Dzisiaj przesłałem do MAiC uwagi do nowelizacji ustawy o świadczeniach zdrowotnych związane z potwierdzaniem prawa do ubezpieczenia zdrowotnego przez Internet. Projekt, uzasadnienie i zaproszenie do konsultacji można znaleźć na stronie MAiC (Zaczynamy konsultacje ustawy o Centralnym Wykazie Ubezpieczonych). Moje uwagi:
- W pełni uzasadniona jest "lekka" forma uwierzytelnienia obu stron transakcji potwierdzenia prawa do ubezpieczenia (str. 10 uzasadnienia). Opisany schemat zapewnia poziom bezpieczeństwa adekwatny do ryzyka (które jest w tym przypadku bliskie zeru).
- W dość niejasny sposób opisany jest w projekcie i uzasadnieniu format dokument potwierdzającego prawo do ubezpieczenia generowanego przez system. Dokument ten ma być generowany w postaci elektronicznej i tej postaci powinien zachować wartość dowodową przez co najmniej kilka lat, w ciągu których NFZ może dokonać kontroli świadczeniodawcy. Historia pokazuje, że detale implementacyjne mogą skutkować faktyczną porażką tego mechanizmu potwierdzenia i podważeniem zaufania do państwa (art. 7 i 8 kpa).
- Nie jest jasne w jaki sposób ma być zapewniona niezaprzeczalność i autentyczność informacji o statusie ubezpieczenia na potwierdzeniach. To znaczy, z jednej strony ochrona dla świadczeniobiorcy przed zaprzeczeniem przez NFZ statusu widniejącego na potwierdzeniu, a z drugiej ochrona NFZ przed fałszowaniem potwierdzeń przez świadczeniobiorców.
- Ustawodawca powinien zatem wyprzedzająco określić sposób traktowania potwierdzeń, na których status jest niespójny z bazą NFZ - co może oznaczać albo fałszerstwo po stronie świadczeniodawcy, albo błąd w systemie NFZ (w CWU lub w systemie generowania potwierdzeń). Składanie na każdym generowanym potwierdzeniu prostego podpisu cyfrowego (w typie pieczęci elektronicznej) częściowo rozwiązałoby ten problem. W takim przypadku każdy dokument o poprawnym podpisie powinien być uznany za poprawnie poświadczający prawo do ubezpieczenia. Dokument powinien także zawierać unikalny identyfikator transakcji, a NFZ powinien przechowywać ich historię.
- Należy również liczyć się z tym, że część świadczeniodawców - zwłaszcza mniejszych - będzie chciała te potwierdzenia drukować np. w celu archiwizacji. Ustawodawca powinien również w sposób jawny określić czy taka postać jest równoważna. W takim przypadku dokument powinien zawierać informacje możliwe do digitalizacji po wydrukowaniu,w postaci np. jako QR-Code. Tak czy inaczej wskazane jest preferowanie postaci elektronicznej, lub wręcz uznanie jej za jedyną obowiązującą.
- Z myślą o świadczeniobiorcach masowych (szpitale, sieci medyczne) można rozważyć generowanie masowych, autentycznych potwierdzeń z transakcji z ubiegłego tygodnia, miesiąca itd. Zapobiegnie to opóźnieniom związanym z koniecznością każdorazowego pobierania i zapisywania potwierdzenia pojedynczej transakcji.
- Równocześnie należy położyć nacisk na szybkość i łatwość procesu weryfikacji tak, by nie stał się on wąskim gardłem generującym opóźnienia w procesie rejestracji pacjentów w przychodniach. Wskazane jest przeprowadzenie możliwie jak najwcześniejszych testów używalności prototypowego interfejsu w celu wychwycenia tego typu problemów. </ol>
- W pełni uzasadnione jest przeniesienie na administrację publiczną odpowiedzialności za poprawność informacji o ubezpieczeniu (str. 11 uzasadnienia). Był to dotychczas najsłabszy punkt ustawy refundacyjnej i jedna z głównych przyczyn protestu pieczątkowego. Sytuacja, w której lekarz lub apteka może być karany za nieprawdziwość danych, których weryfikacja jest dla niego niemożliwa podważała zaufanie do państwa.
- W pełni uzasadniona jest możliwość sprawdzenia swojego własnego statusu ubezpieczenia przez każdego obywatela (art. 192). Wobec powszechnych, jak wynika z informacji udzielanych przez NFZ, problemów z rejestrowaniem i wyrejestrowaniem pracowników możliwość ta przyczyni się do zwiększenia obywatelskiej kontroli nad przestrzeganiem prawa pracy.
- Koszty zmian w systemach teleinformatycznych oraz koszty utrzymania systemu wydają się być drastycznie zawyżone (str. 18 uzasadnienia i osr). Szacowane 64 etaty potrzebne do utrzymania samego tylko interfejsu internetowego (kosztem 22 mln zł rocznie) nie wydają się być uzasadnione żadnymi współczesnymi standardami zarządzania usługami teleinformatycznymi. Inna możliwość jest taka, że funkcjonujące obecnie w wymienionych instytucjach procesy są tak nieefektywne, że faktycznie uruchomienie takiego intefesju wymaga stworzenia dodatkowych pół setki etatów. W takim przypadku należy je usprawnić.
- Niemożność powiązania w CWU danych rodziców z danymi dzieci i automatyczne potwierdzenie prawa do ubezpieczenia (str. 12 uzasadnienia) wydaje się być wyłącznie problemem technicznym i organizacyjnym administracji publicznej. Ponieważ administracja publicza niewątpliwie dysponuje informacją kto jest rodzicem dziecka, więc zastosowanie w tym przypadku ma art. 220 kpa, który mówi, że organy administracji nie mogą żądać od obywatela informacji, którymi już dysponują. Automatyczne rozwiązywanie tych relacji powinno zostać przynajmniej wpisane do planu zadań odpowiedzialnego za to resortu na najbliższe lata. </ol>