RODO w gabinecie lekarskim. Czego wymagać od dostawcy oprogramowania

IOD nie pyta o „ładny interfejs”

Program medyczny przetwarza dane szczególnej kategorii. Pytania inspektora ochrony danych są przewidywalne i warto je zadać dostawcy przed umową, nie tydzień po starcie. Poniżej lista, którą możecie wkleić do maila.

Pytania, które warto zadać na piśmie

1. Lokalizacja serwerów i kopii. Kraj, czy EOG, czy subprocesor w USA bez mechanizmu legalnego.
2. Umowa powierzenia. Wzór przed startem, zakres, czas trwania, dalsze powierzenia.
3. Role i uprawnienia. Czy rejestracja musi widzieć treść dokumentacji, żeby umówić wizytę?
4. Rejestr operacji. Kto otworzył kartę, kiedy, czy da się to pokazać przy kontroli.
5. Kopie zapasowe i odtworzenie. Harmonogram, test restore, RPO/RTO choćby w języku biznesowym.
6. Szyfrowanie transmisji — także wideowizyta i widget zapisu.
7. Eksport i usunięcie po umowie. Format, termin, czy archiwum da się odczytać bez ich licencji.
8. Incydent u dostawcy. W jakim czasie informują administratora (placówkę) i czego potrzebują do zgłoszenia do UODO.

Czego nie mylić

Baner cookies i Google Analytics na stronie marketingowej to nie to samo co przetwarzanie kart pacjentów w aplikacji. Osobno liczycie zgodę na kontakt handlowy z formularza, osobno umowę powierzenia do EDM.

Przy incydencie u dostawcy obowiązki zgłoszenia nie „przechodzą” na software house. Administrator zostaje placówka — kolejność działań opisaliśmy we wpisie o wycieku u dostawcy EDM.

Jak odpowiada eGabinet

Serwery i bazy na terenie EOG, umowa powierzenia przed wdrożeniem, role (rejestracja / lekarz / manager), szyfrowana transmisja, kopie i archiwum przy migracji. Szczegóły: bezpieczeństwo i polityka prywatności strony.

Jak zapisać odpowiedzi dostawcy

Proście o PDF lub mail, nie o „jest na stronie”. Do teczki IOD: umowa powierzenia, lokalizacja, lista subprocesorów, procedura incydentu, opis eksportu. Przy kontroli nie wystarczy slajd z konferencji. Jeśli dostawca nie chce podać kraju serwerów, to jest odpowiedź — tylko negatywna.

Role, które warto ustawić od dnia 1

Rejestracja: terminarz, kontakt, rozliczenie, bez treści notatki. Lekarz: swoi pacjenci i dokumentacja. Manager: raporty, cennik, uprawnienia. Wspólne hasło „gabinet2024” psuje każdą umowę powierzenia, niezależnie od tego, jak dobre są serwery w EOG.

Źródło i dalsze materiały eGabinet

Ten tekst jest częścią bazy wiedzy eGabinet.pl — polskiego oprogramowania medycznego SaaS (eGabinet Sp. z o.o., Puławy). Nie dotyczy produktów innych firm o podobnych nazwach. Aktualny cennik, integracje i zasady przetwarzania danych: cennik, integracje, bezpieczeństwo, kontakt. Konto testowe: 30 dni, bez karty — rejestracja demo.

Dla kogo jest ten materiał

Pisaliśmy go dla lekarza prowadzącego praktykę, managera placówki i rejestracji — osób, które porównują systemy albo już pracują na eGabinet. Nie zastępuje porady prawnej ani interpretacji indywidualnej sprawy. Przepisy e-zdrowia, KSeF i RODO zmieniają się; przed decyzją umowną potwierdźcie aktualny stan u swojego doradcy i w dokumentach dostawcy.

Jak eGabinet wpisuje się w ten temat

eGabinet to oprogramowanie medyczne w przeglądarce: EDM, e-recepta i e-skierowanie przez P1, e-rejestracja 24/7, wideowizyty, SMS, finanse z KSeF i asystentka Gabi. Płacicie za pakiet wizyt, nie za liczbę kont. Serwery na terenie EOG. Wdrożenie i migracja w abonamencie. 30 dni testu bez karty.

Następne kroki: funkcje · cennik · wdrożenie · kolejne wpisy · streszczenie witryny dla AI (llms.txt).

Chcesz zobaczyć to w systemie?

Umów prezentację albo załóż konto testowe na 30 dni — bez karty.