Czy wiadomo już ostatecznie, dane ilu pacjentów i ilu placówek zostały objęte cyberatakiem na systemy firmy MyDr? Czy wypłynęły one w darknecie?
Dariusz Standerski: Służby stale monitorują sytuację i dalej nie mówimy o powszechnym wycieku. Te dane nie krążą po sieci i to jest w tej chwili informacja najważniejsza. Jeśli chodzi o samą skalę – liczbę gabinetów oraz pacjentów – tutaj opieramy się na dotychczasowych deklaracjach samej firmy. Żadnych innych, nowych informacji ani od policji, ani ze śledztwa w tej chwili nie mamy. Te liczby się nie zmieniły.
Czytaj więcej
Po wycieku danych 19 mln Polaków z bazy firmy MyDr rządowy serwis Bezpieczne Dane uruchomił możliwość sprawdzenia zakresu informacji ujawnionych w...
Zgodnie z ustawą pacjenci powinni zostać poinformowani o incydencie przez administratorów danych, którzy mają do nich kontakt, a administratorzy powinni mieć tę wiedzę od MyDr – to relacje między prywatnymi firmami. Tego też dotyczy kontrola UODO. My jako Ministerstwo Cyfryzacji niestety mamy bardzo ograniczony wpływ, a właściwie w ogóle nie mamy roli, jeśli chodzi o bezpośrednie informowanie klientów tych usług, ponieważ ten obowiązek prawny ciąży na gabinetach i na małych przychodniach. Rozmawiałem w tym tygodniu wielokrotnie z lekarzami i oni mówią jasno: pacjentów, którzy podali adresy mailowe w gabinetach, powiadamiają na bieżąco, że jest incydent i mogło dojść do naruszenia ochrony ich danych. Natomiast trudniejsza sytuacja jest z pacjentami, którzy zostawili tylko numery telefonów, bądź gdy w kartotece w ogóle nie było danych kontaktowych albo był tylko adres zamieszkania. W takiej sytuacji placówkom pozostało tradycyjne pisanie listów. Dlatego ten proces jest utrudniony i właśnie dlatego reagujemy ustawowo. System w w tym obszarze nie działa tak, jak powinien.
W reakcji na incydent apelowaliście o zabezpieczanie tożsamości. Ile osób zastrzegło PESEL od momentu nagłośnienia sprawy?
Jestem bardzo wdzięczny wszystkim, którzy odpowiedzieli na nasz apel i zastrzegli PESEL. W ciągu ostatnich dwóch tygodni odnotowaliśmy ponad 2,5 mln nowych zastrzeżeń. W związku z tym w całym rejestrze jesteśmy już w okolicach 11 mln zastrzeżonych numerów PESEL.
Czytaj więcej
Osoby, których dane wykradziono z MyDr mają szansę na zadośćuczynienie. Kokosów jednak nie powinny się spodziewać, a jeśli zażądają zbyt wiele, to...
Czy wiadomo już, kto stał za tym atakiem? Wiadomo, że była próba wymuszenia okupu – czy znana jest kwota, jakiej żądali cyberprzestępcy?
To są informacje, które w całości należą do śledztwa prowadzonego przez policję i prokuraturę. Tym wątkiem Ministerstwo Cyfryzacji bezpośrednio się nie zajmuje.
Przejdźmy do sedna rządowej odpowiedzi na ten kryzys. Czym jest tzw. Cyber Piątka?
Gdy jako pacjenci lub klienci przekazujemy nasze dane różnym firmom, to na podstawie obecnych przepisów te podmioty powierzają dalsze przetwarzanie danych innym, wyspecjalizowanym przedsiębiorstwom. I nie zawsze umowy komercyjne wyglądają tak, że odpowiedzialność jest w nich rozłożona optymalnie. Mieliśmy do czynienia z przypadkiem, w którym odpowiedzialność zgodnie z umową pomiędzy dwoma prywatnymi podmiotami pozostała w całości po stronie administratorów danych, czyli małych gabinetów lekarskich. W związku z tym przygotowaliśmy pakiet propozycji legislacyjnych.
Pierwszy z pięciu punktów dotyczy zmiany artykułu 24 ustawy o prawach pacjenta, czyli wprowadzenie dodatkowych warunków, jakie musi spełniać podmiot, któremu powierzono dane medyczne, niezależnie od tego, jak wygląda prywatna umowa między stronami. W ustawie rozszerzymy ten katalog między innymi o kwestie polityki zarządzania bezpieczeństwem informacji oraz certyfikację w zakresie zabezpieczenia danych i infrastruktury technicznej.
