Wyciek danych MyDR — najczęściej zadawane pytania

Nie ma jednej odpowiedzi dla wszystkich placówek. Prezes UODO, odpowiadając na wystąpienie Naczelnej Izby Lekarskiej, wskazał dwie granice: z komunikatów nie wynika automatyczny obowiązek zgłoszenia przez każdego administratora korzystającego z systemu, ale administrator nie może też oprzeć się wyłącznie na stanowisku podmiotu przetwarzającego o braku takiej konieczności.

Ścieżka jest więc następująca: ustal, czy zdarzenie dotyczy danych, które powierzyłeś do przetwarzania, przeprowadź analizę ryzyka i na tej podstawie oceń, czy zachodzą przesłanki z art. 33 RODO. Szczegóły opisujemy w artykule Czy trzeba zgłosić wyciek MyDR do UODO.

Od chwili stwierdzenia naruszenia. UODO rozumie stwierdzenie jako uzyskanie dostatecznego stopnia pewności, że doszło do incydentu bezpieczeństwa prowadzącego do naruszenia ochrony danych osobowych — nie jako moment otrzymania od dostawcy imiennego potwierdzenia, że incydent objął dane konkretnej placówki.

Po tym momencie oczekiwanie na dodatkowe informacje od podmiotu przetwarzającego nie wstrzymuje biegu terminu. Dlatego tak ważne jest zapisanie daty i źródła uzyskania wiedzy o zdarzeniu.

Źródło: UODO — w jakim terminie należy zgłosić naruszenie Prezesowi UODO.

Brak pełnych informacji nie zawiesza obowiązków. Art. 33 ust. 4 RODO przewiduje zgłoszenie etapowe — administrator przekazuje to, co wie, i uzupełnia informacje w miarę ich uzyskiwania.

Równolegle należy aktywnie występować do dostawcy o dane dotyczące własnej placówki i dokumentować te wystąpienia. Organ nadzorczy oczekuje aktywnego dążenia do uzyskania informacji, a nie biernego oczekiwania.

Nie. Umowa powierzenia określa obowiązki podmiotu przetwarzającego i zasady współpracy, ale nie przenosi na niego obowiązków administratora wynikających z art. 33 i 34 RODO. Adresatem tych przepisów pozostaje administrator, czyli placówka.

Umowa ma natomiast znaczenie praktyczne: wynika z niej, jakich informacji i w jakim terminie placówka może żądać od dostawcy. Więcej w materiale MyDR a RODO — kto odpowiada za dane pacjentów.

Obowiązek zawiadomienia powstaje, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób. To wyższy próg niż przy zgłoszeniu do organu nadzorczego, ale przy danych obejmujących numer PESEL i informacje dotyczące zdrowia wypada on nisko.

UODO wskazał wprost, że powiadomienie osób dotkniętych wyciekiem spoczywa na administratorach korzystających z usług spółki MyDR, a nie na dostawcy systemu.

Opis charakteru naruszenia, dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, opis możliwych konsekwencji oraz opis środków zastosowanych w celu zaradzenia naruszeniu. Wszystko jasnym i prostym językiem.

W miarę możliwości warto wskazać kategorie i przybliżoną liczbę osób oraz rekordów. Praktyczne wskazówki i lista rzeczy, których należy unikać: Czy trzeba poinformować pacjentów o wycieku danych.

Tak. Analiza ryzyka jest podstawą decyzji, a nie jej konsekwencją. Bez niej nie ma na czym oprzeć wniosku, że zgłoszenie nie było wymagane.

Jeżeli administrator uzna, że obowiązek nie powstał, to właśnie zapis analizy wraz z uzasadnieniem jest jedynym materiałem, na którym może się oprzeć w razie pytań organu nadzorczego.

Do akt sprawy trafiają: wpis w wewnętrznym rejestrze naruszeń, chronologia zdarzeń, korespondencja z dostawcą, komunikaty zapisane wraz z datą, analiza ryzyka oraz decyzja administratora z uzasadnieniem.

RODO nie wskazuje jednego okresu przechowywania. Przyjmuje się, że dokumentacja powinna być dostępna tak długo, jak długo może być potrzebna do wykazania zgodności — w praktyce przez kilka lat. Zakres opisujemy w artykule Jak udokumentować naruszenie danych.

Tak, niezależnie od ustaleń dotyczących zakresu incydentu. Dotyczy to haseł do systemu medycznego, poczty firmowej oraz wszystkich kont administracyjnych. Warto przy okazji sprawdzić, czy te same hasła nie są używane w kilku miejscach jednocześnie.

Zdecydowanie warto. MFA jest najskuteczniejszym pojedynczym zabezpieczeniem przy wycieku danych logowania — sama znajomość hasła przestaje wystarczać. Priorytetem jest poczta firmowa, ponieważ służy do resetowania haseł w pozostałych usługach, oraz dostęp zdalny.

Nie wynika to automatycznie. Incydent dotyczył systemów dostawcy oprogramowania. Weryfikacja własnej infrastruktury jest jednak uzasadniona — chodzi o sprawdzenie kont, dostępu zdalnego, kopii zapasowych i logów, żeby wykluczyć zdarzenia powiązane po stronie placówki.

Zakres podstawowy: zmiana haseł, przegląd kont, włączenie MFA, aktualizacje, weryfikacja ochrony stacji roboczych, sprawdzenie dostępu zdalnego i kopii zapasowych. Zakres rozszerzony obejmuje Active Directory, konta uprzywilejowane, reguły firewalla, segmentację sieci, logi i monitoring.

Obie listy znajdują się w materiałach Co zrobić w placówce medycznej po wycieku MyDR oraz Co jeszcze sprawdzić w infrastrukturze IT placówki.

Tak. To moment, w którym najczęściej okazuje się, że placówka prowadząca dokumentację w systemie chmurowym nie ma własnej kopii tych danych. Warto ustalić, czy taka kopia istnieje, kiedy ostatnio się wykonała i czy da się z niej cokolwiek odtworzyć — najlepiej przez próbne odtworzenie.

Jeżeli placówka nie robiła przeglądu zabezpieczeń od dłuższego czasu, to dobry moment. Audyt porządkuje obraz całej infrastruktury i daje listę rekomendacji uszeregowanych według priorytetu, zamiast działań doraźnych podejmowanych przy każdym kolejnym doniesieniu prasowym.

Nie. Zgłoszenie do organu nadzorczego i zawiadomienie pacjentów są czynnościami administratora danych i ITCOMPUTEX ich nie wykonuje. Nie wydajemy również ocen prawnych ani nie rozstrzygamy, czy naruszenie podlega zgłoszeniu.

Pomagamy w części technicznej i organizacyjnej: uporządkowaniu informacji, ustaleniach dotyczących systemów i kont, weryfikacji bezpieczeństwa infrastruktury, przygotowaniu danych technicznych i wsparciu przy dokumentacji.