Czy placówka medyczna odpowiada za wyciek, który nastąpił u dostawcy oprogramowania?

To jedno z najważniejszych pytań zadawanych w kontekście wycieku danych z systemu MyDr. Aby odpowiedzieć na to pytanie należy najpierw wyjaśnić role w procesie przetwarzania danych osobowych.

Administrator i podmiot przetwarzający – jaka jest różnica?

Przepisy RODO rozróżniają dwie podstawowe role w zakresie przetwarzania danych osobowych.

Administrator danych czyli osoba bądź podmiot, który decyduje o celach i sposobach przetwarzania danych osobowych. Nie musi sam przetwarzać tych danych. W przypadku danych zawartych w dokumentacji medycznej pacjentów co do zasady będzie nim placówka medyczna, która udziela świadczeń zdrowotnych.

Natomiast Podmiot przetwarzający to osoba albo podmiot, który przetwarza dane osobowe w imieniu administratora. Jeżeli placówka medyczna korzysta z zewnętrznego systemu do prowadzenia elektronicznej dokumentacji medycznej, dostawca takiego systemu występuje właśnie w tej roli. Podmiot przetwarzający w tym zakresie nie decyduje samodzielnie o celach przetwarzania danych, chociaż jako dostawca oprogramowania może w dużej mierze decydować o sposobach przetwarzania.

Odpowiedzialność administratora nie kończy się na podpisaniu umowy powierzenia

Jednym z obowiązków administratora jest zawarcie umowy powierzenia przetwarzania, która   określa przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, a także obowiązki i prawa administratora. Administratorzy często traktują umowę powierzenia przetwarzania jako dokument, który całkowicie przenosi odpowiedzialność za bezpieczeństwo danych na dostawcę systemu.

Nie można całkowicie i bezwarunkowo przenieść odpowiedzialności za naruszenie na dostawcę oprogramowania postanowieniami umowy powierzenia. Co do zasady placówka medyczna jako administrator odpowiada za proces przetwarzania danych osobowych. Placówka medyczna przed powierzeniem przetwarzania danych osobowych pacjentów ma obowiązek zweryfikować, czy wybrany podmiot przetwarzający zapewnia odpowiednie gwarancje wdrożenia właściwych środków technicznych i organizacyjnych aby zabezpieczyć dane osobowe. Umowa powierzenia przetwarzania powinna możliwie precyzyjnie określać środki bezpieczeństwa jakie mają być wdrożone przez podmiot przetwarzający, oraz sposób postępowania w przypadku incydentu bezpieczeństwa. Ponadto obowiązek ten nie jest jednorazowy. Administrator powinien również na bieżąco monitorować, czy dostawca oprogramowania nadal zapewnia odpowiedni poziom bezpieczeństwa.

Placówka medyczna jako administrator danych nie może automatycznie uwolnić się od odpowiedzialności za naruszenia ochrony danych osobowych tylko dlatego, że dokumentacja zawierająca dane osobowe została wykradziona z systemu należącego do zewnętrznego dostawcy. Fakt, że do wycieku doszło w wyniku cyberataku, nie oznacza automatycznie, że administrator nie ponosi żadnej odpowiedzialności. Z punktu widzenia przepisów RODO znaczenie ma również to, czy zastosowano adekwatne środki bezpieczeństwa, czy ryzyko zostało prawidłowo zidentyfikowane i ocenione oraz czy administrator właściwie nadzorował procesora.

Zasadniczo zgodnie z przepisami RODO to administrator danych jest odpowiedzialny za naruszenie ochrony danych osobowych, to na administratorze ciąży obowiązek zgłoszenia naruszenia do Prezesa UODO. Podmiot przetwarzający jest natomiast zobowiązany zawiadomić administratora, jeżeli incydent dotyczył danych osobowych jego pacjentów. Jest to szczególnie istotne w przypadku systemów medycznych, gdzie jeden incydent może dotyczyć danych bardzo dużej liczby osób.

Czy administrator może odpowiadać za błąd podmiotu przetwarzającego ?

Tak. Nawet, jeżeli do naruszenia doszło na skutek błędu podmiotu przetwarzającego administratorowi może być przypisana współ-odpowiedzialność za naruszenie, jeżeli nie wypełnił on swoich obowiązków wynikających z przepisów RODO.

