Jedna firma i dane milionów pacjentów. Potrzebne dodatkowe wymogi bezpieczeństwa?
Wyciek danych z platformy MyDr wywołał dyskusję nie tylko o cyberbezpieczeństwie w ochronie zdrowia, ale również o sam model nadzoru nad firmami gromadzącymi ogromne zbiory wrażliwych danych medycznych. Eksperci wskazują, że wdrażana ustawa o krajowym systemie cyberbezpieczeństwa może okazać się niewystarczająca. Coraz częściej pojawiają się postulaty, by przedsiębiorstwa obsługujące znaczną część rynku ochrony zdrowia podlegały dodatkowym obowiązkom, częstszym audytom i szczególnemu nadzorowi państwa. Czy niektórych zadań w tym obszarze nie powinno przejąć państwo?
W sierpniu 2026 r. ujawniono jeden z największych incydentów cyberbezpieczeństwa w polskiej ochronie zdrowia. Firma MyDr dostarczająca oprogramowanie do prowadzenia elektronicznej dokumentacji medycznej dla placówek ochrony zdrowia poinformowała o nieuprawnionym dostępie do historycznych danych przechowywanych w jej systemach. Według informacji Ministerstwa Cyfryzacji skala incydentu może dotyczyć nawet 19 mln osób oraz ponad 12 tys. placówek medycznych korzystających z systemów MyDr. Baza danych ma mieć objętość przekraczającą 2 TB.
Z dostępnych informacji wynika, że nieuprawniony dostęp dotyczył przede wszystkim danych historycznych zgromadzonych do kwietnia 2024 r. Wśród potencjalnie zagrożonych informacji mogą znajdować się m.in. dane identyfikacyjne pacjentów, numery PESEL, dane kontaktowe oraz informacje związane z udzielanymi świadczeniami zdrowotnymi.
Chcę podkreślić, że to jednak nie oznacza, że dane 18 milionów osób zostały skradzione, odczytane lub upublicznione. Nasze zespoły oraz zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione – poinformował w poniedziałek, 24 sierpnia szef firmy Piotr Mikulski.
Kontrolę w spółce wszczął prezes Urzędu Ochrony Danych Osobowych. Ma ona objąć m.in. ocenę zastosowanych zabezpieczeń technicznych i organizacyjnych oraz analizę ryzyka. Do UODO wpłynęły już setki zgłoszeń dotyczących naruszenia ochrony danych od placówek medycznych korzystających z oprogramowania firmy. Postępowanie wciąż prowadzi Centralne Biuro Zwalczania Cyberprzestępczości.
Przeczytaj także: Cyberbezpieczeństwo: Incydent w MyDr wywołuje obowiązki przewidziane w RODO
Kto kontroluje koncentrację danych wrażliwych?
Eksperci zwracają uwagę, że wyciek danych medycznych powinien skłonić do szerszej dyskusji nie tylko o cyberbezpieczeństwie, ale również o koncentracji rynku podmiotów przetwarzających szczególnie wrażliwe informacje. Zdaniem dr. Bartosza Baci, radcy prawnego specjalizującego się m.in. w cyberbezpieczeństwie i compliance sektora finansowego, nie jest obojętne, czy firma obsługuje kilka placówek medycznych, czy też jej systemy wykorzystywane są przez znaczną część przychodni w kraju.
Państwo powinno się zastanowić, czy powinniśmy dopuszczać do sytuacji, w której w sektorze usług zdrowotnych w systemach jednego dostawcy przetwarzane są dane nawet 50 proc. Polaków. Obowiązujące przepisy pozwalają uwzględniać znaczenie krajowe usługi i ryzyko systemowe, ale nie przewidują szczególnego progu opartego na liczbie pacjentów, których dane są przetwarzane przez jednego dostawcę. Powstaje pytanie, czy ryzyko wynikające z takiej skali koncentracji zostało dostatecznie uwzględnione – wskazuje dr Bartosz Bacia.
Jego zdaniem warto postawić pytanie, jakie dodatkowe wymagania powinny spełniać firmy obsługujące znaczną część placówek medycznych, w których systemach przetwarzane są dane milionów pacjentów. Gdy awaria lub wyciek danych w jednym przedsiębiorstwie mogą dotknąć znaczącej części pacjentów, zagrożenie przestaje mieć charakter wyłącznie biznesowy.
Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Wprowadziła ona podział podmiotów na kluczowe i ważne oraz nałożyła na nie liczne obowiązki związane z cyberbezpieczeństwem. Podmioty objęte nowymi przepisami znajdują się obecnie w okresie dostosowawczym. Ustawa przewiduje już regularne audyty podmiotów kluczowych oraz możliwość nakazania dodatkowego audytu. Pytanie jednak, czy w przypadku firm przetwarzających dane medyczne na tak dużą skalę to wystarczy. Być może potrzebne są dodatkowe zabezpieczenia, krótsze cykle audytowe i bardziej szczegółowe raportowanie niż ogólne wymagania przewidziane dla podmiotów kluczowych – wskazuje dr Bartosz Bacia.
Zaznacza jednocześnie, że trudno przesądzać, czy wdrożenie nowych regulacji zapobiegłoby konkretnemu incydentowi. Wiele zależy od okoliczności zdarzenia, a wycieki danych często wynikają nie tylko z ataków hakerskich, ale również z błędów organizacyjnych, zaniedbań czy działań samych pracowników.
Szczególnie niebezpieczny jest scenariusz, w którym osoba odchodząca z organizacji zachowuje uprzywilejowane uprawnienia albo dostęp do kont administracyjnych i wykorzystuje je przeciwko organizacji. Takie rzeczy się zdarzają. Czynnik ludzki jest jednym z najtrudniejszych obszarów zarządzania ryzykiem – mówi dr Bacia.
Zwraca przy tym uwagę, że obecnie trudno jeszcze wyciągać wnioski dotyczące skuteczności zmodernizowanego systemu, który jest dopiero wdrażany operacyjnie. Podmioty objęte regulacjami są obecnie na etapie identyfikacji swoich obowiązków i przygotowywania projektów wdrożeniowych.
Wiele podmiotów nadal nie docenia skali tego procesu i traktuje go jak zadanie wyłącznie informatyczne. Tymczasem jest to projekt organizacyjny, prawny i technologiczny, za który ustawa przypisuje odpowiedzialność kierownictwu. Sam dział informatyczny nie będzie w stanie przeprowadzić całego wdrożenia – ocenia Bartosz Bacia.
Skoro państwo wymaga cyfryzacji, powinno zapewnić bezpieczną infrastrukturę
Eksperci stawiają też inne pytania. Skoro państwo nakłada obowiązki cyfryzacyjne, czy nie powinno równocześnie zapewniać odpowiednich rozwiązań systemowych, a więc bezpiecznej infrastruktury cyfrowej? Tak uważa dr hab. Marlena Sakowska-Baryła, prof. Uniwersytetu Łódzkiego, specjalizująca się w prawie informacyjnym. Jej zdaniem, jeśli państwo coraz częściej wymaga od obywateli i instytucji korzystania z określonych narzędzi cyfrowych, nie powinno pozostawiać całej odpowiedzialności za ich funkcjonowanie prywatnym podmiotom. Szczególnie widoczne jest to w ochronie zdrowia. Jak podkreśla ekspertka, skoro od lat obowiązkowe jest prowadzenie dokumentacji medycznej w postaci elektronicznej, państwo powinno nie tylko nakładać taki obowiązek, lecz także zapewnić odpowiednią infrastrukturę albo przynajmniej stworzyć skuteczny system nadzoru nad wykorzystywanymi rozwiązaniami.
Jestem przekonana, że jeśli państwo nakazuje wykonywanie określonych czynności w środowisku cyfrowym, powinno równocześnie dostarczyć narzędzia umożliwiające ich realizację. Nie oznacza to, że muszą być one całkowicie bezpłatne. Dziś jednak wiele podmiotów korzysta z usług prywatnych dostawców, nie mając pełnej wiedzy o tym, co dzieje się z powierzanymi im danymi, a państwo nie zawsze jest w stanie skutecznie sprawować nadzór nad tak rozproszonym systemem – wskazuje prof. Marlena Sakowska- Baryła.
Zwraca uwagę, że podobne problemy mogą dotknąć sektor oświaty, gdzie dziś rynek dzienników elektronicznych jest zdominowany zasadniczo przez dwa podmioty, a do ich systemów trafiają ogromne ilości danych nie tylko o uczniach, ale również o rodzicach. Co więcej, korzystanie z tych platform jest w praktyce obowiązkowe, bo komunikacja między szkołą a rodzicami odbywa się właśnie za ich pośrednictwem.
