Korzystasz z MyDr w gabinecie? UODO przypomina o obowiązkach po informacji o wycieku danych

W związku z doniesieniami dotyczącymi wycieku danych osobowych niemal 19 mln Polaków u dostawcy systemu Elektronicznej Dokumentacji Medycznej MyDr, Urząd Ochrony Danych Osobowych przypomniał o ważnych obowiązkach właścicieli gabinetów, praktyk lekarskich i innych placówek korzystających z tego rozwiązania.

Jeżeli gabinet powierzył firmie MyDr przetwarzanie danych swoich pacjentów, nie może ograniczyć się wyłącznie do oczekiwania na działania dostawcy systemu. Administrator danych powinien sam ocenić, czy incydent dotyczy danych, za które odpowiada, jakie może powodować ryzyko i czy wymaga zgłoszenia do Prezesa UODO.

Komunikat Urzędu Ochrony Danych Osobowych można znaleźć na stronie:
UODO – obowiązki administratorów w związku z naruszeniem u podmiotu przetwarzającego.

Czym adekwatnie jest MyDr?

Dla pacjenta nazwa MyDr może kilka mówić. Nie jest to państwowy system taki jak Internetowe Konto Pacjenta czy centralna platforma P1.

MyDr EDM to komercyjny system informatyczny wykorzystywany przez lekarzy, prywatne gabinety i placówki medyczne do prowadzenia elektronicznej dokumentacji medycznej oraz obsługi pacjentów.

Producent opisuje MyDr jako internetowy system umożliwiający m.in. prowadzenie dokumentacji medycznej, obsługę wizyt oraz zarządzanie placówką. Szczegółowe informacje o programie dostępne są na stronie
MyDr – system EDM dla lekarzy i placówek medycznych.

Lekarz może za jego pomocą między innymi:

• prowadzić elektroniczną dokumentację medyczną pacjenta,
• dokumentować przebieg wizyt,
• wystawiać e-recepty,
• wystawiać e-skierowania,
• wystawiać elektroniczne zwolnienia,
• prowadzić grafik i obsługiwać wizyty,
• raportować wymagane zdarzenia medyczne.

Opis funkcji systemu znajduje się na stronie
pro.mydr.pl/funkcje.

Z rozwiązania mogą korzystać zarówno większe placówki, jak i niewielkie prywatne praktyki czy jednoosobowe gabinety lekarskie. To właśnie w przypadku mniejszych gabinetów szczególnie ważne jest zrozumienie, iż korzystanie z zewnętrznego systemu informatycznego nie przenosi całej odpowiedzialności za dane pacjentów na producenta programu.

Mały gabinet również może być administratorem danych

W komunikacie UODO pojawia się określenie „administrator danych”. Nie chodzi jednak o informatyka administrującego komputerami ani o administratora technicznego programu MyDr.

W rozumieniu RODO administratorem jest podmiot, który ustala cele i sposoby przetwarzania danych osobowych.

W przypadku jednoosobowej praktyki lekarskiej lub prywatnego gabinetu administratorem danych pacjentów jest co do zasady lekarz lub przedsiębiorca prowadzący tę praktykę, o ile to on decyduje, w jakim celu i w jaki sposób dane pacjentów są przetwarzane.

Oznacza to, iż właściciel gabinetu nie powinien zakładać, iż skoro dokumentacja znajduje się w systemie MyDr, to ewentualny wyciek jest wyłącznie problemem firmy informatycznej.

Jeżeli gabinet powierzył zewnętrznemu dostawcy przetwarzanie danych swoich pacjentów, przez cały czas pozostaje odpowiedzialny za wykonanie obowiązków administratora wynikających z RODO.

A co z przychodnią lub szpitalem?

W większych placówkach sytuacja wygląda nieco inaczej. Administratorem danych nie musi być osobiście lekarz prowadzący czy dyrektor.

• w jednoosobowej praktyce administratorem może być lekarz prowadzący działalność,
• w przychodni prowadzonej przez spółkę administratorem jest co do zasady spółka prowadząca placówkę,
• w szpitalu lub SPZOZ administratorem jest podmiot leczniczy, natomiast dyrektor działa w jego imieniu i organizuje wykonanie obowiązków związanych z ochroną danych.

Dlatego komunikat UODO może dotyczyć zarówno jednoosobowego gabinetu lekarskiego, niewielkiej przychodni, jak i większego podmiotu leczniczego.

Co powinien zrobić właściciel gabinetu korzystającego z MyDr?

UODO wskazuje, iż administratorzy, którzy powierzyli firmie MyDr przetwarzanie danych osobowych, powinni przeprowadzić analizę ryzyka naruszenia praw lub wolności osób fizycznych.

