Bezpieczeństwo IT w gabinecie - hasła, backup i komputer w recepcji

Pan Tomasz prowadzi jednoosobowy gabinet fizjoterapii od trzech lat. Komputer w recepcji służy do wszystkiego naraz -- prowadzenia kart pacjentów, wystawiania faktur, sprawdzania poczty, a czasem nawet do puszczenia dziecku bajki, gdy przyjdzie z rodzicem na wizytę. Hasło do systemu to imię psa, zapisane dodatkowo na żółtej karteczce przyklejonej do monitora, bo "łatwiej nie zapomnieć". Backupu danych nikt nigdy nie robił -- "przecież komputer działa, to po co".

Gdy pewnego dnia laptop z gabinetu zniknął z samochodu podczas przerwy na kawę, pan Tomasz zorientował się, że stracił nie tylko sprzęt. Stracił dostęp do kart kilkuset pacjentów, a przede wszystkim -- nie wiedział, czy ktoś inny właśnie ten dostęp zyskał. Gdyby dysk był zaszyfrowany, złodziej miałby w rękach bezużyteczny kawałek metalu. Bez szyfrowania -- miał potencjalnie pełną bazę danych osobowych i medycznych. W tym artykule pokazujemy, jakie minimalne środki bezpieczeństwa IT musi wdrożyć gabinet fizjoterapii, żeby spełnić wymogi art. 32 RODO -- bez zatrudniania informatyka i bez żargonu technicznego.

Dlaczego bezpieczeństwo IT to nie "coś dla informatyków"

Art. 32 RODO nakłada na administratora danych obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, żeby zapewnić stopień bezpieczeństwa odpowiadający ryzyku przetwarzania. W gabinecie fizjoterapii przetwarza się dane o zdrowiu -- czyli dane szczególnej kategorii, wymagające podwyższonej ochrony. To nie jest przepis skierowany do dużych firm z działem IT. Dotyczy każdego gabinetu, także jednoosobowego, w którym cała "infrastruktura" to jeden laptop i router od dostawcy internetu.

Dobra wiadomość jest taka, że większość środków opisanych w tym artykule nie wymaga żadnej wiedzy technicznej ani dodatkowych kosztów -- wymaga tylko konsekwencji i spisania tego, co i tak powinno się robić. Kwestię reagowania na sam wyciek danych, gdy już do niego dojdzie, opisujemy osobno w artykule o naruszeniu ochrony danych i obowiązku zgłoszenia w 72 godziny -- tutaj skupiamy się na tym, jak do takiej sytuacji nie dopuścić.

Konta imienne zamiast wspólnego loginu

Najczęstszy błąd w małych gabinetach to jedno wspólne konto w systemie do prowadzenia dokumentacji, z którego korzystają wszyscy -- właściciel, recepcjonistka, czasem też fizjoterapeuci na kontrakcie. Wygodne, ale niezgodne z zasadą rozliczalności z art. 5 ust. 2 RODO, która wymaga, żeby administrator był w stanie wykazać, kto i kiedy miał dostęp do konkretnych danych.

Przy wspólnym loginie, jeśli dojdzie do nieautoryzowanego dostępu do karty pacjenta albo do jej przypadkowego usunięcia, nie da się ustalić, kto faktycznie siedział przy komputerze w danym momencie. Rozwiązanie jest proste: każda osoba mająca dostęp do systemu EDM lub komputera recepcji powinna mieć własne, imienne konto z osobnym hasłem. System operacyjny (Windows, macOS) pozwala na to bezpłatnie, bez żadnego dodatkowego oprogramowania -- wystarczy założyć osobne profile użytkowników. To samo dotyczy dostępu do samego systemu do prowadzenia kart pacjentów, o którym piszemy szerzej w artykule o elektronicznej dokumentacji medycznej w fizjoterapii.

Polityka haseł, która naprawdę działa

Karteczka z hasłem przyklejona do monitora to od lat klasyczny przykład złej praktyki bezpieczeństwa -- i wciąż jeden z najczęściej spotykanych w małych gabinetach. Nawiązuje to bezpośrednio do tzw. polityki czystego biurka: dokumenty papierowe z danymi pacjentów oraz hasła dostępowe nie powinny leżeć na widoku, zwłaszcza w recepcji, gdzie każdy pacjent czekający na wizytę ma je w zasięgu wzroku.

