Wyciek danych MyDR

Najważniejsze w skrócie

• Incydent po stronie dostawcy nie oznacza automatycznego braku obowiązków po stronie administratora.
• Zakres naruszenia należy ustalić dla konkretnej placówki — komunikat ogólny tego nie zastępuje.
• Administrator powinien przeprowadzić i zapisać ocenę ryzyka.
• Na jej podstawie ocenia się, czy powstaje obowiązek zgłoszenia naruszenia do UODO.
• Odrębnie ocenia się, czy konieczne jest zawiadomienie osób, których dane dotyczą.
• Warto równolegle zweryfikować bezpieczeństwo własnej infrastruktury IT.

Poniżej informacje wynikające z oficjalnych komunikatów i doniesień prasowych. Przy najważniejszych danych podajemy źródło, żeby można było je sprawdzić. Szczegółowy zakres dotyczący poszczególnych placówek nie został upubliczniony.

• Charakter zdarzenia — dostawca poinformował, że incydent objął część jego systemów i był efektem zewnętrznego, celowego działania o charakterze przestępczym. Źródło: komunikat MyDR
• Skala — według komunikatu Ministerstwa Cyfryzacji incydent może dotyczyć danych blisko 19 mln osób; w doniesieniach prasowych wskazywana jest liczba około 18,8 mln osób i ponad 12 tys. placówek. Źródło: Ministerstwo Cyfryzacji
• Możliwy zakres danych — wskazywano m.in. numery PESEL oraz informacje dotyczące recept, leków, wizyt i notatek medycznych. Zakres dotyczący konkretnej placówki należy zweryfikować u dostawcy.
• Okres, z którego pochodzą dane — według komunikatu dostawcy dane najprawdopodobniej mają charakter historyczny i mogą pochodzić z 2024 roku oraz lat wcześniejszych.
• Zakres podmiotowy — dostawca podkreślił, że incydent może nie dotyczyć wszystkich jego klientów ani wszystkich pacjentów tych placówek.
• Usługi centralne — Ministerstwo Zdrowia poinformowało, że incydent nie oznacza naruszenia bezpieczeństwa centralnych usług e-zdrowia ani wpływu na dostęp pacjentów do świadczeń i recept. Źródło: Ministerstwo Zdrowia
• Stanowisko organu nadzorczego — Prezes UODO wszczął kontrolę w spółce, a administratorom przypomniał o konieczności przeprowadzenia analizy ryzyka oraz o obowiązkach z art. 33 i 34 RODO. Źródło: UODO
• Weryfikacja przez pacjentów — informacja o objęciu numeru PESEL incydentem jest udostępniana w serwisie bezpiecznedane.gov.pl; zastrzeżenie numeru PESEL jest możliwe w serwisie mObywatel.

Baza wiedzy MyDR

Praktyczne poradniki dotyczące incydentu, RODO, obowiązków administratora oraz bezpieczeństwa IT placówek medycznych.

Potrzebujesz pomocy po incydencie?

Jeżeli Twoja placówka korzystała z MyDR i potrzebujesz wsparcia w analizie sytuacji, weryfikacji infrastruktury IT, uporządkowaniu informacji technicznych lub zabezpieczeniu środowiska — możemy pomóc.

ITCOMPUTEX wspiera obecnie dwie placówki medyczne w działaniach związanych z incydentami bezpieczeństwa danych i infrastruktury IT.

Porozmawiaj o sytuacji swojej placówki → Sprawdź zakres audytu IT →

Naruszenie ochrony danych u dostawcy oprogramowania to sytuacja, na którą większość placówek nie ma gotowej procedury. Wewnętrzne dokumenty RODO opisują zwykle scenariusze, w których dane wyciekają z komputera w rejestracji — nie z chmury zewnętrznego producenta. Punkt wyjścia jest jednak prosty: administratorem danych pacjentów pozostaje podmiot leczniczy, praktyka lub gabinet, a dostawca systemu działa jako podmiot przetwarzający.

Dlaczego ocena należy do placówki

Podmiot przetwarzający ma własne obowiązki — przede wszystkim powinien bez zbędnej zwłoki poinformować administratora o naruszeniu i przekazać informacje potrzebne do jego oceny. Zgłoszenie do organu nadzorczego oraz decyzja o zawiadomieniu pacjentów pozostają natomiast czynnościami administratora, ponieważ to on jest adresatem art. 33 i art. 34 RODO.

