Analiza ryzyka po wycieku MyDR — jak ją przeprowadzić?

Prezes UODO, przypominając administratorom korzystającym z MyDR o ich obowiązkach, na pierwszym miejscu wskazał konieczność przeprowadzenia analizy ryzyka naruszenia praw lub wolności osób fizycznych. To nie formalność poprzedzająca zgłoszenie — to czynność, z której wynika, czy zgłoszenie jest w ogóle wymagane.

Analiza w RODO dotyczy ryzyka dla osób, nie dla placówki. Nie ocenia się w niej wysokości potencjalnej kary ani szkody wizerunkowej, a to, co realnie może się stać pacjentowi, którego dane zostały ujawnione.

Rodzaj danych

Pierwsze i najważniejsze kryterium. Im bardziej dane pozwalają zidentyfikować osobę i im głębiej wchodzą w jej sferę prywatną, tym wyżej wypada ocena. W przypadku dokumentacji medycznej mamy zwykle do czynienia z kilkoma warstwami jednocześnie.

• Dane identyfikacyjne — imię, nazwisko, numer PESEL, data urodzenia. Pozwalają jednoznacznie wskazać osobę i są wykorzystywane przy próbach kradzieży tożsamości.
• Dane kontaktowe — adres, telefon, e-mail. Same w sobie mniej wrażliwe, ale zwiększają skuteczność prób oszustwa, bo pozwalają dotrzeć do osoby.
• Dane dotyczące zdrowia — rozpoznania, zalecenia, recepty, leki, notatki z wizyt. Szczególna kategoria danych osobowych w rozumieniu art. 9 RODO.

Zakres i liczba osób

Zakres to kombinacja kategorii danych dotyczących jednej osoby. Sam numer PESEL to jedno ryzyko; numer PESEL wraz z nazwiskiem, adresem i listą leków — zupełnie inne, bo pozwala zbudować pełny profil.

Liczba osób nie decyduje samodzielnie o obowiązku zgłoszenia, ale wpływa na ocenę i musi zostać podana w zgłoszeniu, choćby w wartości przybliżonej. Wylicz ją z własnych systemów: liczba pacjentów w kartotece prowadzonej w tym oprogramowaniu w okresie wskazanym przez dostawcę.

Jeżeli dostawca nie przekazał informacji o okresie, przyjmij cały okres korzystania z systemu i tak to opisz. Założenie przyjęte świadomie i zapisane jest w dokumentacji wartościowe; założenie przemilczane — nie.

Możliwe skutki dla pacjentów

Ten element analizy wymaga wyobraźni, ale nie spekulacji. Chodzi o skutki, które realnie mogą wystąpić przy danym zakresie danych. Przy incydencie obejmującym dane medyczne w praktyce rozważa się kilka scenariuszy.

• próby podszycia się pod pacjenta w instytucjach finansowych i usługach online z wykorzystaniem numeru PESEL,
• ukierunkowane próby oszustwa — telefon lub wiadomość powołująca się na konkretną wizytę, lek albo placówkę, znacznie bardziej wiarygodna niż typowy phishing,
• ujawnienie informacji o stanie zdrowia w otoczeniu zawodowym lub rodzinnym pacjenta,
• naruszenie prywatności w obszarze, którego pacjent nie ujawnia dobrowolnie — leczenie psychiatryczne, uzależnienia, zdrowie reprodukcyjne, choroby przewlekłe,
• wtórne wykorzystanie danych do budowy pełniejszych profili przez łączenie z innymi wyciekami.

Osobno ocenia się prawdopodobieństwo. Dane, które według doniesień zostały wykradzione i są przedmiotem monitoringu dark webu, mają wyższe prawdopodobieństwo wykorzystania niż dane, do których dostęp był krótkotrwały i nie zostały skopiowane.

Środki ograniczające ryzyko

Analiza uwzględnia również to, co obniża ryzyko — zarówno środki istniejące przed incydentem, jak i działania podjęte po nim. Warto je wymienić wprost, bo wpływają na wynik oceny i pokazują staranność administratora.

• szyfrowanie danych w systemie, jeżeli było stosowane, oraz informacja od dostawcy, czy dane były zaszyfrowane,
• zakres danych faktycznie przetwarzanych w systemie — placówka, która prowadziła w nim tylko terminarz, jest w innej sytuacji niż ta, która trzymała pełną dokumentację,
• zmiana haseł i włączenie uwierzytelniania dwuskładnikowego po incydencie,
• przekazanie pacjentom informacji o zastrzeżeniu numeru PESEL i ostrzeżenia o próbach oszustwa,
• ograniczenie uprawnień i usunięcie nieużywanych kont w systemie.

Zakres działań technicznych opisujemy w materiale Co zrobić w placówce medycznej po wycieku MyDR.

Jak zapisać wynik analizy

Analiza ryzyka jest dokumentem, nie rozmową. Powinna dać się odtworzyć po miesiącach i pokazywać stan wiedzy z momentu decyzji — nie z chwili, w której ktoś pyta o uzasadnienie.

1. data i godzina sporządzenia oraz osoba odpowiedzialna,
2. stan wiedzy o incydencie w tym momencie i źródła informacji,
3. wykaz kategorii danych powierzonych dostawcy,
4. przybliżona liczba osób i sposób jej wyliczenia,
5. przyjęte założenia tam, gdzie brakowało informacji,
6. możliwe skutki i ocena prawdopodobieństwa,
7. środki ograniczające ryzyko,
8. wynik oceny — poziom ryzyka,
9. wniosek: czy zachodzą przesłanki z art. 33 i art. 34 RODO (kryteria opisuje UODO w materiałach o zgłaszaniu naruszeń),
10. podpis osoby reprezentującej administratora.

Dalsze kroki: ocena obowiązku zgłoszenia do UODO i ocena obowiązku zawiadomienia pacjentów. Zakres wpisu do rejestru naruszeń opisujemy w artykule Jak udokumentować naruszenie danych.