Firma, w której doszło do wycieku, nie ma obowiązku zgłosić go urzędowi. Mają go przychodnie i gabinety, które powierzyły jej dane pacjentów, a według komunikatu Ministerstwa Cyfryzacji incydent może dotyczyć ponad 12 tysięcy takich placówek. Ten podział ról przypomniał 12 sierpnia Urząd Ochrony Danych Osobowych, kilka godzin po tym, jak resort podał skalę zdarzenia w firmie MyDr. Dla osoby prowadzącej gabinet wynika z tego jedna rzecz. Naruszenie ochrony danych ocenia i zgłasza ona, ma na to 72 godziny i sama decyduje, czy zawiadomić pacjentów.
Kto zgłasza naruszenie ochrony danych: dostawca czy placówka
Rozporządzenie o ochronie danych rozdziela dwie role. Administrator decyduje, po co i w jaki sposób dane są przetwarzane. Podmiot przetwarzający robi to na jego zlecenie. Przy dokumentacji medycznej administratorem jest przychodnia albo gabinet, a dostawca oprogramowania jest podmiotem przetwarzającym.
Przez lata wyglądało to na formalność w umowie. Przy incydencie decyduje o wszystkim.
UODO napisał to 12 sierpnia wprost. Administrator, który powierzył przetwarzanie danych firmie MyDr, ma sam przeprowadzić analizę ryzyka naruszenia praw i wolności osób fizycznych. Ma też ocenić, czy doszło do zdarzenia, które trzeba zgłosić. Urząd kieruje to nie do dostawcy, tylko do każdej placówki z osobna.
Dostawca nie znika w tym układzie, ale nie zgłasza za placówkę. Artykuł 33 ustęp 2 rozporządzenia każe podmiotowi przetwarzającemu bez zbędnej zwłoki zawiadomić administratora o naruszeniu. Artykuł 28 ustęp 3 litera f dokłada do tego obowiązek pomocy przy wywiązaniu się z zadań dotyczących bezpieczeństwa i zgłoszeń. Samo zgłoszenie może nawet zostać technicznie wysłane przez dostawcę, jeżeli tak umówiły się strony. Odpowiedzialność za dokonanie zgłoszenia zostaje jednak przy administratorze, czyli przy placówce, która często nie ma na etacie ani prawnika, ani inspektora ochrony danych.
Skalę rozproszenia widać w komunikacie rządowym. Po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa Ministerstwo Cyfryzacji podało, że incydent “może dotyczyć 18,8 milionów osób i ponad 12 tys. placówek medycznych”. Jeżeli ta liczba się potwierdzi, mówimy o dwunastu tysiącach osobnych ocen ryzyka.
Od kiedy biegną 72 godziny i co zrobić bez pełnych informacji
Przepis brzmi: administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po jego stwierdzeniu. To artykuł 33 ustęp 1, a UODO zacytował go w komunikacie z 12 sierpnia.
Ten sam przepis zawiera wyjątek, o którym łatwo zapomnieć. Zgłoszenie nie jest konieczne, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Pierwszym krokiem placówki jest więc ocena, a nie formularz. Dopiero jej wynik przesądza, czy w ogóle jest co zgłaszać.
Najważniejsze są w samym terminie dwa słowa: “po stwierdzeniu”. Zegar nie startuje w chwili włamania. Nie startuje też w dniu, w którym sprawa trafia do serwisów informacyjnych. Rusza wtedy, gdy administrator uzyska dostateczną pewność, że incydent naraził dane, za które odpowiada. Zwykle będzie to wiadomość od dostawcy, ale wystarczy każdy inny wiarygodny dowód.
Gabinet, który o wycieku dowiaduje się z wiadomości, nie musi więc zakładać, że już jest spóźniony. Powinien natomiast ustalić, czy dostał informację od dostawcy i co z niej wynika dla jego pacjentów.
Spóźnienie nie zamyka drogi. Rozporządzenie wymaga wtedy dołączenia wyjaśnienia przyczyn opóźnienia i UODO wymienia ten warunek osobno. Łatwo go przeoczyć, bo potocznie traktuje się te 72 godziny jak termin nieprzekraczalny, po którym nie ma już czego zgłaszać.
