La 5 decembrie curent, Curtea de Conturi a examinat Raportul auditului TI “Cum se asigură protecția datelor cu caracter personal în domeniul asistenței medicale primare, prelucrate în cadrul sistemelor informaționale automatizate?”
Misiunea de audit a avut drept scop evaluarea nivelului de protecție și supraveghere a datelor cu caracter personal prelucrate în mod automatizat în domeniul medicinii primare. În acest sens, auditul a fost realizat la Centrul Național pentru Protecția Datelor cu Caracter Personal, Ministerul Sănătății și unele Instituții Medico-Sanitare Publice ce prestează servicii de asistență medicală primară, utilizând sisteme informaționale, unele date și informații fiind colectate de la Centrul de Guvernare Electronică, Centrul Național de Management în Sănătate.
O sinteză a principalelor constatări și concluzii a activității de audit, relevă următoarele:
– Deși a fost stabilit un cadru normativ-legislativ relevant în vederea conformării cu cerințele cadrului european în domeniul protecției datelor cu caracter, este necesară o revizuire și ajustare a acestuia potrivit noilor necesități apărute pe parcurs, inclusiv prin elaborarea unor instrucțiuni sectoriale privind protecția datelor.
– CNPDCP, în calitatea sa de garant al respectării protecției datelor cu caracter personal, inclusiv a celor privind starea de sănătate, din lipsă/insuficiență a capacităților necesare (inclusiv de resurse umane și financiare), nu are posibilitatea de a interveni în măsura corespunzătoare, pentru a aduce în concordanță cu cadrul legislativ-normativ prelucrarea datelor cu caracter personal din domeniu medical.
– Lipsa unor măsuri adecvate de protecție a datelor cu caracter personal, precum și neconștientizarea/neacordarea unei atenții sporite protecției datelor cu caracter personal cu privire la starea sănătății de către MS și IMSP prelucrate în SIA, generează vulnerabilități privind confidențialitatea datelor.
– SIA AMP, care se află la etapa incipientă de exploatare/implementare, reprezintă un potențial promițător în obținerea impactului dorit și o provocare semnificativă pentru automatizarea business-proceselor aferente domeniului asistență medicală primară. Totuși, o gestionare inadecvată a riscurilor aferente dezvoltării și implementării SIA AMP a condus la materializarea acestora, în mare parte, generând deficiențe și vulnerabilități în realizarea obiectivelor-cheie de activitate, fapt ce necesită o atenție deosebită și întreprinderea măsurilor corespunzătoare, în scopul asigurării sustenabilității Sistemului.
– Subestimarea complexității proceselor care stau la baza SI, a resurselor umane și de timp necesare pentru dezvoltarea acestora, precum și testarea insuficientă a modulelor aplicației și lansarea prematură în producție a acestora au avut consecințe nefaste asupra utilizării SIA AMP, precum și asupra realizării obiectivelor stabilite.
– Cadrul normativ și regulator aferent creării și funcționării SIA AMP necesită a fi elaborat/actualizat și ajustat potrivit noilor necesități ale Sistemului, precum și modificărilor operate în legislația relevantă.
– Formalizarea relațiilor cu utilizatorii SIA AMP (dezvoltator, administrator, instituțiile medicale), cu stabilirea cerințelor și condițiilor privind exercitarea activităților corespunzătoare, inclusiv pentru asigurarea securității/protecției datelor cu caracter personal, și instituirea unui mecanism de comunicare și monitorizare adecvat sunt necesare pentru asigurarea funcționalității regulamentare a aplicației.
– Lipsa/insuficienta monitorizare din partea MS a activităților de automatizare a proceselor business din domeniul asistenței medicale primare, a condus la implementarea de către unele IMSP și a altor SI deținute de agenți economici cu introducerea datelor sensibile privind pacienții, în lipsa autorizației CNPDCP, fapt ce generează riscuri majore privind protecția datelor cu caracter personal în domeniu respectiv etc.
În acest sens, auditul a constatat faptul că CNPDCP de multiple ori a sesizat MS asupra lipsei de reglementare și de conformare la principiile de protecție a datelor cu caracter personal a SIA AMP, reliefînd că, consecințele prelucrării datelor cu caracter personal privind starea de sănătate într-un sistem de evidență fără a asigura implementarea cerințelor de securitate a acestor date, poate genera grave incidente de securitate.
Una din sesizările înaintate MS, asupra constatărilor rezultate din analiza implementării cadrului legislativ ce vizează domeniul protecției datelor cu caracter personal în sectorul medical, constatîndu-se faptul încălcării cu regularitate atît a prevederilor Legii privind protecția datelor cu caracter personal cît și a reglementărilor sectoriale care statuează asigurarea regimului de confidenţialitate şi păstrare a secretului profesional, poate fi vizualizată aici.
De menționat că aspectele în cauză au fost aduse la cunoștință Președintelui Parlamentului Republicii Moldova, Primului-ministru al Republicii Moldova și Comisiei protecție
