Wyciek danych pacjentów wymaga szybkiej reakcji nie tylko ze względu na obowiązki wynikające z RODO, ale również z uwagi na szczególny charakter danych dotyczących zdrowia i możliwe skutki ich ujawnienia.
W praktyce incydent bezpieczeństwa coraz częściej nie powstaje bezpośrednio w infrastrukturze placówki medycznej. Jego źródłem może być zewnętrzny dostawca systemu informatycznego, hostingu, chmury, systemu elektronicznej dokumentacji medycznej czy oprogramowania do rejestracji pacjentów.
Nie zmienia to jednak podstawowego podziału odpowiedzialności. Administrator danych musi ocenić naruszenie i podjąć wymagane prawem działania, natomiast podmiot przetwarzający powinien bez zbędnej zwłoki przekazać administratorowi informacje potrzebne do przeprowadzenia tej oceny i współpracować przy obsłudze incydentu.
Sprawna komunikacja pomiędzy administratorem a procesorem ma zatem znaczenie zarówno dla ograniczenia skutków zdarzenia, jak i dla dochowania terminów wynikających z RODO.
Dobrym przykładem znaczenia właściwego podziału obowiązków jest incydent dotyczący systemów MyDr.
Zgodnie z przekazanymi publicznie informacjami potwierdzono nieuprawniony dostęp do danych historycznych przechowywanych w systemach spółki. Incydent mógł dotyczyć około 18,8 mln osób oraz ponad 12 tys. placówek medycznych.
Samo zdarzenie dotyczyło systemów MyDr i nie zakłóciło bieżącego udzielania świadczeń ani wystawiania recept. Nie doszło również do naruszenia bezpieczeństwa ogólnopolskich usług.
W związku z incydentem prowadzone są czynności dotyczące nieuprawnionego dostępu do systemu informatycznego administrowanego przez MyDr oraz informacji przechowywanych na serwerach spółki.
W serwisie BezpieczneDane pojawiła się możliwość sprawdzenia, czy numer PESEL konkretnej osoby znalazł się w zbiorze danych objętych incydentem. Taka weryfikacja pozwala potwierdzić, czy dane danej osoby znalazły się w zakresie zdarzenia, ale nie wskazuje placówki medycznej, z której pochodziły dane, ani pełnego zakresu informacji dotyczących konkretnej osoby.
Informacji o tym, jakie dane przechowywała konkretna placówka i jakie informacje zostały objęte incydentem, powinien udzielić właściwy podmiot leczniczy.
Sam fakt możliwości sprawdzenia numeru PESEL w serwisie BezpieczneDane nie zastępuje obowiązków wynikających z RODO. Jeżeli MyDr, działając jako podmiot przetwarzający, potwierdzi, że incydent objął dane, których placówka medyczna jest administratorem, placówka nadal musi przeprowadzić własną analizę ryzyka.
Jeżeli spełnione zostaną przesłanki z art. 33 RODO, administrator powinien zgłosić naruszenie Prezesowi UODO, a w przypadku wysokiego ryzyka dla praw lub wolności pacjentów również zawiadomić osoby, których dane dotyczą.
Wyciek danych pacjentów wymaga jednoczesnej reakcji technicznej, organizacyjnej i prawnej.
Pierwszym krokiem powinno być – o ile incydent nadal trwa – jego zatrzymanie lub ograniczenie. Następnie należy ustalić, czego dotyczyło zdarzenie, zabezpieczyć informacje potrzebne do dalszej analizy oraz uruchomić wewnętrzne procedury reagowania na incydenty.
Od samego początku trzeba mieć na uwadze terminy wynikające z RODO.
Jeżeli doszło do naruszenia ochrony danych osobowych powodującego ryzyko dla praw lub wolności osób fizycznych, art. 33 RODO przewiduje zgłoszenie naruszenia Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.
Jeżeli termin zostanie przekroczony, administrator powinien wskazać przyczyny opóźnienia.
Nie należy jednak czekać z rozpoczęciem działań do momentu uzyskania pełnego raportu technicznego, jeżeli oczekiwanie takie mogłoby doprowadzić do przekroczenia terminu.
Wyciek danych nie musi oznaczać kradzieży dokumentacji
Naruszenie ochrony danych osobowych jest pojęciem szerszym niż potocznie rozumiany „wyciek”.
Zgodnie z art. 4 pkt 12 RODO naruszenie może obejmować przypadkowe lub niezgodne z prawem:
W praktyce oznacza to naruszenie poufności, integralności albo dostępności danych.
W placówce medycznej przykładem naruszenia będzie więc nie tylko kradzież bazy pacjentów czy wysłanie wyniku badania do niewłaściwej osoby.
