Jacek:Tak, no ja tu powiem wam od strony użytkowej, jaki jest problem. To znaczy od strony użytkowej jest taki problem, że ta Pani na rejestracji chciałaby mieć bardzo prosty i nazwijmy to jeden widok wszystkich pacjentów dzisiejszych, jutrzejszych i na pojutrze, bo pod ten numer telefonu będą dzwonić pacjenci jednego i drugiego i trzeciego lekarza, a ona by się nie chciała przelogowywać z systemu na system. A znowu lekarz musi mieć dostęp, tak jak Irek powiedział, tylko do swoich. Da się to zrobić pewnymi zarządzaniem tymi uprawnieniami użytkownika, akurat w systemie Proassist, natomiast mówię, że to jest taki ciekawy przykład, który chciałem powiedzieć.

Natomiast tak, też jestem ciekaw jakby tej dalszej pracy. No bo powiedzieliśmy o tym modelowym przykładzie startu tej placówki. Właściciel przyszedł do Pawła, przyszedł do Irka, ten menadżer placówki wszystko poustalał, kupił Proassist i ma wszystko dobrze, ale ta placówka żyje, zatrudnia lekarzy, zwalnia rejestratorki, zatrudnia menedżerów, coś tam się cały czas dzieje, tak?

No i jak to powinno być potem, albo jakie tam macie najlepsze praktyki w tym dalszym etapie życia tej placówki? Co się powinno dziać w przypadku takich właśnie zmian kadrowych?

Irek:No, akurat tutaj łatwo przewidzieć odpowiedź, prawda? No, musimy cały czas nad tym czuwać i tutaj absolutnie już nie wrzucałbym konieczności bieżącego korzystania z obsługi prawnej, jeśli chodzi o moją branżę. Powinniśmy się tego jakoś nauczyć na początku, wiedzieć, rozumieć zasady ochrony danych osobowych, wiedzieć, kto jest administratorem, za co odpowiada, czym jest minimalizacja przetwarzania danych osobowych. O tym Paweł, może nawet nie wiedząc, że mówi o zasadzie minimalizacji ochrony danych osobowych, przetwarzania danych osobowych, słusznie powiedział, że oni przy tworzeniu systemów informatycznych dążą do minimalizacji przyznawania dostępu użytkownikom systemu, a to jest właśnie minimalizacja przetwarzania danych wynikająca z rozporządzenia RODO.

Czyli udzielamy tylko te dostępy, te upoważnienia do przetwarzania danych, które są niezbędne do wykonywania naszych obowiązków służbowych albo innych czynności związanych z przetwarzaniem danych. Więc jeżeli placówka żyje, zmienia się, to niestety musimy cały czas nad tym czuwać, jeżeli chcemy postępować zgodnie z przepisami, zgodnie z RODO.

Przychodzi nam nowy lekarz, a mówiliśmy, że jest to spółka. Przyznajemy mu upoważnienia do przetwarzania odpowiednich kategorii danych. Odchodzi, cofamy te upoważnienia w systemie informatycznym, jak się łatwo domyślić. Czyścimy konto takiego użytkownika, a na pewno może nie czyścimy, to pewnie Paweł już o tym może bardziej powiedzieć. Przynajmniej zabieramy te uprawnienia, te hasła dostępu takiej osobie albo zmieniamy je. To akurat bardzo często się zdarza, że nie robi się takich rzeczy i nawet biorąc pod uwagę doświadczenia związane z postępowaniami przed Prezesem Urzędu Ochrony Danych Osobowych, nieraz zdarzały się przypadki naruszenia ochrony danych właśnie w związku z tym, że ktoś przez długi czas po odejściu z danej firmy, z danego gabinetu jeszcze miał dostęp do danych osobowych, do których nie powinien mieć dostępu. No więc cały czas musimy nad tym czuwać.

Nie tylko aktualizować dokumentację, związane z przetwarzaniem danych osobowych, a też się może coś zdarzyć, że dochodzą tak zwane nowe czynności przetwarzania. Już nie będę może wkładał jakichś nowych, skomplikowanych pojęć, ale musimy je uwzględnić w rejestrze czynności przetwarzania, ale przynajmniej pamiętajmy o tym, o tych upoważnieniach. Zwracajmy na to uwagę, nauczmy się czym jest przetwarzanie, co to są dane osobowe, kto powinien być upoważniony, komu mamy zabierać te upoważnienia. No i na bieżąco nad tym czuwajmy.