Prezes UODO, odpowiadając na wystąpienie Naczelnej Izby Lekarskiej, wskazał dwie granice tej oceny. Z komunikatów nie wynika automatyczny obowiązek zgłoszenia przez każdego administratora korzystającego z systemu. Jednocześnie administrator nie powinien opierać się wyłącznie na stanowisku podmiotu przetwarzającego o braku takiej konieczności. Rozstrzygające są ustalenia dotyczące konkretnej placówki.

Moment stwierdzenia naruszenia i termin 72 godzin

Zgodnie z art. 33 RODO administrator zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po jego stwierdzeniu. UODO rozumie stwierdzenie jako uzyskanie dostatecznego stopnia pewności, że doszło do incydentu prowadzącego do naruszenia ochrony danych — nie jako otrzymanie od dostawcy imiennego potwierdzenia dotyczącego danej placówki.

W praktyce oznacza to, że po tym momencie oczekiwanie na dodatkowe informacje nie wstrzymuje biegu terminu. RODO przewiduje wtedy zgłoszenie etapowe: administrator przekazuje to, co wie, i uzupełnia informacje w miarę ich uzyskiwania. Warto też zachować ślad wystąpień do dostawcy — organ nadzorczy zwraca uwagę na to, czy administrator aktywnie dążył do uzyskania informacji.

Analiza ryzyka jako podstawa decyzji

Obu decyzji nie da się rzetelnie podjąć bez analizy ryzyka. Bierze się w niej pod uwagę rodzaj i zakres danych, liczbę osób i łatwość ich identyfikacji, możliwe skutki naruszenia oraz prawdopodobieństwo ich wystąpienia, a także środki, które to ryzyko ograniczają. Przy danych medycznych każdy z tych elementów wypada poważniej niż przy danych kontaktowych — dane dotyczące zdrowia należą do szczególnych kategorii danych, a skutek ich ujawnienia jest trwały, bo pacjent nie może ich zmienić jak hasła.

Analiza jest jednocześnie dokumentem. Jeżeli administrator uzna, że zgłoszenie nie było wymagane, to właśnie jej zapis uzasadnia tę decyzję wobec organu nadzorczego. Metodykę opisujemy w materiale Analiza ryzyka po wycieku MyDR.

Zawiadomienie pacjentów

Obowiązek zawiadomienia osób powstaje, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności. UODO wskazał, że powiadomienie osób dotkniętych wyciekiem spoczywa na administratorach korzystających z usług spółki. Komunikat powinien opisywać charakter naruszenia, a w miarę możliwości również kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje, podjęte działania i dane kontaktowe do osoby udzielającej dalszych informacji.

Warto przygotować go zawczasu — zanim pacjenci zaczną pytać w rejestracji. Jedna rzeczowa informacja, przekazywana spójnie przez cały personel, działa lepiej niż odpowiedzi improwizowane przy okienku.

Działania techniczne w placówce

Incydent u dostawcy nie oznacza, że infrastruktura placówki została naruszona. Jest natomiast dobrym momentem, żeby ją sprawdzić — zwłaszcza że w wielu placówkach funkcjonują konta współdzielone przez cały zespół, hasła używane w kilku miejscach jednocześnie i dostęp zdalny skonfigurowany kiedyś w pośpiechu. Weryfikacja obejmuje konta i uprawnienia, polityki haseł, uwierzytelnianie dwuskładnikowe, aktualizacje, ochronę stacji roboczych, firewall, dostęp zdalny, pocztę oraz kopie zapasowe wraz z testem odtworzenia.

Kopie zapasowe zasługują na osobną uwagę. Placówka przechowująca dokumentację w systemie chmurowym często nie ma własnej kopii tych danych. To ryzyko innego rodzaju niż wyciek — dotyczy dostępności, nie poufności — ale ujawnia się dokładnie w takich momentach, gdy trzeba szybko ustalić, jakie dane i z jakiego okresu placówka rzeczywiście przetwarzała.

Wnioski na przyszłość

Po zakończeniu bieżących działań warto wrócić do umów powierzenia i sprawdzić, czy przewidują termin i formę informowania o incydentach, zakres przekazywanych informacji oraz obowiązki dostawcy w zakresie zabezpieczeń. Przydatna jest też krótka wewnętrzna procedura postępowania w razie naruszenia u dostawcy: kto zbiera informacje, kto podejmuje decyzję, gdzie zapisywana jest chronologia. Sprawa MyDR pokazała, że taki dokument jest potrzebny również placówkom, które same nie prowadzą serwerowni.