Wyciek danych z MyDr: UODO odpowiada lekarzom. Co z 72 godzinami?

Czy lekarz lub lekarz dentysta musi zgłosić naruszenie danych pacjentów, jeżeli dostawca systemu MyDr informuje, że zgłoszenie nie jest obecnie wymagane? I kiedy zaczyna się 72-godzinny termin na zawiadomienie UODO? Odpowiedź Prezesa Urzędu Ochrony Danych Osobowych na zapytania Prezesa Naczelnej Izby Lekarskiej porządkuje najważniejsze wątpliwości dotyczące odpowiedzialności placówek medycznych korzystających z zewnętrznego systemu EDM.

Kluczowe znaczenie ma rozróżnienie ról. Serwis MyDr jest podmiotem przetwarzającym dane, natomiast administratorem pozostaje placówka medyczna lub lekarz, który powierzył firmie dane pacjentów. To administrator odpowiada za ocenę, czy doszło do naruszenia i czy jego skutki wymagają zgłoszenia Prezesowi UODO.

Dlatego informacja otrzymana od dostawcy systemu nie zwalnia administratora z dokonania własnej oceny. Może być istotnym elementem tej oceny, ale nie zastępuje decyzji administratora. UODO wskazuje jednocześnie, że podmiot przetwarzający powinien przekazać informacje niezbędne do wykonania obowiązków wynikających z RODO.

To istotne zwłaszcza w sytuacji, gdy dostawca informuje, że konkretna placówka nie musi jeszcze zgłaszać naruszenia. Taki komunikat nie oznacza automatycznie, że administrator nie ma już żadnych obowiązków.

Kiedy zaczyna się 72-godzinny termin na zgłoszenie naruszenia?

Termin 72 godzin nie rozpoczyna się automatycznie w chwili pojawienia się informacji o cyberincydencie. UODO wskazuje, że punkt wyjścia stanowi stwierdzenie przez administratora naruszenia. W praktyce oznacza to konieczność ustalenia, czy incydent rzeczywiście dotyczył danych powierzonych przez daną placówkę. Jeżeli lekarz nie ma jeszcze informacji pozwalających stwierdzić, że naruszenie objęło dane jego pacjentów, powinien zwrócić się do podmiotu przetwarzającego o wyjaśnienia. Sam brak takich informacji nie oznacza jednak, że administrator może pozostawać bezczynny.

Sytuacja zmienia się w momencie, gdy administrator stwierdzi już naruszenie. Wówczas rozpoczyna się 72-godzinny termin na zgłoszenie naruszenia, nawet jeżeli administrator nadal oczekuje na dodatkowe informacje od dostawcy – potrzebne do pełnej oceny sytuacji.

MyDr ma przekazać informacje, ale odpowiedzialność spoczywa na administratorze

UODO przypomina, że podmiot przetwarzający powinien współpracować z administratorem przy realizacji jego obowiązków. Chodzi między innymi o informacje pozwalające ustalić, jakie dane zostały objęte incydentem, ilu osób może on dotyczyć oraz jakie były okoliczności zdarzenia i zastosowane zabezpieczenia.

Nie oznacza to jednak przeniesienia obowiązków administratora na dostawcę systemu. To placówka lub lekarz musi ostatecznie ocenić ryzyko i zdecydować, czy naruszenie podlega zgłoszeniu do UODO, a w określonych przypadkach także zawiadomieniu osób, których dane dotyczą.

Z tego względu tak istotne jest szybkie uzyskanie od procesora informacji dotyczących konkretnej placówki. UODO wskazuje, że administrator powinien aktywnie dążyć do ich uzyskania, a nie biernie oczekiwać na rozwój sytuacji.

Co to oznacza dla lekarza i lekarza dentysty?

Odpowiedź Prezesa UODO sprowadza się do kilku praktycznych zasad.

• Po pierwsze – lekarz nie powinien traktować komunikatu dostawcy jako decyzji zwalniającej go z obowiązków wynikających z RODO.
• Po drugie – trzeba ustalić, czy incydent objął dane pacjentów konkretnej praktyki lub placówki.
• Po trzecie – jeżeli doszło do stwierdzenia naruszenia, rozpoczyna się 72-godzinny termin na ewentualne zgłoszenie naruszenia do UODO.
• Po czwarte – brak pełnych informacji od dostawcy nie powinien prowadzić do bezczynności. Administrator powinien podjąć działania zmierzające do ustalenia zakresu i skutków incydentu.

UODO przypomniał również, że zastosowane przez MyDr środki techniczne i organizacyjne, w tym przeprowadzona przez spółkę analiza ryzyka, będą przedmiotem kontroli Urzędu.

Nie wystarczy pytanie: „Czy MyDr zgłaszał wyciek?”

Dla lekarza prowadzącego praktykę ważniejsze są dwa inne pytania: czy naruszenie objęło dane jego pacjentów oraz czy w świetle przeprowadzonej oceny powstał obowiązek zgłoszenia tego zdarzenia do UODO.

Odpowiedź Prezesa UODO wskazuje, że korzystanie z zewnętrznego systemu informatycznego nie zwalnia administratora danych z odpowiedzialności. Dostawca systemu ma obowiązek współpracować i dostarczyć informacje, ale decyzja dotycząca dalszego postępowania pozostaje po stronie administratora.

Źródła: https://uodo.gov.pl/

https://nil.org.pl/