Z systemu MyDr wyciekły w sierpniu dane, które mogły dotyczyć nawet 19 mln osób. Z oprogramowania korzystało ok. 12 tys. placówek medycznych. Pod koniec września ujawniono atak na Medyc, aplikację firmy Qbusoft, który według doniesień medialnych mógł objąć ok. 5 mln osób. Urząd Ochrony Danych Osobowych szybko przypomniał, że obowiązek zawiadomienia pacjentów spoczywa na administratorach, którzy korzystali z usług MyDr. Formalnie to prawda. Problem w tym, że przepisy, na których opiera się to stwierdzenie, zostały napisane dla zupełnie innego świata.
Czytaj więcej
Kradzież danych pacjentów z serwisu MyDr otwiera drogę do odszkodowań i wysokich kar finansowych. Musi się z nimi liczyć 12 tys. przychodni współpr...
Model z innej epoki
Konstrukcja powierzenia z art. 28 RODO zakłada określony układ sił. Administrator decyduje o celach przetwarzania, wybiera dostawcę, który zapewnia „wystarczające gwarancje”, negocjuje umowę, audytuje go i wydaje mu polecenia. Dostawca jest wykonawcą. Ten model dobrze opisuje przykład banku, który zleca obsługę korespondencji małej drukarni.
Na rynku oprogramowania medycznego jest odwrotnie. Po jednej stronie stoi dostawca obsługujący tysiące podmiotów, po drugiej przychodnia z kilkoma gabinetami. Umowę powierzenia akceptuje się razem z regulaminem, jednym kliknięciem. Przychodnia nie wynegocjuje terminu zawiadomienia o incydencie, nie przeprowadzi audytu i nie oceni architektury systemu, bo nie ma ani siły rynkowej, ani kompetencji. Prawo każe jej kontrolować podmiot, nad którym nie ma realnej kontroli. To fikcja o konkretnych skutkach.
Czytaj więcej
Po wycieku danych nawet 19 mln pacjentów z systemu MyDr Ministerstwo Cyfryzacji zapowiada zmianę prawa i uszczelnienie przepisów – donosi Rynek Zdr...
Regres, który niewiele daje
Wobec poszkodowanych administrator i podmiot przetwarzający odpowiadają solidarnie. Każdy z nich odpowiada za całą szkodę, a rozliczają się między sobą później, w drodze regresu. Pacjent pozwie przychodnię, którą zna, a nie spółkę informatyczną. Przychodnia zapłaci i zwróci się do dostawcy, a tam trafi na dwie przeszkody. Pierwszą jest limit odpowiedzialności ze wzoru umowy, zwykle powiązany z wysokością abonamentu. Czy umowny limit może w ogóle ograniczyć regres przewidziany wprost w RODO, jest kwestią sporną, ale dostawca z pewnością się na niego powoła, a spór o jego skuteczność może trwać latami. Drugą przeszkodą jest skala. Gdy roszczenia pochodzą od milionów osób, a Trybunał Sprawiedliwości UE uznał, że szkodą niemajątkową może być już sama obawa przed wykorzystaniem danych (wyrok z 14 grudnia 2023 r., C-340/21), majątek dostawcy może po prostu nie wystarczyć na pokrycie roszczeń 12 tys. administratorów. Solidarność, która miała chronić poszkodowanych, w praktyce przerzuca ryzyko na najsłabsze ogniwo łańcucha.
Czytaj więcej
Osoby, których dane wykradziono z MyDr mają szansę na zadośćuczynienie. Kokosów jednak nie powinny się spodziewać, a jeśli zażądają zbyt wiele, to...
Osobny problem ma charakter dowodowy. W tym samym wyroku TSUE przesądził, że to administrator musi wykazać, iż wdrożone środki bezpieczeństwa były odpowiednie, a sam fakt, że szkodę wyrządzili hakerzy, nie zwalnia go z odpowiedzialności. Przychodnia ma więc udowodnić adekwatność zabezpieczeń systemu, do którego nie ma dostępu i o którym wie tyle, ile dostawca zechce jej pokazać. Ciężar dowodu spoczywa na tym, kto ma najmniej dowodów.
Tysiące zawiadomień o jednym zdarzeniu
Fikcję widać także przy zawiadomieniach. Każda z placówek musi osobno ocenić ryzyko, osobno zgłosić naruszenie prezesowi UODO w ciągu 72 godzin i osobno zawiadomić pacjentów. Termin biegnie od chwili, gdy administrator dowie się o naruszeniu, czyli w praktyce od zawiadomienia przez dostawcę. Ocenia zdarzenie, którego nie widział, na podstawie informacji od tego samego dostawcy. Pacjent leczący się w trzech miejscach może dostać trzy różne zawiadomienia o tym samym wycieku. Urząd dostaje tysiące zgłoszeń jednego zdarzenia. Nikt na tym nie zyskuje, a najmniej pacjent.
Przychodnia może wprawdzie zmienić dostawcę, ale przeniesienie elektronicznej dokumentacji medycznej z jednego systemu do drugiego oznacza miesiące pracy, ryzyko utraty danych i przestój w przyjmowaniu pacjentów. Swoboda wyboru, która ma uzasadniać odpowiedzialność, jest tu iluzoryczna.
