Myślałam, że moje dane ma lekarz, prawda jest dużo gorsza. Rząd to potwierdził
Wyciek z MyDr pokazał mi coś dość niepokojącego. Moje dane medyczne przechowywane są firmę, której nazwy nawet nie znam. Teraz Ministerstwo Cyfryzacji chce to zmienić. Pacjent ma wiedzieć, kto przetwarza jego dane, dostawać ostrzeżenia o receptach i wizytach, a firmy mają odpowiadać za bezpieczeństwo znacznie bardziej niż dziś.
Sprawa MyDr uświadomiła mi jedną rzecz. Idąc do lekarza, zostawiam mu nie tylko nazwisko i PESEL, ale także informacje o swoim zdrowiu, chorobach, receptach i wizytach. Później te dane mogą trafić do kolejnych firm obsługujących systemy informatyczne przychodni. I ja niekoniecznie wiem, do kogo.
Dopóki wszystko działa, pewnie mało kto się nad tym zastanawia. Problem zaczyna się wtedy, gdy dochodzi do włamania takiego jak w przypadku MyDr. Incydent może dotyczyć danych nawet 18,8 mln osób i ponad 12 tys. placówek medycznych. Skala tej sprawy zmusiła rząd do reakcji.
Ministerstwo Cyfryzacji pokazało właśnie pakiet zmian nazwany „Cyber Piątką”. Wiceminister cyfryzacji Dariusz Standerski nie pozostawia większych wątpliwości, że chodzi właśnie o wydarzenia ostatnich tygodni.
Firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność, niezależnie od ich roli. Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie. Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie – mówi Dariusz Standerski, wiceminister cyfryzacji.
Chcę wiedzieć, kto ma moje dane
Z punktu widzenia pacjenta chyba najważniejsza propozycja jest bardzo prosta: mam wreszcie wiedzieć, komu powierzono moje dane.
Jeżeli przychodnia korzysta z usług zewnętrznej firmy, która przechowuje albo przetwarza informacje o pacjentach, dostanę informację o tym, kto to robi, w jakim zakresie i jak można się z tą firmą skontaktować.
Dzisiaj droga naszych danych może być znacznie mniej oczywista. Zapisuję się do lekarza, ale nie oznacza to przecież, że wszystkie informacje pozostają wyłącznie w komputerze stojącym w gabinecie.
Resort chce też wprowadzić certyfikację firm przetwarzających dane medyczne. Mają one spełniać określone standardy cyberbezpieczeństwa.
Do tego mają dojść minimalne wymagania technologiczne dla systemów służących do obsługi danych medycznych. W praktyce państwo chce więc powiedzieć: jeżeli bierzesz do swoich systemów dane o zdrowiu tysięcy albo milionów ludzi, nie możesz zabezpieczać ich według własnego uznania.
Telefon powie mi, że ktoś właśnie dostał receptę na moje nazwisko
Jeszcze ciekawszy wydaje mi się pomysł dotyczący mObywatela i mojeIKP. Ministerstwo chce, żeby pacjent otrzymywał powiadomienie o zdarzeniach medycznych. Może chodzić o wizytę, wystawienie recepty albo inne świadczenie.
Samo powiadomienie nie będzie zawierało szczegółowych danych dotyczących zdrowia. Te sprawdzimy dopiero po zalogowaniu do Internetowego Konta Pacjenta.
Na pierwszy rzut oka brzmi to jak drobna funkcja. W rzeczywistości może być bardzo przydatna. Jeżeli siedzę w domu, a telefon informuje mnie, że właśnie wystawiono mi receptę, której nie zamawiałam, od razu wiem, że coś jest nie tak.
Dziś mogę się o takim wykorzystaniu danych dowiedzieć znacznie później albo przez przypadek.
Duża baza danych? Będzie też większa odpowiedzialność
Ministerstwo chce najmocniej przykręcić śrubę tym firmom, przez które przechodzą dane na ogromną skalę. Nowe obowiązki mają objąć podmioty obsługujące więcej niż 100 administratorów danych albo informacje dotyczące ponad 100 tys. osób.
Jeżeli dojdzie do naruszenia bezpieczeństwa, informacje o osobach objętych incydentem mają trafiać do CSIRT NASK. Chodzi o podstawowe dane: imię, nazwisko i PESEL.
Dzięki temu poszkodowani mają móc sprawdzić za pośrednictwem serwisu bezpiecznedane.gov.pl, czy ich informacje znalazły się wśród danych objętych wyciekiem.
Więcej wpisów o danych osobowych
Firmy będą też musiały znacznie dokładniej tłumaczyć klientom, jak zabezpieczają powierzone informacje, gdzie je przetwarzają, komu przekazują je dalej i jakie były wyniki audytów czy testów bezpieczeństwa.
Do tego ma dojść obowiązkowa ocena ryzyka. Firma ma przeprowadzić ją przed rozpoczęciem przetwarzania danych, później aktualizować co najmniej raz na dwa lata i ponawiać po istotnych zmianach.
Na razie nie są to jeszcze obowiązujące przepisy. Ministerstwo Cyfryzacji dopiero przygotowuje szczegółowe zmiany legislacyjne.
I wtedy wracamy do MyDr
MyDr to firma dostarczająca rozwiązania informatyczne placówkom medycznym. Doszło do nieuprawnionego dostępu do przechowywanych przez nią historycznych danych. Skala jest ogromna. Incydent może dotyczyć nawet 18,8 mln osób i ponad 12 tys. placówek.
Wśród danych, które mogły znaleźć się w rękach osoby nieuprawnionej, były nie tylko imiona, nazwiska, numery PESEL, numery telefonów czy adresy e-mail. Chodzi również o informacje znacznie bardziej wrażliwe: dane dotyczące zdrowia, notatki z wizyt lekarskich czy informacje o wystawionych receptach.
Sprawą zajmują się prokuratura i Centralne Biuro Zwalczania Cyberprzestępczości, a prezes UODO zdecydował o kontroli w MyDr. I właśnie na tym przykładzie najlepiej widać problem.
Powierzam swoje dane lekarzowi. Lekarz korzysta z zewnętrznego systemu. Ten system obsługuje prywatna firma. A jeżeli gdzieś w tym łańcuchu zabezpieczenia zawiodą, konsekwencje ponoszę również ja.
Dlatego z całej „Cyber Piątki” najbardziej podoba mi się nie certyfikat, audyt czy kolejny obowiązek dokumentacyjny. Najważniejsza jest znacznie prostsza zmiana: pacjent ma wreszcie wiedzieć, kto trzyma jego dane i ma dostać szybki sygnał, kiedy ktoś zaczyna ich używać.