W praktyce właściciel gabinetu powinien ustalić przede wszystkim:

• czy jego gabinet korzysta lub korzystał z systemu MyDr,
• czy dane jego pacjentów mogły zostać objęte incydentem,
• jakiego rodzaju dane mogły zostać ujawnione,
• ilu pacjentów może dotyczyć zdarzenie,
• czy wśród informacji znajdują się dane dotyczące zdrowia,
• jakie mogą być konsekwencje dla pacjentów,
• czy zachodzi obowiązek zgłoszenia naruszenia do Prezesa UODO,
• czy konieczne jest również bezpośrednie zawiadomienie pacjentów.

Gabinet powinien również zachować informacje otrzymane od dostawcy systemu i udokumentować przeprowadzoną ocenę.

72 godziny na zgłoszenie naruszenia

Zgodnie z art. 33 ust. 1 RODO, o ile doszło do naruszenia ochrony danych osobowych wymagającego zgłoszenia, administrator powinien zawiadomić organ nadzorczy bez zbędnej zwłoki, a w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Jeżeli zgłoszenie nastąpi po upływie tego terminu, administrator powinien przedstawić przyczyny opóźnienia.

Nie oznacza to jednak, iż każdy gabinet korzystający z MyDr automatycznie musi przesłać identyczne zgłoszenie. Każdy administrator powinien przeanalizować sytuację odnoszącą się do danych własnych pacjentów i na tej podstawie podjąć decyzję.

W niektórych przypadkach trzeba poinformować także pacjentów

Obowiązki administratora mogą nie zakończyć się na zgłoszeniu sprawy do UODO.

Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien bez zbędnej zwłoki poinformować również osoby, których dane dotyczą.

Zawiadomienie powinno w zrozumiały sposób wskazywać m.in.:

• na czym polegało naruszenie,
• jakiego rodzaju dane zostały objęte zdarzeniem,
• jakie mogą być konsekwencje naruszenia,
• z kim można się skontaktować w sprawie incydentu,
• jakie działania podjął administrator w celu ograniczenia skutków,
• jakie działania ochronne może podjąć sam pacjent.

W przypadku ujawnienia takich danych jak imię, nazwisko i numer PESEL jednym z możliwych zagrożeń może być wykorzystanie informacji do prób wyłudzenia zobowiązań finansowych. Przy danych dotyczących zdrowia konsekwencje mogą obejmować także naruszenie prywatności, dóbr osobistych czy ryzyko dyskryminacji.

Firma informatyczna informuje, ale gabinet ma własne obowiązki

To jedna z najważniejszych informacji wynikających z komunikatu UODO.

Jeżeli dane pacjentów zostały powierzone zewnętrznemu dostawcy systemu EDM, incydent po stronie dostawcy nie zwalnia właściciela gabinetu lub placówki z własnych obowiązków wynikających z RODO.

Właściciel jednoosobowej praktyki lekarskiej powinien więc potraktować informację o potencjalnym naruszeniu równie poważnie jak większa przychodnia.

Najważniejsze pytanie, na które powinien odpowiedzieć administrator, brzmi:

Czy w incydencie mogły znaleźć się dane pacjentów mojego gabinetu i jakie ryzyko powoduje to dla tych osób?

Dopiero przeprowadzenie takiej analizy pozwala prawidłowo ocenić, czy konieczne jest zgłoszenie naruszenia do UODO oraz czy należy poinformować pacjentów.

Jak zgłosić naruszenie do UODO?

Urząd Ochrony Danych Osobowych udostępnia specjalny formularz przeznaczony dla administratorów zgłaszających naruszenia ochrony danych osobowych.

Formularz dostępny jest tutaj:
formularz zgłoszenia naruszenia ochrony danych osobowych do UODO.

UODO przygotował również szczegółowy poradnik dotyczący oceny naruszeń, zgłaszania incydentów i zawiadamiania osób, których dane dotyczą:

Poradnik UODO – naruszenia ochrony danych osobowych.

Najważniejsze jest ustalenie, czy incydent dotyczy konkretnego gabinetu

Dla właścicieli gabinetów korzystających z MyDr najważniejsze jest w tej chwili ustalenie zakresu potencjalnego incydentu oraz przeprowadzenie własnej analizy ryzyka.

Nie należy automatycznie zakładać, iż skoro problem wystąpił u dostawcy oprogramowania, cała odpowiedzialność za dalsze działania spoczywa wyłącznie na nim. W przypadku danych pacjentów obowiązki wynikające z RODO pozostają również po stronie administratora – czyli w małym prywatnym gabinecie może to być właśnie lekarz lub przedsiębiorca prowadzący praktykę.