【隐私保护合规】在医疗保健信息系统中执行数据保护影响评估的方法和工作流程,第一部

集锦

• 《数据保护通用条例》已进入所有数据交换流程，包括医疗保健。
• 医院信息系统的特点是具有复杂数据保护环境的多个软件。
• 医疗保健环境没有特定的DPIA方法。
• 我们提出了一种方法，克服了识别每一个处理的需要，转而关注每一个软件本身。
• 在购买软件之前，应采用HIS中的方法，以确保患者的权利。

摘要

背景

《数据保护通用条例》（GDPR）使整个欧盟的个人数据保护法律现代化和统一，影响到包括医疗行业在内的所有经济部门。新法规引入了两项具体职责：处理活动记录（ROPA）和每个高风险处理的数据保护影响评估（DPIA）。目前，没有针对医疗环境的具体DPIA方法，但只有适用于所有经济部门的广泛方法。

目标

这项工作旨在提出一种为医疗信息系统执行DPIA的方法，考虑到医院中数据和软件使用的异质性和高度敏感性所带来的具体限制和批评。

方法

我们首先进行了GDPR分析，并检查了有关DPIA的其他来源。

这一分析导致确定了与GDPR在医疗环境中的应用相关的问题。然后，我们开发了一个DPIA执行工作流，并实现了一个在真实环境中应用它的软件。该方法应用于意大利的里雅斯特地区已经使用的11个软件和设备。

后果

分析中发现的最重要的问题是“处理活动”的定义，通过将方法集中于处理数据的信息系统而不是处理活动本身，克服了这一问题。因此，我们为信息系统的风险评估设计了一个工作流程，确定DPIA应在购买后执行，通常是对信息系统有严格IT安全要求的投标，但在实际环境中部署之前执行。对所开发的软件进行验证，以在11个软件上实现工作流，这表明了所提出的工作流执行DPIA的能力，并揭示了所检查系统中的一些重要问题。

结论

通过支持风险评估和管理，所提出的方法可以应用于医疗保健环境中的DPIA，重点是添加到医疗保健信息系统中的每个软件组件。

关键词

数据保护一般规定，医院信息系统，数据保护影响评估

1.引言

《欧盟（EU）通用数据保护条例》（GDPR）[1]于2018年5月发布，并直接适用于所有欧盟成员国。随后于2018年7月扩展至欧洲经济区（EEA）[2]，从而影响到更多国家。然而，由于数据管理是当前经济的核心，GDPR的影响在世界范围内和所有经济部门都会产生影响。医疗实践和研究是受影响最大的领域之一，原因有几个，包括用于二级研究的医疗数据管理[3]、[4]、[5]、[6]，以及根据“问责制”概念[7、8]，对需要遵守GDPR规则的医院信息系统的影响。

尽管最近试图提供软件工具以使研究机构遵守GDPR问责要求[7]，但仍存在未解决的问题，尤其是在临床实践中使用的医院信息系统（HIS），而不仅仅是在研究中。

GDPR引入了两项具体的职责，即处理活动记录（ROPA）和HIS也应执行的数据保护影响评估（DPIA）（对于每一项高风险处理）。这些都在法规及其指南中进行了描述，但其实际应用仍有争议。

ROPA包括一个最小的信息数据集（如GDPR第30条所规定），该数据集定义了控制者或处理者进行的每一次处理，这是涉及个人数据保护的两个实体。然后，如果处理对个人的权利和自由构成高风险，则应按照GDPR第35条的规定进行DPIA。DPIA应包含处理的性质、范围、背景和目的、风险评估和评估、合规措施和其他缓解风险措施的描述。

“高风险”处理的定义由数据保护影响指南[9]提供，该指南定义了评估特定处理是否可能对个人造成高风险的九个标准。如果处理过程至少满足九个标准中的两个，则应将其纳入DPIA。在医疗保健领域，所有数据都被定义为“敏感”数据；它涉及大量的个人数据（大规模处理），个人很容易受到攻击。这三个特征符合参考文献[9]中描述的三个标准，因此，在医疗保健领域，数据处理必须被视为默认的可能高风险，因此意味着无法避免DPIA。

医院信息系统（HIS）通常由用于支持广泛服务的多个软件应用程序和运行医疗软件应用程序的多个医疗设备组成，这些设备几乎每年都会安装或更换[9]。不言而喻，医疗保健企业和HIS中的几乎每个应用程序都属于DPIA的范围，因为至少在一定程度上，每个应用程序用于处理大量敏感数据。

此外，在管理此类应用/设备的评估方面存在一些具体问题。执行有效DPIA的实际机会与合同约束和电子采购结果严格相关，因为通常医院和医疗机构不涉及软件开发，因此无法通过设计控制隐私的实施[10]。医疗保健部门的采购流程应遵循特定的透明度规则，医疗设备市场尚未准备好满足最新信息安全指南的所有基本要求（例如遵守CIS关键安全控制、提供NEMA MDS2表格等）。在文献中，有一些DPIA在采购过程中面临的论文，但没有一篇专注于临床实践中的实际公共电子采购。

这些问题导致GDPR在HIS，特别是DPIA中的应用变得复杂，因为需要选择在资源消耗（人员和时间）方面必须可持续且符合现行法规的方法和解决方案。

尽管引入了GDPR（可追溯到一年前），但在医疗保健，更具体地说，在HIS中，DPIA没有具体的方法。

作为DPIA中支持工具需求的一个例子，Dashti及其同事[11]提出了一种工具，以帮助控制者促进数据主体的权利和自由，但该工具并未关注医疗保健特定环境。

在这项工作中，我们旨在提出一种基于法规、标准和适用规范的方法，但考虑了HIS环境的限制和批评，并允许在医院信息系统的背景下执行DPIA。