Ostatnie dni przyniosły falę informacji o wyciekach danych i cyberatakach, które dotknęły duże podmioty współpracujące z placówkami medycznymi. Wśród doniesień pojawiają się m.in. MyDr, aplikacja Medyc (firmy Qbusoft), FELG Dent czy Fakturownia.
Naruszenie ochrony danych u dostawcy usług prawdopodobnie będzie wiązało się z obowiązkami po stronie placówki medycznej. Jako administrator danych osobowych powinna ona zweryfikować czy incydent dotyczy powierzonych przez nią danych, a następnie ocenić ryzyko dla osób, których dane dotyczą.
Jeśli naruszenie podlega zgłoszeniu Prezesowi UODO, należy go dokonać bez zbędnej zwłoki- w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Brak pełnych informacji pozwala na zgłoszenie wstępne i późniejsze uzupełnienia.
W przypadku stwierdzenia wysokiego ryzyka naruszenia praw lub wolności osób, obowiązkowe jest również poinformowanie ich o incydencie.
Poza tym każde naruszenie, również w przypadku, gdy nie wymaga ono zawiadomienia i zgłoszenia do Prezesa UODO, należy odpowiednio udokumentować.
Dowiedziałeś się o ataku? Liczy się czas
Pierwszym krokiem powinno być ustalenie, kiedy administrator faktycznie dowiedział się o naruszeniu. Takim momentem może być na przykład otrzymanie wiadomości e-mail od podmiotu przetwarzającego z informacją o incydencie czy zapoznanie się z komunikatem opublikowanym na jego stronie internetowej.
Ma to ogromne znaczenie, ponieważ od momentu stwierdzenia naruszenia biegnie 72-godzinny termin na zgłoszenie naruszenia do Prezesa UODO. Termin ten biegnie nieprzerwanie – również w weekendy czy dni wolne od pracy.
Nie czekaj na komplet informacji
W praktyce jednym z problemów po cyberataku jest brak pełnej wiedzy o tym, co dokładnie się wydarzyło. Nie oznacza to jednak, że administrator może biernie czekać na dalszy rozwój sytuacji i szczegóły dotyczące ewentualnego naruszenia. Niepełna wiedza o incydencie i oczekiwanie na komplet informacji nie usprawiedliwia przekroczenia 72 godzin. W takiej sytuacji można złożyć do UODO zgłoszenie wstępne, a brakujące dane można uzupełnić w późniejszym czasie. W międzyczasie warto również zwrócić się do podmiotu przetwarzającego o przekazanie wszystkich informacji niezbędnych do oceny incydentu.
Co zrobić jeśli 72 godziny już minęły?
Jeżeli termin 72 godzin został już przekroczony, nie należy zwlekać z dokonaniem zgłoszenia. Dalsze oczekiwanie tylko wydłuża opóźnienie i może mieć znaczenie przy ocenie sposobu działania przez administratora.
W zgłoszeniu należy wskazać przyczynę opóźnienia. W praktyce może ona wynikać m.in. z czasu poświęconego na przeprowadzenie analizy incydentu i informacji przekazanych przez podmiot przetwarzający, które są niezbędne do ustalenia czy rzeczywiście doszło do naruszenia i jakie jest prawdopodobieństwo wystąpienia negatywnych konsekwencji dla osób, których dane dotyczą.
Jak zgłosić naruszenie do UODO?
Zgłoszenia naruszenia ochrony danych osobowych można dokonać elektronicznie, za pośrednictwem dedykowanego formularza dostępnego na stronie biznes.gov.pl. Zgłoszenie można również przesłać pocztą na adres siedziby UODO lub złożyć osobiście w kancelarii Urzędu.
Co jeśli ostatecznie okaże się, że zgłoszenie nie było konieczne?
Jeżeli po otrzymaniu pełnych informacji od podmiotu przetwarzającego okaże się, że incydent nie dotyczył danych powierzonych przez administratora albo że nie wystąpiły przesłanki wymagające zgłoszenia naruszenia, w takiej sytuacji należy przekazać UODO stosowne wyjaśnienia i uzupełnić wcześniejsze zgłoszenie.
Czy trzeba powiadomić osoby, których dane dotyczą?
Obowiązek zawiadomienia osób, których dane dotyczą, wynika z art. 34 RODO i powstaje się w przypadku naruszenia ochrony danych osobowych mogącego powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. W praktyce przy ocenie ryzyka związanego z naruszeniem istotne znaczenie ma fakt wycieku numeru PESEL, danych dotyczących zdrowia czy korzystania ze świadczeń medycznych.
Jeżeli administrator ma już wystarczające informacje o tym, że naruszenie może powodować wysokie ryzyko dla osób, których dane dotyczą, powinien zawiadomić te osoby bez zbędnej zwłoki.
A jeśli nie da się jeszcze ocenić ryzyka?
Jeśli administrator jeszcze nie ma wystarczających informacji, aby rzetelnie ocenić zakres ryzyka i jego ewentualne konsekwencje – np. z uwagi na brak konkretnych informacji od podmiotu przetwarzającego – w zgłoszeniu do UODO można wskazać, że na tym etapie ocena co do zawiadomienia osób, których dane dotyczą nie jest jeszcze możliwa.
Po uzyskaniu dodatkowych informacji, dokonaniu oceny ryzyka i podjęciu decyzji o zawiadomieniu osób, należy wówczas przekazać UODO zgłoszenie uzupełniające.
Potrzebujesz pomocy?
Jeżeli Twoja placówka lub firma otrzymała od podmiotu przetwarzającego informację o cyberataku lub naruszeniu ochrony danych osobowych, nie warto zwlekać z podjęciem działań. Możemy pomóc w analizie otrzymanego zawiadomienia, ocenie ryzyka oraz w przygotowaniu zgłoszenia do UODO i zawiadomień dla osób, których dane dotyczą.
Czas ma tu znaczenie, szybka i prawidłowo udokumentowana reakcja pozwala ograniczyć ryzyko ewentualnych negatywnych konsekwencji oraz właściwie zrealizować obowiązki administratora.