Emocje związane z wyciekiem danych w firmie MyDr wciąż są silne, a dyskusja rozgorzała na nowo po tym, jak placówki zaczęły powiadamiać pacjentów o incydencie za pomocą maili bądź SMS-ów.
Postępowania trwają
Informacje o potencjalnym naruszeniu rozsyłają aktualnie zwłaszcza przychodnie czy poradnie specjalistyczne. Mają one na celu powiadomienie o tym, co się wydarzyło i co ma zrobić pacjent, którego dane zostały objęte wyciekiem. Wszystko odbywa się jednak wciąż na dużym poziomie niepewności – trwają postępowania prowadzone przez odpowiednie służby, a sama firma w komunikatach posługuje się raczej lakonicznymi sformułowaniami, unikając konkretnych deklaracji. Wciąż zastrzega przy tym, że dane konkretnych osób objętych wyciekiem nie zostały upublicznione, nie ma też pewności, czy zostały wykorzystane. Stawka jest wysoka – w odpowiedzi na poselską interpelację Paweł Olszewski, wiceminister cyfryzacji, podaje, że według aktualnych danych zdarzenie dotyczy ok. 18,8 mln osób oraz ponad 12 tys. placówek medycznych korzystających z oprogramowania MyDr EDM.
Wstępne analizy wskazują na przejęcie bazy danych zawierającej zarówno dane osobowe, jak i w niektórych przypadkach informacje dotyczące procesu leczenia. Zakres przejętych informacji nie jest jednolity i różni się w zależności od osoby (…). Firma będąca właścicielem systemu MyDr EDM potwierdziła wystąpienie kradzieży danych. CSIRT NASK koordynuje obsługę incydentu, czynności w tej sprawie realizuje Centralne Biuro Zwalczania Cyberprzestępczości oraz Prokuratura Okręgowa w Warszawie. Dotychczasowe ustalenia wskazują na pozyskanie przez sprawców bazy o wielkości przekraczającej 2 TB – wyjaśnia wiceminister Olszewski.
- Podkreślamy, że choć dane zostały pozyskane przez hakera, na obecnym etapie nie mamy dowodów na to, że zostały opublikowane lub publicznie udostępnione. Taką informację przekazuje również CERT NASK w komunikacie na portalu Bezpieczne Dane. Choć cyberatak dotknął system MyDr, to placówki pozostają w bezpośrednim kontakcie z pacjentami i przekazują im informacje o zdarzeniu – wskazano w najnowszym komunikacie firmy MyDr.
Wiceminister Olszewski zaznacza z kolei, że według Centrum e-Zdrowia (CeZ) nie stwierdzono naruszenia ani nieuprawnionego użycia certyfikatów komunikacji z systemem P1 (centralnym państwowym systemem informatycznym, który łączy cyfrowe usługi medyczne). Jednak, zapobiegawczo, CeZ i firma MyDr realizują teraz proces stopniowej wymiany tych certyfikatów.
Złość pacjentów, problem placówek
Treścią otrzymanych z placówek maili i SMS-ów podzielili się również Czytelnicy Prawo.pl, którzy zwrócili się do redakcji. Powtarzają się komentarze o niewielkiej przydatności komunikatów i braku konkretów, jak postępować i co konkretnie było przedmiotem wycieku.
- Dostałam krótką wiadomość, że w związku z cyberatakiem na system firmy MyDr mogło dojść do naruszenia ochrony moich danych osobowych, a pełna informacja na temat zdarzenia jest dostępna w siedzibie placówki. Rozumiem, że przekazanie konkretów w czasie rozmowy telefonicznej jest ryzykowne, bo mówimy o wrażliwych danych, ale akurat w moim przypadku chodzi o placówkę Podstawowej Opieki Zdrowotnej, z której wypisałam się kilka lat temu, bo zmieniłam miejsce zamieszkania. Czy naprawdę mam teraz brać urlop i jechać kilkaset kilometrów, żeby dowiedzieć się czegokolwiek? – pisze nasza Czytelniczka.
Winy na razie nie da się przypisać
Incydentowi wciąż towarzyszy też spory chaos i niepewność. Dopiero kilka dni temu Naczelna Izba Lekarska opublikowała oficjalną odpowiedź Urzędu Ochrony Danych Osobowych w sprawie tego, co jest obowiązkiem placówek w zakresie wycieku. UODO stanął na stanowisku, że są one objęte obowiązkami wynikającymi z RODO (choć formalnie podmiotem przetwarzającym jest MyDr, to placówka, jak wyjaśnia prezes UODO, jest administratorem danych, co rodzi konkretne konsekwencje). To z kolei powoduje, że pacjenci często odnoszą wrażenie, że to konkretna przychodnia jest odpowiedzialna za naruszenie. A póki co, odpowiedzialności formalnie nie można przypisywać nikomu. Jak podkreśla Gabriela Nowińska, Inspektor Ochrony Danych Osobowych, prawniczka w Kancelarii Radcy Prawnego dr Anna Banaszewska, prokuratura potwierdziła bezprawne uzyskanie dostępu do systemu administrowanego przez MyDr, ale ustalenie, czy spółka naruszyła swoje obowiązki w zakresie bezpieczeństwa, wymaga odrębnej oceny.
