Wyciek danych pacjentów: NIL pyta UODO o obowiązki lekarzy i lekarzy dentystów
Czy lekarz korzystający z systemu MyDr powinien sam zgłaszać naruszenie ochrony danych? Co w sytuacji, gdy dostawca systemu nie potwierdził jeszcze, że dane konkretnej placówki zostały objęte incydentem? Naczelna Izba Lekarska zwróciła się do Prezesa Urzędu Ochrony Danych Osobowych o jednoznaczne wyjaśnienie tych kwestii.
Do Naczelnej Izby Lekarskiej zwrócili się lekarze, lekarze dentyści oraz podmioty lecznicze korzystające z systemu elektronicznej dokumentacji medycznej MyDr. Powodem były pojawiające się wątpliwości dotyczące obowiązków administratorów danych w związku z incydentem dotyczącym bezpieczeństwa danych.
Jak przypomina NIL, problem wynikał m.in. z różnicy w komunikatach UODO i firmy MyDr. Urząd wskazywał administratorom na konieczność przeprowadzenia oceny ryzyka oraz analizowania obowiązku zgłoszenia naruszenia. Jednocześnie MyDr informował swoich klientów, że na tym etapie nie muszą podejmować żadnych działań, a zgłoszenia ze strony placówek nie są obecnie wymagane. Spółka zapowiadała także indywidualny kontakt z klientami, których dane zostały objęte incydentem.
Dla lekarza prowadzącego własną praktykę nie jest to wyłącznie kwestia interpretacji komunikatów. Chodzi o obowiązki wynikające z RODO, w tym o terminy, których niedochowanie może wiązać się z konsekwencjami administracyjnymi. Dlatego NIL zwróciła się do Prezesa UODO o doprecyzowanie zasad postępowania.
NIL pyta o 72 godziny i odpowiedzialność administratora
W swoim wystąpieniu samorząd lekarski poruszył kilka praktycznych problemów. Jednym z najważniejszych jest ustalenie, od którego momentu należy liczyć 72-godzinny termin na zgłoszenie naruszenia, jeżeli lekarz nie otrzymał jeszcze indywidualnej informacji od dostawcy systemu.
NIL pyta również, czy komunikat podmiotu przetwarzającego, zgodnie z którym zgłoszenie nie jest wymagane, może zwolnić administratora z przeprowadzenia własnej oceny sytuacji. Kolejna kwestia dotyczy placówek, które nie mają jeszcze potwierdzenia, czy incydent obejmował dane ich pacjentów – w tym tego, czy w takiej sytuacji powinny dokonać zgłoszenia wstępnego.
Samorząd zwrócił uwagę także na znaczenie braku dowodów na publiczne udostępnienie danych oraz na sytuację, w której administrator nie może uzyskać od dostawcy informacji o zakresie naruszenia. NIL zapytała ponadto, czy zapowiedź indywidualnego kontaktu ze strony dostawcy systemu jest wystarczająca z punktu widzenia obowiązków podmiotu przetwarzającego.
To szczególnie istotne dla lekarzy prowadzących jednoosobowe praktyki. Jak wskazuje NIL, w takich podmiotach często nie ma rozbudowanych struktur zajmujących się ochroną danych osobowych. Lekarz musi więc podejmować decyzje na podstawie informacji przekazywanych przez dostawcę oprogramowania, jednocześnie odpowiadając za realizację obowiązków administratora danych.
UODO wcześniej wskazywał na obowiązek analizy ryzyka
W tle wystąpienia NIL pozostaje wcześniejsze stanowisko Prezesa UODO. Urząd przypomniał 12 sierpnia, że administrator, który powierzył firmie MyDr przetwarzanie danych osobowych, powinien otrzymać od podmiotu przetwarzającego informację potwierdzającą, że incydent dotyczył danych związanych z jego działalnością. Następnie konieczna jest analiza ryzyka dla praw i wolności osób fizycznych, pozwalająca ocenić, czy istnieje obowiązek zgłoszenia naruszenia UODO oraz zawiadomienia osób, których dane dotyczą.
UODO przypomniał również, że jeżeli zachodzi obowiązek zgłoszenia naruszenia, administrator powinien zrobić to bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, konieczne jest także ich zawiadomienie.
W odpowiedzi na pytania NIL Prezes UODO wyjaśnił m.in., że administrator, który otrzymał od MyDr potwierdzenie, że incydent obejmował również powierzone mu dane, powinien samodzielnie ocenić, czy doszło do naruszenia ochrony danych osobowych i czy istnieje obowiązek jego zgłoszenia.
UODO podkreślił jednocześnie, że informacje przekazywane przez podmiot przetwarzający mają charakter pomocniczy i nie zwalniają administratora z dokonania własnej oceny. Dopiero od momentu stwierdzenia przez administratora naruszenia rozpoczyna się 72-godzinny termin na zgłoszenie go organowi nadzorczemu.
Właśnie dlatego odpowiedź Prezesa UODO na pytania NIL może mieć dla środowiska lekarskiego znaczenie praktyczne. Nie chodzi bowiem wyłącznie o sam incydent MyDr, ale o wyjaśnienie, jak lekarz i lekarz dentysta powinien postąpić w sytuacji, gdy naruszenie bezpieczeństwa danych następuje po stronie zewnętrznego dostawcy systemu, któremu powierzono dane pacjentów.
Naczelna Izba Lekarska podkreśla, że celem wystąpienia było uzyskanie jednoznacznych wskazówek, które pozwolą lekarzom i lekarzom dentystom prawidłowo realizować obowiązki wynikające z RODO, bez ryzyka przekroczenia terminów wynikających z RODO.
Źródła: https://nil.org.pl/
https://uodo.gov.pl/