Zgłoszenie etapami, gdy nie znasz jeszcze zakresu
Przy wycieku u dostawcy najczęstszy problem wygląda tak: wiadomo, że coś się stało, nie wiadomo, kogo dokładnie objęło. Rozporządzenie przewiduje taki scenariusz i pozwala udzielać informacji sukcesywnie, bez zbędnej zwłoki, jeżeli nie da się ich podać w tym samym czasie.
W praktyce oznacza to zgłoszenie wstępne w terminie i uzupełnianie go w miarę, jak dostawca podaje szczegóły. Jest to mniej wygodne niż poczekanie na komplet danych. Za to jest zgodne z przepisem, a milczenie do skutku nie jest.
Kiedy trzeba zawiadomić pacjentów o naruszeniu
Zgłoszenie do urzędu to jedna ścieżka. Druga prowadzi do ludzi, których dane wyciekły, i uruchamia się przy wyższym progu.
UODO wskazuje artykuł 34 ustęp 1 i 2 w związku z artykułem 33 ustęp 3. Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej, administrator zawiadamia ją bez zbędnej zwłoki. W zawiadomieniu ma się znaleźć charakter naruszenia oraz dane inspektora ochrony danych albo innego punktu kontaktowego. Do tego dochodzi opis możliwych konsekwencji oraz środków zastosowanych lub proponowanych, żeby zaradzić naruszeniu.
Przy dokumentacji medycznej ta ocena trudno wypada obojętnie. Dane o zdrowiu połączone z identyfikatorem i numerem telefonu podnoszą ryzyko wyraźnie. To materiał na wiarygodną rozmowę oszusta, a nie na abstrakcyjne zagrożenie. Rzeczywisty zakres każda placówka musi jednak ustalić po swojej stronie, bo pełnej listy tego, co wypłynęło, nikt dotąd nie potwierdził.
Wynika z tego rzecz, która dla pacjenta jest najważniejsza, a w relacjach zwykle ginie. Za zawiadomienie odpowiada konkretna przychodnia, a nie dostawca oprogramowania. Skoro każda placówka ocenia ryzyko samodzielnie, dwie osoby z tego samego zbioru mogą dostać dwie różne odpowiedzi. Opisywaliśmy już, dlaczego pacjent nie sprawdzi dziś sam, czy jego dane są w wycieku z MyDr. Rozjazd w zawiadomieniach to druga strona tego samego mechanizmu.
Rządowy portal nie zdejmuje obowiązku z placówki
W tym samym komunikacie Ministerstwo Cyfryzacji zapowiedziało coś, co łatwo pomylić z rozwiązaniem sprawy. Dane z incydentu mają być sukcesywnie przekazywane do serwisu bezpiecznedane.gov.pl, a resort zaznacza, że “proces przekazania danych do serwisu może zająć kilka dni”.
To dobra wiadomość dla pacjentów, bo daje im narzędzie do samodzielnego sprawdzenia się. Dla placówki nie zamyka sprawy. Samo umieszczenie danych w portalu nie dowodzi, że administrator wykonał obowiązek z artykułu 34. Rozporządzenie pozwala wprawdzie zastąpić zawiadomienia indywidualne publicznym komunikatem albo podobnym środkiem. Warunki są dwa. Kontakt bezpośredni musiałby wymagać niewspółmiernie dużego wysiłku, a zastępczy środek musi informować zainteresowane osoby równie skutecznie. Czy akurat ten portal spełnia obie przesłanki, nikt dotąd nie rozstrzygnął.
Praktyczny wniosek jest taki, że dwie ścieżki będą się przez najbliższe dni nakładać. Państwo buduje kanał zbiorczy, a każda przychodnia prowadzi własną ocenę ryzyka. Pacjent może więc najpierw znaleźć siebie w portalu, a dopiero potem dostać pismo od przychodni. Może też nie dostać go wcale, jeżeli placówka oceni ryzyko inaczej.
Warto przy tym zauważyć, kto siedział przy stole na posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Komunikat wymienia wicepremiera, ministra koordynatora służb specjalnych, ministrę zdrowia, prezesa UODO, Prokuraturę Krajową i Centralne Biuro Zwalczania Cyberprzestępczości. Z samego składu nie wynika jednak, czy urząd wszczął jakiekolwiek postępowanie, a komunikat niczego takiego nie zapowiada.
