Dziesiątki nowych regulacji nie rozwiążą problemów z cyberbezpieczeństwem w zdrowiu
W odpowiedzi na przypadki cyberataków, w wyniku których wyciekły wrażliwe dane medyczne pacjentów różnych placówek medycznych, pojawiły się zapowiedzi nowych regulacji prawnych. Przed nami także wdrożenie unijnych przepisów, które mają być odpowiedzią na problem braku dostatecznej kontroli nad dostawcami. Wszystko to jednak za mało, jeśli pieniądze przeznaczane na cyberbezpieczeństwo wciąż będą główną barierą w placówkach ochrony zdrowia.
Rozporządzenie w sprawie europejskiej przestrzeni danych dotyczących zdrowia - European Health Data Space (EHDS) ustanawia wspólne ramy wykorzystywania i wymiany elektronicznych danych w całej Unii Europejskiej. Zgodnie z założeniami, ma ono z jednej strony ułatwić pacjentom dostęp do ich danych osobowych, ale również wzmocnić kontrolę nad nimi. Wprowadza też jednolite podstawy wykorzystywania danych zdrowotnych m.in. w ramach badań naukowych, dając jednocześnie możliwość odmowy ich przekazywania (klauzula opt-out). Uporządkuje przy tym ramy prawne i techniczne systemów elektronicznej dokumentacji medycznej w całej UE. To również dzięki tym przepisom w Europie ma zostać umożliwiona transgraniczna wymiana danych, która pomoże m.in. w realizacji e-recept za granicą. To ważne, przełomowe przepisy, które kraje UE będą wdrażać etapowo. Najbliższym istotnym terminem w tym kontekście jest marzec przyszłego roku, który jest ostateczną datą przyjęcia na szczeblu unijnym istotnych aktów wykonawczych (niedawno zostały zaprezentowane projekty w tym zakresie). Może być ono stosowane bezpośrednio, niewątpliwie jednak polskie przepisy będą wymagały dostosowania.
Obowiązki administratorów danych na gruncie rozporządzenia EHDS - czytaj w LEX >
- Na poziomie krajowym konieczne będzie przede wszystkim wyznaczenie organów odpowiedzialnych za zdrowie cyfrowe oraz dostęp do danych zdrowotnych w celu ich wtórnego wykorzystania. Organy te będą odpowiadały m.in. za rozpatrywanie wniosków o udostępnienie danych, wydawanie zezwoleń oraz nadzór nad przestrzeganiem warunków ich wykorzystania. Nie jest to wyłącznie kwestia techniczna. Państwa członkowskie muszą stworzyć system instytucjonalny, umożliwiający wykonywanie nowych obowiązków, w tym skuteczne egzekwowanie przepisów wobec podmiotów udostępniających dane i korzystających z nich – zaznacza dr Anna Banaszewska, radca prawny, prowadząca indywidualną praktykę prawną.
Cyberbezpieczeństwo w sektorze ochrony zdrowia - analiza zagadnienia - czytaj w LEX >
Certyfikacja dostawców w perspektywie dziewięciu lat
Początek stosowania pierwszych regulacji wyznaczono na marzec 2029 r., jednak w całości rozporządzenie będzie stosowane dopiero w 2035 r. To istotne, szczególnie w kontekście bezpieczeństwa naszych danych i ostatnich licznych przypadków cyberataków na sektor zdrowotny. Pojawiają się bowiem pytania o to, czy powierzanie tak wrażliwych danych niemal w całości prywatnym firmom, które w większości przypadków dostarczają oprogramowania do obsługi elektronicznej dokumentacji medycznej przychodniom i szpitalom, rzeczywiście jest bezpieczne i odpowiednio nadzorowane przez państwo. Podczas spotkania z przedstawicielami mediów w Centrum e-Zdrowia Łukasz Sosnowski, dyrektor Departamentu e-Zdrowia w Ministerstwie Zdrowia, zaznaczył, że – choć terminy są rzeczywiście odległe – EHDS znacząco wpłynie na tę sytuacje, bo doprowadzi do tego, że podmioty obsługujące elektroniczną dokumentację medyczną, będą musiały poddawać się procesowi certyfikacji. Ma być to instytucja określona w konkretnych przepisach. Jak zaznaczył, dojdziemy więc do sytuacji, w której dostawcy oprogramowani do obsługi dokumentacji będą szczegółowo sprawdzani.
