NIL: Co musi zrobić gabinet, który korzysta z systemu MyDr
Naczelna Izba Lekarska (NIL) opublikowała przewodnik dla lekarzy i podmiotów leczniczych, które są administratorami danych osobowych z systemu MyDr. Są tam także wytyczne dla pacjentów. NIL przypomina, że każdy administrator danych odpowiada za ocenę zdarzenia, kwalifikację naruszenia, decyzję o zgłoszeniu organowi nadzorczemu oraz o zawiadomieniu osób, których dane dotyczą – w odpowiednim terminie.
Samorząd lekarski podkreśla, że stan prawny materiału jest aktualny na 12 sierpnia br. Przypomina, że administratorem danych pacjentów jest gabinet, praktyka albo przychodnia, a nie dostawca oprogramowania. - Naruszenie wystąpiło w infrastrukturze dostawcy, lecz obowiązki wobec organu nadzorczego i wobec pacjentów obciążają placówkę. Nikt nie wykona ich w jej zastępstwie – pisze NIL.
Terminy liczone są od dnia stwierdzenia naruszenia, oznaczonego w materiale literą D. Za dzień D przyjmuje się dzień, w którym placówka powzięła wiarygodną informację o incydencie – w praktyce dzień wpływu wiadomości od dostawcy – a nie dzień ustalenia pełnego zakresu zdarzenia. NIL wskazuje, że warto odszukać w skrzynce pocztowej wiadomość od dostawcy systemu i zapisać jej datę oraz godzinę. Należy też sprawdzić SPAM. To ważne, bo od tej daty biegną wszystkie terminy, a organ nadzorcy zapyta przede wszystkim o ustalenie daty.
Analiza ryzyka w ochronie danych osobowych vs. analiza ryzyka w cyberbezpieczeństwie - czytaj w LEX >
Etapy postępowania
Administrator danych z systemu MyDr powinien postępować etapowo:
- Uruchomienie procedury, zabezpieczenie dowodów, ustalenie ekspozycji.
- Zabezpieczenie dostępu do systemu.
- Zgłoszenie do prezesa UODO.
- Zawiadomienie pacjentów.
- Obowiązki sektorowe i wystąpienie do dostawcy.
- Wnioski systemowe.
NIL podkreśla, że zgłoszenie do prezesa UODO jest obowiązkowe, jeżeli placówka korzystała z systemu w okresie objętym naruszeniem. - Od zgłoszenia można odstąpić jedynie wówczas, gdy placówka dysponuje pisemnym potwierdzeniem dostawcy, że dane jej pacjentów nie znalazły się w zbiorze objętym incydentem. Potwierdzenie takie należy dołączyć do wpisu w rejestrze naruszeń. Ustne zapewnienie ani ogólny komunikat na stronie internetowej nie wystarczą – podaje samorząd lekarzy. Przypomina, że nie należy czekać na wyniki postępowania dostawcy. Obowiązek zgłoszenia powstaje z chwilą stwierdzenia naruszenia, a nie z chwilą ustalenia jego pełnego zakresu. Brakujące informacje uzupełnia się później, w trybie zgłoszenia uzupełniającego. Zwłoka w oczekiwaniu na komplet danych jest najczęstszym błędem popełnianym w takich sprawach.
Czytaj też:
Wyciek danych w MyDr – co mają zrobić lekarze i pacjenci >
Cyberbezpieczeństwo: Incydent w MyDr wywołuje obowiązki przewidziane w RODO >
Informacja dla pacjentów
Zawiadomienie pacjentów jest obowiązkowe, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Jak podkreśla NIL, w sprawie systemu MyDr przesłanka ta jest spełniona. Przemawiają za tym: objęcie danych o zdrowiu, objęcie numeru PESEL, skala zdarzenia, kontekst żądania okupu oraz to, że dane nie były zaszyfrowane w sposób uniemożliwiający ich odczytanie.
NIL załącza do poradnika także wzory potrzebnych pism i formularzy. Cały materiał dostępny jest na stronie samorządu >
Na stronie UODO także jest ważny komunikat w sprawie wycieku danych z systemu MyDr >
O incydencie dotyczącym danych firma MyDr poinformowała w poniedziałek, 10 sierpnia o godz. 15. Dwa dni później Ministerstwo Cyfryzacji podało, że wyciek danych może dotyczyć blisko 19 milionów osób i ponad 12 tys. placówek medycznych. Pojawiły się już nagłówki sugerujące, że chodzi o dane medyczne, jednak są to cały czas spekulacje. Rzekomi sprawcy ataku skontaktowali się z portalem Zaufana Trzecia Strona, informując, że są w posiadaniu 18 814 422 numerów PESEL, przekazali też szczątkowe dane sugerujące, że znają numery recepty i numery telefonów oraz że próbowali uzyskać okup od zaatakowanej firmy.
Czytaj też w LEX: Dokumentacja prowadzona na podstawie ustawy o krajowym systemie cyberbezpieczeństwa jako dowód zgodności lub źródło odpowiedzialności z tytułu RODO >
