Czy po wycieku, choć de facto była to kradzież, danych dotyczących blisko 19 mln osób można jeszcze mówić o pojedynczym incydencie, czy raczej już o całkowitej porażce ochrony danych medycznych?
To oczywiście jest bardzo poważny incydent zarówno z uwagi na liczbę osób, które mogły zostać dotknięte tym atakiem, jak i przede wszystkim ze względu na zakres danych, bo to informacje o zdrowiu pacjentów.
Obecnie trwają intensywne ustalenia zarówno w samej firmie prowadzącej serwis MyDr, jak i po stronie służb odpowiedzialnych za cyberbezpieczeństwo. Postępowanie prowadzi też prokuratura, co oznacza, że służby są w trakcie namierzania sprawców. Ponadto postępowanie kontrolne przeprowadzą również specjaliści Urzędu Ochrony Danych Osobowych.
Czytaj więcej
Firma MyDr podała, że zaatakowane zostały archiwalne zasoby firmy, głównie z 2024 r. i wcześniejszych lat. Skala incydentu jest ogromna – wg. rządu...
MyDr w świetle prawa ochrony danych osobowych jest podmiotem przetwarzającym, czyli procesorem. To oznacza, że mamy tu mechanizm outsourcingu, czyli placówki medyczne, zarówno duże firmy, jak Lux Med, Enel-Med czy Medicover, jak i małe przychodnie czy indywidualni lekarze prowadzący praktykę, powierzają takiemu podmiotowi przetwarzanie danych. I gdy czytam wypowiedzi dużych sieci medycznych, to część z nich potwierdza, że wyciek dotknął tylko niektórych placówek, a zakres danych może obejmować dane podstawowe, a nie zdrowotne. Dodatkowo spółka MyDr podała, że skradzione dane dotyczą okresu do 2024 r. To nieco zmniejsza napięcie towarzyszące tej sprawie, choć wciąż problem jest ogromny.
Co obecnie wiadomo na temat tego wycieku? Czy można było go uniknąć?
Tego do końca jeszcze nie wiadomo. To jest przedmiotem trwających ustaleń organów odpowiedzialnych w Polsce za cyberbezpieczeństwo, jak i naszego postępowania, czyli kontrolerów UODO. Przeprowadzimy postępowanie wyjaśniające, dzięki któremu ustalimy, czy rzeczywiście można było uniknąć tego incydentu. Kontrolerzy UODO sprawdzą u MyDr środki techniczne i organizacyjne. Będą ustalać również, czy zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń. Przedmiotem kontroli będzie też sprawdzenie, czy analiza ryzyka uwzględniała możliwe zagrożenia dla przetwarzanych danych i czy jej wyniki zostały zastosowane w praktyce.
Czytaj więcej
Wyciek danych blisko 19 mln Polaków ujawnił problem, który może być znacznie większy niż sam cyberatak na MyDr. Adam Haertle, redaktor naczelny por...
Co wynika z dotychczasowych doświadczeń UODO? Co najczęściej zawodzi?
Często w toku naszych postępowań dochodzimy do wniosku, że administrator bądź podmiot przetwarzający nie przeprowadził analizy ryzyka albo zrobił to nieprawidłowo, co spowodowało, że niewłaściwie zabezpieczał dane osobowe. Nierzadko nie przewidywał ataku ransomware (red.: przez złośliwe oprogramowanie) albo takie ryzyko zlekceważył celowo, by zaoszczędzić na zabezpieczeniach. Częstym problemem jest brak aktualizacji systemów, monitorowania, audytowania i wprowadzenia wszelkich gwarancji zabezpieczających przed wyciekiem czy atakiem. Gdyby jednak w tej sprawie okazało się, że wystąpiły tego rodzaju problemy, to nie byłoby to czymś nowym. Ale trzeba powiedzieć sobie jasno, że dzisiaj Polska i polskie firmy są celem ataków na skalę wręcz masową. Jesteśmy jednym z najbardziej atakowanych państw na świecie. Zagrożenia są ogromne, a niektóre ataki potrafią przełamać nawet bardzo dobre zabezpieczenia.
Nie może być tak, że kiedy nic się nie dzieje, ochrona danych osobowych jest uznawana za nikomu niepotrzebny, biurokratyczny obowiązek, a dopiero kiedy coś się stanie, pojawiają się wezwania do nakładania wysokich kar.