Niektóre systemy umożliwiają pedagogom i psychologom tworzenie profili uczniów, obejmujących ich zdolności, trudności czy potencjalne ścieżki rozwoju. Jeśli odbywa się to bez wyraźnej podstawy prawnej, przy wykorzystaniu narzędzi dostarczanych przez prywatne firmy, pojawiają się poważne pytania o zgodność takich praktyk z zasadami ochrony danych – zwraca uwagę prof. Marlena Sakowska - Baryła.
Przykład Krajowego Systemu e-Faktur pokazuje, że możliwe jest stworzenie jednego państwowego systemu. Choć wdrożenie KSeF wymagało od wielu podmiotów dostosowania dotychczas używanego oprogramowania, pokazało, że państwo potrafi budować i utrzymywać ogólnokrajowe rozwiązania cyfrowe.
Jeśli jednak państwo decyduje się pozostawić te zadania prywatnym podmiotom, powinno przynajmniej zapewnić skuteczną kontrolę nad sposobem przetwarzania danych – podkreśla ekspertka.
Czy państwo nie powinno być bankiem danych obywateli?
Dariusz Standerski wiceminister cyfryzacji w rozmowie z Rynkiem Zdrowia powiedział, że dane zdrowotne powinny znajdować się na serwerach publicznych. Dane te będzie mogło przejąć budowane właśnie Krajowe Centrum Przetwarzania Danych.
Dr hab. Agnieszka Piskorz-Ryń, prof. UKSW w Warszawie, ekspertka w zakresie danych osobowych i otwartych danych, uważa, że propozycja przejęcia przez państwo odpowiedzialności za dane medyczne i umieszczenia ich na publicznych serwerach wymaga ostrożnego podejścia. Samo przekazanie tak wrażliwych danych państwu rodzi fundamentalne pytania: kto miałby mieć do nich dostęp, w jakim celu byłyby przetwarzane i jakie gwarancje ochrony otrzymaliby obywatele. Warto pamiętać, że wiele osób nie zdaje sobie sprawy, jak szerokim zakresem informacji o obywatelach państwo już dziś dysponuje.
Nie zawsze najprostsze rozwiązania okazują się najlepsze. Problem bezpieczeństwa danych zdrowotnych należy analizować systemowo, ponieważ usunięcie jednej luki nie oznacza automatycznie, że cały system stanie się bezpieczny – mówi prof. Agnieszka Piskorz-Ryń.
Zwraca uwagę, że z perspektywy ochrony danych osobowych kluczowa jest zasada minimalizacji danych. Państwo powinno gromadzić wyłącznie te informacje, które są niezbędne do realizacji jasno określonego celu przetwarzania. Nie można zakładać, że administracja publiczna powinna stać się swoistym „bankiem danych”, w którym przechowywane będą wszystkie informacje o obywatelach. Najpierw trzeba odpowiedzieć na pytanie, jaki jest rzeczywisty cel przetwarzania tych danych i czy można go osiągnąć w inny sposób.
Jeżeli rolą państwa miałoby być przede wszystkim zapewnienie bezpieczeństwa danych pacjentów, to niekoniecznie oznacza to potrzebę ich centralnego gromadzenia. Zadaniem państwa powinno być przede wszystkim tworzenie i egzekwowanie reguł przetwarzania danych osobowych oraz budowanie skutecznych mechanizmów ich ochrony. Warto więc zastanowić się nie tylko nad samym przechowywaniem danych, ale także nad tym, czy nie należałoby zmienić zasad funkcjonowania całego systemu. Co więcej, jeśli państwo ma być gwarantem bezpieczeństwa danych medycznych, to paradoksalnie powinno ograniczyć własny dostęp do nich do absolutnego minimum, ponieważ są to informacje szczególnie wrażliwe, wymagające najwyższego poziomu ochrony – wskazuje prof. Agnieszka Piskorz-Ryń.
Zwolennikiem całkowitego przejmowania tych zadań przez państwo nie jest też dr Bartosz Bacia.
Wolałbym, aby funkcjonowało kilku silnych, prywatnych dostawców, ale podlegających realnemu i regularnemu nadzorowi. Obowiązujące przepisy RODO i ustawy o krajowym systemie cyberbezpieczeństwa tworzą już podstawowe ramy takiego nadzoru, ale nie wiążą dodatkowych wymagań wprost z liczbą pacjentów ani udziałem dostawcy w rynku. W przypadku danych medycznych wymogi powinny być jeszcze wyższe: krótsze cykle audytowe, bardziej szczegółowe raportowanie oraz bieżące monitorowanie poziomu bezpieczeństwa i ciągłości działania. Mówimy przecież o jednej z najbardziej wrażliwych kategorii danych obywateli - podsumowuje ekspert.
