Podczas sejmowej komisji przedstawiciele resortu cyfryzacji uspokajali, że na razie nie ma sygnałów, by dane pacjentów, które prawdopodobnie wyciekły w cyberataku na firmę MyDr, krążyły po sieci. Nie wiadomo jednak, o jakich konkretnie danych mówimy, bo takie informacje ma podać firma, która dotychczas tego nie zrobiła. Gubią się też same placówki medyczne, które korzystały z jej usług. W odpowiedzi na pytania samorządu lekarskiego UODO przygotował druk powiadamiający o incydencie, w którym radzi pacjentom, że... mogą iść do psychologa, jeśli bardzo stresują się sytuacją.
Michał Gramatyka, wiceminister cyfryzacji, podczas posiedzenia sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii, zaznaczył, że po incydencie cyberbezpieczeństwa w firmie MyDr prowadzony jest stały monitoring tego, czy dane, które wyciekły w wyniku cyberataku, są w jakiś sposób udostępniane, np. w przestrzeni darknetu. Na razie nie zaobserwowano, by coś takiego się wydarzyło, trwa jednak postępowanie.
Wiceminister Gramatyka wskazał, że ponad dwa miliony osób sprawdziło już, czy konkretny numer PESEL był objęty wyciekiem za pomocą strony bezpiecznedane.gov.pl. W praktyce jedyną rzeczą, którą można w takiej sytuacji zrobić, by się zabezpieczyć, wciąż pozostaje zastrzeżenie PESEL-u. Wiceminister Gramatyka zapowiedział też jednak, że we współpracy ze specjalistami od ochrony danych osobowych Ministerstwo Cyfryzacji przygotowało projekt ustawy, który ma „zabezpieczyć nas na przyszłość”. Ma zostać przyjęta priorytetowo. – Przyczyną tego zdarzenia była zbyt duża koncentracja danych w jednym miejscu – podkreślił. Ustawa ma składać się z pięciu głównych założeń, tzw. „cyber piątki”, która była już wcześniej zapowiadana przez przedstawicieli MC. Ma ona umożliwić choćby precyzyjne określenie, jakie dane mogły zostać wykradzione w przypadku cyberataku.
– Tam, gdzie mamy do czynienia z systemami IT, nie chcę mówić, że takie sytuacje są codziennością, ale one co jakiś czas się zdarzają – ocenił wiceminister Gramatyka.
Wskazał też, że dane, które mogły wyciec w wyniku ataku na MyDr, to dane archiwalne, które objęły okres do kwietnia 2024 r. W komunikacie na stronie firmy pada jednak, zdanie, że "w przypadku ograniczonej liczby osób – również dane osobowe zawarte w anulowanych e-skierowaniach wystawionych po tej dacie". Szczegółowe zakresy związane z danymi medycznymi mają z kolei przekazywać pacjentom placówki medyczne – część z nich zaczęła już to robić. Powinna je przekazać także firma, bo w praktyce ona ma do tego dostęp i jest w tym układzie podmiotem przetwarzającym. Wiceminister Gramatyka stwierdził jednak, że współpraca jest „trudna”, choćby ze względu na prowadzone tam kontrole. Sama firma w swojej komunikacji deklarowała z kolei pełną pomoc i współdziałanie z organami. Najnowsze informacje przekazane przez MyDr też w sumie niewiele pacjentom wyjaśniają. W komunikacie firma wyraźnie zaznacza, że nie odpowiada za portal bezpiecznedane.gov.pl. Wciąż wszystko opiera się na podstawowym rozróżnieniu - to, że dane nie zostały upublicznione, nie jest jednoznaczne z tym, że nie były objęte wyciekiem.
- Numery PESEL oznaczone na stronie bezpiecznedane.gov.pl jako objęte incydentem dotyczącym MyDr zostały, zgodnie z naszą wiedzą, przekazane do CERT NASK przez organy ścigania w ramach toczącego się postępowania karnego. Pozostajemy z nimi w kontakcie w celu weryfikacji tej informacji. Na obecnym etapie nie możemy potwierdzić, że numery PESEL oznaczone w serwisie Bezpieczne Dane jako numery objęte incydentem MyDr w pełni odpowiadają numerom PESEL zidentyfikowanym w ramach naszego postępowania wyjaśniającego jako objęte tym incydentem. Nie możemy również potwierdzić, że wszystkie numery PESEL, w odniesieniu do których MyDr wskazano jako źródło wycieku, pochodzą z systemów MyDr. Wskazanie konkretnych danych osobowych w serwisie Bezpieczne Dane w kontekście incydentu MyDr nie oznacza, że dane te zostały upublicznione lub ujawnione w internecie - wskazuje.
Wiceminister Gramatyka wyjaśniał też podczas komisji, że gdyby wdrożono już Krajowy System Cyberbezpieczeństwa (ustawa została przyjęta w kwietniu br., pierwsze obowiązki wchodzą w życie 3 października br.), MyDr najprawdopodobniej byłoby objęte dodatkowymi obowiązkami związanymi z zabezpieczeniami wynikającymi z tego, że przetwarzają bardzo wrażliwe dane medyczne. Tak jednak się nie stało, a wiceminister Gramatyka przyznał, że wrażliwe dane generalnie są w rękach, w dużej mierze, prywatnych firm. Państwo może natomiast odpowiadać jedynie za te dane, które „są w posiadaniu państwa”.
