Wyciek danych z MyDr – co grozi przychodniom i lekarzom?

Incydent w firmie MyDr, dostarczającej oprogramowanie dla placówek medycznych, doprowadził do wycieku danych prawie 19 mln Polaków i stał się jednym z najpoważniejszych kryzysów bezpieczeństwa w branży. Oznacza to ogromny problem także dla przychodni oraz lekarzy, którzy mają obowiązek poinformować pacjentów o zaistniałym zagrożeniu.

Ewentualne postępowania wyjaśniające nie ograniczą się wyłącznie do weryfikacji, czy systemy MyDr były odpowiednio zabezpieczone.

– Zasadniczo powierzenie przetwarzania nie przenosi odpowiedzialności na dostawcę. Przychodnia pozostaje administratorem i sama odpowiada za wybór podmiotu przetwarzającego oraz nadzór nad nim – podkreśla w „Rzeczpospolitej” dr hab. Dominik Lubasz z Kancelarii Lubasz i Wspólnicy.

– Analiza ryzyka to pierwszy krok, jaki powinien podjąć administrator. Placówka musi ustalić u dostawcy, czy i w jakim zakresie zdarzenie objęło powierzone przez nią dane. Następnie ocenia ryzyko dla praw pacjentów i zgłasza naruszenie prezesowi UODO w terminie 72 godzin od jego stwierdzenia, czyli potwierdzenia, że jej dane zostały dotknięte wyciekiem. Przy wysokim ryzyku zawiadamia również pacjentów. W przypadku danych o zdrowiu i numerów PESEL teza, że ryzyko jest mało prawdopodobne, w praktyce nie daje się obronić – zwraca uwagę ekspert.

Lubasz w rozmowie z „Rzeczpospolitą” dodaje także, że niezależnie od tego należy zweryfikować samą umowę powierzenia oraz sprawowany nadzór.

– Analiza dotychczasowych decyzji prezesa Urzędu Ochrony Danych Osobowych pokazuje, że organ pyta nie o samo istnienie umowy, lecz o dowody wskazujące, na jakiej podstawie oceniono gwarancje dostawcy przed jej zawarciem, czy korzystano z prawa kontroli wynikającego z art. 28 ust. 3 lit. h RODO oraz jak uregulowano kwestię hostingu. Brak takiej dokumentacji stanowił samodzielną podstawę do nałożenia kary na administratora w sprawie spółki Fortum – i to niezależnie od sankcji dla procesora – zaznacza dr hab. Dominik Lubasz.

„Rzeczpospolita” informuje, że spółka Fortum, jako administrator danych, otrzymała karę w wysokości niemal 5 mln zł – nieporównywalnie wyższą niż podmiot przetwarzający (250 tys. zł). Warto przy tym pamiętać, że sprawa ta dotyczyła wycieku danych 90 tys. osób, a nie kilkunastu milionów.

Również w decyzji z lipca tego roku, dotyczącej utraty poufności danych ok. 700 osób, UODO nałożył kary zarówno na administratora, jak i na podmiot przetwarzający, po raz kolejny akcentując, że za ochronę danych osobowych odpowiadają obie strony relacji.

W grę wchodzą także odszkodowania

Osobnym wyzwaniem są ewentualne roszczenia pacjentów. Art. 82 RODO daje osobie, która wskutek naruszenia przepisów poniosła szkodę majątkową lub niemajątkową, prawo do odszkodowania od administratora lub podmiotu przetwarzającego.

– Pacjent musi wykazać naruszenie RODO, szkodę oraz związek przyczynowy między nimi. Samo naruszenie nie wystarcza, co Trybunał Sprawiedliwości UE rozstrzygnął w sprawie Österreichische Post, jednak nie przewidziano progu bagatelności szkody. Może nią być sama obawa przed nadużyciem danych, o ile jest realna. Przy zbiorze zawierającym numery PESEL i informacje o receptach przesłanka ta jest łatwiejsza do wykazania niż w typowych sprawach dotyczących wycieku danych – podkreśla w radczyni prawna mec. Monika Susałko z Kancelarii Lubasz i Wspólnicy.

– Rozkład ciężaru dowodu jest korzystny dla pacjenta, ponieważ administrator uwolni się od odpowiedzialności tylko wtedy, gdy dowiedzie, że w żaden sposób nie ponosi winy. Fakt, że bezpośrednią przyczyną naruszenia był cyberatak, nie zwalnia go z tej odpowiedzialności – dodaje ekspertka.

Dotychczasowe odszkodowania zasądzane przez polskie sądy za naruszenie ochrony danych osobowych zazwyczaj nie przekraczają kwoty kilku tysięcy złotych. Przy pozwach masowych łączna suma może się jednak okazać wyjątkowo dotkliwa, zwłaszcza dla mniejszych przychodni.

Nie każdy lekarz odpowiada jako administrator

Odpowiedzialności jako administratorzy danych nie ponoszą lekarze zatrudnieni w placówkach korzystających z MyDr. UODO wskazuje, że medycy – również ci współpracujący z przychodnią na podstawie umów cywilnoprawnych – przetwarzają dane jako osoby działające z upoważnienia administratora. Kluczowe jest to, czy wykonują swoje zadania w ramach organizacji oraz na polecenie administratora, który zapewnia zgodność przetwarzania z RODO.

– Inaczej wygląda sytuacja lekarza prowadzącego indywidualną praktykę i współpracującego z przychodnią na kontrakcie. Jest on odrębnym podmiotem wykonującym działalność leczniczą i bywa samodzielnym administratorem albo współadministratorem – zależnie od tego, czyja dokumentacja jest prowadzona w systemie. Własną odpowiedzialność ponosi również lekarz, który przetwarza dane we własnym celu, poza udzielonym upoważnieniem – podsumowuje w rozmowie z „Rzeczpospolitą” dr hab. Dominik Lubasz.

Więcej o cybertataku

Incydent w firmie MyDr, dostarczającej oprogramowanie dla placówek medycznych, doprowadził do wycieku danych prawie 19 mln Polaków i stał się jednym z najpoważniejszych kryzysów bezpieczeństwa w branży – informowaliśmy o nim w tekstach „Cyberatak na MyDr – wyciek danych medycznych milionów Polaków”, „Co ze skradzionymi danymi 19 mln obywateli?”, „Premier Tusk o wycieku danych medycznych: Mamy do czynienia z bardzo wyrafinowanymi technikami”, „Aktualizacja certyfikatów do systemu P1” i „Państwowe systemy informatyczne są bezpieczne”.