Incydent może obejmować dane 18,8 mln osób i ponad 12 tys. placówek. Chodzi m.in. o numery PESEL, dane o receptach, lekach, wizytach i notatkach medycznych. Prezes UODO wszczął kontrolę w MyDr, która ma wykazać, czy stosowane zabezpieczenia były testowane pod kątem zmieniających się zagrożeń.
Administratorem danych jest przychodnia
Jak podaje „Rynek Zdrowia”, administratorem danych jest w tym przypadku gabinet, praktyka lub przychodnia i to te placówki ponoszą w pierwszej kolejności odpowiedzialność za wyciek danych pacjentów. MyDr działa natomiast jako podmiot przetwarzający. Prawnik Mariusz Busiło stwierdził, że lekarze powinni najpierw sprawdzić, czy korzystali z usług firmy MyDr, a następnie zweryfikować treść umowy zawartej z dostawcą systemu.
Czytaj więcej
Kradzież danych pacjentów z serwisu MyDr otwiera drogę do odszkodowań i wysokich kar finansowych. Musi się z nimi liczyć 12 tys. przychodni współpr...
Jeśli umowa nie przewidywała wystarczających zabezpieczeń, a administratorzy nie zgłaszali zastrzeżeń, oznacza to, że wzięli na siebie ryzyko wycieku danych. W praktyce więc od zapisów w dokumencie zależy, czy dana placówka lub lekarz będzie w stanie wybronić się przed prezesem Urzędu Ochrony Danych Osobowych (UODO) i ewentualnymi roszczeniami pacjentów.
Dane pacjentów mogły być udostępniane podmiotom trzecim
Dodatkowe wątpliwości dotyczą infrastruktury, na której działał system MyDr. Mariusz Busiło w rozmowie z „Rynkiem Zdrowia” zwrócił uwagę, że była to usługa chmurowa korzystająca z infrastruktury podmiotów trzecich. Z upublicznionych umów, które MyDr zawarł z podmiotami leczniczymi, wynika, że wśród podwykonawców świadczących usługi chmurowe znaleźli się m.in. Google i Amazon.
Czytaj więcej
W ostatnich dniach doszło do wycieku danych medycznych 19 mln Polaków. Wicepremier Krzysztof Gawkowski zaapelował o zastrzeżenie numeru PESEL. W me...
Ekspert podkreślił, że przekazywanie danych poza Europejski Obszar Gospodarczy podlega szczególnym wymogom RODO. Zwrócił też uwagę na amerykański Cloud Act, który w określonych przypadkach pozwala służbom USA żądać dostępu do danych elektronicznych firm mających siedzibę w Stanach Zjednoczonych, również wtedy, gdy dane są fizycznie przechowywane na serwerach w Europie. Nie wiadomo więc, kto i na jakich zasadach miał dostęp do danych medycznych Polaków.
Lekarz nie zawsze odpowie za wyciek danych
Jak pisaliśmy na łamach „Rzeczpospolitej”, placówki korzystające z systemu powinny teraz ustalić, czy wyciek objął dane ich pacjentów, przeprowadzić analizę ryzyka oraz – jeśli będzie to konieczne – zgłosić naruszenie do UODO i poinformować pacjentów.
Należy jednak wspomnieć o tym, że nie każdy lekarz odpowiada jako administrator danych. Specjalista działający z upoważnienia przychodni może jedynie przetwarzać dane w jej imieniu. Inaczej jest natomiast w przypadku indywidualnej praktyki lub lekarza będącego samodzielnym administratorem albo współadministratorem danych. Oprócz tego własną odpowiedzialność ponosi lekarz, który przetwarza dane w celu własnym, poza upoważnieniem.
Czytaj więcej
– Po incydencie MyDr trzeba wyciągnąć systemowe wnioski. Należy myśleć nie tylko o kupowaniu czołgów, ale inwestować miliardy również w zabezpiecze...
