Firmy przetwarzające dane medyczne nie ominą państwowej certyfikacji

Certyfikacja będzie realizowana w ramach krajowego systemu certyfikacji cyberbezpieczeństwa, na zasadach określonych w ustawie o KSC, bez wyjątków związanych z liczbą podmiotów czy osób, których dotyczy przetwarzanie wrażliwych danych medycznych. To jedna z istotniejszych zmian zapowiedziana przez resort cyfryzacji w konkretnych założeniach "cyber piątki". Pacjenci mają być także skuteczniej informowani o tym, kto ma dostęp do ich danych, a także o zdarzeniach medycznych, by szybciej wykryć ewentualne nieprawidłowości.

Rozwiązania legislacyjne, potocznie nazwane „cyber piatką”, resort cyfryzacji zapowiedział wstępnie pod koniec sierpnia br. Była to bezpośrednia reakcja na poważne przypadki cyberataków na firmy przetwarzające dane medyczne (wówczas zwłaszcza MyDr – w incydencie doszło do masowego naruszenia i wycieku danych medycznych; później pojawiły się kolejne). Jednym z zarzutów pojawiających się w przestrzeni publicznej był brak odpowiednich procedur i odpowiedzialności narzuconej w ramach przepisów, zwłaszcza w przypadku sektora prywatnego, który dostarcza oprogramowania do placówek medycznych. - Firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność, niezależnie od ich roli. Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie. Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie – mówił wówczas Dariusz Standerski, wiceminister cyfryzacji.

Certyfikacja jak dla podmiotów KSC

Ostatecznie w wykazie prac legislacyjnych rządu opublikowano wstępne założenia projektu ustawy o zmianie niektórych ustaw w celu wzmocnienia ochrony danych i cyberbezpieczeństwa. Nie dotyczy on jedynie sektora medycznego – generalnym celem projektu jest zwiększenie odporności systemu ochrony danych osobowych na zagrożenia związane z powierzaniem przetwarzania danych podmiotom zewnętrznym, zwłaszcza gdy jeden usługodawca obsługuje wielu administratorów. Dane związane ze zdrowiem są jednak jego istotną częścią, bo, jak wprost wskazano w uzasadnieniu podjęcia prac, impulsem do przygotowania projektu było naruszenie bezpieczeństwa systemów podmiotu przetwarzającego, które dotyczyło danych osobowych 19 mln osób, w tym informacji o zdrowiu (wspomniany wcześniej incydent MyDr).

Ministerstwo Cyfryzacji zaznacza, że jest świadome faktu, iż RODO nakłada już na administratorów konkretne obowiązki związane z bezpieczeństwem, jednak, jak wskazano, samo istnienie tych obowiązków nie zapewnia jednak administratorom jednolitego, odpowiednio szczegółowego i aktualnego zakresu informacji o sposobie ich wykonywania przez podmioty przetwarzające dane na dużą skalę. Projekt ma uzupełnić obowiązujące regulacje o określone obowiązki informacyjne wobec administratorów, obejmujące w szczególności: stosowane zabezpieczenia, ewentualne korzystanie z dalszych podmiotów przetwarzających, miejsce przetwarzania danych, informacje o audytach i wynikach przeprowadzonych czynności weryfikacyjnych, a także o zmianach mogących wpływać na poziom bezpieczeństwa danych. Rozwiązanie, jak wskazano, nie ustanawia nowego obowiązku przeprowadzania testów w określonych odstępach czasu, lecz służy zapewnieniu administratorom informacji potrzebnych do rzeczywistej oceny bezpieczeństwa powierzonego przetwarzania.

Konkretne propozycje dotyczą samego sektora ochrony zdrowia, w którym zachodzi specyficzna relacja związana z tym, że dane z dokumentacji medycznej przekazywane są zewnętrznym podmiotom, które zajmują się ich przetwarzaniem. To częste sytuacje, bo placówki medyczne posługują się zazwyczaj dostarczonym przez firmę oprogramowaniem (np. w ramach chmury), która pozwala np. na porządkowanie czy tworzenie elektronicznej dokumentacji medycznej. Co za tym idzie, dostęp do danych medycznych ma już nie tylko konkretna przychodnia czy szpital, ale też zewnętrzny podmiot. - Ze względu na charakter tych informacji oraz możliwe następstwa ich nieuprawnionego ujawnienia, istotne jest zapewnienie odpowiednich gwarancji bezpieczeństwa również po stronie podmiotów, którym powierzono ich przetwarzanie. Ryzyko to występuje niezależnie od liczby administratorów obsługiwanych przez danego usługodawcę oraz liczby osób, których dane przetwarza – zaznacza resort.