Sensowna polityka haseł w gabinecie nie musi być skomplikowana -- wystarczy kilka prostych zasad:

• Długość co najmniej 12 znaków -- długie hasło jest bezpieczniejsze niż krótkie, nawet jeśli jest mniej "wymyślne".
• Unikalność -- inne hasło do systemu EDM, inne do poczty, inne do bankowości firmowej. Jedno hasło do wszystkiego oznacza, że wyciek w jednym miejscu otwiera dostęp do reszty.
• Brak zapisywania w widocznym miejscu -- żadnych karteczek przy monitorze, żadnych notatek w widocznym notesie na biurku recepcji.
• Zmiana po każdym odejściu pracownika -- jeśli fizjoterapeutka na kontrakcie kończy współpracę, hasła do wspólnie używanych systemów należy zmienić od razu, nie "przy okazji".

Jeśli zapamiętanie kilku różnych, długich haseł jest problemem, rozwiązaniem jest menedżer haseł -- darmowe i płatne narzędzia tego typu pozwalają przechowywać hasła w zaszyfrowanej formie i wymagają zapamiętania tylko jednego hasła głównego.

Szyfrowanie dysku -- najważniejszy pojedynczy środek bezpieczeństwa

Jeśli gabinet miałby wdrożyć tylko jeden środek techniczny z tej listy, powinno to być szyfrowanie dysku komputera i laptopa, na których przechowywana jest dokumentacja pacjentów. Powód jest prosty: sprzęt można ukraść, zgubić, zostawić w niewłaściwym miejscu -- to się zdarza nawet najbardziej ostrożnym osobom. Różnica polega na tym, co dzieje się z danymi po takiej sytuacji.

Jeżeli dysk nie jest zaszyfrowany, złodziej lub znalazca może uzyskać dostęp do wszystkich zapisanych na nim danych osobowych i medycznych bez większego wysiłku, nawet bez znajomości hasła do systemu Windows -- wystarczy wyjąć dysk i podłączyć do innego komputera. To oznacza naruszenie ochrony danych osobowych, które w większości przypadków trzeba zgłosić do UODO w ciągu 72 godzin.

Jeżeli dysk jest zaszyfrowany (np. funkcją BitLocker w Windows albo FileVault w macOS -- obie są wbudowane w system i darmowe), dane na skradzionym sprzęcie są dla osoby nieuprawnionej nieczytelne. RODO wprost uznaje takie dane za praktycznie niedostępne dla osób nieupoważnionych, co w wielu przypadkach oznacza, że nie trzeba zgłaszać naruszenia do UODO -- utrata fizycznego nośnika nie jest tym samym co utrata danych, jeśli danych i tak nikt nie może odczytać. Włączenie szyfrowania to zwykle kilka kliknięć w ustawieniach systemu i zajmuje kilkanaście minut.

Backup według reguły 3-2-1

Utrata danych nie musi wiązać się z kradzieżą. Awaria dysku, zalanie kawą, przypadkowe usunięcie pliku, atak szyfrującego wirusa -- każda z tych sytuacji może w kilka sekund pozbawić gabinet całej dokumentacji pacjentów, jeśli nie ma jej kopii zapasowej. Sprawdzoną i prostą metodą jest reguła 3-2-1:

Element reguły	Co to oznacza w praktyce
3 kopie danych	Oryginał na komputerze + dwie kopie zapasowe (nie licząc oryginału jako "kopii")
2 różne nośniki	Np. dysk zewnętrzny podłączany do komputera + chmura, a nie dwa dyski zewnętrzne tego samego typu
1 kopia poza siedzibą	Co najmniej jedna kopia przechowywana fizycznie gdzie indziej niż gabinet (np. w chmurze) -- żeby pożar, zalanie czy kradzież w gabinecie nie zniszczyły wszystkich kopii naraz

W praktyce dla małego gabinetu może to wyglądać tak: dane na komputerze w recepcji, automatyczna kopia na zewnętrznym dysku podłączanym raz w tygodniu, oraz automatyczna kopia w usłudze chmurowej. Kluczowe jest słowo "automatyczna" -- backup, o którym trzeba pamiętać ręcznie, prędzej czy później zostanie pominięty. Warto też raz na jakiś czas sprawdzić, czy backup faktycznie da się odtworzyć -- kopia zapasowa, która nie działa w chwili awarii, jest tylko iluzją bezpieczeństwa.

