MyDR nie odpowiedział? Co może zrobić administrator placówki

To jedna z najczęstszych sytuacji w tej sprawie. Administrator zwrócił się do dostawcy o informacje dotyczące swojej placówki i nie otrzymał ich — albo otrzymał odpowiedź ogólną, powtarzającą treść komunikatu publicznego.

Bezczynne oczekiwanie jest w tej sytuacji najgorszym wyborem, ponieważ organ nadzorczy wskazał, że administrator powinien aktywnie dążyć do uzyskania informacji. Poniżej lista działań, które można wykonać niezależnie od dostawcy.

Udokumentuj próby kontaktu

Każde wystąpienie do dostawcy powinno zostawić ślad. To materiał, który wykazuje staranność administratora i uzasadnia ewentualne opóźnienie w uzupełnieniu zgłoszenia.

• wysyłaj pisma e-mailem z potwierdzeniem dostarczenia lub przez formę przewidzianą w umowie powierzenia,
• zapisuj datę, godzinę i treść każdego wystąpienia,
• notuj rozmowy telefoniczne: data, godzina, rozmówca, ustalenia,
• zapisuj komunikaty dostawcy jako PDF lub zrzut ekranu z widoczną datą — treść bywa aktualizowana,
• odnotowuj brak odpowiedzi po upływie określonego czasu jako osobny wpis w chronologii.

Ustal to, co możesz ustalić sam

Znaczną część informacji potrzebnych do analizy ryzyka placówka ma u siebie — nie zależą one od dostawcy.

• Okres korzystania z systemu — z umów, faktur i rejestru czynności przetwarzania.
• Zakres danych powierzonych — jakie kategorie danych placówka faktycznie prowadziła w tym oprogramowaniu. Gabinet używający systemu wyłącznie do terminarza jest w innej sytuacji niż placówka prowadząca w nim pełną dokumentację.
• Przybliżona liczba pacjentów — z własnej kartoteki za okres wskazany w komunikatach.
• Lista kont i użytkowników — kto miał dostęp do systemu i w jakim zakresie.
• Treść umowy powierzenia — jakie obowiązki informacyjne przyjął na siebie dostawca.

Na tej podstawie da się przeprowadzić analizę ryzyka z wyraźnie zaznaczonymi założeniami. Metodykę opisujemy w materiale Analiza ryzyka po wycieku MyDR.

Nie wstrzymuj oceny obowiązków

Brak odpowiedzi dostawcy nie zawiesza terminu z art. 33 RODO. UODO dopuszcza w takiej sytuacji zgłoszenie wstępne i uzupełnienie informacji później. Jeżeli administrator uzna, że przesłanka zgłoszenia jest spełniona, może skorzystać ze zgłoszenia etapowego przewidzianego w art. 33 ust. 4 — przekazać to, co wie, i uzupełnić informacje później.

W zgłoszeniu warto wskazać podmiot przetwarzający, opisać stan wiedzy, zaznaczyć, jakie informacje pozostają w toku ustalania, oraz odnotować, że placówka wystąpiła o nie i nie otrzymała odpowiedzi. Szczegóły: Czy trzeba zgłosić wyciek MyDR do UODO.

Skonsultuj się z inspektorem ochrony danych

Jeżeli placówka powołała inspektora ochrony danych, to jego rola w takiej sytuacji. IOD opiniuje ocenę ryzyka, doradza co do zakresu zgłoszenia i pomaga sformułować korespondencję z dostawcą — decyzję podejmuje jednak administrator.

Placówki bez powołanego IOD korzystają zwykle ze wsparcia zewnętrznego. Zakres takiej współpracy opisujemy przy usłudze inspektora ochrony danych.

Wykorzystaj ten czas na działania techniczne

Weryfikacja infrastruktury nie zależy od dostawcy i można ją przeprowadzić od razu. Jest to również element, który realnie obniża ocenę ryzyka, bo zalicza się do środków ograniczających jego skutki.

• zmiana haseł do systemu medycznego, poczty i kont administracyjnych,
• włączenie uwierzytelniania dwuskładnikowego tam, gdzie jest dostępne,
• przegląd kont użytkowników i usunięcie nieużywanych,
• sprawdzenie dostępu zdalnego i listy podmiotów zewnętrznych, które go posiadają,
• weryfikacja kopii zapasowych wraz z próbnym odtworzeniem,
• przegląd logów pod kątem nietypowych logowań.

Pełne listy: Co zrobić w placówce medycznej po wycieku MyDR oraz Co jeszcze sprawdzić w infrastrukturze IT placówki.