Bezpieczeństwo systemu weryfikacji autentyczności leków

PLMVS od 7 września 2018 roku jest zintegrowany produkcyjnie z centralnym routerem informacji i danych (EMVS) co oznacza, że podmioty odpowiedzialne mogą od tego dnia zasilać system krajowy w informacje o niepowtarzalnych identyfikatorach opakowań leków objętych Rozporządzeniem Delegowanym Komisji (UE) 2016/161. Gotowe do komunikacji z Użytkownikami Końcowymi, tj. w szczególności aptekami, hurtowniami i szpitalami są również interfejsy dostępowe do PLMVS. Oznacza to, że Użytkownicy Końcowi mogą dokonywać weryfikacji autentyczności i wycofania niepowtarzalnych identyfikatorów z PLMVS.

Europejski System Weryfikacji Autentyczności Leków (PLMVS) zbudowany został w oparciu o specyfikację techniczną (URS) opracowaną dla wszystkich 30 krajów uczestniczących w projekcie przez Europejską Organizację Weryfikacji Autentyczności Leków (EMVO) z siedzibą w Brukseli. System wykonało dwóch dostawców IT rekomendowanych przez EMVO w ramach tzw. rozwiązania blueprint. Polski system w zakresie zabezpieczeń informatycznych nie różni się od francuskiego, brytyjskiego, czy niemieckiego. Jednolita jest również koncepcja informatyczna dostępu do systemu (certyfikat dostępu przyznawany na lokalizację).

System weryfikacji leków ma na celu:
• zwiększenie bezpieczeństwa pacjenta
• oszczędności związane z optymalizacją modelu obiegu leków
• zwiększenie transparentności gospodarki lekowej

Podmioty odpowiedzialne i importerzy równolegli zasilają system danymi określonymi przez art. 33 Rozporządzenia Delegowanego Komisji (UE) 2016/161, tj. w szczególności danymi o unikalnych identyfikatorach poszczególnych opakowań jednostkowych leków wprowadzanych na rynek europejski. Każdy z uczestników systemu posiada zdefiniowane URS uprawnienia w ramach swojej kategorii dostępu, a aktywność w systemie jest monitorowana.

Istotne z perspektywy Polski, z uwagi na duży wolumen Użytkowników Końcowych (ponad 16 tys.), było bezpieczne dostarczenie do uprawnionych użytkowników końcowych danych umożliwiających pobranie certyfikatów oraz późniejsze uwierzytelnienie w systemie. Ze względu na konieczność rozdzielenia informacji przekazywanych Użytkownikom Końcowym był to proces wieloetapowy, w którym oprócz samej dystrybucji należało przeprowadzić weryfikację i normalizację posiadanych przez Fundację KOWAL informacji.

Użytkownicy Końcowi dokonują wycofania (dezaktywacji) unikalnego identyfikatora przed wydaniem leku pacjentowi, a w przypadkach określonych w Rozporządzeniu Delegowanym, także weryfikacji opakowań będących w drodze do pacjenta, w ramach łańcucha dystrybucji leków. W ten sposób do pacjenta ma trafić lek, który został wprowadzony do systemu i zwolniony do obrotu przez uprawniony do tego podmiot, a nie lek wytworzony poza legalnym łańcuchem wytwarzania, tj. sfałszowany.

System rejestruje operacje jego użytkowników wymagane Rozporządzeniem Delegowanym, ale informacje te są szyfrowane, a żaden z użytkowników nie może dokonywać w systemie operacji typu data mining. Podmioty odpowiedzialne nie wiedzą, kto dokonuje operacji na ich opakowaniach, podobnie nie wie tego importer równoległy. Każdy z użytkowników uzyskuje dostęp do operacji wygenerowanych w systemie przez siebie, ale nie kogoś innego. Wyjątkiem są postępowania wyjaśniające dotyczące alertów, ale i one pozwalają na dostęp do danych w bardzo ograniczonym zakresie i tylko w odniesieniu do danych zarejestrowanych w kontekście konkretnego alertu systemu. Zakres dostępu do danych gromadzonych w systemie definiują art. 36-39 Rozporządzenia Delegowanego. Regułą jest ograniczenie dostępu do danych niezbędnych dla realizacji zadań określonych dla poszczególnych użytkowników przez Rozporządzenie delegowane. Oczywiście system nie przechowuje żadnych danych wrażliwych, w szczególności zaś informacji o pacjencie, któremu wydany został lek. System nie może być traktowany jako track-and-trace, ponieważ zasadą jest brak możliwości prześledzenia pełnego łańcucha dostawy w każdym indywidualnym przypadku.