Co z tego wynika dla firmy spoza ochrony zdrowia
Ochrona zdrowia jest tu przykładem, na którym mechanizm widać w skali. Sam mechanizm nie ma z medycyną nic wspólnego.
Ten sam podział ról obowiązuje przy biurze rachunkowym, systemie kadrowym, hostingu, narzędziu do wysyłki poczty i każdej platformie sprzedażowej w chmurze. Jeżeli firma powierzyła komuś dane swoich klientów albo pracowników, to przy wycieku po jego stronie zgłoszenie składa ona.
Wynikają z tego trzy rzeczy, które warto sprawdzić, zanim staną się potrzebne. Pierwsza: czy umowa powierzenia podaje termin, w jakim dostawca zawiadamia o naruszeniu i przekazuje informacje potrzebne do oceny. Samo “bez zbędnej zwłoki” bez liczby godzin zostawia ten wybór jemu. Twój własny termin i tak ruszy w chwili, gdy zbierzesz dostateczną pewność. Druga: kto w firmie odbiera taką wiadomość i co robi w następnej godzinie. Trzecia: ilu dostawców w ogóle przetwarza dane, do których od lat nikt nie zaglądał.
Pisaliśmy niedawno o ryzyku oparcia całej działalności na jednym dostawcy. Wyciek pokazuje drugą twarz tej zależności. Dotyczy ona nie tylko dostępności usługi, ale i obowiązków, które przy cudzej awarii spadają na ciebie.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Sci-fi fabuła, gamifikacja, prawdziwy GPT-4 w ćwiczeniach, certyfikat na koniec.
Zacznij Pierwszą Misję →
Najczęstsze pytania
Czy placówka musi zgłosić naruszenie, jeśli nie dostała informacji od dostawcy?
Termin liczy się od stwierdzenia naruszenia, więc dopóki placówka nie ma dostatecznej pewności, że zdarzenie objęło jej dane, nie ma czego zgłaszać. Bierność nie jest jednak bezpieczna. To administrator odpowiada za dane, które powierzył, więc rozsądnym krokiem jest wystąpienie do dostawcy z pytaniem o zakres i zachowanie śladu tej korespondencji. Rozporządzenie oczekuje przy tym, że ustalanie zakresu potrwa krótko i zacznie się niezwłocznie. Sama próba jego ustalenia jest dowodem staranności, a jej brak trudno będzie później wytłumaczyć.
Czy zgłoszenie do UODO oznacza karę dla placówki?
Nie. Zgłoszenie jest obowiązkiem informacyjnym, a nie przyznaniem się do winy. Urząd ocenia, jak administrator zabezpieczył dane i jak zareagował po zdarzeniu. Samo niezgłoszenie stanowi przy tym osobne uchybienie, oceniane niezależnie od tego, w jaki sposób doszło do wycieku. Komunikat UODO z 12 sierpnia nie zapowiada postępowań ani kar wobec placówek medycznych. Przypomina wyłącznie, na kim spoczywa obowiązek i w jakim terminie trzeba go wykonać.
Podsumowanie
UODO przypomniało 12 sierpnia, że przy wycieku u podmiotu przetwarzającego zgłoszenie do urzędu składa administrator. W sprawie MyDr może to dotyczyć ponad 12 tysięcy placówek medycznych, bo taką liczbę podaje komunikat Ministerstwa Cyfryzacji po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Każda z nich zaczyna od własnej oceny ryzyka. Dopiero jej wynik przesądza, czy naruszenie ochrony danych trzeba zgłosić i czy zawiadomić pacjentów. Termin 72 godzin biegnie od chwili, w której placówka uzyska dostateczną pewność, że incydent naraził jej dane. Dostawca oprogramowania zawiadamia administratora i pomaga mu w ocenie, ale odpowiedzialność za dokonanie zgłoszenia zostaje po stronie placówki. Ten sam podział działa poza ochroną zdrowia, przy biurze rachunkowym, systemie kadrowym czy hostingu. To dobry powód, żeby sprawdzić własne umowy powierzenia.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
