Wyciek danych u dostawcy oprogramowania to scenariusz, którego obawia się każda placówka medyczna. System gabinetowy, elektroniczna dokumentacja medyczna (EDM), rejestracja online czy aplikacja do wystawiania e-recept przechowują ogromne ilości danych pacjentów. Gdy dochodzi do ataku hakerskiego, ransomware lub błędu po stronie dostawcy, wielu kierowników przychodni zakłada, że to problem firmy informatycznej. To kosztowny błąd.
W tym artykule wyjaśniamy, kto odpowiada za naruszenie ochrony danych osobowych u dostawcy oprogramowania, co trzeba zrobić w ciągu pierwszych 72 godzin i jak Kancelaria KAM MedLex pomaga placówkom medycznym w całej Polsce przejść przez incydent bez dodatkowych strat.
Wyciek danych u dostawcy. Dlaczego odpowiada placówka?
Na gruncie RODO placówka medyczna, czyli przychodnia, gabinet, szpital czy laboratorium, jest administratorem danych osobowych pacjentów i personelu. Dostawca oprogramowania, który przechowuje lub przetwarza te dane w chmurze albo ma do nich dostęp serwisowy, działa najczęściej jako podmiot przetwarzający na podstawie umowy powierzenia (art. 28 RODO).
Oznacza to, że obowiązek zgłoszenia naruszenia do Prezesa UODO spoczywa na placówce, a nie na dostawcy. To placówka decyduje, czy i jak zawiadomić pacjentów. To ona będzie stroną ewentualnego postępowania przed UODO i adresatem roszczeń pacjentów. Dostawca ma natomiast obowiązek niezwłocznie poinformować administratora o naruszeniu (art. 33 ust. 2 RODO) i wspierać go w wypełnianiu jego obowiązków.
Fakt, że incydent wydarzył się u kogoś innego, nie zwalnia placówki z odpowiedzialności. Może jednak dawać podstawę do roszczeń regresowych wobec dostawcy, o czym piszemy w dalszej części artykułu.
Pierwsze 72 godziny. Co zrobić krok po kroku?
Termin na zgłoszenie naruszenia do UODO wynosi 72 godziny od stwierdzenia naruszenia. Liczą się również weekendy i święta. Gdy dostawca informuje o incydencie, termin zaczyna biec praktycznie od momentu otrzymania tej informacji.
Krok 1. Ustal fakty i zażądaj informacji od dostawcy
Nie poprzestawaj na ogólnym komunikacie wysłanym do wszystkich klientów. Wystąp do dostawcy na piśmie lub e-mailem o konkretne informacje: kiedy doszło do naruszenia i kiedy je wykryto; jakie kategorie danych zostały naruszone (dane identyfikacyjne, numery PESEL, dane o stanie zdrowia, dokumentacja medyczna, dane logowania); czy dane zostały wykradzione, zaszyfrowane, zmodyfikowane lub usunięte; ilu pacjentów Twojej placówki dotyczy incydent; jakie środki zaradcze dostawca już wdrożył.
Zachowaj całą korespondencję. Będzie ona dowodem w postępowaniu przed UODO.
Krok 2. Oceń ryzyko dla pacjentów
Dane o stanie zdrowia należą do szczególnych kategorii danych (art. 9 RODO). W połączeniu z numerem PESEL i danymi kontaktowymi ich wyciek niemal zawsze oznacza wysokie ryzyko naruszenia praw lub wolności osób, w tym kradzieży tożsamości, wyłudzeń kredytów, szantażu czy dyskryminacji. Ocena ryzyka powinna zostać udokumentowana, ponieważ od niej zależą kolejne obowiązki placówki.
Krok 3. Zgłoś naruszenie do Prezesa UODO
Zgłoszenie składa się elektronicznie, z wykorzystaniem formularza dostępnego na stronie Urzędu Ochrony Danych Osobowych (uodo.gov.pl). Jeżeli w ciągu 72 godzin placówka nie ma jeszcze pełnej wiedzy o incydencie, RODO pozwala na zgłoszenie etapowe (art. 33 ust. 4). Lepiej złożyć zgłoszenie wstępne i później je uzupełnić, niż przekroczyć termin.