Uważam też, że dzisiaj ochrona danych osobowych to nie jest tylko ochrona danych konkretnego pacjenta. To jest element odporności całego państwa i zapewnienia mu bezpieczeństwa, bo tego typu atak potrafi podważyć zaufanie do systemu ochrony zdrowia czy do organów państwa.
Dobrze, ale czy jednak nie jest to systemowy błąd, że dane milionów pacjentów mogą być skoncentrowane u jednego prywatnego dostawcy?
Wielokrotnie podkreślamy, że łączenie i tworzenie wielkich baz niesie ze sobą ogromne ryzyko. Dotyczy to zarówno baz firm prywatnych, jak i instytucji publicznych. Mamy przecież także wielkie bazy państwowe, które również w każdej chwili mogą zostać zaatakowane. Zmiana właściciela takiej bazy z prywatnego na państwowego nie jest więc czymś, co zniesie ryzyko. Natomiast ryzyko pojawia się przy łączeniu baz. Może je zmniejszyć dopiero dywersyfikacja, rozparcelowanie informacji i dekoncentracja ich przechowywania. I można to przecież robić również wtedy, gdy dane są przetwarzane przez prywatny podmiot. Pytanie, czy rzeczywiście nie powinien to być jeden z elementów zabezpieczenia takich baz.
Niezwykle ważne są przepisy dotyczące cyberbezpieczeństwa wdrażające NIS2 (dyrektywę w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii). Jeśli chodzi o zabezpieczenia od strony cyberbezpieczeństwa, to one odgrywają kluczową rolę. RODO także jest ważne, bo nakłada wysokie wymagania na administratorów i podmioty przetwarzające. Wymaga analizy ryzyka i mechanizmów ochrony, a nie zapewnienia zgodności na papierze. Zadaniem organu nadzorczego jest zaś weryfikacja, czy proces ten wykonano i wdrożono prawidłowo.
Czytaj więcej
Kradzież danych pacjentów z serwisu MyDr otwiera drogę do odszkodowań i wysokich kar finansowych. Musi się z nimi liczyć 12 tys. przychodni współpr...
Dzisiaj czytam wezwania, że spółka MyDr powinna otrzymać bardzo wysoką karę. Za wcześnie, żeby to przesądzać. Ale kiedy rok temu nałożyłem ponadmilionową karę na szpital, słyszałem, że to głupota, bo ochrona danych osobowych i kary odbierają pieniądze na leczenie pacjentów. Przeczytałem nawet wypowiedź lekarza, że jak następnym razem ktoś umrze, to trzeba będzie pomyśleć o RODO. Nie może być tak, że kiedy nic się nie dzieje, ochrona danych osobowych jest uznawana za nikomu niepotrzebny, biurokratyczny obowiązek, a dopiero kiedy coś się stanie, pojawiają się wezwania do nakładania wysokich kar. Mają one oddziaływać prewencyjnie.
Wysokość nakładanych kar wyraźnie wzrosła. W sumie w 2023 r. nałożono ich 1,23 mln zł, w 2024 r. – 13 mln zł, a w ubiegłym roku aż 64 mln zł. Ma to służyć realnej ochronie danych osobowych i uświadamiać administratorom, że obowiązki wynikające z RODO trzeba rzeczywiście wykonywać, a temu sprzyja także realna groźba kary i skutecznego postępowania.
W tej sprawie mamy jednak tysiące administratorów korzystających z systemów MyDr.
To dosyć specyficzna sytuacja. Nie jestem szczególnie zadowolony z perspektywy, że do urzędu wpłyną tysiące zawiadomień od administratorów, ponieważ wiemy, że odpowiedzialny tutaj w pierwszym rzędzie jest podmiot przetwarzający. Natomiast zgodnie z przepisami każdy w tym łańcuchu biznesowym ma swoje obowiązki. Ryzyko kary dla administratorów w praktyce zapewne nie jest wielkie, ponieważ wiemy, w czym jest rzecz.
