Wyciek MyDR — instrukcja dla administratora krok po kroku

Ta instrukcja porządkuje działania w kolejności, w jakiej mają sens. Nie zastępuje oceny prawnej i nie rozstrzyga za placówkę, czy naruszenie podlega zgłoszeniu — pokazuje, jak zebrać materiał, na podstawie którego taką decyzję można podjąć i obronić.

Zakładamy sytuację typową: placówka dowiedziała się o incydencie z komunikatów publicznych lub od dostawcy, nie ma jeszcze informacji dotyczących konkretnie swoich danych i musi ustalić, co robić dalej.

Kroki 1–3: ustalenie faktów

01. Ustal, czy placówka korzystała z MyDR

Brzmi trywialnie, ale w większych podmiotach nie zawsze jest oczywiste. Sprawdź umowy z dostawcami oprogramowania, faktury, rejestr czynności przetwarzania i wykaz systemów. Ustal również okres korzystania — dostawca wskazał, że dane objęte zdarzeniem najprawdopodobniej mają charakter historyczny i mogą pochodzić z 2024 roku oraz lat wcześniejszych, więc placówka, która korzystała z systemu wcześniej i zrezygnowała, także może być w zakresie.

02. Zapisz moment uzyskania wiedzy

Odnotuj datę i godzinę, w której placówka dowiedziała się o incydencie, oraz źródło tej informacji: komunikat dostawcy, komunikat organu nadzorczego, publikacja prasowa, informacja od pacjenta. Ten zapis jest punktem odniesienia dla oceny terminu z art. 33 RODO i pierwszym wpisem w chronologii sprawy.

03. Wyznacz osobę odpowiedzialną

Jedna osoba prowadzi sprawę i zbiera całą korespondencję: inspektor ochrony danych, jeżeli został powołany, albo osoba wskazana przez kierownictwo. Rozproszenie ustaleń między trzy osoby i dwie skrzynki pocztowe to najczęstsza przyczyna luk w dokumentacji.

Kroki 4–6: informacje od dostawcy

04. Wystąp do dostawcy o informacje

Zwróć się pisemnie o informacje przewidziane w art. 33 ust. 2 RODO w odniesieniu do danych powierzonych przez Twoją placówkę: czy zdarzenie objęło te dane, jakie kategorie danych, jakiej liczby osób dotyczy, w jakim okresie i jakie działania zaradcze podjęto. Zachowaj potwierdzenie wysłania.

Organ nadzorczy wskazał, że administrator powinien aktywnie dążyć do uzyskania takich informacji, a nie biernie oczekiwać na rozwój sytuacji. Samo wystąpienie jest więc również elementem wykazania należytej staranności.

05. Ustal zakres danych

Niezależnie od odpowiedzi dostawcy sporządź własny wykaz: jakie kategorie danych pacjentów placówka w tym systemie przetwarzała. Zwykle są to dane identyfikacyjne i kontaktowe, numer PESEL, dane wizyt, rozpoznania, zalecenia, recepty i leki, czasem dane opiekunów prawnych. To wykaz danych powierzonych — nie danych, które wyciekły — i tak należy go opisać.

06. Oszacuj liczbę osób

Podaj liczbę lub przedział na podstawie własnych systemów: liczba pacjentów w kartotece prowadzonej w tym oprogramowaniu w danym okresie. RODO dopuszcza wartości przybliżone — ważne, by były oparte na czymś sprawdzalnym, a nie na intuicji.

Kroki 7–9: ocena i decyzja

07. Przeprowadź analizę ryzyka

Oceń rodzaj i zakres danych, liczbę osób, łatwość ich identyfikacji, możliwe konsekwencje naruszenia i prawdopodobieństwo ich wystąpienia, a także środki, które mogą to ryzyko ograniczyć. Dane dotyczące zdrowia należą do szczególnych kategorii danych i podnoszą wagę oceny. Metodykę opisujemy w materiale Analiza ryzyka po wycieku MyDR.

08. Oceń obowiązek zgłoszenia do UODO

Na podstawie analizy ustal, czy naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych — to przesłanka zgłoszenia z art. 33 RODO. Zakres tej przesłanki wyjaśnia UODO: jakie naruszenia trzeba zgłosić. Pamiętaj o terminie 72 godzin od stwierdzenia naruszenia i o możliwości zgłoszenia etapowego, gdy nie znasz jeszcze wszystkich informacji. Szczegóły: Czy trzeba zgłosić wyciek MyDR do UODO.

09. Oceń obowiązek zawiadomienia pacjentów

Odrębna ocena, o wyższym progu: obowiązek powstaje, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób. Jeżeli tak, zawiadomienie następuje bez zbędnej zwłoki i musi zawierać elementy określone w art. 34 RODO. Sposób przygotowania komunikatu opisujemy w artykule Czy trzeba poinformować pacjentów o wycieku danych.

Kroki 10–12: dokumentacja i infrastruktura

10. Udokumentuj naruszenie

Wpis w wewnętrznym rejestrze naruszeń, chronologia zdarzeń, źródła informacji, korespondencja z dostawcą, analiza ryzyka, decyzja administratora wraz z uzasadnieniem oraz podjęte działania. RODO wymaga dokumentowania wszelkich naruszeń, aby organ nadzorczy mógł zweryfikować przestrzeganie przepisów. Wzór zakresu wpisu: Jak udokumentować naruszenie danych.

11. Wykonaj działania naprawcze

Zmiana haseł do systemu medycznego, poczty i kont administracyjnych, włączenie uwierzytelniania dwuskładnikowego tam, gdzie jest dostępne, przegląd kont użytkowników i usunięcie tych nieużywanych, ograniczenie uprawnień do niezbędnego minimum. Lista działań: Co zrobić w placówce medycznej po wycieku MyDR.

12. Zweryfikuj bezpieczeństwo infrastruktury IT

Incydent u dostawcy nie oznacza naruszenia w placówce, ale jest właściwym momentem na przegląd: stacje robocze, aktualizacje, ochrona antywirusowa lub EDR, firewall, dostęp zdalny i VPN, serwery, kopie zapasowe wraz z testem odtworzenia, logi i monitoring. Zakres techniczny: Co jeszcze sprawdzić w infrastrukturze IT placówki.

Po zakończeniu tych dwunastu kroków warto wrócić do umów powierzenia i przygotować krótką wewnętrzną procedurę postępowania w razie naruszenia u dostawcy. Sprawa MyDR pokazała, że taki dokument jest potrzebny również placówkom, które same nie prowadzą serwerowni.