Punkt pierwszy łączy się bezpośrednio z punktem drugim: wskażemy kategorie zabezpieczeń, które podmiot musi wdrożyć, a następnie wydamy delegację ustawową do określenia minimalnych wymagań technologicznych. Chodzi o to, aby było wreszcie precyzyjnie określone, jakie są minimalne standardy technologiczne przy przetwarzaniu danych medycznych. Robimy to w przypadku Krajowego Systemu Cyberbezpieczeństwa, ale trzeba zejść niżej, do tych mniejszych firm technologicznych, które przetwarzają dane wrażliwe.
A kolejne punkty?
Chcemy wprowadzić obowiązek informowania pacjentów, kto dokładnie przetwarza ich dane. Istnieją ogólne obowiązki informacyjne, ale w tym przypadku trzeba jasno określić obowiązek przekazywania wiedzy o całym łańcuchu powierzenia – jeżeli placówka medyczna przekazuje dane do przetwarzania zewnętrznej firmie, to ma obowiązek o tym informować, a jeżeli ta firma przekazuje część danych dalej, na przykład do zewnętrznej chmury obliczeniowej, to musi to przekazać do gabinetu, a gabinet pacjentowi.
Czytaj więcej
Resort cyfryzacji opracował pakiet zmian legislacyjnych, które uszczelnią system ochrony danych osobowych, w tym medycznych – ustaliła „Rzeczpospol...
Czwarty punkt też dotyczy informowania pacjentów, ale chodzi o powiadomienia dla obywateli o świadczeniach medycznych, które będą komunikowane za pośrednictwem aplikacji mObywatel oraz mojeIKP. Będziemy w konsultacjach rozstrzygać, czy będzie to funkcja dla chętnych, czy dla wszystkich użytkowników. W praktyce ma wyglądać to w ten sposób, że po wizycie u lekarza, po wypisaniu recepty lub po zabiegu wysyłane będzie proste powiadomienie z minimalną ilością informacji – w konkretnym dniu i godzinie, miała miejsce wizyta albo wypisano receptę, a szczegóły można sprawdzić w Internetowym Koncie Pacjenta. To jest mechanizm, który stosujemy na przykład przy zawieraniu umów OC. Ma to fundamentalne znaczenie w przypadku prób wyłudzenia świadczenia albo recepty na nasze dane osobowe. Powiadomienia będą zintegrowane równolegle i w aplikacji mObywatel, i w mojeIKP.
No i wreszcie piąty filar pakietu – nowe obowiązki dla podmiotów masowo przetwarzających dane. To chyba największa, wręcz systemowa zmiana.
Na czym polega?
W skrócie: niezależnie od tego, co dany podmiot ma wpisane w umowie komercyjnej i jaki ma formalny status, jeżeli przetwarza dane masowo, podlega dodatkowym obowiązkom. Masowo, czyli jeżeli podmiot świadczy usługi dla więcej niż 100 administratorów albo przetwarza dane dotyczące łącznie ponad 100 tys osób.
Jakie to obowiązki?
Po pierwsze, nakładamy obowiązek przekazywania danych objętych naruszeniem do NASK za pośrednictwem policji, aby zasilić portal bezpiecznedane.gov.pl. Dotychczas musieliśmy czekać na postanowienie prokuratora, co wymagało dodatkowych procedur i czasu, który jest bardzo cenny w takich postępowaniach.
Po drugie, wprowadzamy szerokie obowiązki informacyjne wobec administratora. Gabinet czy przychodnia musi otrzymać pełen pakiet informacji dotyczących audytów, testów, ocen bezpieczeństwa oraz wszystkich istotnych zmian technologicznych. Przed podpisaniem umowy musi mieć pełną wiedzę o certyfikacji, a w trakcie jej trwania – na przykład informację o podpisaniu umowy z nowym dostawcą chmurowym.
Po trzecie, wprowadzamy obowiązkową ocenę ryzyka przed rozpoczęciem przetwarzania, nie rzadziej niż raz na dwa lata oraz po każdej istotnej zmianie sposobu przetwarzania. To diametralnie zwiększa odpowiedzialność podmiotów, które nasze dane przetwarzają.
Kiedy ta Cyber Piątka mogłaby wejść w życie?