Na obecnym etapie porządek działania jest taki, że podmiot przetwarzający zawiadamia administratora o ataku i wycieku danych powierzonych mu przez konkretnego administratora. Dopiero gdy administrator otrzyma taką informację, biegnie dla niego termin 72 godzin na zgłoszenie incydentu prezesowi UODO. Dopiero na podstawie informacji od podmiotu przetwarzającego administrator będzie też wiedział, kogo ma zawiadomić spośród osób fizycznych. Zapewne w większości przypadków będziemy mieli do czynienia z wysokim ryzykiem i obowiązek zawiadomienia pacjentów będzie się aktualizował. Trzeba jednak uzbroić się jeszcze trochę w cierpliwość, żeby operować konkretami i nie powodować dodatkowego zamieszania.
Czytaj więcej
To jeden z największych wycieków danych medycznych w historii Europy. Dokumentacja niemal 19 mln obywateli została skradziona z firmy MyDr. Teraz P...
Obowiązujące przepisy nie przewidują grupowych zgłoszeń, a żeby to zmienić, trzeba byłoby zmienić RODO, co ze względu na to, że to akt unijny, oznaczałoby bardzo długi proces. To prawda, że takie sytuacje są rzeczywiście kłopotliwe. Dlatego zostanie przygotowany wzór formularza precyzyjnie dostosowany do specyfiki tego wycieku danych. Współpracujemy z podmiotem przetwarzającym. Zapowiedział, że będzie przekazywał formularz wszystkim administratorom.
Mam nadzieję, że pomoże to w precyzyjnym i szybkim dokonaniu zgłoszeń. Oczywiście sam chętnie widziałbym mechanizm pozwalający rozwiązać problem zbiorowo, bo przecież my również będziemy musieli każde zgłoszenie obsłużyć osobno, ale dzisiejsze przepisy takiej możliwości nie dają.
RODO zakłada też, że administrator kontroluje procesora, ale jak mały gabinet lekarski ma realnie kontrolować tak dużego dostawcę IT?
Przede wszystkim wymagania profesjonalizmu są skierowane do podmiotu przetwarzającego. Administratorzy wynajmują jego usługi w zaufaniu, że spełnia wszystkie standardy i to nie tylko wynikające z RODO, ale również wysokie standardy z zakresu cyberbezpieczeństwa. Nie zwalnia to jednak administratora z myślenia – zawsze ma obowiązek uprzedniej weryfikacji podmiotu przetwarzającego, przed powierzeniem mu przetwarzania, czy daje on wystarczające gwarancje zapewnienia poziomu bezpieczeństwa.
Oczywiście, dzisiaj najważniejsze jest znalezienie sprawców przez służby, ustalenie, co się rzeczywiście wydarzyło, oraz pomoc pacjentom, których dane wyciekły, ale kiedy opadnie pierwszy kurz, trzeba pomyśleć o zmianach w przepisach prawa. Analizując przepisy ustawy o Krajowym Systemie Cyberbezpieczeństwa, nie znajdziemy w nich wyraźnego wskazania podmiotów takich jak ten konkretny procesor.
Firmy z sektora ochrony zdrowia przetwarzające tak liczne dane powinny być wyraźnie objęte statusem podmiotu ważnego czy kluczowego w obszarze cyberbezpieczeństwa.
Nie chcę wchodzić w obszar, który nie należy bezpośrednio do moich kompetencji, ale po kilku dniach rozmów dotyczących MyDr dochodzę do wniosku, że firmy z sektora ochrony zdrowia, które przetwarzają tak dużą ilość danych, powinny być wyraźnie objęte statusem podmiotu ważnego lub kluczowego w obszarze cyberbezpieczeństwa, nawet jeżeli oznaczałoby to wyjście poza minimalny zakres wymagań wynikających z prawa Unii Europejskiej.
Czy w tym może pomóc unijne rozporządzenie EHDS dotyczące europejskiej przestrzeni danych zdrowotnych?
Wdrożenie EHDS będzie bardzo istotne. Od ponad roku apeluję do Ministerstwa Zdrowia o podjęcie prac i współpracę także z Urzędem Ochrony Danych Osobowych i nowe kierownictwo odpowiada na ten apel pozytywnie. Wiem, że realizacja KPO powoduje, że ministerstwo dopiero teraz przystąpi do tych prac intensywniej. A to zadanie fundamentalne. Wymiana elektronicznych danych zdrowotnych na poziomie całej Unii Europejskiej musi dawać gwarancję wysokiego poziomu ochrony danych osobowych i bezpieczeństwa. Inaczej pacjenci będą odmawiali albo sprzeciwiali się wymianie takich danych i będzie to w pełni zrozumiałe.
