RODO klasyfikuje je jako szczególne kategorie danych osobowych, co wiąże się z koniecznością stosowania znacznie bardziej rygorystycznych zabezpieczeń niż w przypadku danych zwykłych.

Wystąpienie incydentu, czy to w wyniku cyberataku, przejęcia konta użytkownika, czy zgubienia urządzenia, wymusza natychmiastową i skoordynowaną reakcję zespołów IT oraz osób odpowiedzialnych za bezpieczeństwo informacji. Należy jednak podkreślić, że nie każde zdarzenie o charakterze informatycznym jest równoznaczne z wyciekiem danych, tak jak nie każde naruszenie ochrony danych skutkuje obowiązkiem powiadomienia Prezesa UODO. Fundamentem prawidłowego działania jest w tej sytuacji błyskawiczna analiza przebiegu zdarzenia oraz precyzyjne oszacowanie poziomu ryzyka dla praw i wolności osób, których dane mogły zostać narażone na nieuprawniony dostęp.

Autorem niniejszego opracowania jest radca prawny Ireneusz Zabawa.

Wyciek danych czy naruszenie ochrony danych? To nie zawsze to samo

W praktyce często używa się pojęcia „wyciek danych”. RODO posługuje się jednak szerszym terminem czyli pojęciem naruszenia ochrony danych osobowych. Może nim być naruszenie poufności, np. dokumentacja pacjenta została wysłana do niewłaściwej osoby albo osoba nieuprawniona uzyskała dostęp do systemu. 

O naruszeniu integralności mówimy w sytuacjach, w których doszło do nieuprawnionej i bezprawnej modyfikacji danych osobowych. Z kolei naruszenie dostępności polega na utracie zasobów lub uniemożliwieniu korzystania z nich, co jest typowym efektem m.in. ataków typu ransomware.

Należy pamiętać, że brak potwierdzenia kradzieży danych nie wyklucza wystąpienia naruszenia. Jeżeli cyberatak skutkuje paraliżem systemu lub utratą integralności informacji, mamy do czynienia z incydentem podlegającym przepisom o ochronie danych osobowych.

Pierwsze godziny po wykryciu incydentu – co należy zrobić?

Kluczem do skutecznego opanowania sytuacji kryzysowej jest natychmiastowe podjęcie zdyscyplinowanych działań naprawczych. Należy unikać chaosu, który może spotęgować negatywne konsekwencje incydentu i uniemożliwić późniejsze precyzyjne wskazanie okoliczności, które doprowadziły do naruszenia.

Ograniczenie skutków incydentu

Priorytetem w pierwszej fazie po wykryciu incydentu jest bezzwłoczna izolacja zagrożenia w celu powstrzymania jego dalszej eskalacji. Katalog podejmowanych działań zależy od specyfiki zdarzenia i może obejmować m.in. czasowe zawieszenie uprawnień przejętego konta, wymuszoną zmianę danych uwierzytelniających, restrykcje w zakresie eksportu danych czy odizolowanie zainfekowanych jednostek od sieci. Należy przy tym podkreślić, że model odpowiedzi musi być każdorazowo dostosowany do charakteru ataku oraz specyficznej architektury IT placówki, ponieważ nie istnieje jedna uniwersalna instrukcja reagowania na cyberzagrożenia

Zaangażowanie odpowiednich osób

Reakcja na poważny incydent naruszenia bezpieczeństwa nie może ograniczać się wyłącznie do działań operacyjnych działu IT. Skuteczna analiza zdarzenia wymaga, w zależności od struktury danej placówki, powołania zespołu kryzysowego, w skład którego powinni wejść: specjalista ds. cyberbezpieczeństwa, kadra zarządzająca oraz Inspektor Ochrony Danych. W proces ten należy zaangażować również dostawcę systemu medycznego, a w przypadku incydentów o wysokim stopniu skomplikowania, zewnętrznych ekspertów z zakresu informatyki śledczej i analizy incydentów

System lokalny i system chmurowy – reakcja może wyglądać inaczej

Sposób postępowania zależy również od tego, gdzie działa oprogramowanie wykorzystywane przez placówkę.

System działający na serwerze placówki 

Jeżeli system i baza danych znajdują się na lokalnej infrastrukturze, działania mogą obejmować izolację zainfekowanych urządzeń lub segmentów sieci oraz zabezpieczenie logów systemowych, kopii zapasowych i innych informacji pozwalających odtworzyć przebieg zdarzenia. W przypadku podejrzenia poważnego cyberataku działania naprawcze powinny być prowadzone w taki sposób, aby nie doprowadzić do utraty materiału potrzebnego do późniejszej analizy.

