Wyciek danych z systemu medycznego to jedno z najpoważniejszych zagrożeń dla podmiotów leczniczych. Dane o zdrowiu należą do szczególnych kategorii danych osobowych (art. 9 RODO). Ich nieuprawnione ujawnienie, utrata lub dostęp niosą wysokie ryzyko dla pacjentów: dyskryminacji, stygmatyzacji, wyłudzeń tożsamości czy naruszenia dóbr osobistych. Placówka medyczna jako administrator danych ponosi pełną odpowiedzialność — nawet jeśli incydent nastąpił u procesora (dostawcy oprogramowania EDM, chmury czy zewnętrznego IT).
Zgodnie z art. 33 RODO administrator musi zgłosić naruszenie ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Termin liczy się od momentu, w którym placówka uzyskała wiarygodną informację o zdarzeniu (np. od procesora), a nie od dnia pełnego wyjaśnienia zakresu. Przekroczenie terminu bez uzasadnienia zwiększa ryzyko kary administracyjnej.
Poniżej praktyczna procedura 7 kroków, którą każda przychodnia, szpital, klinika czy indywidualna praktyka lekarska powinna wdrożyć natychmiast po wykryciu lub otrzymaniu informacji o wycieku.
1. Natychmiastowe zabezpieczenie i zebranie faktów (pierwsze godziny)
Zatrzymaj dalszy wyciek lub dostęp nieuprawnionych osób. Odłącz zagrożone systemy, zmień hasła, zablokuj konta, zabezpiecz logi i kopie zapasowe. Nie usuwaj żadnych danych — to potencjalne dowody.
Udokumentuj:
- datę i godzinę wykrycia / otrzymania informacji,
- źródło informacji (procesor, system monitoringu, zgłoszenie pracownika),
- jakie kategorie danych mogły zostać naruszone (PESEL, dane identyfikacyjne, historie chorób, recepty, wyniki badań),
- przybliżoną liczbę osób i rekordów,
- czy incydent dotyczył poufności, integralności czy dostępności danych.
Zaangażuj natychmiast Inspektora Ochrony Danych (IOD), dział IT oraz kierownictwo. W mniejszych placówkach, które outsourcują IOD, skontaktuj się z zewnętrznym specjalistą jeszcze tego samego dnia.
2. Ocena, czy doszło do naruszenia ochrony danych osobowych
Nie każde zdarzenie techniczne jest automatycznie naruszeniem RODO. Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych.
W przypadku danych medycznych (szczególna kategoria) próg jest niski. Nawet ograniczony dostęp nieuprawnionej osoby lub wyciek historycznych danych o zdrowiu zwykle kwalifikuje się jako naruszenie. Uzyskaj od procesora (jeśli to on był źródłem) jak najpełniejsze informacje o zakresie. Brak pełnych danych nie wstrzymuje dalszych działań — zgłoszenie można uzupełniać.
3. Analiza ryzyka naruszenia praw lub wolności osób fizycznych
To kluczowy etap decydujący o zgłoszeniu do UODO i zawiadomieniu pacjentów. Ocenia się prawdopodobieństwo i wagę konsekwencji dla osób, których dane dotyczą.
Przy danych o zdrowiu ryzyko jest z reguły wysokie. Przykłady skutków: dyskryminacja w miejscu pracy lub ubezpieczeniach, ostracyzm społeczny, próby wyłudzeń kredytów na PESEL, naruszenie tajemnicy lekarskiej, stres psychiczny.
Dokumentuj analizę pisemnie: kategorie danych, skalę, charakter incydentu, istniejące zabezpieczenia, możliwe skutki. To dokument, który UODO może zażądać w przyszłości.
4. Wewnętrzna dokumentacja naruszenia (obowiązek niezależny od zgłoszenia)
Nawet jeśli uznasz, że ryzyko jest niskie i nie zgłaszasz do UODO, musisz prowadzić rejestr naruszeń (art. 33 ust. 5 RODO). Wpisy powinny zawierać okoliczności, skutki i podjęte środki zaradcze. Rejestr musi być dostępny na żądanie organu nadzorczego.
5. Zgłoszenie naruszenia do UODO w terminie 72 godzin
Jeśli analiza wykazuje, że naruszenie może skutkować ryzykiem (a przy danych medycznych prawie zawsze tak jest), złóż zgłoszenie bez zbędnej zwłoki, maksymalnie w 72 godziny od stwierdzenia.
