【隐私保护合规】在医疗保健信息系统中执行数据保护影响评估的方法和工作流程,第二部

2.方法

2.1方法开发步骤

该方法的定义遵循图1所示的步骤。我们首先对GDPR和与DPIA相关的其他来源进行了分析和检查（步骤1，图1），目的是确定与医疗环境中GDPR应用相关的问题。我们决定只考虑GDPR通过后（2016年4月14日）发布的官方和可信文件；除GDPR外，还分析了第29条工作组发布的上述DPIA指南[12]以及法国数据保护局制定和发布的“隐私影响评估（PIA）”方法[13]。分析结果导致确定了与HIS环境相关的最关键问题，这为所提出的方法作为约束奠定了基础。考虑到这些限制，我们确定了评估数据保护风险所需的信息和文件（步骤2，图1）以及在HIS环境下执行DPIA所需的工作流程（步骤3，图1。设计工作流程是为了显示（1）DPIA在医院的哪个部分进行，特别是在HIS中购买或实施的新软件，以及（2）如何在单个软件上执行DPIA。然后，我们开发了一个软件，允许部署拟议的工作流（步骤4，图1）。该软件使用MS Access DBMS开发，包括一系列用于记录DPIA的表格。最后，我们使用在真实HIS环境中运行的一系列软件应用程序上实现的软件验证了工作流（步骤5，图1），如第2.3节所述。

Fig. 1. Methodology development steps.

2.2规范性框架

指南提出了执行DPIA的几种示例性方法。其中，由国家信息和自由委员会（CNIL，法国）发布的PIA[13]提出了一种简单直观的方法，该方法也得到了专用软件的支持[14]。PIA方法论基于两个原则：

• -遵守规范性原则和个人基本权利。无论数据或处理类型如何，这些都应始终得到保证。
• -与数据安全相关的风险管理，旨在将相关风险降低到可接受的水平。

根据这些基本原则，DPIA方法被定义为四步过程：

1. 定义并描述所考虑处理的上下文。
2. 分析确保遵守基本原则的措施（第5条和第13-22条）。
3. 评估与数据安全相关的风险，并确保采取适当的缓解措施。
4. 记录DPIA的正式验证。

相关风险分为三个不需要的事件，对应于信息安全（CIA）的三个特征。在风险分析中，应从事件发生的概率（取决于处理中涉及的系统的脆弱性）和后果的严重性（取决于过程的上下文）开始，对这些事件的风险等级进行量化。因此，为了评估每个事件的风险水平，必须：

1. 定义对个人的潜在影响。
2. 评估影响的严重程度，特别是个人的权利和自由。
3. 确定可能导致事件的威胁，以及可能导致事件发生的风险来源。
4. 估计事件发生的概率。

剩余风险从风险评估开始计算，并应用缓解措施。

2.3.案例研究和验证

我们将该方法应用于Azienda Sanitaria Universitaria Giuliano Isontina已经使用或打算使用的11个IT软件设备的评估，Azienda San itaria Universidaria Giulino Isontina是意大利Friuli Venezia Giulia地区的一家公共医疗企业，服务于的里雅斯特和戈里齐亚地区，该地区有近300000居民。其职责各不相同，既包括高度专业的急性医院护理，也包括全省范围的医疗保健服务（如家庭护理、预防和疫苗）。

在该企业中，有100多个软件应用程序用于提供此类服务，每年还安装或更换了数十台新的医疗设备。此外，弗留利-威尼斯朱利亚地区要求使用公开招标来提供软件和医疗设备，主要是基于较低的价格，较少关注信息安全指南。

因此，我们假设ASUGI场景代表典型的公共医疗环境，值得研究应用最先进的DPIA程序，正如我们将看到的，这不是针对医疗行业的。