Aktualizacje i antywirus -- podstawowa higiena

To najbardziej oczywisty, a mimo to często pomijany element. System operacyjny i program do prowadzenia dokumentacji powinny być regularnie aktualizowane -- producenci wypuszczają aktualizacje właśnie po to, żeby łatać wykryte luki bezpieczeństwa. Komputer z nieaktualnym systemem, na którym "wyskakujące okienka o aktualizacji" są latami odklikiwane, jest znacznie łatwiejszym celem dla złośliwego oprogramowania.

Podobnie z programem antywirusowym -- na komputerze, na którym przechowywane są dane medyczne, powinien być zainstalowany i aktualny. Nie musi to być drogie rozwiązanie klasy korporacyjnej; nawet wbudowany w Windows Windows Defender, o ile jest aktywny i aktualizowany, stanowi realną ochronę.

Wi-Fi dla pacjentów -- osobna sieć, nie jedna dla wszystkich

To błąd, który pojawia się zaskakująco często: gabinet ma jeden router, jedno hasło do Wi-Fi, i to samo hasło podaje pacjentom czekającym na wizytę oraz używa go komputer recepcji z dostępem do kart pacjentów. Urządzenie gościa podłączone do tej samej sieci co komputer z danymi medycznymi teoretycznie znajduje się w tej samej "przestrzeni sieciowej" co ten komputer -- w zależności od konfiguracji routera może to stwarzać dodatkowe ryzyko dostępu.

Rozwiązanie jest proste i dostępne w niemal każdym współczesnym routerze: sieć gościnna (guest network). To osobna sieć Wi-Fi, rozgłaszana przez ten sam router, ale odizolowana od sieci głównej -- urządzenia podłączone do sieci gościnnej nie widzą urządzeń w sieci głównej, w tym komputera recepcji. Konfiguracja to zwykle jedna opcja w panelu administracyjnym routera, oznaczona właśnie jako "sieć gościnna" lub "guest Wi-Fi".

Telefon prywatny z danymi pacjentów

Wygodne, ale ryzykowne: wysyłanie SMS-ów przypominających o wizycie z prywatnego telefonu właściciela gabinetu albo recepcjonistki. W momencie, gdy w telefonie prywatnym zapisane są imiona, nazwiska i numery telefonów pacjentów -- w kontaktach, w historii SMS-ów, czasem razem z notatką o rodzaju terapii -- telefon staje się urządzeniem przetwarzającym dane osobowe, objętym tymi samymi wymogami bezpieczeństwa co komputer w gabinecie. A rzadko kiedy prywatny telefon ma takie same zabezpieczenia: blokadę ekranu, szyfrowanie, kontrolowany dostęp dla domowników.

Bezpieczniejsze rozwiązanie to korzystanie z funkcji przypomnień wbudowanej w system do rezerwacji wizyt (jeśli ją oferuje) albo dedykowanego, służbowego numeru telefonu, oddzielonego od prywatnej komunikacji. Jeśli to niemożliwe, warto co najmniej regularnie czyścić historię SMS-ów zawierających dane pacjentów i zabezpieczyć telefon silnym kodem blokady oraz szyfrowaniem.

[SP] Przykład -- Solo-Praktyka: Pan Tomasz po utracie laptopa wdraża w nowym sprzęcie szyfrowanie dysku (BitLocker), zakłada osobne konto użytkownika dla siebie i dla zastępującej go czasem fizjoterapeutki, i ustawia automatyczny backup na dysk zewnętrzny oraz do chmury. Cały proces zajmuje mu jedno popołudnie, bez wzywania informatyka.

[GR] Przykład -- Gabinet Grupowy: W gabinecie z pięcioma fizjoterapeutami i wspólną recepcją właścicielka odkrywa, że wszyscy logują się do systemu EDM tym samym kontem "recepcja", a hasło do Wi-Fi dla pacjentów jest identyczne z hasłem do sieci, w której pracuje komputer z kartami pacjentów. Zakłada imienne konta dla każdego pracownika i uruchamia osobną sieć gościnną w routerze -- obie zmiany bez dodatkowych kosztów.

