Wyciek danych pacjentów. UODO przypomina o obowiązkach administratorów

Doniesienia o wycieku danych niemal 19 mln Polaków z systemu Elektronicznej Dokumentacji Medycznej MyDr uruchomiły reakcję Urzędu Ochrony Danych Osobowych. Dla placówek medycznych i innych administratorów z Grybowa oznacza to konieczność sprawdzenia, czy korzystały z usług wskazanego dostawcy i czy incydent mógł dotyczyć ich pacjentów. UODO przypomina, że odpowiedzialność za zgłoszenie naruszenia nie znika po przekazaniu danych zewnętrznej firmie.

• Dostawca przetwarza dane, ale obowiązek nadal spoczywa na administratorze
• Przy wysokim ryzyku pacjenci muszą otrzymać pełną informację
• UODO wskazuje sposób zgłoszenia naruszenia

Dostawca przetwarza dane, ale obowiązek nadal spoczywa na administratorze

Prezes UODO zwrócił się do administratorów, którzy powierzyli firmie MyDr przetwarzanie danych osobowych. Powinni oni przeanalizować ryzyko naruszenia praw lub wolności osób fizycznych i ustalić, czy doszło do naruszenia ochrony danych wymagającego zgłoszenia organowi nadzorczemu oraz poinformowania osób poszkodowanych.

Zgodnie z art. 33 ust. 1 RODO administrator musi zgłosić naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Jeżeli zgłoszenie nastąpi po tym terminie, należy wyjaśnić przyczynę opóźnienia.

Samo przekazanie danych firmie obsługującej system nie przenosi całej odpowiedzialności na dostawcę. Administrator powinien ustalić, jakie dane mogły zostać ujawnione, ilu osób dotyczą oraz jakie zagrożenia może powodować incydent.

Przy wysokim ryzyku pacjenci muszą otrzymać pełną informację

Jeżeli analiza wykaże wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą. Informacja nie może ograniczać się do ogólnego komunikatu o problemie technicznym.

Zawiadomienie powinno obejmować:

1. opis charakteru naruszenia, w tym – o ile jest to możliwe – kategorie i przybliżoną liczbę osób oraz zakres ujawnionych danych;
2. imię i nazwisko oraz dane kontaktowe inspektora ochrony danych albo innego punktu kontaktowego;
3. opis możliwych konsekwencji naruszenia;
4. informacje o działaniach już podjętych lub planowanych w celu usunięcia skutków incydentu i ograniczenia ryzyka.

W przypadku danych dotyczących zdrowia zagrożenie może obejmować między innymi dyskryminację, ostracyzm społeczny oraz naruszenie dóbr osobistych. Jeżeli ujawnione zostały także imię, nazwisko i numer PESEL, możliwe jest ryzyko wykorzystania tych danych do wyłudzenia pożyczki lub innych zobowiązań.

Dla pacjenta istotne będzie więc nie tylko to, czy jego dane znalazły się w zaatakowanym systemie, lecz także jakie dokładnie informacje zostały objęte incydentem. Od tego zależy zakres działań ochronnych wskazanych przez administratora.

UODO wskazuje sposób zgłoszenia naruszenia

Informacje o naruszeniu można przekazać Urzędowi Ochrony Danych Osobowych za pomocą formularza przeznaczonego do zgłaszania naruszeń ochrony danych osobowych. UODO udostępnia również poradnik opisujący procedurę zgłaszania incydentów oraz informowania osób, których dane dotyczą.

W komunikacie dla osób poszkodowanych administrator może zalecić zastrzeżenie numeru PESEL, jeżeli naruszenie obejmuje dane identyfikacyjne. Przy ujawnieniu informacji o zdrowiu powinien natomiast wskazać możliwe sposoby ograniczenia skutków, w tym środki ochrony dóbr osobistych przewidziane w kodeksie cywilnym i kodeksie postępowania cywilnego. W sytuacji silnego stresu lub niepokoju może także zaproponować skorzystanie ze wsparcia psychologicznego.

na podstawie: Królewskie Miasto Grybów.