Po kibernetinės atakos prieš MyDr Lenkijoje išryškėjo viena jautriausių skaitmeninės sveikatos vietų: medicinos įstaigos vis dažniau patiki pacientų duomenis išoriniams IT tiekėjams, tačiau atsakomybės taip paprastai „neišperleidžia“. Skelbiama, kad neteisėta prieiga galėjo paliesti iki 18,8 mln. asmenų duomenis iš daugiau nei 12 tūkst. medicinos įstaigų, daugiausia istorinius įrašus iki 2024 metų balandžio.
Šis incidentas laikomas vienu didžiausių sveikatos sektoriaus duomenų saugumo įvykių šalyje ir parodo, kokią riziką sukuria didelių duomenų kiekių koncentracija vieno tiekėjo infrastruktūroje. Sveikatos duomenys nusikaltėliams vertingi todėl, kad dažnai apima ir tapatybės informaciją, ir itin jautrią informaciją apie diagnozes, tyrimus ar gydymą.
Kartu tai tapo priminimu, kad vien tiekėjo pažeidžiamumas automatiškai neapriboja teisinių pasekmių vien jam. Asmens duomenų apsaugos pareigos pagal BDAR išlieka ir toms gydymo įstaigoms, kurios duomenis patikėjo tvarkyti išoriniam paslaugų teikėjui.
Kas atsako pagal BDAR?
Pagal BDAR logiką MyDr šioje schemoje veikia kaip duomenų tvarkytojas, o atskiri kabinetai, klinikos ir ligoninės, kurios naudojasi sistema, dažniausiai yra duomenų valdytojai. Tai reiškia, kad pacientų duomenų apsaugos prievolės ir sprendimai dėl pranešimų institucijoms ar pacientams pirmiausia tenka įstaigoms.
Lenkijos duomenų apsaugos institucija UODO yra paskelbusi apie MyDr patikrinimą, kuriame vertins taikytas technines ir organizacines priemones, jų testavimo reguliarumą bei rizikos analizės praktiką. Vis dėlto vien tokia kontrolė automatiškai neišsprendžia klausimo, ką privalo daryti kiekviena atskira gydymo įstaiga.
Teisininkai pabrėžia, kad duomenų tvarkymo perdavimas išoriniam partneriui nėra atsakomybės perdavimas. BDAR 28 straipsnis numato, kad valdytojas gali rinktis tik tokį tvarkytoją, kuris suteikia pakankamas garantijas dėl tinkamų saugumo priemonių.
72 valandos ir pareiga įvertinti riziką
Praktikoje svarbiausias žingsnis po tokio incidento yra įsivertinti, ar pažeidimas palietė konkrečios įstaigos administruojamus pacientų duomenis. Vien žinia žiniasklaidoje nebūtinai automatiškai reiškia, kad visoms įstaigoms tuo pačiu metu pradeda tikti 72 valandų terminas, tačiau jos negali likti pasyvios.
Jeigu nustatoma, kad įvyko asmens duomenų saugumo pažeidimas, galintis sukelti riziką asmenų teisėms ir laisvėms, BDAR 33 straipsnis numato pareigą pranešti priežiūros institucijai be nepagrįsto delsimo ir, kiek įmanoma, per 72 valandas nuo pažeidimo nustatymo. Jei rizika vertinama kaip didelė, atsiranda ir pareiga informuoti pačius asmenis, kurių duomenys galėjo būti atskleisti.
Tokiose situacijose įstaigoms būtina gauti iš tvarkytojo aiškią informaciją apie incidento apimtį, paveiktas sistemas ir galimai paliestų duomenų kategorijas. Tik turint šiuos duomenis galima pagrįstai atlikti rizikos vertinimą ir priimti sprendimus dėl pranešimų.
Ar pacientams priklauso kompensacijos?
Pats duomenų nutekėjimo faktas dar nereiškia automatinės teisės kiekvienam pacientui gauti kompensaciją. Kompensacijai paprastai reikia pagrįsti BDAR pažeidimą, žalos faktą ir priežastinį ryšį tarp pažeidimo ir žalos.
Svarbu tai, kad neturtinė žala nėra suprantama vien kaip realiai įvykęs tapatybės vagystės ar duomenų panaudojimo atvejis. Europos Sąjungos Teisingumo Teismas yra nurodęs, kad vien pagrįsta baimė dėl galimo būsimo duomenų panaudojimo tam tikrais atvejais gali būti laikoma neturtine žala, todėl sveikatos duomenų nutekėjimuose šis aspektas gali tapti itin reikšmingas.
Sveikatos duomenų atskleidimas gali sukelti platesnes pasekmes, įskaitant diskriminacijos riziką, reputacinę žalą ar privatumo pažeidimus. Dėl to įstaigos turi vertinti ne tik techninį incidento pobūdį, bet ir galimą poveikį pacientams.
Kodėl vien sutarties nebeužtenka?
Incidentas taip pat parodė, kad formali duomenų tvarkymo sutartis nėra „užbaigtas“ saugumo sprendimas. Tiekėjo rizika tampa pačios organizacijos rizika, todėl tikėtina, kad vis daugiau įstaigų bus priverstos reguliariai tikrinti tiekėjų saugumo praktiką, reikalauti įrodymų apie testavimą, incidentų valdymą ir rizikos mažinimo priemones.
Papildomą spaudimą didina ir NIS2 kryptis Europoje, kuri akcentuoja organizacijų pareigą valdyti kibernetines rizikas, įskaitant tiekimo grandinės saugumą. Net jei ne kiekviena nedidelė gydymo įstaiga patenka į griežčiausią reguliavimo taikymo sritį, bendras standartas rinkoje kyla, o priežiūros institucijų lūkesčiai dėl „realios“ rizikos kontrolės tampa vis aiškesni.
MyDr atvejis išryškina paprastą išvadą: galima perduoti sistemą, serverius ar duomenų tvarkymo operacijas, tačiau negalima perduoti atsakomybės už teisės aktų laikymąsi. Todėl po tokių incidentų svarbiausi tampa ne tik techniniai atsakymai, bet ir greiti, dokumentuoti sprendimai dėl rizikos, pranešimų ir tiekėjų kontrolės.
Leave a Reply