Czy trzeba poinformować pacjentów o wycieku danych?

Zgłoszenie naruszenia organowi nadzorczemu i zawiadomienie osób, których dane dotyczą, to dwa odrębne obowiązki o różnych przesłankach. Placówka może być zobowiązana do jednego bez drugiego — dlatego ocenia się je osobno, choć na podstawie tej samej analizy ryzyka.

W sprawie MyDR Prezes UODO wskazał wprost, że powiadomienie osób dotkniętych wyciekiem spoczywa na administratorach, którzy korzystali z usług spółki. Dostawca systemu nie zawiadamia pacjentów w imieniu placówki.

Kiedy powstaje obowiązek zawiadomienia

Art. 34 RODO wiąże obowiązek z wysokim ryzykiem: administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności. Zob. materiały UODO o obowiązkach administratora po naruszeniu.

Różnica wobec zgłoszenia do organu nadzorczego jest wyraźna. Tam przesłanką jest samo wystąpienie ryzyka, tutaj — ryzyka wysokiego. Przy danych obejmujących numer PESEL oraz informacje dotyczące zdrowia ta poprzeczka wypada jednak nisko: takie połączenie danych zwykle uzasadnia ocenę ryzyka jako wysokiego.

Kiedy zawiadomienie nie jest wymagane

RODO przewiduje trzy sytuacje: gdy administrator wdrożył środki ochrony czyniące dane nieczytelnymi dla osób nieuprawnionych, na przykład skuteczne szyfrowanie; gdy zastosował działania eliminujące wysokie ryzyko; oraz gdy zawiadomienie wymagałoby niewspółmiernie dużego wysiłku — wtedy zastępuje się je publicznym komunikatem lub podobnym środkiem.

Co musi zawierać komunikat

Art. 34 RODO wymaga jasnego i prostego języka oraz określonej treści. Zawiadomienie nie jest pismem procesowym — ma być zrozumiałe dla osoby bez przygotowania prawnego.

• opis charakteru naruszenia ochrony danych osobowych,
• imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, w którym można uzyskać więcej informacji,
• opis możliwych konsekwencji naruszenia,
• opis środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu, w tym środków minimalizujących jego negatywne skutki.

W miarę możliwości warto wskazać także kategorie i przybliżoną liczbę osób oraz rekordów objętych incydentem — organ nadzorczy zwracał na to uwagę w kontekście tej sprawy.

Co dopisać w części praktycznej

Komunikat zyskuje, gdy poza wymaganą treścią zawiera konkretne zalecenia. W przypadku danych obejmujących numer PESEL są to przede wszystkim: zastrzeżenie numeru PESEL w serwisie mObywatel.gov.pl, ostrożność wobec telefonów i wiadomości powołujących się na placówkę lub leczenie oraz informacja, że żadna instytucja nie prosi o podanie numeru PESEL w formularzu przesłanym e-mailem lub SMS-em.

Jak przekazać informację

Zawiadomienie powinno dotrzeć do osoby — nie zostać jedynie opublikowane w miejscu, do którego pacjent zajrzy przypadkiem. Kolejność wyboru kanału zależy od danych kontaktowych, którymi placówka dysponuje.

• E-mail — najczęstszy kanał przy większej liczbie pacjentów; wiadomość wysyłana z oficjalnego adresu placówki, bez linków wymagających logowania i bez załączników proszących o dane.
• List — gdy placówka nie ma adresów e-mail, a liczba osób na to pozwala.
• SMS z odesłaniem do komunikatu na stronie — dopuszczalny jako uzupełnienie, ale nie jako jedyna forma, bo treść wymagana przez RODO nie mieści się w wiadomości.
• Komunikat publiczny — na stronie placówki, w rejestracji i w mediach społecznościowych; podstawowy środek przy niewspółmiernym wysiłku, w pozostałych przypadkach uzupełnienie.

Czego unikać w komunikacie

• Bagatelizowania — sformułowania w rodzaju „sprawa nie dotyczy naszej placówki", jeżeli nie zostało to ustalone, są ryzykowne i mogą wymagać sprostowania.
• Przerzucania odpowiedzialności — wskazanie, że naruszenie wystąpiło u dostawcy, jest rzetelną informacją; sugerowanie, że placówka nie ma z tym nic wspólnego, nie jest zgodne z rolą administratora.
• Języka prawniczego — RODO wymaga jasnego i prostego języka; cytowanie numerów artykułów zamiast wyjaśnienia treści działa przeciw celowi zawiadomienia.
• Obietnic bez pokrycia — deklaracji o pełnym bezpieczeństwie danych ani zapewnień o zakresie zdarzenia, którego placówka nie zweryfikowała.
• Linków do formularzy zbierających dane — komunikat, który prosi pacjenta o podanie PESEL lub zalogowanie się, jest nieodróżnialny od próby oszustwa i podważa zaufanie.

Ton komunikatu powinien być spokojny i rzeczowy. Pacjent, który dostaje jasną informację o tym, co się stało i co może zrobić, reaguje zupełnie inaczej niż pacjent, który dowiaduje się o sprawie z mediów i nie może uzyskać odpowiedzi w rejestracji.

Zapis w dokumentacji

Decyzję o zawiadomieniu — a także decyzję o odstąpieniu od niego — trzeba udokumentować wraz z uzasadnieniem. Do akt sprawy trafia treść komunikatu, data i kanał wysyłki, liczba odbiorców oraz sposób postępowania z pytaniami pacjentów.

Jeżeli placówka skorzystała z jednego z wyjątków przewidzianych w art. 34 ust. 3 RODO, uzasadnienie musi wskazywać, który to wyjątek i na jakiej podstawie został zastosowany. Zakres dokumentacji opisujemy w materiale Jak udokumentować naruszenie danych po wycieku MyDR.

Ocena samego poziomu ryzyka, od której zależy ten obowiązek, opisana jest w artykule Analiza ryzyka po wycieku MyDR.