MyDR a RODO — kto odpowiada za dane pacjentów?

To pytanie wraca w każdej rozmowie o incydencie MyDR: skoro atak dotyczył systemów dostawcy, dlaczego to placówka ma cokolwiek zgłaszać? Odpowiedź wynika z konstrukcji RODO, która rozdziela dwie role — administratora danych i podmiotu przetwarzającego — i przypisuje im różne obowiązki.

Rozróżnienie nie jest formalnością. Decyduje o tym, kto ocenia ryzyko, kto zawiadamia organ nadzorczy, kto informuje pacjentów i kto odpowiada, jeżeli te obowiązki nie zostaną wykonane.

Administrator danych i podmiot przetwarzający

Administrator to podmiot, który decyduje o celach i sposobach przetwarzania danych. W przypadku dokumentacji medycznej jest to placówka: podmiot leczniczy, praktyka lekarska, gabinet. To ona przyjmuje pacjenta, zbiera dane, decyduje, w jakim systemie będą przechowywane i jak długo.

Podmiot przetwarzający działa na zlecenie administratora i w zakresie, który administrator określił. Dostawca systemu do prowadzenia elektronicznej dokumentacji medycznej jest klasycznym przykładem: przetwarza dane pacjentów, ale nie decyduje, po co i dlaczego. W sprawie MyDR to właśnie ten układ — placówki występują jako administratorzy, spółka jako procesor.

Co reguluje umowa powierzenia

Umowa powierzenia przetwarzania danych określa przedmiot i czas przetwarzania, rodzaj danych i kategorie osób, obowiązki dostawcy w zakresie bezpieczeństwa, zasady korzystania z podwykonawców oraz sposób wspierania administratora w realizacji jego obowiązków. Powinna też opisywać, jak i w jakim terminie dostawca informuje o naruszeniach.

W sprawie MyDR treść tej umowy zyskała praktyczne znaczenie. Prawnicy komentujący sprawę zwracali uwagę, że od zapisów dokumentu zależy, jakich informacji placówka może żądać i w jakim terminie — a także jaka jest jej pozycja w razie ewentualnych roszczeń.

Czego umowa powierzenia nie robi

Nie przenosi obowiązków administratora na dostawcę. Art. 33 i art. 34 RODO adresowane są do administratora i żadna umowa tego nie zmienia. Umowa może zobowiązać dostawcę do przekazania informacji i do współpracy, ale nie może przenieść na niego decyzji o zgłoszeniu naruszenia.

Szerzej o konstrukcji takiej umowy pisaliśmy w materiale Umowa powierzenia danych — kiedy jest potrzebna.

Obowiązki dostawcy po naruszeniu

Podmiot przetwarzający ma po stwierdzeniu naruszenia jeden zasadniczy obowiązek: bez zbędnej zwłoki zgłosić je administratorowi. W praktyce oznacza to przekazanie informacji pozwalających administratorowi ocenić sytuację — charakteru naruszenia, kategorii i przybliżonej liczby osób oraz rekordów, możliwych konsekwencji i podjętych działań zaradczych.

Dostawca nie zgłasza naruszenia organowi nadzorczemu w imieniu administratora i nie zawiadamia pacjentów. Nie ma też kompetencji, by rozstrzygnąć, że zgłoszenie nie jest potrzebne — może przedstawić swoją ocenę, ale nie jest ona wiążąca dla administratora.

Obowiązki placówki jako administratora

Odpowiadając na wystąpienie samorządu lekarskiego, Prezes UODO wskazał, że z komunikatów nie wynika automatyczny obowiązek zgłoszenia naruszenia przez każdego administratora korzystającego z systemu — ale też że administrator nie może oprzeć się wyłącznie na stanowisku procesora o braku takiej konieczności.

Ścieżka jest więc następująca: ustalić, czy zdarzenie dotyczy danych, które placówka powierzyła do przetwarzania, a następnie samodzielnie ocenić, czy w jej sytuacji zachodzą obowiązki z art. 33 lub 34 RODO. Jeżeli placówka nie ma do tego wystarczających informacji, powinna zwrócić się o nie do dostawcy — aktywnie, a nie biernie czekając na rozwój sytuacji.

Organ nadzorczy podkreślił również, że termin 72 godzin biegnie od chwili stwierdzenia naruszenia, rozumianej jako uzyskanie dostatecznego stopnia pewności, że doszło do incydentu prowadzącego do naruszenia ochrony danych. Po tym momencie oczekiwanie na dodatkowe informacje od procesora nie wstrzymuje biegu terminu. Źródło: UODO — w jakim terminie należy zgłosić naruszenie Prezesowi UODO. Zagadnienie omawiamy szczegółowo w artykule Czy trzeba zgłosić wyciek MyDR do UODO.

Co sprawdzić w dokumentacji placówki

• czy umowa powierzenia z dostawcą została zawarta i czy jest aktualna,
• jaki zakres danych i jakie kategorie osób obejmuje,
• w jakim terminie i w jakiej formie dostawca zobowiązał się informować o naruszeniach,
• jakie informacje ma przekazać administratorowi w razie incydentu,
• czy umowa przewiduje korzystanie z podwykonawców i czy administrator o nich wiedział,
• jakie zabezpieczenia dostawca zobowiązał się stosować,
• czy w rejestrze czynności przetwarzania placówka odnotowała ten system jako miejsce przetwarzania danych pacjentów.

Jeżeli któryś z tych punktów okaże się nieuregulowany, to informacja na przyszłość — nie na dziś. Na dziś liczy się ustalenie faktów i terminowa ocena obowiązków. Przegląd umów jest naturalnym elementem wniosków po zakończeniu sprawy.