Działanie systemu dla indywidualnego pacjenta kończy się w momencie otrzymania przez niego leku. Wydane przez farmaceutę opakowanie jest sprawdzone pod kątem autentyczności a jego dane zaktualizowane do statusu uniemożliwiającego ponowne wprowadzenie do obrotu. Na tym kończy się działanie PLMVS dla tego pojedynczego opakowania leku. System PLMVS w żaden sposób nie sprawdza ani nie zapisuje kto jest odbiorcą leku ani czyje dane zostały podane na recepcie. Europejski System Weryfikacji Autentyczności Leków nie rejestruje żadnych danych wrażliwych w rozumieniu RODO.

Dostęp do systemu PLMVS zabezpieczony jest na wiele sposobów:

1. Użytkownikiem polskiego systemu może być jedynie podmiot zweryfikowany przez organ nadzorujący rynek farmaceutyczny;
2. Fundacja KOWAL inicjuje komunikację do nowo tworzonych aptek, szpitali i hurtowni, przekazując dane logowania;
3. Każdy dostęp do systemu wymaga użycia odpowiedniego certyfikatu skojarzonego z danymi użytkownika;
4. Aplikacje użytkowników końcowych, łączące się do PLMVS, podlegają procesowi weryfikacji, mającemu na celu sprawdzenie jakości i adekwatności komunikacji. Aplikacje, w których wykryto problemy nie są dopuszczane do użytkowania;
5. Dane o produktach leczniczych mogą być importowane do systemu jedynie z centralnego Hubu informacji i danych w Brukseli, przez uprawnionych i weryfikowanych przez EMVO użytkowników, tj. podmioty odpowiedzialne i importerów równoległych, również za pośrednictwem zabezpieczonej komunikacji;
6. Jedyne operacje, które wykonuje użytkownik końcowy to sprawdzenie lub ustawienie nowego statusu na rekordzie danych dotyczących pojedynczego opakowania leku, nie może on edytować danych zasilanych przez centralny hub informacji i danych lub dodawać nowych unikalnych identyfikatorów;
7. Wszystkie dane w systemie PLMVS są szyfrowane, niemożliwe jest wykonywanie tzw. data miningu czyli przeglądania całego systemu lub pobierania i zapisywania danych zawartych w systemie;
8. Fundacja KOWAL zabezpieczyła się operacyjnie i proceduralnie na ewentualne przypadki wyłudzenia haseł i loginów przez osoby trzecie;
9. Operacyjne administrowanie systemem jest nadzorowane przez organ kompetentny;
10. System PLMVS jest częścią systemu naczyń połączonych – wielu systemów krajowych pracujących w identyczny sposób lub wręcz identycznie zbudowanych, co wyklucza problemy natury architektonicznej w postaci np. błędów interfejsu wymiany danych;
11. Systemy krajowe, w tym PLMVS podlegają audytom organu nadzorującego, EMVO oraz wewnętrznym;
12. System generuje alerty powiadamiając stosownych interesariuszy o każdej próbie wykonania podejrzanego działania.

Wszystko to sprawia, że wyprodukowanie fałszywego opakowania leku, którego unikalny identyfikator sprostałby próbie weryfikacji w Europejskim Systemie Weryfikacji Autentyczności Leków jest wysoce mało prawdopodobne. Unikalny identyfikator leku składa się z kilku informacji, które po połączeniu w całość stanowią podstawę do stwierdzenia jego autentyczności. Wyprodukowanie i wprowadzenie do obrotu fałszywych leków w oparciu o dane z opakowań już zużytych (wydanych pacjentowi) również zostanie wykryte, gdyż dany kod opakowania został już zdezaktywowany przez użytkownika końcowego.

Autorzy:
– dr Michał Kaczmarski, Prezes Krajowej Organizacji Weryfikacji Autentyczności Leków
– Maciej Steć, Kierownik Projektu Altkom Software & Consulting sp. z o. o.