W poniedziałek Ministerstwo Cyfryzacji przedstawiło szczegóły tzw. Cyber Piątki - pakietu zmian, którego celem jest poprawa bezpieczeństwa danych w sieci, ze szczególnym uwzględnieniem danych medycznych. To reakcja m.in. na niedawny wyciek danych z firmy MyDr.
Jak podkreślił resort, firmy i instytucje masowo przetwarzające wrażliwe dane obywateli powinny ponosić większą odpowiedzialność, niezależnie od roli, jaką pełnią w całym procesie.
- Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie. Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie - przekazał wiceminister cyfryzacji Dariusz Standerski.
"Dane medyczne nie mogą być traktowane jak zwykły towar, który można przekazywać kolejnym firmom bez odpowiedzialności" - napisał z kolei na platformie X Krzysztof Gawkowski.
Certyfikacja firm przetwarzających dane medyczne
Jedna z najważniejszych propozycji dotyczy certyfikacji podmiotów, którym powierzane jest przetwarzanie danych medycznych. Firmy te miałyby obowiązek spełniać określone standardy bezpieczeństwa.
Certyfikacja zostałaby powiązana z systemem przewidzianym w ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa. Rozwiązanie ma zapewnić, że podmioty otrzymujące dostęp do wrażliwych informacji będą dysponowały odpowiednimi procedurami i zabezpieczeniami.
Minimalne wymagania technologiczne
Ministerstwo chce również określić minimalne wymagania dla systemów teleinformatycznych wykorzystywanych do przetwarzania danych medycznych.
"Wytyczne będą uwzględniały aktualne standardy i normy w zakresie cyberbezpieczeństwa. Ich celem będzie zapewnienie odpowiedniego poziomu ochrony danych niezależnie od tego, jaki podmiot zewnętrzny odpowiada za ich przetwarzanie" - wyjaśnił resort.
Pacjent dowie się, kto przetwarza jego dane
Kolejna propozycja zakłada wprowadzenie obowiązku informowania pacjentów o powierzeniu przetwarzania ich danych podmiotom zewnętrznym.
Pacjent miałby otrzymywać informacje m.in. o zakresie i przedmiocie powierzenia danych, a także dane kontaktowe podmiotu, który je przetwarza. Dzięki temu obywatele mogliby łatwiej sprawdzić, kto ma dostęp do ich informacji medycznych i w jakim celu z nich korzysta.
Powiadomienia o zdarzeniach medycznych
Nowym narzędziem służącym do szybkiego wykrywania prób nieuprawnionego wykorzystania danych mają być powiadomienia o zdarzeniach medycznych.
Ministerstwo proponuje, aby komunikaty pojawiały się w aplikacjach mObywatel i mojeIKP. Dotyczyłyby m.in. wizyt, wystawienia recepty oraz udzielenia innych świadczeń medycznych.
"Samo powiadomienie będzie informowało o wystąpieniu zdarzenia, natomiast jego szczegóły będą dostępne po zalogowaniu do Internetowego Konta Pacjenta lub aplikacji mojeIKP. Dzięki temu pacjent będzie mógł szybko zareagować, jeśli ktoś spróbuje wykorzystać jego dane do uzyskania recepty lub świadczenia medycznego" - poinformował resort.
Nowe obowiązki dla największych podmiotów
Pakiet przewiduje także nowe obowiązki dla firm i instytucji, które przetwarzają dane na dużą skalę. Chodzi o podmioty świadczące takie usługi dla więcej niż 100 administratorów lub przetwarzające dane dotyczące łącznie ponad 100 tys. osób.
Według resortu skala działalności takich podmiotów sprawia, że ewentualne naruszenie może dotknąć bardzo dużej liczby obywateli. Z tego powodu powinny one podlegać dodatkowym wymaganiom związanym z ochroną informacji.
Szybsza informacja o wycieku danych
Ministerstwo wskazało również na potrzebę szybkiego informowania obywateli o naruszeniach bezpieczeństwa.
W przypadku incydentu podmiot przetwarzający miałby przekazywać do CSIRT NASK, za pośrednictwem Policji, dane osób objętych naruszeniem. Zakres informacji zostałby ograniczony do imienia, nazwiska i numeru PESEL.
Informacja o naruszeniu mogłaby następnie zostać udostępniona zainteresowanym osobom za pośrednictwem portalu bezpiecznedane.gov.pl. Rozwiązanie ma ułatwić obywatelom sprawdzenie, czy ich dane znalazły się wśród informacji objętych wyciekiem.
Większa kontrola nad wykonawcami
Inna zmiana polegać ma na tym, że podmioty przetwarzające dane miałyby obowiązek przekazywania placówkom, które im je powierzyły, informacji niezbędnych do oceny poziomu ich bezpieczeństwa. Dotyczyłoby to m.in.:
- stosowanych zabezpieczeń,
- dalszych podmiotów przetwarzających,
- miejsca przetwarzania danych,
- wyników audytów, testów i ocen bezpieczeństwa.
Resort zwrócił uwagę, że przed rozpoczęciem przetwarzania danych podmiot musiałby przeprowadzić ocenę ryzyka. Byłaby ona aktualizowana co najmniej raz na dwa lata oraz po każdej istotnej zmianie sposobu lub warunków przetwarzania danych.
"Proponowane zmiany mają objąć cały proces przetwarzania danych - od wymagań wobec firm, które otrzymują dostęp do danych medycznych, po informowanie obywateli o zdarzeniach związanych z ich danymi. Kolejnym etapem będą prace nad szczegółowymi rozwiązaniami legislacyjnymi i ich wdrożeniem" - przekazało Ministerstwo Cyfryzacji.
Wyciek danych z MyDr
Według informacji przekazanych w sierpniu przez Ministerstwo Cyfryzacji w wyniku ataku wyciekły dane 19 mln Polaków, w tym informacje dotyczące leków i recept. Incydent objął dane pochodzące z 12 tys. podmiotów medycznych korzystających z platformy MyDr. Informacje związane z wyciekiem zostały dodane do rządowego serwisu bezpiecznedane.gov.pl. Użytkownicy mogą tam bezpłatnie sprawdzić, czy ich numer PESEL znalazł się wśród danych objętych incydentem. Portal umożliwia również monitorowanie numerów telefonów, adresów e-mail oraz loginów