Naruszenie wystąpiło w systemie dostawcy, ale obowiązki wobec Prezesa UODO i wobec pacjentów spoczywają na placówce medycznej. Przekazujemy poradnik stworzony przez Naczelną Izbę Lekarską – co i w jakim terminie musi zrobić gabinet. Przypominamy także, że członkowie WIL mogą skorzystać z bezpłatnej konsultacji prawnej, także w sprawie zgłoszenia naruszenia.
To obowiązek gabinetu, nie dostawcy
Naruszenie bezpieczeństwa danych w systemie MyDr, potwierdzone przez Ministerstwo Cyfryzacji, nie wystąpiło w systemach informatycznych gabinetów. Dla obowiązków prawnych nie ma to jednak znaczenia: praktyka lekarska i podmiot leczniczy pozostają administratorami danych, a dostawca systemu wyłącznie podmiotem przetwarzającym. Obowiązek zgłoszenia naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą, obciąża administratora — niezależnie od tego, po czyjej stronie doszło do naruszenia technicznego.
Zakres ujawnionych danych obejmuje kategorie szczególnie chronione: rozpoznania, ordynacje lekarskie, historię wizyt, numery PESEL, dane z systemu eWUŚ i zaświadczeń o niezdolności do pracy. Naruszenie dotyczy również danych personelu, w tym numerów prawa wykonywania zawodu i danych uwierzytelniających.
Zgłoszenie do Prezesa UODO
Obowiązek zgłoszenia powstaje w chwili stwierdzenia naruszenia, a nie po otrzymaniu od dostawcy pełnych ustaleń. Oczekiwanie na jego odpowiedź nie wstrzymuje biegu terminu. Przed zgłoszeniem należy przeprowadzić i udokumentować ocenę ryzyka oraz wpisać naruszenie do wewnętrznego rejestru naruszeń.
Jeżeli placówka nie dysponuje jeszcze pełną wiedzą o zdarzeniu, dopuszczalne jest zgłoszenie wstępne — ze wskazaniem informacji, których administrator na tym etapie nie posiada, i uzupełnieniem po uzyskaniu ustaleń od dostawcy. Równolegle, w tym samym terminie, incydent należy zgłosić do CERT Polska (incydent.cert.pl), a placówki będące podmiotami krajowego systemu cyberbezpieczeństwa — do właściwego CSIRT.
Zawiadomienie pacjentów i przygotowanie rejestracji
Zawiadomienie pacjentów jest w tym przypadku obowiązkowe — połączenie danych o stanie zdrowia z numerem PESEL oznacza wysokie ryzyko naruszenia praw i wolności osób, których dane dotyczą. Zalecany jest model mieszany: zawiadomienie indywidualne (e-mail, SMS lub konto pacjenta) uzupełnione komunikatem na stronie internetowej i w miejscu rejestracji. Sposób i datę zawiadomienia należy udokumentować.
Bezpłatna pomoc prawna dla członków WIL
Członkowie Wielkopolskiej Izby Lekarskiej z opłaconymi składkami mogą skorzystać z Programu Opieki Prawnej — bezpłatnej konsultacji prawnej, obejmującej również sprawy związane ze zgłoszeniem naruszenia ochrony danych, zawiadomieniem pacjentów i korespondencją z dostawcą systemu.
Infolinia: +48 501 538 539 (całodobowo) · prawnik@opiekaprawna.pl
Materiały
Szczegółową listę czynności wraz z wzorami pism — zgłoszenia do organu nadzorczego, zawiadomienia pacjenta, wezwania do dostawcy — zawiera przewodnik przygotowany przez Naczelną Izbę Lekarską.