System działający w chmurze 

W systemach chmurowych częstym problemem może być np. przejęcie danych dostępowych użytkownika. W takim przypadku istotne może być zablokowanie konta, unieważnienie aktywnych sesji, zmiana hasła oraz sprawdzenie lub ponowne skonfigurowanie uwierzytelniania wieloskładnikowego. Należy również ustalić, czy z konta wykonywano nietypowe operacje, takie jak masowe pobieranie danych.

W takich sytuacjach dostawca oprogramowania może być jednym z najważniejszych źródeł informacji o przebiegu zdarzenia. Logi systemowe mogą pomóc ustalić m.in. czas i źródło logowania oraz działania wykonywane z danego konta, oczywiście w zakresie, w jakim konkretny system takie zdarzenia rejestruje. Jeżeli dostawca przetwarza dane w imieniu placówki jako podmiot przetwarzający, powinien poinformować administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki. To jednak administrator, najczęściej placówka medyczna, podejmuje decyzję o ewentualnym zgłoszeniu naruszenia Prezesowi UODO.

Ustalenie, jakie dane i ilu osób dotyczą incydentu

Po wstępnym opanowaniu bezpośredniego zagrożenia trzeba możliwie dokładnie ustalić skalę zdarzenia. W szczególności warto odpowiedzieć na pytania o to, jakiego systemu dotyczył incydent, jakie kategorie danych (w tym dane o zdrowiu i numery PESEL) znajdowały się w zasobie oraz ilu pacjentów lub pracowników mogło zostać dotkniętych naruszeniem. Ważne jest także ustalenie czasu trwania nieuprawnionego dostępu, faktu ewentualnego pobrania danych, poziomu ich zabezpieczenia (np. szyfrowanie) oraz przesłanek wskazujących na wykorzystanie danych przez osoby trzecie.

Standardową sytuacją w takim przypadku jest to, że nie zawsze wszystkie odpowiedzi będą dostępne od razu. Ważne jest jednak jak najszybsze rozpoczęcie analizy i dokumentowanie kolejnych ustaleń.

Czy każde naruszenie trzeba zgłosić do UODO?

Odpowiedź jest krótka – nie. Zgodnie z art. 33 RODO administrator zgłasza naruszenie Prezesowi UODO, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli takie ryzyko istnieje, zgłoszenia należy dokonać nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Ocena dokonana przez administratora nie powinna opierać się wyłącznie na rodzaju danych. Znaczenie mają również m.in. skala zdarzenia, możliwość identyfikacji pacjentów, zastosowane zabezpieczenia, możliwość wykorzystania danych oraz potencjalne konsekwencje dla osób, których dane dotyczą.

W praktyce ujawnienie osobie nieuprawnionej dokumentacji zawierającej jednocześnie dane identyfikacyjne, numer PESEL i informacje dotyczące zdrowia będzie zazwyczaj wiązało się z istotnym ryzykiem. Nie oznacza to jednak, że można przyjąć prostą zasadę, zgodnie z którą każde zdarzenie dotyczące danych medycznych „automatycznie” stanowi naruszenie wysokiego ryzyka. Oceny należy dokonywać w okolicznościach konkretnego przypadku, co wynika zarówno z RODO, jak i praktyki Prezesa UODO.

Co zrobić, jeżeli w ciągu 72 godzin nie znamy jeszcze całej skali zdarzenia?

Nie należy czekać ze zgłoszeniem tylko dlatego, że analiza techniczna nadal trwa. RODO pozwala przekazywać informacje sukcesywnie, można więc dokonać zgłoszenia na podstawie aktualnie posiadanych informacji, a następnie uzupełniać je wraz z postępem analizy. Jest to szczególnie istotne przy cyberatakach, gdzie ustalenie sposobu włamania i zakresu pobranych danych może wymagać dłuższego czasu. Obecnie UODO umożliwia dokonanie zgłoszenia elektronicznie za pomocą formularza w serwisie biznes.gov.pl.

Kiedy trzeba poinformować pacjentów?

Transparentność wobec pacjentów w sytuacji kryzysowej jest kluczowa, jednak obowiązek ich zawiadomienia zależy od skali zagrożenia. RODO wymaga takiego kroku tylko w przypadkach, gdy incydent niesie ze sobą wysokie ryzyko naruszenia ich prywatności. Dokument kierowany do pacjenta powinien być sformułowany prostym językiem i zawierać praktyczny poradnik działań naprawczych, np. informację o konieczności monitorowania aktywności kredytowej czy zastrzeżeniu dokumentów tożsamości. 

Jednocześnie przepisy zdejmują z placówki ten obowiązek, jeśli dane były należycie zabezpieczone (np. zaszyfrowane), co uniemożliwia ich faktyczne wykorzystanie przez osoby trzecie.