Jacek: OK. A Paweł, co zrobić, żeby właśnie zapobiec wyciekowi danych pacjentów podczas życia tej placówki, czyli jakichś tam wiesz, przyjść, odejść ludzi, zmian lokalizacji, itd.?

Paweł:No kwestia, ja bym powiedział, że już trochę w HR’owe też rzeczy wchodzimy, czyli taki właściwie, no jak w firmach jest onboarding i offboarding, tak? No mamy jakiś taki plan przyjęcia, co robimy na tydzień, na dzień, ostatniego dnia i tak samo jest offboarding, tak? Co robimy właśnie gdzieś na końcu, jeden z tych gdzieś ogniw, tam jest kwestia dostępu do systemów. No ważne jest to, żebyśmy my mieli takie konta administracyjne, gdzie coś takiego możemy zrobić. No tak, wcześniej padło, że to musi być właściwa osoba, firma jednostka, która się o tym zajmuje.

No i przede wszystkim trzeba unikać, żeby nie mieć, bo to różnie też widziałem, że na przykład korzystamy z maili nie w domenie placówki, z kont jakichś użytkowników prywatnych, telefonu czyjegoś prywatnego, bo nie mamy nad tym kontroli. Po prostu pracownik odchodzi, tam jest jego numer, tam jest jego mail. My nic nie zrobimy, nic. To wszystko musi być, właśnie już na początku musi korzystać z maila takiego firmowego, jeżeli korzysta z telefonu też firmowego, żeby nie prywatnego, no bo ja już z czymś tak nie spotkałem, że ktoś gdzieś ze swoich urządzeń, swoich dostępów korzystał, tutaj mówię głównie ten e-maiil, telefon.

Później z tym – nie mamy praw do tego żadnych, bo jeżeli to nie jest kupione przez spółkę, przez firmę, no to nic z tym nie zrobimy. No i tutaj faktycznie tak jak mówię, no jeżeli mamy to, no i właściwa komunikacja, bym powiedział, bo dla nas to jest żaden problem, jeżeli mamy, mówię, ten system odpowiednio przygotowany, wchodzimy do Proassist, tu klik: tak, off, jakiś system do, nie wiem, dostępu do komputera, i tak dalej, użytkownika, no to klikamy i tak dalej.

No bo też to, co Irek powiedziałaś, właśnie, że nie chcemy od razu wszystkiego usuwać, tak, no bo tam się wytworzył jakiś materiał, na przykład, z pocztą, no to nie chcemy, żeby to znikło, tak, tylko na przykład zatrudnimy, nie wiem, nowego pracowniku albo ta korespondencja, która przychodzi, no to jest osoba, która zastępuje albo chcemy, na menadżera gdzieś przekierować, żeby ta korespondencja gdzieś tam wracała, żeby nam to nie uciekało, nie znikało. Tylko to, no to ja mówię, wracam do tego, żebyśmy odpowiednie mieli do tego narzędzia, bo jak narzędzia mamy wybrane różne, no i które nie dają takich uprawnień, to później nic z tym nie zrobimy.

Jacek:A Paweł, a wy w ramach swoich usług, robicie taką czeklistę klientowi, że słuchaj, drogi kliencie, jak przychodzi nowa osoba i jest to tam nie wiem, lekarz, to mu robisz to, to, to lub mówisz nam, żebyśmy my to zrobili, tak?

Paweł:Znaczy tak, my często dążymy do czegoś takiego. Takiej standaryzacji stanowiska, stanowiska w rozumieniu takiego fizycznego, komputerowego, tak, że stanowisko to jest komputer, klawiatura, myszka, a podłączenie do internetu, nie wiem, kabel, czy wifi i na przykład, że ma być system taki, drukarka podłączone i tak dalej, nie?

I mamy wytyczone, że jak nie wiem, otwieramy nową lokalizację, otwieramy nowy gabinet, że standardem jest to i to jest dla nas super, tak? I dla mnie w ogóle, z punktu widzenia zarządzającego firmą, to jest super, no bo nie muszę za każdym razem pytać, dopytywać, a co tam ma być, a jak ma być, tylko wiesz, mamy checkklistę i do tego dążymy.

Mamy jakiś tam standard, no wiadomo, że to się gdzieś tam różni, no ale no to kwestia, że system medyczny inaczej nazywa, albo nie wiem, drukarka jest innej firmy, tyle, tak?

