Po wycieku danych milionów Polaków rząd bierze się za firmy, których dotąd nikt skutecznie nie kontrolował

Afera MyDr nie skończyła się na przeprosinach zarządu i uruchomieniu strony do sprawdzania PESEL-u. Ministerstwo Cyfryzacji przygotowało pakiet zmian w prawie, który ma dotknąć mechanizmu, jaki doprowadził do wycieku danych blisko 19 mln Polaków. Nazwano go „CyberPiątką”. Jest to pięć punktów, które mają zwiększyć odpowiedzialność firm przetwarzających dane medyczne. Szczegóły pokazują, gdzie faktycznie leżał problem.

Po wycieku danych milionów Polaków z systemów MyDr Ministerstwo Cyfryzacji proponuje CyberPiątkę, czyli pięć zmian w przepisach, które mają zwiększyć odpowiedzialność firm przetwarzających dane medyczne.

Dwa tygodnie milczenia, jedno oświadczenie. Prezes MyDr przeprasza, ale nie odpowiada na najważniejsze pytanie

Punkt wyjścia to odkrycie, że firma MyDr, dostawca oprogramowania do Elektronicznej Dokumentacji Medycznej dla około 12 tysięcy placówek, zgromadziła bazę obejmującą dane nawet 18,8 miliona osób. Jej istnienia nie byli świadomi ani pacjenci, ani przychodnie, które formalnie pozostawały administratorami danych. Wiceminister Standerski wskazywał w tym sedno problemu. Podwykonawca urósł do rozmiaru, jakiego nikt skutecznie nie nadzorował, a umowy z placówkami medycznymi nie wymuszały odpowiedniego poziomu zabezpieczeń.

DSA, weto prezydenta i 16 miliardów dolarów. Dlaczego Polska nie potrafi zablokować scamu na Facebooku

Stąd pięć konkretnych propozycji Ministerstwa Cyfryzacji. Pierwsza zakłada certyfikację firm przetwarzających dane medyczne, powiązaną z krajowym systemem certyfikacji cyberbezpieczeństwa. Druga to minimalne wymagania technologiczne dla systemów IT wykorzystywanych w tym sektorze. Trzecia przewiduje obowiązek informowania pacjenta, że jego dane trafiają do zewnętrznego podmiotu. Czwarta zakłada powiadomienia w aplikacjach mObywatel i mojeIKP o każdej wizycie czy recepcie wystawionej na jego nazwisko, aby próba wyłudzenia świadczenia mogła zostać wykryta szybciej. Piąty punkt dotyczy największych podmiotów. Firmy obsługujące ponad 100 administratorów albo przetwarzające dane ponad 100 tysięcy osób będą miały zgłaszać naruszenia do CSIRT NASK, przekazywać policji dane poszkodowanych i co dwa lata przeprowadzać ocenę ryzyka.

15 milionów streamerów w niebezpieczeństwie? ShinyHunters straszy Logitecha ultimatum

Proponowane zmiany mają uzupełnić obszar, który według resortu wymaga dodatkowych regulacji. RODO nakłada obowiązki zarówno na administratorów danych, jak i podmioty przetwarzające, ale odpowiedzialność za zgodność przetwarzania wobec osób, których dane dotyczą, pozostaje w dużej mierze po stronie administratora. W przypadku MyDr skala przetwarzanych informacji pokazała, że zewnętrzny dostawca może w praktyce dysponować ogromnym zbiorem danych pacjentów. Na razie CyberPiątka pozostaje jednak propozycją. Resort nie przedstawił jeszcze harmonogramu dalszych prac legislacyjnych.