Zgłoszenie zawiera co najmniej:
- opis charakteru naruszenia (kategorie i przybliżona liczba osób oraz wpisów danych),
- dane kontaktowe IOD lub innego punktu kontaktowego,
- możliwe konsekwencje,
- środki zastosowane lub proponowane w celu zaradzenia naruszeniu i zminimalizowania skutków.
Formularz i instrukcje znajdują się na stronie UODO oraz na biznes.gov.pl. Można złożyć zgłoszenie wstępne, a brakujące informacje uzupełnić później (z wyjaśnieniem przyczyn). Zgłoszenie po terminie wymaga uzasadnienia opóźnienia.
W przypadku podmiotów objętych ustawą o krajowym systemie cyberbezpieczeństwa mogą dojść dodatkowe obowiązki raportowania incydentów poważnych (wczesne ostrzeżenie w 24 h, pełne zgłoszenie w 72 h).
6. Zawiadomienie osób, których dane dotyczą (bez zbędnej zwłoki)
Gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności, administrator musi zawiadomić pacjentów indywidualnie i bez zbędnej zwłoki (art. 34 RODO). Sama informacja na stronie internetowej placówki nie wystarcza.
Zawiadomienie powinno być jasne, prostym językiem i zawierać:
- opis charakteru naruszenia,
- dane kontaktowe IOD,
- możliwe konsekwencje,
- środki podjęte przez placówkę oraz zalecane działania ochronne (np. zastrzeżenie PESEL, ostrożność wobec podejrzanych kontaktów, monitorowanie kont bankowych).
Forma: list, e-mail, SMS lub inny skuteczny kanał. Przy dużej skali możliwe jest publiczne komunikaty uzupełniające, ale nie zastępują one indywidualnego zawiadomienia, jeśli jest wymagane.
7. Działania naprawcze, monitoring i przegląd procedur
Wdróż środki minimalizujące skutki (zmiana haseł, dodatkowe monitorowanie, wsparcie dla pacjentów). Przeprowadź post-incydent review: co zawiodło w zabezpieczeniach, umowie z procesorem, szkoleniach personelu. Zaktualizuj analizę ryzyka, politykę bezpieczeństwa, procedury reagowania na incydenty oraz umowy powierzenia przetwarzania.
Rozważ audyt RODO i cyberbezpieczeństwa. Regularne szkolenia personelu i testy procedur to najlepsza profilaktyka kolejnych naruszeń.
Konsekwencje braku działania
Prezes UODO może nałożyć administracyjną karę pieniężną do 20 mln euro lub 4% rocznego światowego obrotu (w praktyce w Polsce kary wahają się od kilkudziesięciu tysięcy do kilku milionów złotych). Dodatkowo grożą roszczenia cywilne pacjentów, odpowiedzialność karna w skrajnych przypadkach oraz poważne szkody wizerunkowe. Orzecznictwo (w tym NSA) potwierdza, że spóźnione działania nie uchylają sankcji.
Jak Kancelaria KAM MedLex może pomóc
Kancelaria KAM MedLex specjalizuje się w prawie medycznym i ochronie danych osobowych w podmiotach leczniczych w całej Polsce. Oferujemy:
- outsourcing funkcji Inspektora Ochrony Danych,
- natychmiastowe wsparcie przy zgłoszeniach naruszeń do UODO,
- przygotowanie analiz ryzyka i zawiadomień pacjentów,
- audyty RODO i wdrożenia procedur reagowania na incydenty,
- reprezentację w kontaktach z UODO.
W sytuacji wycieku liczy się każda godzina. Szybka, prawidłowa reakcja minimalizuje ryzyko kary i chroni reputację placówki.
Jeśli Twoja placówka otrzymała informację o wycieku lub potrzebuje audytu procedur — skontaktuj się z nami. Działamy dla klientów z całej Polski.
Kontakt:
Telefon: 602 340 121
E-mail: biuro@kancelariakam.pl
www.kancelariakam.pl
Pamiętaj: 72 godziny to maksymalny termin, nie czas na zwlekanie. Przygotowana procedura i wsparcie specjalistów sprawiają, że nawet poważny incydent można opanować zgodnie z prawem.