Wyciek z cyfrowego giganta, odpowiedzialność po stronie małej firmy

Z systemu MyDr wyciekły w sierpniu dane, które mogły dotyczyć nawet 19 mln osób. Z oprogramowania korzystało ok. 12 tys. placówek medycznych. Pod koniec września ujawniono atak na Medyc, aplikację firmy Qbusoft, który według doniesień medialnych mógł objąć ok. 5 mln osób. Urząd Ochrony Danych Osobowych szybko przypomniał, że obowiązek zawiadomienia pacjentów spoczywa na administratorach, którzy korzystali z usług MyDr.

Model z innej epoki

Konstrukcja powierzenia z art. 28 RODO zakłada określony układ sił. Administrator decyduje o celach przetwarzania, wybiera dostawcę, który zapewnia „wystarczające gwarancje”, negocjuje umowę, audytuje go i wydaje mu polecenia. Dostawca jest wykonawcą. Ten model dobrze opisuje przykład banku, który zleca obsługę korespondencji małej drukarni.

Na rynku oprogramowania medycznego jest odwrotnie. Po jednej stronie stoi dostawca obsługujący tysiące podmiotów, po drugiej przychodnia z kilkoma gabinetami. Umowę powierzenia akceptuje się razem z regulaminem, jednym kliknięciem. Przychodnia nie wynegocjuje terminu zawiadomienia o incydencie, nie przeprowadzi audytu i nie oceni architektury systemu, bo nie ma ani siły rynkowej, ani kompetencji.

Regres, który niewiele daje

Wobec poszkodowanych administrator i podmiot przetwarzający odpowiadają solidarnie. Każdy z nich odpowiada za całą szkodę, a rozliczają się między sobą później, w drodze regresu. Pacjent pozwie przychodnię, którą zna, a nie spółkę informatyczną. Przychodnia zapłaci i zwróci się do dostawcy, a tam trafi na dwie przeszkody.

Pierwszą jest limit odpowiedzialności ze wzoru umowy, zwykle powiązany z wysokością abonamentu. Drugą przeszkodą jest skala. Gdy roszczenia pochodzą od milionów osób, a Trybunał Sprawiedliwości UE uznał, że szkodą niemajątkową może być już sama obawa przed wykorzystaniem danych, majątek dostawcy może po prostu nie wystarczyć na pokrycie roszczeń 12 tys. administratorów.

Tysiące zawiadomień o jednym zdarzeniu

Fikcję widać także przy zawiadomieniach. Każda z placówek musi osobno ocenić ryzyko, osobno zgłosić naruszenie prezesowi UODO w ciągu 72 godzin i osobno zawiadomić pacjentów. Termin biegnie od chwili, gdy administrator dowie się o naruszeniu, czyli w praktyce od zawiadomienia przez dostawcę.

Ocenia zdarzenie, którego nie widział, na podstawie informacji od tego samego dostawcy. Pacjent leczący się w trzech miejscach może dostać trzy różne zawiadomienia o tym samym wycieku. Urząd dostaje tysiące zgłoszeń jednego zdarzenia. Nikt na tym nie zyskuje, a najmniej pacjent.

Cyber Piątka trafia obok celu

Ministerstwo Cyfryzacji dostrzegło problem. Pakiet tzw. Cyber Piątki, przedstawiony 31 sierpnia, przewiduje m.in. certyfikację podmiotów przetwarzających dane medyczne, informowanie pacjentów o powierzeniu ich danych oraz dodatkowe obowiązki dla dostawców obsługujących ponad 100 administratorów lub dane ponad 100 tys. osób.

To krok w dobrą stronę, bo wyodrębnia dostawców o szczególnej skali. Pakiet poprawia jednak przede wszystkim bezpieczeństwo przed incydentem, certyfikacja ma sprawić, że do wycieku dojdzie rzadziej. Nie zmienia natomiast tego, kto odpowiada, gdy do niego dojdzie.

Dostawca systemowy, odpowiedzialność systemowa

Ustawodawca ma tu pole do działania, a dostawców powyżej progu z Cyber Piątki łatwo zdefiniować. Chodzi o kilku dostawców systemowych, a nie o setki małych firm informatycznych, dla których ostre przepisy byłyby barierą wejścia. Wobec dostawców systemowych potrzebne są trzy rozwiązania.

Po pierwsze, obowiązek zgłoszenia naruszenia prezesowi UODO i jednego, centralnego zawiadomienia pacjentów w imieniu wszystkich administratorów. Po drugie, obowiązkowe ubezpieczenie odpowiedzialności cywilnej z sumą gwarancyjną odpowiadającą liczbie osób, których dane dostawca przetwarza. Po trzecie, ustawowe minimum odpowiedzialności dostawcy wobec administratorów, poniżej którego umowa nie może jej ograniczać.

Na razie pozostaje umowa

Problem nie dotyczy tylko medycyny. Kancelarie, biura rachunkowe i agencje pracy też podpisują wzory dostawców obsługujących tysiące klientów. Im także pozostaje umowa. Warto walczyć o termin zawiadomienia o incydencie liczony w godzinach, raport z niezależnego audytu, zgodę na podwykonawców i zwrot danych po zakończeniu współpracy.

Nie chodzi o zwolnienie placówek z odpowiedzialności. Za uprawnienia personelu, zabezpieczenie stanowisk pracy i sposób przekazywania dokumentacji przychodnia powinna odpowiadać w pełni. Odpowiedzialność powinna jednak iść za realną kontrolą nad ryzykiem. Dziś idzie za fikcją, w której przychodnia z trzema gabinetami ma nadzorować spółkę obsługującą 12 tys. klientów.