Czytaj też w LEX: Zasady przetwarzania dokumentacji medycznej w ramach świadczenia usług w systemie e-zdrowia >
Jak szczegółowo wyjaśnia tę kwestię dr Banaszewska, zakres nowych obowiązków będzie zależał od roli danego podmiotu w systemie EHDS. Rozporządzenie odrębnie określa obowiązki posiadaczy danych zdrowotnych, użytkowników danych korzystających z nich w celach wtórnych oraz producentów systemów elektronicznej dokumentacji medycznej. Nie każdy podmiot przetwarzający dane pacjentów będzie zatem podlegał takim samym wymaganiom.
- W mojej ocenie najistotniejsza zmiana polega na tym, że EHDS nie tylko określa warunki legalnego dostępu do danych medycznych, ale przewiduje również szczegółowe instrumenty kontroli sposobu ich wykorzystywania i sankcje za naruszenia. Odpowiedzialność nie będzie więc ograniczać się do wykazania zgodności przetwarzania z RODO, lecz obejmie także przestrzeganie szczególnych zasad funkcjonowania europejskiej przestrzeni danych zdrowotnych – zaznacza ekspertka.
Środki na IT wciąż barierą w wielu placówkach
Jednak dr Paweł Kaźmierczyk, radca prawny, senior associate w departamencie korporacyjnym kancelarii Rymarz Zdort Maruta oraz członek praktyki Life Sciences, zwraca uwagę, że problem polega na tym, iż Polska nie nadąża z wdrażaniem już obowiązujących wymagań prawnych związanych z cyberbezpieczeństwem. Jak przypomina, unijna dyrektywa NIS 2, czyli regulacja mająca na celu zwiększenie poziomu cyberbezpieczeństwa w Unii Europejskiej, powinna zostać wdrożona już dwa lata temu, dokładnie 17 października 2024 r.
Czytaj też w LEX: Gdy dane medyczne są „w drodze” – o ryzykach bezpieczeństwa transmisji w systemach medycznych >
- W przypadku Polski niezbędna do jej implementacji nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa przeciągnęła się kilkanaście miesięcy, w efekcie czego m.in. szpitale i część innych placówek ochrony zdrowia ma czas na wdrożenie wymagań związanych z bezpieczeństwem danych pacjentów… jeszcze do 3 kwietnia 2027 r. Nowe obowiązki obejmują m.in. ocenę bezpieczeństwa dostawców i usługodawców technologicznych, czyli także dostawców systemów do prowadzenia elektronicznej dokumentacji medycznej. Gdyby unijne wymogi zostały wdrożone na czas, być może do części głośnych wycieków z ostatnich miesięcy w ogóle by nie doszło – mówi dr Kaźmierczyk.
I przypomina o zapowiadanym wprowadzeniu „cyber piątki”, czyli pięciu propozycji zmian legislacyjnych mających zapewnić certyfikację firm przetwarzających dane medyczne, minimalne wymagania technologiczne, większą przejrzystość dla pacjentów, powiadomienia o zdarzeniach medycznych i nowe obowiązki dla podmiotów masowo przetwarzających dane, nad którą pracuje resort cyfryzacji. Jak podkreśla dr Kaźmierczyk, mamy do czynienia z sytuacją, w której nie zdążyliśmy wdrożyć jeszcze „starych” przepisów, a już projektowane są zupełnie nowe, które mogą okazać się nadmiarowe.
- Zwiększa się liczba regulacji, co jednak wcale nie przekłada się na szybki wzrost cyberbezpieczeństwa w ochronie zdrowia. Za nowymi obowiązkami nie idą bowiem odpowiednie pieniądze. Wystarczy przejrzeć wyniki prowadzonych corocznie przez Centrum e-Zdrowia badań stopnia informatyzacji podmiotów wykonujących działalność leczniczą. Przez ostatnie lata główną barierą w obszarze cyfryzacji był brak wystarczających środków finansowych na inwestycje w zakresie IT. Wiele placówek zapewne chciałoby bardziej inwestować w cyberbezpieczeństwo, ale zwyczajnie nie ma na to wystarczających środków. Zamiast więc kreować nowe obowiązki, warto skupić się na wsparciu placówek medycznych w egzekwowaniu obecnych standardów cyberbezpieczeństwa – podkreśla dr Kaźmierczyk.
Czytaj też w LEX: Aplikacje i urządzenia medyczne – niewidoczna powierzchnia ataku >
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