Po incydencie same placówki medyczne wciąż mają też spore wątpliwości, jakie działania powinny podjąć w praktyce i jak informować pacjentów o zagrożonych danych. Naczelna Izba Lekarska wystąpiła w tej sprawie do Urzędu Ochrony Danych Osobowych. Mirosław Wróblewski, prezes UODO, wskazał w odpowiedzi, że, zgodnie z RODO, administrator (czyli placówka) ma nie tylko prawo, ale także obowiązek skierować do podmiotu przetwarzającego zapytanie, czy dane naruszenie ochrony danych osobowych mogło dotyczyć danych osobowych, które powierzył temu podmiotowi do przetwarzania. W praktyce placówka powinna więc zwrócić się do firmy MyDr. Nie zwalnia to jednak z odpowiedzialności działania administratora danych. - Oświadczenie podmiotu przetwarzającego o braku konieczności dokonywania zgłoszeń nie zwalnia administratorów od dokonania własnej analizy zdarzenia – wyjaśnia prezes UODO.
W załączeniu do pisma przekazano też przykładowy druk, który mogą wykorzystywać placówki, które stwierdzą, że doszło do wycieku danych – czy to numerów PESEL, czy też danych medycznych. Zawiera ono także rady dla pacjentów związane z tym, jakie działania podjąć i czego unikać. Niektóre są dość… zaskakujące. Wskazano, że w przypadku wycieku danych dotyczących zdrowia, pacjent może lub powinien: skorzystać z narzędzi ochrony dóbr osobistych, o których mowa w kodeksie cywilnym czy kodeksie postępowania cywilnego; powiadomić również organy ścigania o bezprawnym wykorzystywaniu danych osobowych; uważać na kontakty z nieznanymi osobami, które nie miały prawa znać historii zdrowia, a które proponują skorzystanie z oferowanych przez nie usług medycznych/pseudomedycznych/terapeutycznych; skorzystać ze wsparcia psychologicznego w sytuacjach silnego stresu lub niepokoju.
Z kolei w odniesieniu do placówek MyDr przekazuje w komunikacie, że firma "kontaktuje się bezpośrednio z klientami objętymi incydentem, przekazując im jasne informacje o tym, jakich danych dotyczy incydent, co to dla nich oznacza oraz jakie działania są wymagane. Placówki są powiadamiane w grupach (partiami). Kolejność, w jakiej dana grupa otrzymuje powiadomienie, jest kwestią organizacyjną i nie oznacza, że placówka jest, lub nie jest, objęta incydentem".
Dr Anna Gawrońska, asystentka w Katedrze Logistyki Uniwersytetu Ekonomicznego w Poznaniu, podkreśla, że firmy dostarczające oprogramowania (np. w zakresie Szpitalnego Systemu Informacyjnego, tzw. HIS) do placówek medycznych już teraz mają narzucone określone wymogi, jeśli chodzi o ochronę danych pacjentów. Są pewne mechanizmy, które należałoby wzmocnić, trzeba jednak pamiętać, że w najbliższej przyszłości czeka nas również wdrożenie unijnego rozporządzenia w sprawie europejskiej przestrzeni danych dotyczących zdrowia (tzw. rozporządzenie EHDS). To również na jego podstawie ustawodawca będzie musiał pochylić się nad kwestią szczegółowego uregulowania pierwotnego i wtórnego przetwarzania danych medycznych zgodnie z unijnymi wymogami. Wszystkie te kwestie, a także ewentualne dodatkowe zmiany w prawie krajowym, będzie więc trzeba zharmonizować.
Trzeba także pamiętać, że każde dodatkowe wymaganie technologiczne dla dostawców IT trzeba będzie wdrożyć, za czym będą stały dodatkowe finanse i wykorzystanie zasobów kadrowych. Pytanie, kto takie dodatkowe koszty, również dosłowne, będzie ponosił. Istnieje więc pewne ryzyko związane z potencjalnym spowolnieniem wdrożeń, bo już dziś firmy informatyczne, z którymi współpracuję, mówią o tym, że wymogów prawnych do spełnienia mają coraz więcej – zaznacza dr Gawrońska.
Ekspertka zauważa również, że choć wstępna propozycja resortu, by pacjenci byli szczegółowo informowani przez placówkę medyczną choćby o sposobie przetwarzania danych, a także o zdarzeniach medycznych, jest trafna, to jednak nie zrealizuje się samoistnie. Będzie to wymagało albo dołożenia obowiązków osobom już nimi obciążonych, albo zatrudnienia odpowiednich specjalistów.
- Cel jest uzasadniony, potencjalnych korzyści również widzę dużo. Natomiast problemem jest również to, by nie tworzyć kolejnego prawa, które będzie po prostu kolejną listą do odhaczenia w szpitalu, a nie realną poprawą bezpieczeństwa – podkreśla dr Gawrońska.
Czytaj również: Nad placówkami medycznymi widmo KSC, a są zapowiedzi kolejnych obowiązków
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
