie zdrowia - Bezpieczeństwo przesyłanych

danych w opiece zdrowotnej - Część 1: Pojęcia i terminologia,

5)

PN-ENV 13608-2:2003 (U) Informatyka w ochronie zdrowia - Bezpieczeństwo przesyłanych

danych w opiece zdrowotnej - Część 2: Bezpieczne obiekty danych,

6)

PN-ENV 13608-3:2003 (U) Informatyka w ochronie zdrowia - Bezpieczeństwo przesyłania

danych w opiece zdrowotnej - Część 3: Bezpieczne kanały przesyłania danych

- albo normami lub wersjami norm je zastępującymi.

1.

Minimalne wymagania dla SIM związane z bezpieczeństwem przetwarzania i udostępniania

danych w postaci elektronicznej uwzględniają

1)

dostęp usługobiorcy do informacji podlegających ochronie prawnej, przechowywanych

w SIM;

2)

wdrożenie mechanizmów umożliwiających audyt wymiany danych związanych z elektronicznym

dokumentem SIM;

3)

uwierzytelnianie i identyfikację podmiotów podejmujących próby dostępu do elektronicznego

dokumentu SIM do danych przetwarzanych i udostępnianych w SIM;

4)

wdrożenie mechanizmów pozyskiwania, rejestracji i śledzenia stanu zgody wyrażonej

przez usługobiorcę na dostęp do całości lub części danych przetwarzanych w SIM, z

uwzględnieniem celu pozyskania dostępu do tych danych;

5)

określanie, modyfikację i odwoływanie praw dostępu do całości lub części danych przetwarzanych

w SIM.

2.

W przypadku danych dotyczących

1)

usługobiorców będących

a)

funkcjonariuszami Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Służby Kontrwywiadu

Wojskowego, Służby Wywiadu Wojskowego lub Centralnego Biura Antykorupcyjnego, zwanych

dalej „służbami specjalnymi”,

b)

członkami rodzin, w rozumieniu art. 5 pkt 3 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych

ze środków publicznych, funkcjonariuszy służb specjalnych,

2)

podmiotów leczniczych, o których mowa w art. 4 ust. 1 pkt 3 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej

- minimalne wymagania dla SIM, o których mowa w ust. 1, uwzględniają ponadto ochronę

tych danych w zakresie wykonywania obowiązków, o których mowa w art. 35 ust. 1 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego

oraz Agencji Wywiadu

(Dz. U. z 2010 r. Nr 29, poz. 154, z późn. zm., art. 24 ust. 1 ustawy z dnia 9 czerwca 2006 r. o Centralnym Biurze Antykorupcyjnym

(Dz. U. z 2012 r. poz. 621, 627 i 664) oraz w art. 39 ust. 1 ustawy z dnia 9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskowego oraz

Służbie Wywiadu Wojskowego

(Dz. U. Nr 104, poz. 709, z późn. zm., a także możliwość uzyskania przez służby specjalne informacji o osobach przetwarzających

w SIM dane dotyczące tych usługobiorców i podmiotów.

3.

Informacja, o której mowa w ust. 2, obejmuje imię i nazwisko osoby przetwarzającej

dane w SIM oraz dzień, godzinę i cel przetwarzania danych w SIM.

Dane przetwarzane w SIM i dane zawarte w elektronicznej dokumentacji medycznej podlegają

ochronie na poziomie wysokim, o którym mowa w przepisach wydanych na podstawie art. 39a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych

(Dz. U. z 2002 r. Nr 101, poz. 926, z późn. zm..

1.

Administrator systemu SIM w zakresie niezbędnym dla właściwego działania przypisanego

mu systemu opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz

utrzymuje i doskonali system zarządzania bezpieczeństwem informacji zapewniający poufność,

dostępność i integralność informacji.

2.

System zarządzania bezpieczeństwem informacji spełnia wymagania określone w przepisach

wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne dla systemu zarządzania bezpieczeństwem informacji oraz uwzględnia w zakresie zarządzania

bezpieczeństwem informacji w ochronie zdrowia następujące normy

1)

PN-EN 14484:2005 Informatyka medyczna - Międzynarodowy przekaz medycznych danych osobowych

objętych dyrektywą UE dotyczącą ochrony danych - Wysoki poziom polityki bezpieczeństwa,

2)

PN-EN 14485:2005 Informatyka medyczna - Wskazania dla operowania medycznymi danymi

osobowymi w międzynarodowych aplikacjach z uwzględnieniem dyrektywy UE dotyczącej

ochrony danych,

3)

PN-EN ISO 27799:2010 Informatyka w ochronie zdrowia - Zarządzanie bezpieczeństwem

informacji w ochronie zdrowia z wykorzystaniem ISO/IEC 27002

- albo normy lub wersje norm je zastępujące.

Rozporządzenie wchodzi w życie po upływie 14 dni od dnia ogłoszenia.