To będzie nowelizacja kilku ustaw – z pewnością nowelizacja ustawy o prawach pacjenta oraz nowelizacja ustaw w zakresie odniesienia do Krajowego Systemu Cyberbezpieczeństwa. Jeśli chodzi o ustawę o prawach pacjenta, rozmawialiśmy już z Ministerstwem Zdrowia, konsultujemy zmiany z prezesem Urzędu Ochrony Danych Osobowych i nawiązaliśmy wstępny kontakt z Naczelną Izbą Lekarską. Kiedy projekt może trafić do Sejmu? To jest zawsze wyważenie wartości pomiędzy szybkością postępowania a zapewnieniem odpowiedniego czasu na konsultacje. Odpowiedni czas na dyskusję chcemy zapewnić, ponieważ zależy nam, aby te rozwiązania zostały przyjęte przy poparciu środowiska lekarskiego i całego sektora medycznego.
Czyli kiedy?
W tym roku chcemy zamknąć temat i doprowadzić do uchwalenia przepisów. Oczywiście one nie wejdą w życie jednocześnie, z tego względu, że część obowiązków, m.in. w zakresie certyfikacji, wymaga czasu. Zapewne będzie tak, że po uchwaleniu ustawy firmy przetwarzające dane, szczególnie dane medyczne, natychmiast rozpoczną ten proces, co już samo w sobie jest dużą wartością. Damy w przepisach odpowiedni czas, pewnie kilka miesięcy, na samo formalne uzyskanie certyfikatu.
Kto będzie jednostką certyfikującą?
Mamy działający system w ramach ustawy o Krajowym Systemie Cyberbezpieczeństwa i certyfikacji cyberbezpieczeństwa. To są zarówno wyspecjalizowane podmioty prywatne, jak i publiczne – system, który działa z powodzeniem od lat. Nie tworzymy tutaj nowego mechanizmu, tylko wchodzimy w ten, który już funkcjonuje. Co kluczowe, większe obowiązki są dla podmiotów masowo przetwarzających dane, bo one w sposób naturalny mają też wyższe przychody, dlatego bardzo wyraźnie stopniujemy te wymogi. Małe gabinety i przychodnie będą miały obowiązki minimalne, sprowadzające się do przekazywania prostych informacji. W praktyce będzie to wyglądało tak, że na stronie internetowej pojawi się informacja o podmiotach przetwarzających dane, a jeśli gabinet strony nie posiada, wydrukuje ją i powiesi w miejscu widocznym dla pacjentów. Im większy podmiot, tym większe obowiązki i wymogi bezpieczeństwa.
W Cyber Piątce nie ma rozwiązań odnoszących się do roszczeń cywilnych i odszkodowań za zaniedbania dostawców IT, a to niezwykle istotna kwestia, o czym pisaliśmy niedawno w „Rzeczpospolitej”.
Naszym podstawowym zadaniem jest zabezpieczenie systemu przed podobnymi zdarzeniami. Z mojego punktu widzenia problem z roszczeniami bardzo często zaczyna się od braku wiedzy i to rozwiązujemy w naszych propozycjach – dzięki nim kwestia zidentyfikowania podmiotu przetwarzającego będzie znacznie łatwiejsza. Jeśli chodzi o samo odszkodowanie, mamy przepisy RODO i jesteśmy w pełni otwarci na rozmowy. W pierwotnych, wstępnych konsultacjach, prezes UODO nie zgłosił tego problemu, a jego postulaty – w tym zmiana art. 24 ustawy o prawach pacjenta – znalazły się w naszej Piątce.
To nie jest tak, że zamykamy się na dodatkowe przepisy. Konsultacje będą realne, więc jeśli ktoś zgłosi konkretne rozwiązania, będziemy je rozpatrywać. Naczelna Izba Lekarska pewnie przygotuje swoje dodatkowe propozycje w tym zakresie. Jeśli z Piątki zrobi się Ósemka, to tym lepiej dla pacjentów.
Dlaczego zgłaszanie wycieków do NASK ma, zgodnie z założeniami Cyber Piątki, odbywać się za pośrednictwem policji? Czy to nie wydłuży niepotrzebnie całej procedury?
Będziemy oczywiście rozmawiać o tym w konsultacjach, natomiast uważam, że pośrednictwo policji jest niezwykle ważne z punktu widzenia zabezpieczenia danych i zaufania. Proszę sobie wyobrazić mniejszą placówkę poza wielkim miastem, która staje się ofiarą incydentu. To może być podmiot, który nigdy wcześniej nie miał kontaktu z NASK-iem i po prostu nie zna tych ludzi ani procedur.
Czy projekt wygeneruje obciążenia dla budżetu państwa?
Dla budżetu państwa nie identyfikuję w tym momencie żadnych istotnych, dodatkowych obciążeń. Jedyną pozycją po stronie państwa będzie przygotowanie odpowiednich funkcji w aplikacji mObywatel, ale to pod względem technicznym i technologicznym nie stanowi dużego wyzwania.
