Rozliczenia prowadzone na prywatnym komputerze

[bart]

Jako pracownik podlegasz przepisom w tym i polityce jednostki, która Cie zatrudnia.

Warto sprawdzić czy i co ta polityka mówi o takiej sytuacji jak Twoja gdy wynosisz defacto dane na prywatnym
komputerze poza placówkę która nimi administruje 

[iwomik192]

Rozumiem, że napisanie takiej instrukcji trzeba komuś zlecić. Ktoś może wie jaki jest tego koszt?
Z tego co czytałam to jest masa tematów, jakie należy opisać.

[09061303]

Dokładnie - średnio zewnętrzne firmy () wyceniały to od 10k PLN netto wzwyż, ale nie mam przekrojówki całej. Inna sprawa, że taka konfiguracja z bazą u Ciebie to pewnie będzie drożej. Dodatkowo zapraszasz kontrole do siebie np. Giodo. Także uważaj na cokolwiek nielegalnego w domu

[iwomik192]

spoko wszystko wcześniej pochowam:)
a tak poważnie 10 k czyli ile?
i czy muszą być napisane dwie instrukcje. Jedna dla zakładu pracy a druga dla mnie? czy wszystko ma być zawarte w tej jednej " zakładoweJ".

[Michał]

10 k to inny zapis 10000 a jeszcze inaczej dziesięć tysięcy złotych netto

[iwomik192]

plus VAT to masakra

jak wcześniej pytała czy muszą być napisane dwie instrukcje. Jedna dla zakładu pracy a druga dla mnie? czy wszystko ma być zawarte w tej jednej " zakładoweJ".

[iwomik192]

i jeszcze jedno czy zakład optyczny też musi mieć taką politykę?

[karolweksler]

Każda firma posiadająca dane osobowe musi mieć.
Możesz spróbować znaleźć w internecie przykłady polityk bezpieczeństwa i spróbować dostosować.

[mpi]

Politykę możesz mieć jedną - przychodni. Ale wtedy przychodnia jako właściciel danych podaje w wykazie pomieszczeń gdzie są przetwarzane dane osobowe również twój dom, sposoby zabezpieczeń itp... Fajnie by było jakby to był laptop i byś miała sejf, bo inaczej to jakakolwiek impreza prywatna w domu w sensie pobyt gości zapewne będzie naruszać tą politykę
Chociaż... pewnie jakoś to można pozapisywać bo przecież wiele firm ma biuro w domu.

Dwie polityki byłyby wtedy jakbyś jako podmiot zewnętrzny miała umowę z przychodnią na powierzenie przetwarzania danych osobowych. Np. biuro rachunkowe któremu dajesz faktury, dane pracowników itp i oni przetwarzają Twoje dane na swoich systemach na podstawie odrębnej umowy. Wtedy Ty masz swoją politykę jako właściciel tych danych opisujesz zbiory danych itp, masz umowę że przekazujesz te dane innej firmie a tamta firma w swojej polityce ma swój wykaz pomieszczeń, zbiory danych itp...

Znam firmę która nie bierze kasy za stworzenie polityki, ale przez co najmniej rok trzeba kupić u nich ABI. Znam osoby które mają wykształcenie prawnicze, prowadzą blogi w internecie na temat ochrony danych osobowych biorą nieduże pieniądze - ja miałem oferty na ok 1500 - 2000zł ale informatycznie to katastrofa a i prawniczo... dobra nie będę komentował.

Moim zdaniem jakakolwiek firma to by nie była to jak nie przyciśniesz to sama będziesz tworzyć tą politykę - bo oni mają gotowe wzorce (które zresztą i Ty możesz ściągnąć), prześlą Ci pytania do uzupełnienia (zbiory danych, struktura, przepływ informacji, wykaz osób uprawnionych, zabezpieczenia, kopie) i jak to wszystko napiszesz to oni zrobią kopiuj/wklej i polityka gotowa

A czy udzielą Ci pomocy w stworzeniu backupu, doradzą jakieś antywirusy, powiedzą jakiego firewalla itp? Oczywiście że nie

Na koniec. Politykę powinna mieć każda - nawet jednoosobowa firma. Twoja przychodnia niezależnie od tego czy te dane są u Ciebie czy nie powinna ją mieć. Gdyby miała to w tej chwili wystarczyłoby tylko dopisać Twój dom do miejsc przetwarzania danych, jakieś zabezpieczenia itp. To przychodnia powinna stworzyć tą politykę gdyż to ona jest właścicielem tych danych.

[09061303]

W moim przypadku styczność z sensownym podejściem (merytoryka) zaczynała się przy ofertach 7-10k+ PLN netto.
Ogólnie to tak, że koleżanka jeszcze musi trzymać w szafce kawę dla kontrolerów GIODO jak ją odwiedzą z kurtuazyjną oczywiście wizytą. Nie wpuścić nie wypada.