I do tego dążymy, ale też do tego, żeby mieć taki standard dla użytkownika, no bo też jest tak, że przychodzi nowy użytkownik, tak? I do czego on ma mieć dostęp? Do jakiego systemu, na jakich prawach, co może mieć, co może robić, usuwać, nie wiem, dodawać, skanować, tylko to musimy mieć te wytyczne, no i cały czas się kręcimy wokół tej dokumentacji, którą dziś dobrze jest mieć wcześniej przemyślaną, bo jak to robimy ad hocowo, to na zasadzie pytamy managera, no dobra, to, to, a jeszcze to, a za tydzień nam się przypomina tamto, a tak samo później będzie na offboardingu, tak – a jeszcze przecież miał dostęp do systemu, do tego i tam, do jednego i drugiego systemu, do poczty, a jeszcze do czegoś miał, dlatego trzeba to standaryzować.

I wtedy jak mamy jasną taką komunikację i żeby to docierało też do nas na czas, no bo to też wynikło, że tam dowiadujemy się, że ktoś przyszedł, a już tydzień temu jest, tak, i nie miał jak pracować, to pracuje na mailu czyimś, bo takie też widziałem rzeczy, no to, żebyśmy to pewnie wiedzieli. Tak samo przy tym wyjściu, tak, kogoś, kogoś systemu, tym offboardingu, no to jak mamy checklisty, no to odhaczamy, wyłączamy, zmieniamy uprawnienia, czy wyłączamy i ja bym tu zastrzegł jeszcze jedną ważną rzecz, dostępy zdalne. Z takim wykrzyknikiem powiedział, bo o ile mamy coś w placówce, tak? To żeby ktoś miał do systemu, no to fizycznie musi przyjść, podejść do komputera. To jest już taka fizyczna trochę ochronna, no bo jeżeli pojawi się lekarz, który nie powinien na recepcji coś go zobaczymy, już fizycznie mamy taką barierę pewną, nie?

A jeżeli ktoś miał dostęp zdalny, bo to był pracownik, może nie lekarz, ale ktoś gdzieś administracyjny, nie wiem, marketingu ktoś, bo mamy rozbudowane to, no to tutaj szczególnie trzeba uważać, ale jeżeli mamy to skonfigurowane takim VPN-ami, gdzie sobie to zarządzamy, no to jednym kliknięciem, po prostu go tam odcinamy od systemu, no ale tu jest szczególnie, szczególnie to ważne, no bo tu nie mamy tej fizyczności, tak, nie widzimy kogoś, nie wiem w którym momencie, a tutaj no fizycznie musi podejść, do któregoś komputera, gdzie się musi zalogować i tak dalej. Dlatego to szczególne uwaga na te, na te VPN-y.

Jacek:Ja za swojej strony powiem znowu dwie praktyki, to są dwie skrajne praktyki. Jedna praktyka jest taka, że klient robi jedno konto tam dla rejestratorki czy dla administratora i wszyscy się na to konto logują, nie wiem, po czym gdzieś tam, bo my to też staramy się gdzieś tam analizować, że no patrzymy, duża placówka ma jedno konto. Mówimy może tu trzeba więcej kont, właściciel dowiaduje się, że my nie pobieramy opłaty za konta rejestratorki czy administratora, niezależnie od ilości, tylko pobieramy za lekarza czy specjalistów, fizjoterapeutów, czyli za tym, na czym placówka zarabia po prostu, no i wtedy się zaczynają mnożyć te konta, mnożyć, mnożyć, mnożyć, mnożyć i wtedy znowu dochodziło do sytuacji, że tych kont jest bardzo dużo, bo ci ludzie przychodzą, odchodzą, te konta zostają. No ja nie wiem czy tam zmieniają te hasła czy nie, być może tak, być może nie, natomiast znowu mamy drugą praktykę, gdzie konto dostępowe zostaje, być może ze zmienionym hasłem, ale w zasadzie również po co to konto ma zostać, w tym przypadku?

Także mamy dwie takie praktyki z jednej i drugiej strony, jakieś takie mniej odpowiedzialne, ale w ramach tego już jakby co klienci, bo tak trochę przeszedłem płynnie do klientów, to Wy ze swojej strony może jesteście w stanie powiedzieć, o co klienci jakby boją się najbardziej w tym wycieku danych?

Zdaję sobie sprawę, że przychodzą do Was w tym celu, żeby do tego wycieku nie doszło, albo jakby doszło to żebym był zabezpieczony. I co, Irek, do Ciebie przychodzą klienci mówiąc…?