Dlatego resort proponuje procedurę certyfikacji procesów zarządzania cyberbezpieczeństwem związanym z powierzonym przetwarzaniem dokumentacji medycznej. Rozwiązanie ma umożliwiać potwierdzenie spełniania określonych wymagań bezpieczeństwa w ramach krajowego systemu certyfikacji cyberbezpieczeństwa, ale, jak podkreślono, nie zakłada przy tym certyfikacji całego przedsiębiorstwa ani tworzenia odrębnego systemu dla sektora ochrony zdrowia. Certyfikacja będzie realizowana w ramach krajowego systemu certyfikacji cyberbezpieczeństwa, na zasadach określonych w ustawie o KSC. Resort doszedł do wniosku, że ryzyko w zakresie danych zdrowotnych występuje niezależnie od liczby administratorów obsługiwanych przez danego usługodawcę oraz liczby osób, których dane przetwarza, dlatego będzie wymagać dopełnienia procedury od wszystkich.

Pacjent ma szybko wiedzieć, że dostał receptę

Ponadto ma zostać wprowadzone rozwiązanie umożliwiające jasne przekazywanie pacjentom informacji, jaki podmiot przetwarza ich dane medyczne. Sprawniejsze ma być też powiadamianie pacjentów o zdarzeniach medycznych, a pomóc w ujawnianiu ewentualnych naruszeń mają być również powiadomienia o zdarzeniach medycznych w odniesieniu do konkretnego pacjenta (np. wystawienie recepty).

 - W szczególności w przypadku nieuprawnionego wykorzystania danych pacjenta czas uzyskania informacji może mieć znaczenie dla wykrycia nieprawidłowości i podjęcia odpowiednich działań. Projektowana regulacja ma w tym zakresie wykorzystywać istniejące narzędzia cyfrowe, przy zachowaniu rozdzielenia samego powiadomienia od dostępu do szczegółowych informacji dotyczących zdrowia – wyjaśnia resort.

Powiadomienia mają być wysyłane z wykorzystaniem aplikacji mojeIKP oraz mObywatela. Ich sprawdzenie będzie wymagało uwierzytelnienia w odpowiedniej usłudze. 

Regulacje bez dublowania 

Eksperci oceniający zapowiedzi nowych przepisów wskazywali na łamach Prawo.pl, że istnieje ryzyko powielenia regulacji, które jeszcze czekają na wdrożenie, zwłaszcza w zakresie unijnych regulacji. Jak podkreślał dr Paweł Kaźmierczyk, radca prawny, senior associate w departamencie korporacyjnym kancelarii Rymarz Zdort Maruta oraz członek praktyki Life Sciences, możemy mieć do czynienia z sytuacją, w której nie zdążyliśmy wdrożyć jeszcze „starych” przepisów, a już projektowane są zupełnie nowe, które mogą z kolei okazać się nadmiarowe. - Zwiększa się liczba regulacji, co jednak wcale nie przekłada się na szybki wzrost cyberbezpieczeństwa w ochronie zdrowia. Za nowymi obowiązkami nie idą bowiem odpowiednie pieniądze. Wystarczy przejrzeć wyniki prowadzonych corocznie przez Centrum e-Zdrowia badań stopnia informatyzacji podmiotów wykonujących działalność leczniczą. Przez ostatnie lata główną barierą w obszarze cyfryzacji był brak wystarczających środków finansowych na inwestycje w zakresie IT – przypominał.

Ministerstwo w uzasadnieniu zapewnia, że wzięło pod uwagę możliwość powielenia przepisów m.in. w zakresie rozporządzenia w sprawie europejskiej przestrzeni danych dotyczących zdrowia - European Health Data Space (EHDS). Uznano jednak, że cele i zakres obowiązków nie będzie się dublował. - Weryfikacja nie wykazała, aby projektowane mechanizmy dotyczące bezpieczeństwa powierzonego przetwarzania danych, informowania pacjentów oraz zapewnienia realizacji istniejących obowiązków krajowych pozostawały w sprzeczności z analizowanymi przepisami EHDS. Ocena ta odnosi się do obecnie określonych wymagań tego rozporządzenia, z uwzględnieniem konieczności dalszej weryfikacji w świetle szczegółowych aktów wykonawczych, które mają zostać przyjęte na jego podstawie – wyjaśniono.

Czytaj także: Dziesiątki nowych regulacji nie rozwiążą problemów z cyberbezpieczeństwem w zdrowiu