Ocenie mogą podlegać w szczególności następujące okoliczności:

• czy administrator prawidłowo wybrał podmiot przetwarzający i czy przed powierzeniem przetwarzania danych zweryfikował czy podmiot ten daje gwarancje bezpieczeństwa danych,
• czy zawarł umowę powierzenia zawierająca postanowienia wymagane przepisami RODO,
• czy określił środki techniczne i organizacyjne wymagane w celu zabezpieczenia danych,
• czy przeprowadził ocenę ryzyka naruszenia praw i wolności i czy prawidłowo ocenił ryzyko dla pacjentów,
• czy monitorował sposób wykonywania umowy,
• czy właściwie reagował na informacje o incydentach, jeżeli takie występowały,
• czy wykonał obowiązki związane ze zgłoszeniem naruszenia i zawiadomieniem pacjentów i czy nastąpiło to w odpowiednim terminie.

Za co odpowiada podmiot przetwarzający?

Podmiot przetwarzający nie jest jedynie „wykonawcą poleceń” pozbawionym własnych obowiązków. Jeżeli dostawca systemu przetwarza dane pacjentów w imieniu placówki medycznej,  powinien m.in. stosować odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych oraz realizować obowiązki wynikające z przepisów RODO i umowy powierzenia.

W praktyce oznacza to konieczność odpowiedniego zabezpieczenia infrastruktury, kontroli dostępu, ochrony przed nieuprawnionym dostępem, monitorowania zagrożeń i sieci oraz odpowiedniego reagowania na incydenty. Podmiot przetwarzający odpowiada za naruszenie, jeżeli przyczynił się do zaistnienia incydentu lub powstania szkody, na przykład poprzez niewdrożenie środków bezpieczeństwa lub wdrożenie środków niewystarczających do zabezpieczenia danych.

Fakt, że wyciek nastąpił z bazy danych administrowanej techniczne przez dostawcę oprogramowania nie oznacza jednak automatycznie, że odpowiedzialność ponosi wyłącznie dostawca oprogrmowania.

Co powinna zrobić placówka medyczna po informacji o wycieku?

W przypadku placówki, która korzysta z oprogramowania zewnętrznego dostawcy, pierwszym krokiem powinno być ustalenie zakresu incydentu. Po otrzymaniu zawiadomienia od podmiotu przetwarzającego bądź po uzyskaniu informacji o incydencie z innych źródeł placówka medyczna jako administrator danych ma obowiązek dokonać oceny czy jest prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych ryzyka, a jeżeli tak placówka medyczna ma obowiązek zgłosić naruszenie ochrony danych osobowych do Prezesa UODO.

Jeżeli placówka medyczna nie otrzymała informacji o incydencie od dostawcy ma obowiązek zweryfikować te informacje z dostawcą i ustalić czy doszło do naruszenia ochrony danych osobowych oraz czy obejmuje one dane jej pacjentów. Administrator powinien aktywnie zareagować na informację o incydencie, a nie ograniczyć się do stwierdzenia: „za bezpieczeństwo systemu odpowiada dostawca oprogramowania”. Przepisy RODO nie przewidują mechanizmu przenoszącego odpowiedzialność automatycznie na dostawcę oprogramowania jako podmiot przetwarzający.

Placówka powinna uzyskać od dostawcy systemu możliwie precyzyjne informacje dotyczące tego, jakie dane zostały objęte naruszeniem, jakich pacjentów dotyczy incydent, kiedy doszło do naruszenia, na czym polegało naruszeniu oraz jakie działania zostały podjęte przez podmiot przetwarzający w celu ograniczenia jego skutków.

Kiedy zgłaszać naruszenie ochrony danych osobowych ?

Nie każde naruszenie wymaga automatycznie zgłoszenia do Prezesa UODO i zawiadomienia osób, których dane dotyczą. Obowiązek zgłoszenia naruszenia organowi nadzorczemu powstaje, jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Jeżeli natomiast ryzyko naruszenia praw lub wolności osób fizycznych jest wysokie, administrator ma obowiązek zawiadomić osoby, których dane dotyczą.

W przypadku danych dotyczących zdrowia poziom ryzyka wymaga szczególnie starannej oceny.