Naruszeniem może być również:
Znaczenie ma również szczególny charakter danych medycznych. Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych, o których mowa w art. 9 RODO.
Należy uwzględnić również przepisy dotyczące ochrony informacji związanych z pacjentem oraz dokumentacji medycznej, w tym przepisy ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
Pierwszym zadaniem jest ograniczenie dalszego naruszania bezpieczeństwa oraz zapewnienie ciągłości bezpiecznego udzielania świadczeń.
W zależności od charakteru zdarzenia może to oznaczać:
Równolegle należy rozpocząć dokumentowanie chronologii incydentu.
Istotne mogą być między innymi:
Takie informacje będą potrzebne zarówno do przeprowadzenia oceny ryzyka, jak i do ewentualnego zgłoszenia naruszenia Prezesowi UODO.
Jeżeli wyciek nastąpił u podmiotu przetwarzającego, odpowiedzialność za zgłoszenie naruszenia spoczywa na administratorze danych.
W typowym modelu podmiot leczniczy jest administratorem danych swoich pacjentów, ponieważ określa cele i sposoby ich przetwarzania.
Dostawca:
może natomiast działać jako podmiot przetwarzający, jeżeli przetwarza dane w imieniu placówki.
W takim przypadku strony powinny mieć zawartą odpowiednią umowę powierzenia przetwarzania danych osobowych.
Samo powierzenie przetwarzania danych nie oznacza jednak przeniesienia odpowiedzialności administratora za zgodność procesu przetwarzania z RODO.
Art. 33 ust. 2 RODO nakłada na podmiot przetwarzający własny obowiązek.
Po stwierdzeniu naruszenia procesor musi bez zbędnej zwłoki zgłosić je administratorowi.
RODO nie ustanawia w tym przepisie osobnego 72-godzinnego terminu dla procesora.
Nie oznacza to jednak, że procesor może czekać z przekazaniem informacji.
Dostawca oprogramowania powinien przekazać informacje na tyle szybko i w takim zakresie, aby placówka mogła przeprowadzić własną ocenę ryzyka i – jeżeli będzie to wymagane – dokonać zgłoszenia do UODO w terminie.
Dlatego umowa powierzenia powinna określać między innymi:
Procesor może zostać upoważniony do dokonania zgłoszenia w imieniu administratora. Nie powoduje to jednak automatycznego przeniesienia ostatecznej odpowiedzialności za zgłoszenie.
To administrator pozostaje odpowiedzialny za ocenę naruszenia i podjęcie decyzji co do dalszego postępowania.
Nie każde naruszenie ochrony danych osobowych musi zostać zgłoszone Prezesowi UODO.
Zgłoszenie jest wymagane, jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych.
Każde naruszenie powinno jednak zostać przeanalizowane i odpowiednio udokumentowane.
W sektorze medycznym istotnymi czynnikami wpływającymi na poziom ryzyka są w szczególności:
Termin wynikający z art. 33 RODO wynosi 72 godziny od stwierdzenia naruszenia.
Dni wolne od pracy nie zawieszają biegu tego terminu.
Nie powinno się więc odkładać działań dlatego, że incydent został wykryty w piątek wieczorem, w weekend albo podczas nieobecności osoby odpowiedzialnej.
Nie należy również czekać na zakończenie wszystkich czynności wyjaśniających, jeżeli spowodowałoby to przekroczenie terminu.
RODO pozwala na przekazywanie informacji sukcesywnie. W praktyce oznacza to możliwość uzupełnienia zgłoszenia o kolejne ustalenia.
Jeżeli zgłoszenie nastąpi po upływie 72 godzin, administrator nadal powinien je złożyć, wskazując przyczyny opóźnienia.
Obowiązek zawiadomienia osób, których dane dotyczą, powstaje w przypadku, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.
Art. 34 RODO wymaga dokonania takiego zawiadomienia bez zbędnej zwłoki.
Komunikat powinien być napisany jasnym i zrozumiałym językiem oraz zawierać informacje dotyczące między innymi:
W zależności od charakteru incydentu może to oznaczać między innymi zwiększoną ostrożność wobec wiadomości phishingowych czy zastrzeżenie numeru PESEL.
RODO przewiduje również sytuacje, w których indywidualne zawiadomienie może nie być wymagane, przykładowo gdy zastosowane środki bezpieczeństwa sprawiają, że dane są nieczytelne dla osób nieuprawnionych albo późniejsze działania wyeliminowały wysokie ryzyko.
Incydent dotyczący MyDr pokazuje znaczenie właściwego podziału obowiązków pomiędzy dostawcą systemu a placówką medyczną korzystającą z jego usług.
Jeżeli placówka powierzyła dostawcy dane pacjentów, informacja o incydencie po stronie procesora nie kończy obowiązków administratora.