- Sam skuteczny atak osoby trzeciej nie jest automatycznie dowodem, że środki bezpieczeństwa administratora lub procesora były nieodpowiednie. Zgodnie z art. 32 RODO zarówno procesor, czyli w tym przypadku MyDr, jak i administrator, czyli konkretna przychodnia miały obowiązek stosowania odpowiednich środków bezpieczeństwa. Na przychodniach ciążą jednak dodatkowe obowiązki wynikające z art. 28 ust. 1 RODO, który wymaga, by administrator korzystał wyłącznie z procesorów dających wystarczające gwarancje odpowiedniego zabezpieczenia danych. Europejska Rada Ochrony Danych (EROD) podkreśla, że nie jest to wyłącznie jednorazowa kontrola przy podpisaniu umowy, gwarancje procesora powinny być odpowiednio weryfikowane również później – wyjaśnia ekspertka.
Lakoniczny SMS może nie wystarczyć
Gabriela Nowińska ocenia jednak, że frustracja naszej Czytelniczki może mieć podstawy, bo skoro wskazany przykład to jedyna forma zawiadomienia przychodni, to rzeczywiście może ona nie spełniać standardów. Jak przypomina prawniczka, art. 34 RODO wymaga, żeby zawiadomienie jasnym i prostym językiem opisywało charakter naruszenia i zawierało co najmniej: dane kontaktowe Inspektora Ochrony Danych lub innego punktu kontaktowego, opis możliwych konsekwencji naruszenia oraz opis podjętych lub proponowanych środków zaradczych. UODO zwraca przy tym uwagę, że zbyt lakoniczna informacja nie realizuje celu tego przepisu, ponieważ osoba musi wiedzieć, co stało się z jej danymi i co może zrobić, żeby ograniczyć ryzyko. Sam SMS jako kanał jest jak najbardziej dopuszczalny, ważne jest jednak, aby sposób komunikacji rzeczywiście pozwolił dotrzeć do osoby z potrzebną informacją. UODO wymienia też, że zawiadomienie powinno być zwięzłe, przejrzyste, zrozumiałe i łatwo dostępne, a zasadniczo także utrwalone tak, aby odbiorca mógł do niego wrócić.
W mojej ocenie uzależnianie uzyskania zasadniczych informacji o naruszeniu od osobistego przyjazdu do dawnej przychodni, zwłaszcza gdy pacjent mieszka dziś kilkaset kilometrów dalej, trudno uznać za model odpowiadający temu celowi. RODO nie wymaga osobistego stawiennictwa w placówce. Problem potwierdzenia tożsamości można rozwiązać również na odległość. Sam UODO wskazuje, że informacji można udzielić ustnie po potwierdzeniu tożsamości, a komunikacja elektroniczna jest dopuszczalna. Zastrzegłabym tylko jedną rzecz: art. 34 RODO nie musi oznaczać obowiązku przedstawienia pacjentowi pełnej, technicznej dokumentacji incydentu. Pacjent powinien jednak dostać informacje na tyle konkretne, aby rozumiał jakich jego danych naruszenie dotyczyło, jakie wynikają z tego zagrożenia i jak ma się chronić – wyjaśnia ekspertka.
Prawniczka mówi też, że przykład MyDr niestety dobrze pokazuje, jak w praktyce wyglądają problemy, gdy jeden duży dostawca, u którego wystąpiło naruszenie, obsługuje tysiące administratorów. - To właśnie widziałabym jako sensowny kierunek na przyszłość - w umowach z dużymi dostawcami systemów medycznych powinien istnieć gotowy mechanizm obsługi masowego naruszenia oraz obowiązek szybkiego przekazania administratorom zindywidualizowanych informacji o tym, których pacjentów i jakich kategorii danych dotyczy incydent, przygotowanie jednolitego komunikatu, bezpiecznego kanału zdalnego do uzyskania szczegółów oraz możliwość technicznej wysyłki zawiadomień przez procesora w imieniu poszczególnych przychodni. Dzięki temu pacjent nadal wiedziałby, kto jest administratorem jego danych, ale ciężar organizacyjny incydentu znajdowałby się w większym stopniu tam, gdzie istnieją informacje i infrastruktura pozwalające go sprawnie obsłużyć – podsumowuje Nowińska.
Przypominamy, że to, czy nasz PESEL znalazł się w wycieku, można cały czas sprawdzić na rządowej stronie bezpiecznedane.gov.pl.
----------------------------------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