Kwestia zabezpieczeń jest kluczowa. Uważam, że dzisiaj państwo powinno myśleć nie tylko o kupowaniu czołgów i inwestowaniu w nowe samoloty myśliwskie, ale inwestować miliardy również w zabezpieczenia cyfrowe. To nie jest już tylko kwestia indywidualnego bezpieczeństwa obywateli. To jest kwestia bezpieczeństwa państwa w takim samym wymiarze jak bezpieczeństwo militarne na granicy.
Trzeba więcej wymagać przede wszystkim od profesjonalnych firm. Jeżeli firma podejmuje się przetwarzania danych osobowych i na tym zarabia, zakładam, że duże pieniądze, to powinna odpowiednio inwestować w swoje rozwiązania. Tak samo państwo musi inwestować w swoje rozwiązania cyber. Cyfryzujemy prawie wszystko, przechodzimy do internetu i nie możemy ani na chwilę zapomnieć, że żyjemy w niebezpiecznych czasach. Bo nie możemy wrócić do papieru. Wymiana danych medycznych, możliwość korzystania z nich przez lekarza nie tylko w gabinecie, możliwość udzielenia porady czy wysłania pacjentowi recepty nawet z zagranicy to są przecież ogromne korzyści.
Czytaj więcej
W ostatnich dniach doszło do wycieku danych medycznych 19 mln Polaków. Wicepremier Krzysztof Gawkowski zaapelował o zastrzeżenie numeru PESEL. W me...
Jednocześnie wzywałbym do rozsądku i unikania dezinformacji, bo np. pojawiły się absurdalne doniesienia, że państwo poprzez portal bezpiecznedane.gov.pl chce przejąć informacje o zdrowiu obywateli. Wyjaśniam, że nie ma takiej możliwości, ponieważ w serwisie Bezpieczne Dane mogą być przetwarzane wyłącznie dane zwykłe, a nie dane szczególne dotyczące zdrowia. Chodzi więc o takie informacje jak imię, nazwisko, numer PESEL, płeć czy adres zamieszkania. Obywatel może sprawdzić, czy jego dane były przedmiotem ataku, ale państwo nie uzyskuje w ten sposób dostępu na przykład do wyników badań czy innych informacji o stanie zdrowia. Ci, którzy twierdzą inaczej, po prostu nie znają obowiązujących przepisów.
Pojawiają się pomysły, żeby państwo mogło przejmować całe bazy danych, choć w moim przekonaniu takie rozwiązanie jest niedopuszczalne. Absolutnie nie może być tak, że państwo jednostronnie przejmuje wszystkie wyniki badań i informacje o stanie zdrowia obywateli. Inaczej tego rodzaju mechanizm mógłby stać się narzędziem walki politycznej i zagrożeniem dla demokracji.
Czytaj więcej
W przypadku wycieku danych zastrzeżenie numeru PESEL powinno być tylko jednym z pierwszych kroków. Trzeba też zmienić zagrożone hasła i przez kolej...
Co powinien dzisiaj zrobić zwykły pacjent?
Incydent jest bardzo poważny, ale nie wpadajmy w histerię i nie dolewajmy benzyny do ognia. W pierwszym rzędzie mamy obowiązki administratorów i podmiotu przetwarzającego. To jest ich odpowiedzialność. Państwo odpowiada za skuteczne udzielenie pomocy i znalezienie sprawców. Natomiast popieram apel Ministerstwa Cyfryzacji – warto zastrzec numer PESEL. Przy tej skali prawdopodobieństwo, że ktoś został dotknięty atakiem, jest realne. Każdy, kto korzysta z prywatnej służby zdrowia, mógł zostać nim dotknięty.
I co też podkreśla wielu ekspertów, trzeba szczególnie w kolejnych tygodniach i miesiącach przestrzegać zasad higieny cyfrowej, czyli być powściągliwym przy przekazywaniu danych, zachować ostrożność, kiedy ktoś przez internet czy telefon prosi nas o informacje. To powinno zresztą obowiązywać nie tylko w związku z tym incydentem, ale każdego dnia. Oczekujmy skuteczności od biznesu i od państwa, ale sami także zabezpieczajmy swoje dane.