Każde naruszenie trzeba udokumentować

Nawet jeśli placówka uzna, że zdarzenie nie wymaga zgłoszenia do UODO, nie wolno o nim zapomnieć. RODO wymaga dokumentowania wszystkich naruszeń, co powinno pozwolić na ustalenie okoliczności, skutków, przeprowadzonej oceny ryzyka, podjętych działań zaradczych oraz przyczyn ewentualnego braku zgłoszenia. Dobrze prowadzony rejestr naruszeń jest kluczowy dla wykazania prawidłowej reakcji placówki.

Czy trzeba zawiadomić policję? 

Jeżeli okoliczności wskazują na przestępstwo np. włamanie, ransomware, kradzież danych, należy zawiadomić organy ścigania, zwłaszcza jednostki zwalczające cyberprzestępczość. Takie zawiadomienie jest niezależne od zgłoszenia do UODO.

Jakie konsekwencje może mieć naruszenie?

Samo wystąpienie cyberataku nie oznacza automatycznie kary za naruszenie RODO. UODO ocenia przede wszystkim stosowanie odpowiednich środków bezpieczeństwa przed incydentem oraz reakcję administratora po jego wykryciu. Pod uwagę brane są m.in. zabezpieczenia techniczne i organizacyjne, procedury reagowania na incydenty, zarządzanie uprawnieniami użytkowników, stosowanie uwierzytelniania wieloskładnikowego, kopie zapasowe, szkolenia personelu, czas reakcji, prawidłowość zgłoszenia do UODO i zawiadomienia potencjalnie pokrzywdzonych osób oraz współpraca z organem nadzorczym.

Maksymalny poziom kary pieniężnej może sięgać 20 mln euro albo 4% rocznego światowego obrotu, choć nie każdemu wyciekowi towarzyszy taka sankcja. Dla podmiotów publicznych w Polsce limity są niższe np. do 100 tys. zł dla wybranych jednostek sektora finansów publicznych. Faktyczne kary w Polsce dotychczas nie zbliżyły się do maksimów, jednak zdarzały się przypadki kar w wysokości kilku milionów złotych.

Pacjent może również dochodzić odszkodowania 

Na podstawie art. 82 RODO osoba, która poniosła szkodę, majątkową lub niemajątkową wskutek naruszenia, może dochodzić odszkodowania. Zgodnie z orzecznictwem TSUE, kluczowe jest wystąpienie realnej szkody oraz związku pomiędzy nią a naruszeniem.

Jak przygotować się do ewentualnego incydentu?

W praktyce radcowskiej i doradczej często podkreślamy, że moment ataku to najgorszy czas na szukanie numerów telefonów do dostawców czy ustalanie, gdzie przechowywane są logi. Skuteczna obrona wymaga wcześniejszego przygotowania się i jasnego określenia, kto koordynuje działania po wykryciu incydentu, kto kontaktuje się z dostawcą oprogramowania oraz administratorem IT, a także gdzie znajdują się dane kontaktowe do IOD i osób odpowiedzialnych za cyberbezpieczeństwo. Istotne jest również ustalenie, kto dokonuje oceny ryzyka dla osób, których dane dotyczą, w jaki sposób zabezpieczane są logi i inne informacje związane ze zdarzeniem oraz kto odpowiada za komunikację z pacjentami.

Dobrze przygotowana procedura nie wyeliminuje ryzyka cyberataku, ale może zdecydowanie ograniczyć jego skutki. Pozwala także sprawniej reagować na incydent, ograniczyć przestoje i szybciej przywrócić placówkę do normalnego funkcjonowania.

Podsumowanie

Podsumowując, skuteczne zarządzanie bezpieczeństwem danych w placówce medycznej opiera się na pełnej gotowości do działania jeszcze przed wystąpieniem incydentu. Wdrożenie precyzyjnych procedur reagowania, które określają role zespołu oraz zasady zabezpieczania dowodów, pozwala nie tylko zminimalizować skutki ewentualnego ataku, ale przede wszystkim umożliwia organizacji szybszy powrót do normalnej pracy. Pamiętajmy, że rzetelne dokumentowanie każdego zdarzenia oraz rygorystyczne przestrzeganie zasad RODO stanowią najlepszą ochronę przed dotkliwymi konsekwencjami prawnymi i finansowymi.

Wychodząc naprzeciw potrzebom placówek medycznych, proponujemy stałą usługę pełnienia funkcji Inspektora Ochrony Danych przez radcę prawnego Ireneusza Zabawa. Inspektor Ochrony Danych będzie odpowiedzialny za nadzór nad zgodnością działalności jednostki z przepisami o ochronie danych, stanowiąc kluczowy punkt kontaktowy dla kadry zarządzającej, pracowników oraz organów nadzorczych w sytuacjach wymagających interwencji lub doradztwa prawnego.

Zapraszamy do pobrania przewodnika eksperckiego dla kadry zarządzającej i działów IT „Zarządzanie incydentami ochrony danych w placówkach medycznych”.