[iwomik192]

Napisałam do Pana , którego rozliczam ze musi mieć politykę bezpieczeństwa a on mi odpisał

Dane osobowe sa przetwarzane tylko przez program ktory zatwierdził Nfz
Nie zatrzymuje u siebie dokumentow wypelniam i odsylam 
Nikt z nfz  nie pytal sie co robie z receptami  . Nie tworze kartotekt
Recepty sa odpisywane na zleceniu i dostaje to klient.

jak mam mu uzmysłowić ze przesyła mi dane ja je wysyłam do nfz i ze musi miec taką politykę

[Jarasz]

Ty stwórz PB i IZSI dla siebie i bądź kryta. A doktor uzmysłowi sobie problem i wagę całej sytuacji po pierwszej kontroli zaprzyjaźnionych Państwa z GIODO. Jest jeszcze bardzo wiele Podmiotów, które o zabezpieczaniu danych którymi są administratorami niewiele wiedzą lub nie chcą wiedzieć.

[09061303]

Napisałam do Pana , którego rozliczam ze musi mieć politykę bezpieczeństwa a on mi odpisał

Dane osobowe sa przetwarzane tylko przez program ktory zatwierdził Nfz
Nie zatrzymuje u siebie dokumentow wypelniam i odsylam 
Nikt z nfz  nie pytal sie co robie z receptami  . Nie tworze kartotekt
Recepty sa odpisywane na zleceniu i dostaje to klient.

jak mam mu uzmysłowić ze przesyła mi dane ja je wysyłam do nfz i ze musi miec taką politykę

Niestety nie uzmysłowisz, może jakaś osoba trzecia z autorytetem u niego. Wypowiedź ma się nijak do rzeczywistości - program nie przetwarza danych osobowych, jest tylko narzędziem.
Fajne stwierdzenie - nie tworzę kartotek. Ciekawe jak to się ma do obowiązku prowadzenia dokumentacji medycznej, nieważne czy to elektronicznie czy papierowo.
Ogólnie ciężka sprawa, ale albo nie ruszasz w ogóle tematu, siedzisz cicho, działasz i liczysz, że jakoś to będzie (jednak po wypowiedzi cytowanej wnioskuję, że w razie W to Pan powie, że przecież u Ciebie jest program i jest problem) albo próbuj być jak najdalej przynajmniej od trzymania bazy u siebie.

[dbfr]

Na podstawie mojego doświadczenia wychodzi na to, że tego typu sytuacje są często normą. W praktyce - nie patrząc już nawet pod kątem prawnym ale pod kątem podstawowych zasad bezpieczeństwa danych przetwarzanych w systemach i informatycznych taka sytuacja miejsca mieć nie może. Nie mówię tu już nawet o danych osobowych, czy wrażliwych, którymi są dane medyczne.. ale jakichkolwiek danych jakiegokolwiek przedsiębiorstwa..

Niestety często jest też tak, że użytkownicy/managment myślą, że załatwią sobie wszystko "papierami". Czyli - zrobię instrukcję zarządzania systemem informatycznym, politykę bezpieczeństwa i wszystko jest super. Otóż nie do końca bo opisane tam normy muszą być zgodne z prawem oraz ogólnie panującymi zasadami bezpieczeństwa i co ważniejsze - rzeczy te muszą być przestrzegane.

Najlepsze w opisanej sytuacji byłoby podejście do tematu od strony technicznej czyli odpowiedzenie sobie na pytanie - co zrobić, żeby dane były  bezpieczne?

1. Po pierwsze nie mogą być przetwarzane na prywatnym komputerze. Z różnych przyczyn - bo bardzo łatwo ktoś może je podejrzeć, ukraść, bo sprzęt tego typu jest często mobilny, niezabezpieczony a dane na nim nie są szyfrowane. Powodów jest pewnie więcej.

2. Koledzy sugerowali we wcześniejszych wpisach różne opcje, tutaj je zbiorę i dodam co swoje:

- jeżeli infrastruktura podmiotu który Pani rozlicza na to pozwala można zorganizować Pani połączenie po tzw. VPN do serwera, na którym są przetwarzane te dane. Wtedy zainstalowaniu odpowiedniego oprogramowania na Pani komputerze (w skrócie) po podaniu loginu i hasła następuje bezpieczne połączenie z systemem, który jest w placówce i można działać

- drugą opcją jest umieszczenie tych danych z oprogramowaniem "w chmurze" (co to dokładnie jest napiszę niedługo na blogu). Wtedy mamy dane zabezpieczone bez obowiązku spełniania przez placówkę medyczną norm (znaczy one są spełniane i zgodne z polityką bezpieczeństwa tylko bez nakładów na własną infrastrukturę - wynajmujemy ją tam, gdzie te normy są spełniane).

- trzecią może być otrzymanie przez Panią komputera z placówki spełniającego normy bezpieczeństwa (zabezpieczone konta z uprawnieniami, szyfrowanie dysków)

Mając odpowiedzi na to i szereg innych pytań można brać się za jakąkolwiek dokumentację

Pan, którego Pani rozlicza nie ma racji. Standardowo - kwestia edukacji bo tak jest w przynajmniej 80% przypadków.