Obowiązki placówek medycznych po wycieku danych u podmiotu przetwarzającego

Wyciek danych osobowych z placówki medycznej może mieć poważne konsekwencje nie tylko dla pacjentów, lecz także dla samej placówki. W przypadku podmiotu leczniczego szczególnego znaczenia nabiera fakt, że przetwarzane są dane dotyczące zdrowia, a więc dane szczególnie chronione na gruncie RODO. Przykład firmy MyDr - dostawcy systemu Elektronicznej Dokumentacji Medycznej dla wielu placówek - pokazuje, jak duża może być skala takiego naruszenia. Prezes UODO przypomina administratorom danych osobowych, którzy powierzyli przetwarzanie danych osobowych tej firmie, o obowiązku przeanalizowania, czy doszło do naruszenia ochrony danych osobowych skutkującego koniecznością zawiadomienia PUODO oraz osób, których dotyczy naruszenie.

Na czym polegał wyciek w placówkach medycznych?

W sierpniu br. ujawniono, że osoby nieuprawnione uzyskały dostęp do danych znajdujących się w systemach MyDr EDM. Skala incydentu jest bardzo duża - w publicznych komunikatach pojawia się liczba około 19 mln osób, a system MyDr EDM wykorzystywany jest w ponad 12 tys. placówek medycznych. Według aktualnych informacji MyDr incydent dotyczy części systemów i danych historycznych, przy czym wskazywany jest okres do kwietnia 2024 r.

Nie chodziło wyłącznie o zwykłe dane kontaktowe. Według dostępnych informacji zakres potencjalnie ujawnionych informacji obejmuje m.in.:

• imiona i nazwiska,
• numery PESEL,
• dane kontaktowe,
• informacje dotyczące korzystania ze świadczeń medycznych,
• dane o stanie zdrowia,
• treści notatek z wizyt lekarskich,
• informacje o wystawionych receptach.

To sprawia, że incydent jest szczególnie poważny. Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych w rozumieniu RODO.

UODO przypomina, że to placówka medyczna, która korzystała z oprogramowania dostarczanego przez MyDr, jest administratorem danych swoich pacjentów i musi samodzielnie ocenić, czy doszło do naruszenia ochrony danych oraz jakie obowiązki z tego wynikają. Firma MyDr ma w tym przypadku status podmiotu przetwarzającego dane osobowe. W praktyce oznacza to, że nie należy czekać biernie na zakończenie całego postępowania MyDr. Jeżeli placówka ma podstawy sądzić, że jej dane zostały objęte incydentem, powinna dokonać zgłoszenia naruszenia ochrony danych do UODO.

Zalecenia UODO

W związku z zaistniałym incydentem UODO wydał kilka komunikatów (dostępnych na stronie uodo.gov.pl) dla placówek medycznych korzystających z usług MyDr. UODO wskazuje, że placówka korzystająca z MyDr powinna:

a) uzyskać od MyDr potwierdzenie, że incydent dotyczył danych związanych z jej działalnością,

b) po uzyskaniu takiego potwierdzenia przeprowadzić ocenę ryzyka naruszenia praw i wolności pacjentów,

c) jeżeli ocena potwierdzi naruszenie wymagające zgłoszenia - zgłosić je do UODO,

d) jeśli naruszenie powoduje wysokie ryzyko - zawiadomić osoby, których dane dotyczą.

W przypadku gdy do naruszenia ochrony danych osobowych doszło w organizacji podmiotu przetwarzającego, któremu administrator powierzył swoje dane osobowe, administrator przed przystąpieniem do realizacji obowiązków, o których mowa w art. 33 ust. 1 oraz art. 34 RODO, powinien otrzymać od ww. podmiotu przetwarzającego informację potwierdzającą, iż incydent obejmował również dane administratora. W sytuacji gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, zgodnie z art. 34 ust. 1 i ust. 2 w zw. z art. 33 ust. 3 RODO, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu. Zawiadomienie takie co najmniej powinno:

a) opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie,

b) zawierać imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji,

c) opisywać możliwe konsekwencje naruszenia ochrony danych osobowych (przykładowo w przypadku naruszenia poufności danych w zakresie imienia i nazwiska wraz z numerem PESEL administrator może wskazać na ryzyko wyłudzenia przez osoby trzecie pożyczek na dane osób fizycznych, natomiast w przypadku naruszenia poufności danych dotyczących zdrowia może wskazać na ryzyko dyskryminacji, ostracyzmu społecznego czy też naruszenia dóbr osobistych osób, których incydent dotyczy),

d) opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków (przykładowo w razie naruszenia poufności danych w zakresie imienia i nazwiska wraz z numerem PESEL administrator może zarekomendować osobom fizycznym zastrzeżenie PESEL, z kolei przy naruszeniu poufności danych dotyczących zdrowia administrator może zarekomendować użycie środków ochrony dóbr osobistych wskazanych w Kodeksie cywilnym oraz Kodeksie postępowania cywilnego lub może zaproponować skorzystanie ze wsparcia psychologicznego w sytuacjach silnego stresu lub niepokoju).

72 godziny to mało czasu

Przepisy RODO mówią o konieczności powiadomienia organu nadzorczego w ciągu 72 godzin. Termin 72 godzin liczy się od momentu stwierdzenia naruszenia przez administratora, a nie od momentu, w którym podmiot przetwarzający ustali cały zakres skradzionych danych. Jeżeli termin na zgłoszenie naruszenia zostanie przekroczony, zgłoszenie nadal należy zrobić, wyjaśniając przyczynę opóźnienia. Jednocześnie UODO wprost wskazuje, że administrator powinien najpierw otrzymać od podmiotu przetwarzającego potwierdzenie dotyczące jego danych. To oznacza, że dla konkretnej placówki bardzo ważna jest data, w której uzyskała ona wiarygodną informację, że jej dane są objęte incydentem. Termin 72 godzin na zgłoszenie naruszenia ochrony danych do PUODO jest trudny do dochowania przede wszystkim dlatego, że administrator często nie ma w tym czasie pełnej wiedzy o zakresie, przyczynie i skutkach incydentu. Co ważne, RODO nie wymaga, aby w ciągu 72 godzin administrator znał wszystkie szczegóły. Jeżeli naruszenie podlega zgłoszeniu, powinien zgłosić je bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin, a brakujące informacje może uzupełnić później.