Pakiet „Cyber Piątka” przygotowany przez Ministerstwo Cyfryzacji ma wzmocnić bezpieczeństwo danych medycznych obywateli. Propozycja pojawia się po cyberataku na MyDr.

„Firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność. Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie. Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie” – twierdzi wiceminister cyfryzacji Dariusz Standerski.

Cyber Piątka – 5 nowych zasad ochrony danych medycznych


1 Certyfikacja podmiotów przetwarzających dane medyczne
Firmy przetwarzanie dane medyczne musiałyby spełniać określone standardy bezpieczeństwa. Ich certyfikacja byłaby powiązana z systemem określonym w ustawie o KSC.

2 Minimalne wymagania technologiczne
Mają dotyczyć systemów teleinformatycznych, wykorzystywanych do przetwarzania danych medycznych. Będą uwzględniały aktualne standardy i normy w zakresie cyberbezpieczeństwa. Mają zapewnić odpowiednią ochronę danych niezależnie od tego, jaki podmiot zewnętrzny odpowiada za ich przetwarzanie.

3 Pacjent będzie wiedział, kto przetwarza jego dane
Informowanie pacjentów o powierzeniu przetwarzania ich danych podmiotom zewnętrznym będzie obowiązkowe. Pacjent otrzyma informacje m.in. o zakresie i przedmiocie powierzenia oraz dane kontaktowe podmiotu przetwarzającego. Dzięki temu obywatele będą mogli łatwiej kontrolować, kto i w jakim zakresie ma dostęp do ich danych.

4 Powiadomienia o zdarzeniach medycznych
Pozwolą szybko wykryć próbę wykorzystania danych. Ministerstwo proponuje wprowadzenie powiadomień w aplikacji mObywatel oraz mojeIKP np. o wizytach u lekarza i wystawieniu recepty.

5 Nowe obowiązki dla podmiotów masowo przetwarzających dane
Chodzi o podmioty przetwarzających dane dla więcej niż 100 administratorów lub ponad 100 tys. osób:

Szybka informacja o naruszeniu
W przypadku naruszenia bezpieczeństwa danych podmiot przetwarzający przekazywałby do CSIRT NASK, za pośrednictwem policji, dane osób objętych naruszeniem (imię, nazwisko, PESEL). Dane te mogłyby następnie zostać udostępnione obywatelom na portalu bezpiecznedane.gov.pl.

Większa odpowiedzialność podmiotów przetwarzających dane
Miałyby obowiązek przekazywania placówkom, które im dane powierzyły, informacji niezbędnych do oceny poziomu ich bezpieczeństwa. Dotyczyłoby to np. stosowanych zabezpieczeń, dalszych podmiotów przetwarzających, miejsca przetwarzania danych, wyników audytów, testów i ocen bezpieczeństwa.

Obowiązkowa ocena ryzyka
Przed rozpoczęciem przetwarzania danych podmiot przetwarzający musiałby przeprowadzić ocenę ryzyka. Byłaby ona aktualizowana co najmniej raz na 2 lata, jak również po każdej istotnej zmianie sposobu lub warunków przetwarzania danych.

Kolejnym etapem będą prace nad szczegółowymi rozwiązaniami legislacyjnymi i ich wdrożeniem – zapowiada Ministerstwo Cyfryzacji.