W jego ocenie po skali kar nakładanych wcześniej przez UODO widać, że problem zabezpieczenia danych i organizacji kwestii technicznych, strategicznych i zarządczych ma znaczenie.
– Tych przypadków jest coraz więcej, bo jako Polska jesteśmy przedmiotem wielu ataków – mówił gość studia PAP.
Według niego systemowo mamy też do czynienia z lekceważeniem i niedoszacowaniem ryzyka przez administratorów.
– To jest decyzja zarządcza, że ubezpieczymy się i zapłacimy karę (z tytułu utraty danych – PAP), ale nie zainwestujemy w cyberbezpieczeństwo, bo to niestety kosztuje. Często tak jest – powiedział.
Sprawa MyDr doprowadzi do zmiany przepisów
Dr Wróblewski był pytany przez PAP o trwającą kontrolę UODO w spółce MyDr po cyberataku na nią, w wyniku którego wyciekły dane 19 mln Polaków, m.in. o lekach i receptach.
– Co do istoty wiemy, co się stało, jakie były przyczyny. Sporo materiału zebraliśmy i będziemy go w urzędzie drobiazgowo analizować – dodał, wyjaśniając, że kontrolowano zarówno dokumentację, jak i stan techniczny zabezpieczeń. Nie chciał ujawnić konkluzji UODO przed zakończeniem postępowania.
Czytaj więcej
Do Urzędu Ochrony Danych Osobowych wpłynęły już setki zgłoszeń dotyczących naruszenia danych pacjentów po cyberataku na systemy firmy MyDr. Jak inf...
Jak podkreślił, w sprawie MyDr występuje szczególna odpowiedzialność przetwarzającego dane, bo mamy do czynienia z wielką ich liczbą – około 19 mln osób, a po drugie są to dane najbardziej wrażliwe, bo o stanie zdrowia, więc procedury powinny gwarantować bardzo wysoki, szczególny standard ochrony danych.
– Problemem jest to, że dzisiaj przepisy są bardzo ogólne. Przepisy ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta mówią o możliwości powierzania przetwarzania danych osobowych, co w ogóle jest w moim przekonaniu kuriozum, bo mamy do czynienia z tajemnicą lekarską – czyli koniecznością szczególnej ochrony danych o zdrowiu – a z drugiej strony ustawa pozwoliła na takie przetwarzanie także podmiotom prywatnym – dodał.
Wróblewski powiedział, że na prośbę wicepremiera, ministra cyfryzacji Krzysztofa Gawkowskiego przeanalizował tę ustawę i zasugerował jej zmianę, by zapisać w niej, że takie podmioty muszą stosować wyłącznie certyfikowane oprogramowanie w rozumieniu ustawy o Krajowym Systemie Certyfikacji.
Jego zdaniem powinno się to znajdować pod ścisłym nadzorem państwa, bo dziś jest też tak, że żaden z resortów nie ma pełnej wiedzy, ile jeszcze jest takich podmiotów i ile danych jest przetwarzanych.
– To by też ułatwiło kontrole UODO. Dane o zdrowiu to są jedne z naszych najcenniejszych danych, nie tylko dla nas samych, bo one mają też wartość ekonomiczną i dlatego są przedmiotem ataków – podkreślił.
Czytaj więcej
Po wycieku danych 19 mln Polaków z bazy firmy MyDr rządowy serwis Bezpieczne Dane uruchomił możliwość sprawdzenia zakresu informacji ujawnionych w...
PESEL zastrzeżony domyślnie u wszystkich? "To musi być decyzja polityczna"
Prezes UODO ocenił, że dziś zastrzeżenie numeru PESEL jest najskuteczniejszym środkiem ochrony przed nieuprawnionym użyciem danych, np. przez wzięcie na nie kredytu. Bezpośrednio po wycieku danych z MyDr zrobiło tak 2 mln osób. Jak dodał, trwają dyskusje, czy PESEL powinien być zastrzeżony domyślnie dla wszystkich. Przeciwwskazaniem byłaby tu jednak dodatkowa uciążliwość dla niemałej grupy osób starszych, niekorzystających z narzędzi cyfrowych, o których trzeba pamiętać.
– Tu musi być, mówiąc krótko, decyzja polityczna – podsumował.
Ministerstwo Cyfryzacji 12 sierpnia potwierdziło informację o cyberataku na firmę MyDr. Jest ona dostawcą systemu do prowadzenia elektronicznej dokumentacji medycznej. Dane, które wyciekły, dotyczą 12 tys. podmiotów medycznych korzystających z platformy MyDr.