Po uzyskaniu informacji o zakresie zdarzenia placówka powinna przeprowadzić własną analizę ryzyka.
W zależności od charakteru procesu może być również konieczne przeprowadzenie lub aktualizacja oceny skutków dla ochrony danych (DPIA).
Jednocześnie informacje dotyczące skali i zakresu incydentu mogą ewoluować wraz z postępem czynności wyjaśniających. Nie wszystkie informacje pojawiające się w początkowej fazie zdarzenia muszą być ostateczne.
Dlatego administrator powinien opierać swoje działania na zweryfikowanych informacjach i dokumentować kolejne ustalenia.
Podmiot leczniczy odpowiada nie tylko za właściwą reakcję po wystąpieniu incydentu.
Art. 28 ust. 1 RODO wymaga, aby administrator korzystał wyłącznie z podmiotów przetwarzających zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.
Samo podpisanie umowy powierzenia lub uzyskanie od dostawcy deklaracji zgodności z RODO nie musi być wystarczające.
Weryfikacja dostawcy może obejmować między innymi:
Zakres takiej weryfikacji powinien odpowiadać ryzyku konkretnego procesu.
Innego poziomu kontroli wymaga dostawca przechowujący pełną dokumentację medyczną pacjentów, a innego wykonawca mający dostęp jedynie do niewielkiego zakresu danych.
Standardowa klauzula zobowiązująca dostawcę do przestrzegania RODO może być niewystarczająca.
Umowa powinna praktycznie regulować co najmniej:
W praktyce uzasadnione może być określenie konkretnego czasu na przekazanie pierwszej informacji o incydencie, np. kilku godzin od jego wykrycia.
Pozwala to ograniczyć sytuację, w której administrator dowiaduje się o incydencie dopiero wtedy, gdy termin na jego własne działania zaczyna już szybko upływać.
Po zakończeniu incydentu podmiot leczniczy powinien udokumentować jego przebieg, wynik oceny ryzyka, podstawę decyzji o zgłoszeniu albo niezgłoszeniu naruszenia, sposób komunikacji z pacjentami oraz podjęte działania naprawcze.
Konieczne jest również ustalenie przyczyny zdarzenia.
Warto odpowiedzieć na pytania:
Każde stwierdzone naruszenie powinno zostać udokumentowane niezależnie od tego, czy ostatecznie podlegało zgłoszeniu Prezesowi UODO.
Po wykryciu incydentu warto przejść przez następujące kroki:
Zabezpiecz systemy, konta, dane i infrastrukturę.
Określ zakres zdarzenia, systemy, dane i potencjalną liczbę osób objętych naruszeniem.
Zachowaj logi, informacje techniczne, korespondencję oraz chronologię działań.
Sprawdź, kto jest administratorem, a kto podmiotem przetwarzającym.
Zażądaj informacji wymaganych do przeprowadzenia własnej oceny ryzyka.
Oceń prawdopodobieństwo i wagę skutków dla osób, których dane dotyczą.
Ustal dokładny moment stwierdzenia naruszenia.
Jeżeli występuje ryzyko wymagające zgłoszenia, nie należy zwlekać do czasu zakończenia wszystkich czynności wyjaśniających.
Jeżeli występuje wysokie ryzyko, należy rozważyć obowiązek wynikający z art. 34 RODO.
Niezależnie od wyniku analizy należy zachować dokumentację pozwalającą wykazać sposób przeprowadzenia oceny.
Samo zakończenie ataku nie oznacza zakończenia obowiązków administratora.
Po incydencie należy ponownie ocenić, czy zastosowane środki techniczne i organizacyjne oraz współpraca z procesorem odpowiadają wymaganiom wynikającym z RODO.
Wyciek danych pacjentów jest zdarzeniem, które wymaga jednoczesnego działania technicznego, organizacyjnego i prawnego.
Szczególne znaczenie ma prawidłowe rozdzielenie odpowiedzialności pomiędzy placówkę medyczną jako administratora a zewnętrznego dostawcę jako podmiot przetwarzający.
Fakt, że do naruszenia doszło po stronie dostawcy systemu IT, nie zwalnia administratora z obowiązku przeprowadzenia własnej analizy ryzyka ani – jeżeli spełnione są przesłanki – ze zgłoszenia naruszenia Prezesowi UODO.
Dlatego procedura reagowania na incydenty nie powinna być tworzona dopiero po wystąpieniu problemu. Placówka powinna wcześniej wiedzieć:
Dobra organizacja przed wystąpieniem incydentu może mieć kluczowe znaczenie dla ograniczenia jego skutków oraz prawidłowego wykonania obowiązków wynikających z RODO.
Chcesz wiedzieć więcej o naszym zespole?
Skontaktuj się z nami już dziś.
