Głośny cyberatak i wyciek danych z systemu MyDr, który obejmować może ponad 18 milionów pacjentów, stał się impulsem do przygotowania przez Ministerstwo Cyfryzacji pakietu zmian legislacyjnych, określanego jako tzw. Cyberpiątka Gawkowskiego. W mediach wskazuje się, że projekt ten zakłada wprowadzenie określonych obowiązków w zakresie przetwarzania, a bardziej zabezpieczenia danych osobowych, w tym w szczególności danych dotyczących zdrowia. Wśród założeń projektu pojawiać się mają m.in. obowiązek korzystania jedynie z certyfikowanych dostawców oraz wykorzystanie aplikacji mObywatel czy mojeIKP do informowania o świadczeniach medycznych. Cel projektu jest słuszny. Informacje o zdrowia są bowiem danymi szczególnie wrażliwymi, a ich wyciek może wiązać się z poważnymi konsekwencjami. Pytanie jednak, czy do osiągnięcia celów regulacji rzeczywiście potrzebne są nowe przepisy, czy też w tym zakresie wystarczające jest odpowiednie zastosowanie przepisów RODO czy KSC (ustawa o krajowym systemie cyberbezpieczeństwa).
O pomyśle uregulowania, a może przeregulowania problemu rozmawialiśmy także w naszym podcaście #RODOłamacz Tech-Legal-AI, zapraszamy do wysłuchania już w najbliższy czwartek (3.09) klikając TUTAJ
Weryfikacja podmiotu przetwarzającego
Jednym z ważniejszych elementów zapowiadanego projektu ma być zwiększenie wymagań wobec podmiotów mających dostęp do danych medycznych, a więc podmiotów przetwarzających dane osobowe w imieniu placówek medycznych. Projekt ma zakładać obowiązek korzystania jedynie z certyfikowanych dostawców. Warto jednak zwrócić uwagę, że już dziś administrator nie może korzystać z dostawcy (np. systemu IT), bez wcześniejszej jego weryfikacji. Zgodnie z RODO, administrator może bowiem korzystać jedynie z takich podmiotów, które zapewniają odpowiednie gwarancje bezpieczeństwa danych. W praktyce więc, placówka medyczna, przed skorzystaniem z konkretnego dostawcy, powinna odpowiednio go zweryfikować. Samo podpisanie umowy powierzenia przetwarzania danych nie jest wystarczające. Zakładany projekt zakłada zatem wprowadzenie mechanizmu, który już dziś funkcjonuje w RODO. Pytanie jednak, czy a jeśli tak, to w jakim zakresie jest on stosowany przez placówki medyczne.
Obowiązkowa analiza ryzyka
Innym ważnym założeniem projektu MC jest wprowadzenie obowiązkowej analizy ryzyka przed rozpoczęciem i w trakcie przetwarzania danych. Warto przypomnieć, że podejście oparte na ryzyku jest podstawą funkcjonowania RODO. Jednym z głównych obowiązków administratorów jest przeprowadzanie analizy ryzyka i na jej podstawie wdrażanie stosownych zabezpieczeń. Obowiązek ten wynika wprost z RODO.
Dane dotyczące zdrowia są szczególną kategorią danych osobowych, które powinny być chronione w szczególny sposób. Dla określenia, w jaki sposób dane te należy chronić, potrzebna jest właśnie analiza ryzyka. Prawidłowo przeprowadzona analiza ryzyka powinna obejmować m.in. zagrożenia związane z dostawcami systemów IT, służących do przetwarzania danych osobowych. Obowiązek przeprowadzenia analizy ryzyka przed rozpoczęciem przetwarzania i jej okresowy przegląd, już dziś wynika wprost z przepisów RODO. Nie ma więc konieczności tworzenia nowych obowiązków ustawowych w tym zakresie.
DPIA, czyli dodatkowe zabezpieczenie
Warto zwrócić uwagę, że RODO przewiduje jeszcze inne mechanizmy, które mogą mieć zastosowanie w przypadku przetwarzania szczególnej kategorii danych, jakie stanowią dane medyczne, m.in. przy wykorzystaniu zewnętrznych systemów IT. Jednym z takich narzędzi jest DPIA, czyli ocena skutków dla ochrony danych. Taką ocenę należy przeprowadzić, jeżeli przetwarzanie danych osobowych wiąże się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych (w sektorze medycznym – pacjentów). Co istotne, DPIA należy przeprowadzić i udokumentować jeszcze przed rozpoczęciem przetwarzania danych. Ocena ta pozwoli np. placówce medycznej, uporządkować proces przetwarzania danych, a z drugiej strony, pozwoli wdrożyć takie zabezpieczenia, które obniżą poziom ryzyka. W przypadku rozbudowanych systemów medycznych jest to szczególnie istotne. Jeżeli bowiem w jednym systemie znajdują się dane bardzo wielu pacjentów, potencjalne konsekwencje naruszenia są zupełnie inne niż w przypadku niewielkiej bazy danych zawierającej informacje o niskiej wrażliwości.