Czytaj więcej
– Po incydencie MyDr trzeba wyciągnąć systemowe wnioski. Należy myśleć nie tylko o kupowaniu czołgów, ale inwestować miliardy również w zabezpiecze...
Paradoks pogłębia prawo cyberbezpieczeństwa. Dyrektywa NIS2 w motywie 33 zalicza oprogramowanie udostępniane jako usługa do modeli usług przetwarzania w chmurze, a ich dostawcy należą do sektora infrastruktury cyfrowej. Średni lub duży dostawca dokumentacji medycznej w chmurze może więc sam być podmiotem ważnym albo kluczowym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa (KSC), z własnymi obowiązkami i karami. Dla jednego prawa jest głównym zobowiązanym, dla drugiego tylko wykonawcą poleceń przychodni.
Cyber Piątka trafia obok celu
Ministerstwo Cyfryzacji dostrzegło problem. Pakiet tzw. Cyber Piątki, przedstawiony 31 sierpnia, przewiduje m.in. certyfikację podmiotów przetwarzających dane medyczne, informowanie pacjentów o powierzeniu ich danych oraz dodatkowe obowiązki dla dostawców obsługujących ponad 100 administratorów lub dane ponad 100 tys. osób.
To krok w dobrą stronę, bo wyodrębnia dostawców o szczególnej skali. Pakiet poprawia jednak przede wszystkim bezpieczeństwo przed incydentem, certyfikacja ma sprawić, że do wycieku dojdzie rzadziej. Nie zmienia natomiast tego, kto odpowiada, gdy do niego dojdzie. Informowanie pacjentów o powierzeniu dodaje przychodniom obowiązek, zamiast zdjąć ten, któremu nie mogą sprostać.
Czytaj więcej
Do tej pory prosiliśmy, zwracaliśmy się do firm, wskazywaliśmy kierunki i wysyłaliśmy rekomendacje. A teraz będziemy przygotowywać listy podmiotów,...
Dostawca systemowy, odpowiedzialność systemowa
Ustawodawca ma tu pole do działania, a dostawców powyżej progu z Cyber Piątki łatwo zdefiniować. Chodzi o kilku dostawców systemowych, a nie o setki małych firm informatycznych, dla których ostre przepisy byłyby barierą wejścia. Wobec dostawców systemowych potrzebne są trzy rozwiązania.
Po pierwsze, obowiązek zgłoszenia naruszenia prezesowi UODO i jednego, centralnego zawiadomienia pacjentów w imieniu wszystkich administratorów. Wytyczne Europejskiej Rady Ochrony Danych już dziś pozwalają upoważnić dostawcę do zgłoszenia w imieniu administratora, ale zależy to od dobrej woli dostawcy. Podstawą do zmiany może być art. 9 ust. 4 RODO, który pozwala państwom członkowskim wprowadzać dodatkowe warunki przetwarzania danych dotyczących zdrowia.
Po drugie, obowiązkowe ubezpieczenie odpowiedzialności cywilnej z sumą gwarancyjną odpowiadającą liczbie osób, których dane dostawca przetwarza.
Po trzecie, ustawowe minimum odpowiedzialności dostawcy wobec administratorów, poniżej którego umowa nie może jej ograniczać. Te dwa rozwiązania nie wymagają sięgania do RODO, bo relacja administratora z dostawcą podlega prawu krajowemu, np. ustawie o systemie informacji w ochronie zdrowia. Zyskaliby na nich także sami dostawcy, którzy naprawdę dbają o bezpieczeństwo, bo przestaliby konkurować z tańszymi rywalami przerzucającymi ryzyko na klientów.
Na razie pozostaje umowa
Problem nie dotyczy tylko medycyny. Kancelarie, biura rachunkowe i agencje pracy też podpisują wzory dostawców obsługujących tysiące klientów. Im także pozostaje umowa. Warto walczyć o termin zawiadomienia o incydencie liczony w godzinach, raport z niezależnego audytu, zgodę na podwykonawców i zwrot danych po zakończeniu współpracy. Przede wszystkim jednak o to, by naruszenia ochrony danych wyłączyć spod ogólnego limitu odpowiedzialności albo objąć osobnym, wyższym limitem wspartym ubezpieczeniem. Podmioty objęte ustawą o KSC mają dodatkowy argument: muszą zarządzać bezpieczeństwem łańcucha dostaw.
Nie chodzi o zwolnienie placówek z odpowiedzialności. Za uprawnienia personelu, zabezpieczenie stanowisk pracy i sposób przekazywania dokumentacji przychodnia powinna odpowiadać w pełni. Odpowiedzialność powinna jednak iść za realną kontrolą nad ryzykiem. Dziś idzie za fikcją, w której przychodnia z trzema gabinetami ma nadzorować spółkę obsługującą 12 tys. klientów.
Hakerzy już zrozumieli, że jeden dostawca to dostęp do tysięcy firm naraz. Prawo wciąż udaje, że każda z tych firm sama go wybrała i sama nad nim czuwa.
Autor jest radcą prawnym, prowadzi w Warszawie kancelarię Tax Fin Law, doradza podmiotom w zakresie ochrony danych osobowych, cyberbezpieczeństwa i prawa spółek