Krok 4. Zawiadom pacjentów
Przy wysokim ryzyku administrator musi bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą (art. 34 RODO). Komunikat powinien być napisany jasnym, zrozumiałym językiem. Należy w nim opisać, co się stało, jakie mogą być konsekwencje i jakie działania podjęła placówka. Warto dodać praktyczne zalecenia, takie jak zastrzeżenie numeru PESEL w aplikacji mObywatel, włączenie alertów kredytowych oraz zachowanie czujności wobec podejrzanych telefonów i wiadomości SMS. Komunikat musi także zawierać dane kontaktowe inspektora ochrony danych.
Krok 5. Udokumentuj naruszenie wewnętrznie
Każde naruszenie, także to, którego nie zgłasza się do UODO, musi zostać wpisane do rejestru naruszeń (art. 33 ust. 5 RODO) wraz z opisem okoliczności, skutków i podjętych działań.
Krok 6. Pozostałe zgłoszenia
W zależności od sytuacji warto lub trzeba także zgłosić incydent do właściwego zespołu CSIRT, jeśli placówka podlega obowiązkom wynikającym z ustawy o krajowym systemie cyberbezpieczeństwa. Często zasadne jest również złożenie zawiadomienia o przestępstwie na policję lub do prokuratury, na przykład w związku z nielegalnym dostępem do systemu informatycznego (art. 267 Kodeksu karnego). Jeżeli placówka ma polisę cyber lub OC obejmującą naruszenia danych, należy niezwłocznie poinformować ubezpieczyciela.
Ciągłość leczenia i dokumentacja medyczna
Wyciek u dostawcy często idzie w parze z niedostępnością systemu, zwłaszcza przy ataku ransomware. Placówka nadal musi udzielać świadczeń i prowadzić dokumentację medyczną zgodnie z ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta oraz rozporządzeniem w sprawie dokumentacji medycznej.
Dlatego już w pierwszych godzinach warto uruchomić procedurę awaryjną prowadzenia dokumentacji i jej późniejszego uzupełnienia w systemie. Należy też ustalić z dostawcą, czy dane nie zostały zmodyfikowane, ponieważ integralność dokumentacji medycznej ma znaczenie dowodowe. Trzeba również zweryfikować kopie zapasowe i możliwość odtworzenia danych.
Warto pamiętać, że brak dostępu do danych przez dłuższy czas sam w sobie jest naruszeniem ochrony danych osobowych, tzw. naruszeniem dostępności.
Najczęstsze błędy placówek po wycieku u dostawcy
Z naszej praktyki wynika, że najwięcej problemów powoduje czekanie na dostawcę. Placówka zwleka ze zgłoszeniem, aż dostawca wszystko wyjaśni, i w efekcie przekracza termin 72 godzin. Częstym błędem jest też przekonanie, że zgłoszenie złożone przez dostawcę wystarczy. Dostawca nie zgłasza jednak naruszenia w imieniu placówki jako administratora.
Kolejnym problemem jest kopiowanie komunikatu dostawcy, podczas gdy informacja dla pacjentów powinna odpowiadać sytuacji konkretnej placówki. Placówki często nie dokumentują też oceny ryzyka, a UODO zapyta, dlaczego podjęto taką, a nie inną decyzję. Wreszcie wiele placówek pomija umowę powierzenia, choć to w niej znajdują się zapisy kluczowe dla dalszych roszczeń.
Za naruszenie przepisów RODO Prezes UODO może nałożyć administracyjną karę pieniężną (art. 83 RODO), a pacjenci mogą dochodzić odszkodowania lub zadośćuczynienia (art. 82 RODO). Prawidłowa reakcja na incydent realnie ogranicza oba te ryzyka.
Umowa powierzenia. Co sprawdzić po incydencie?
Incydent to dobry moment na przegląd umowy z dostawcą. W szczególności należy sprawdzić, w jakim terminie dostawca ma informować o naruszeniu (na przykład w ciągu 24 godzin) oraz jaki jest zakres informacji, które musi przekazać. Istotne są także prawo administratora do audytu i inspekcji (art. 28 ust. 3 lit. h RODO), postanowienia o odpowiedzialności, karach umownych i limitach odszkodowania, zasady zwrotu lub eksportu danych w razie zmiany dostawcy, a także korzystanie przez dostawcę z podwykonawców, czyli dalsze powierzenie danych.