Dlaczego to wszystko musi być spisane

Wdrożenie wszystkich powyższych środków to dopiero połowa obowiązku. Zasada rozliczalności z art. 5 ust. 2 RODO wymaga, żeby administrator danych był w stanie wykazać zgodność z przepisami -- nie wystarczy, że hasła są długie i dysk jest zaszyfrowany, jeśli w razie kontroli UODO gabinet nie potrafi tego udokumentować. Kontrolujący nie może "zobaczyć", że backup działa od dwóch lat -- może natomiast zobaczyć spisaną procedurę i historię jej stosowania.

Dlatego minimalne środki bezpieczeństwa IT powinny być opisane w prostym, wewnętrznym dokumencie: jakie zasady dotyczące haseł obowiązują w gabinecie, kto ma dostęp do jakich systemów, jak często i gdzie robiony jest backup, co robić w razie zgubienia lub kradzieży sprzętu. Nie musi to być rozbudowana polityka bezpieczeństwa informacji w stylu dużej korporacji -- wystarczy zwięzła, kilkustronicowa instrukcja, do której gabinet może się odwołać przy kontroli albo przy wdrażaniu nowego pracownika.

Najczęściej zadawane pytania

Czy mały, jednoosobowy gabinet naprawdę musi mieć wszystkie te zabezpieczenia?

Tak. Art. 32 RODO nie zwalnia z obowiązku wdrożenia odpowiednich środków bezpieczeństwa ze względu na wielkość podmiotu -- wymaga za to, żeby środki były proporcjonalne do ryzyka. Ponieważ gabinet fizjoterapii przetwarza dane o zdrowiu, ryzyko jest wysokie niezależnie od liczby zatrudnionych osób, a większość opisanych środków (konta imienne, szyfrowanie, backup, osobne Wi-Fi) nie wymaga dodatkowych kosztów ani specjalistycznej wiedzy.

Czy szyfrowanie dysku naprawdę zwalnia z obowiązku zgłoszenia naruszenia do UODO?

W wielu przypadkach tak, choć zawsze wymaga to indywidualnej oceny sytuacji. Jeśli dane na skradzionym lub zgubionym sprzęcie są skutecznie zaszyfrowane i klucz szyfrujący nie został przejęty razem ze sprzętem, dane pozostają nieczytelne dla osoby nieuprawnionej, co RODO traktuje jako sytuację, w której ryzyko naruszenia praw i wolności osób jest znikome. Warto to jednak zawsze udokumentować -- fakt szyfrowania i okoliczności zdarzenia -- na wypadek pytań ze strony UODO.

Ile kosztuje wdrożenie tych zabezpieczeń w małym gabinecie?

W większości przypadków niewiele albo nic. Szyfrowanie dysku (BitLocker, FileVault), konta użytkowników i sieć gościnna w routerze to funkcje wbudowane w system operacyjny i sprzęt sieciowy, które trzeba tylko włączyć. Kosztem może być ewentualnie dysk zewnętrzny do backupu (jednorazowy wydatek rzędu kilkuset złotych) albo abonament za chmurę do przechowywania kopii poza siedzibą gabinetu.

Czy backup w chmurze jest bezpieczny dla danych medycznych pacjentów?

Może być, pod warunkiem że dostawca chmury zapewnia odpowiednie gwarancje bezpieczeństwa i że gabinet ma z nim podpisaną umowę powierzenia przetwarzania danych zgodną z art. 28 RODO. Warto też sprawdzić, gdzie fizycznie znajdują się serwery dostawcy -- przetwarzanie w Europejskim Obszarze Gospodarczym jest prostsze pod względem zgodności niż transfer danych poza jego granice.

CTA: Wdrożyłeś już zabezpieczenia techniczne, ale brakuje Ci spisanej dokumentacji, która pokaże to podczas kontroli? Pakiety FizjoReady zawierają kompletną dokumentację RODO dla gabinetu fizjoterapii, gotową do wdrożenia bez pomocy informatyka. Zobacz pakiety FizjoReady

Powiązane artykuły:
- Elektroniczna dokumentacja medyczna w fizjoterapii
- KSeF w gabinecie fizjoterapii 2026
- Naruszenie ochrony danych -- obowiązek zgłoszenia w 72 godziny