Przepisy RODO przewidują więc narzędzie, które pozwala administratorowi (np. placówce medycznej) zweryfikować, czy przetwarzanie danych wiąże się z wysokim ryzykiem, a jeżeli tak, jak to ryzyko można zminimalizować. Co bardzo ważne, a wydaje się pominięte w dyskusjach o bezpieczeństwie danych w tego typu sytuacjach, RODO przewiduje jeszcze jedno szczególne narzędzie. Jeżeli DPIA wykaże, że pomimo wdrożenia dodatkowych zabezpieczeń, ryzyko nadal będzie wysokie, mamy również możliwość, lub obowiązek tzw. uprzednich konsultacji z organem nadzorczym (Prezesem Urzędu Ochrony danych osobowych).
RODO wymaga realnych zabezpieczeń
Niestety wciąż w praktyce często RODO sprowadza się do zgód, klauzul informacyjnych, czy też wewnętrznej dokumentacji. Tymczasem jednym z ważniejszych obszarów właściwego wdrożenia RODO jest obszar bezpieczeństwa danych. Projekt „Cyberpiątki” nie wprowadza tu zatem żadnej nowości. Już dziś, na podstawie RODO, administrator ma obowiązek wdrożenia odpowiednich zabezpieczeń oraz ich regularnego testowania, jak również zweryfikowania czy dostawca systemu IT odpowiednio zabezpiecza powierzone mu dane osobowe. Co więcej, RODO opiera się na tzw. zasadzie rozliczalności. Oznacza to, że administrator (np. placówka medyczna) musi być w stanie wykazać (np. w przypadku kontroli regulatora), że odpowiednio zabezpiecza dane, czy zweryfikował on dostawcę systemów IT.
KSC jako dodatkowe zabezpieczenie
W zakresie podmiotów, które są objęte zastosowaniem ustawy KSC (ustawa o krajowym systemie cyberbezpieczeństwa), poza obowiązkami wynikającymi z RODO, dochodzi dodatkowo szeroki zakres obowiązków w zakresie cyberbezpieczeństwa. Po nowelizacji ustawy KSC, która zaimplementowała w Polsce przepisy dyrektywy NIS2, podmioty kluczowe i ważne muszą m.in. wdrażać system zarządzania bezpieczeństwem informacji, czy też zarządzać incydentami. W tym przypadku również stosuje się podejście oparte na ryzyku. W efekcie, podmioty objęte ustawą KSC, muszą nie tylko zadbać o odpowiednie zabezpieczenia danych osobowych ale również zadbać o cyberbezpieczeństwo i bezpieczeństwo informacji.
Czy nowe przepisy rzeczywiście są potrzebne?
Należy podkreślić, że większość kluczowych obowiązków wynikających z projektowanych przepisów, już dziś obowiązuje na podstawie RODO i KSC. Obejmuje to m.in. obowiązek analizy ryzyka, odpowiedniego zabezpieczenia danych, czy też weryfikacji dostawcy systemu IT przed powierzeniem mu przetwarzania danych osobowych, w tym w szczególności danych medycznych.
Bez wątpienia, projekt ma być odpowiedzią na głośny cyberatak w firmie MyDr. Wydaje się jednak, że w pierwszej kolejności warto zadać pytanie, czy obecnie funkcjonujące przepisy, w tym RODO, były stosowane właściwie, w tym czy były wykonywane analizy ryzyka, czy też została przeprowadzona odpowiednia weryfikacja podmiotu przetwarzającego (dostawcy systemu MyDr). To pozostawiamy kontroli, która została wszczęta przez Urząd Ochrony Danych Osobowych, na której wyniki bardzo czekamy.
W zakresie ochrony danych osobowych, w tym danych medycznych, potrzeba przede wszystkim konsekwentnego stosowania obowiązujących już wymogów, w tym przeprowadzania analizy ryzyka, kontroli dostawców, oceny skutków przetwarzania (DPIA) czy wdrażania technicznych i organizacyjnych zabezpieczeń odpowiadających skali zidentyfikowanych zagrożeń. Wydaje się więc, że dyskusja o „Cyberpiątce” powinna rozpocząć się nie od pytania, jakie nowe obowiązki należy wprowadzić, ale od sprawdzenia, dlaczego obowiązki, które już wynikają z RODO i – w odpowiednim zakresie – z KSC, nie zawsze wystarczająco skutecznie przekładają się na praktykę.
Źródło:
https://www.rp.pl/gospodarka/art45070501-cyberpiatka-gawkowskiego-wiemy-jak-rzad-chce-zatamowac-wycieki