Jeżeli to zaniedbania dostawcy doprowadziły do szkody, placówka może dochodzić od niego zwrotu poniesionych kosztów, w tym odszkodowań wypłaconych pacjentom (art. 82 ust. 5 RODO), a także roszczeń wynikających z umowy.
Jak pomagamy? Wsparcie Kancelarii KAM MedLex po wycieku danych
Kancelaria KAM MedLex specjalizuje się w prawie medycznym i ochronie danych osobowych w podmiotach leczniczych. Kancelarię prowadzi radca prawny Kamila Anioł, która pełni funkcję inspektora ochrony danych w placówkach medycznych. Od kilkunastu lat pracuje także jako analityk rozwoju oprogramowania dla gabinetów lekarskich i uczestniczyła we wdrożeniu elektronicznej dokumentacji medycznej w dużej sieci medycznej. Dzięki temu rozumiemy zarówno przepisy, jak i to, jak w praktyce działają systemy, z których korzysta Twoja placówka.
W sytuacji wycieku danych u dostawcy oprogramowania działamy w trybie pilnym. Zapewniamy szybką konsultację i plan działania w pierwszych godzinach po incydencie. Analizujemy informacje przekazane przez dostawcę i przygotowujemy pisma z żądaniem ich uzupełnienia. Sporządzamy udokumentowaną ocenę ryzyka naruszenia, a następnie przygotowujemy i składamy zgłoszenie do Prezesa UODO, w tym zgłoszenia uzupełniające.
Opracowujemy treść zawiadomień dla pacjentów, zgodną z art. 34 RODO i zrozumiałą dla odbiorcy. Prowadzimy wpis do rejestru naruszeń i kompletną dokumentację incydentu. Reprezentujemy placówki w postępowaniu przed UODO, analizujemy umowy powierzenia i dochodzimy roszczeń wobec dostawców. Obsługujemy także roszczenia i skargi pacjentów.
Po opanowaniu sytuacji przeprowadzamy audyt procedur, umów z dostawcami i zabezpieczeń oraz szkolimy personel z reagowania na naruszenia ochrony danych.
Działamy zdalnie w całej Polsce. Obsługujemy przychodnie POZ, gabinety stomatologiczne, centra rehabilitacji, laboratoria, kliniki medycyny estetycznej i szpitale.
Najczęściej zadawane pytania
Czy muszę zgłosić naruszenie do UODO, jeśli wyciek nastąpił u dostawcy?
Tak, jeżeli naruszenie dotyczy danych, których Twoja placówka jest administratorem, i niesie ryzyko naruszenia praw lub wolności osób. Obowiązek zgłoszenia spoczywa na administratorze, a nie na dostawcy.
Od kiedy liczy się termin 72 godzin?
Od stwierdzenia naruszenia przez administratora. W praktyce, gdy dostawca poinformuje placówkę o incydencie, należy przyjąć, że termin biegnie od tej chwili.
Co, jeśli nie znam jeszcze wszystkich szczegółów?
Złóż zgłoszenie wstępne w terminie, a brakujące informacje przekaż w zgłoszeniu uzupełniającym. RODO wprost dopuszcza zgłoszenie etapowe.
Czy zawsze trzeba zawiadamiać pacjentów?
Nie zawsze. Obowiązek powstaje wtedy, gdy naruszenie może powodować wysokie ryzyko dla osób, których dane dotyczą. Przy wycieku danych o zdrowiu i numerów PESEL takie ryzyko występuje bardzo często.
Czy placówka może dochodzić odszkodowania od dostawcy oprogramowania?
Tak, jeżeli szkoda wynika z naruszenia obowiązków przez dostawcę. Podstawą mogą być przepisy RODO (art. 82 ust. 5) oraz postanowienia umowy powierzenia i umowy licencyjnej lub serwisowej.
Potrzebujesz pomocy po wycieku danych?
Każda godzina po incydencie ma znaczenie. Jeśli dostawca Twojego oprogramowania poinformował o naruszeniu ochrony danych, skontaktuj się z nami. Pomożemy przejść przez cały proces: od zgłoszenia do UODO, przez komunikację z pacjentami, po rozliczenie z dostawcą.
Kancelaria KAM MedLex. Prawo medyczne i ochrona danych osobowych w ochronie zdrowia. Działamy w całej Polsce. Kontakt: biuro@kancelariakam.pl, tel. 602340121