72 godziny – termin, o którym trzeba pamiętać

Jeżeli administrator stwierdzi naruszenie ochrony danych osobowych podlegające zgłoszeniu, zasadniczo powinien zgłosić je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Oznacza to, że w ciągu trzech dni placówka medyczna powinna przeanalizować naruszenie, jego przyczyny i skutki i dokonać zgłoszenia, a jeżeli nie jest możliwe kompleksowe dokonać zgłoszenia wstępnego.

Działania związane z ustaleniem zakresu incydentu, kontaktem z procesorem, oceną ryzyka i przygotowaniem ewentualnego zgłoszenia powinny rozpocząć się niezwłocznie. Właśnie dlatego tak istotne są procedury reagowania na incydenty oraz odpowiednio skonstruowane umowy powierzenia.

Fakt, że do wycieku doszło w wyniku cyberataku, nie oznacza automatycznie, że administrator nie ponosi żadnej odpowiedzialności. Z perspektywy RODO znaczenie ma również to, czy zastosowano adekwatne środki bezpieczeństwa, czy ryzyko zostało prawidłowo zidentyfikowane oraz czy administrator właściwie nadzorował procesora.

Jakie wnioski płyną dla placówki medycznej z incydentu MyDr ?

To ważny sygnał dla placówek medycznych: odpowiedzialność administratora i procesora może występować równolegle. Powierzenie przetwarzania danych nie oznacza powierzenia ani przeniesienia odpowiedzialności za proces przetwarzania.

Incydent wycieku danych z bazy MyDr powinien być dla placówek medycznych sygnałem do przeglądu całego modelu ochrony danych osobowych oraz współpracy z podmiotami przetwarzającymi, w szczególności dostawcami oprogramowania.

W szczególności warto zweryfikować:

Po pierwsze – umowy powierzenia – czy ich treść odzwierciedla faktyczny zakres, w jakim placówka medyczna korzysta z oprogramowania i w jakim powierza dane, czy jasno zostały określone obowiązki podmiotu przetwarzającego dotyczące bezpieczeństwa danych i incydentów ? Ponadto należy zweryfikować czy placówka medyczna ma zapewnioną możliwość audytu i kontroli podmiotu przetwarzającego oraz czy są określone warunki audyty i kontroli, które faktycznie umożliwiają uzyskanie informacji pozwalających ocenić, czy procesor prawidłowo realizuje swoje obowiązki.

Po drugie – procedury zgłaszania incydentów – czy placówka jest w stanie szybko uzyskać od dostawcy oprogramowania informacje potrzebne do oceny naruszenia ? Procedura komunikacji i udzielania wsparcia administratorowi w razie naruszenia również powinna być określona w umowie powierzenia przetwarzania.

Po trzecie – ocenę ryzyka – czy ocena ryzyka, którą przeprowadziła placówka medyczna uwzględnia rzeczywiste zagrożenia związane z wykorzystaniem oprogramowania od zewnętrznych dostawców, w szczególności rozwiązań chmurowych i przetwarzaniem danych dotyczących zdrowia?

Po czwarte – weryfikację dostawców – czy placówka faktycznie sprawdza, jakie zabezpieczenia stosuje podmiot przetwarzający, czy tylko opiera się na jego deklaracjach?

Aspekty te nabierają szczególnego znaczenia w przypadku standardowych umów narzucanych przez podmioty przetwarzające w ramach regulaminu korzystania z oprogramowania.

Placówka medyczna pozostaje administratorem danych swoich pacjentów i musi być w stanie wykazać, że podejmuje odpowiednie działania w celu zapewnienia zgodności z przepisami RODO. Placówka medyczna jako administrator powinna wiedzieć, gdzie i w jaki sposób przetwarzane są dane pacjentów, komu je powierza, jakie zabezpieczenia stosuje procesor oraz jak zareagować, gdy dojdzie do naruszenia.

Z kolei podmiot przetwarzający odpowiada za prawidłowe wykonywanie powierzonych mu operacji oraz stosowanie odpowiednich środków bezpieczeństwa.

Dlatego każda placówka korzystająca z zewnętrznego systemu do obsługi dokumentacji medycznej powinna potraktować ten incydent nie tylko jako problem dostawcy IT, ale również jako okazję do weryfikacji własnego systemu zarządzania ochroną danych osobowych.

FAQ – Obowiązek wyznaczenia IOD