Wyciek danych pacjentów. RPP nakazuje szpitalowi zmiany w zabezpieczeniach

Poufne dane pacjentów mogą wyciec nie tylko w wyniku zaawansowanego cyberataku, ale także przez luki w codziennych zabezpieczeniach: źle zarządzaną pocztę, niekontrolowany dostęp zdalny i brak szyfrowania korespondencji. Rzecznik Praw Pacjenta uznał, że brak adekwatnej ochrony danych medycznych narusza zbiorowe prawa pacjentów. W badanej przez RPP sprawie wiadomości ze szpitalnych skrzynek były automatycznie przekierowywane na nieuprawniony adres e-mail.

Dane medyczne mogą zawierać numer PESEL, imię i nazwisko, adres, rozpoznanie zasadnicze i współistniejące, informacje o okresie leczenia, zgonie pacjenta czy dane identyfikujące lekarza. Rzecznik Praw Pacjenta (RPP) wskazał, że zakres wycieku był znaczący i dotyczył szerokiego zbioru informacji o pacjentach jednego z podmiotów leczniczych.

Cyberbezpieczeństwo w ochronie zdrowia jest częścią bezpieczeństwa pacjenta. Jeśli placówka nie kontroluje, co dzieje się ze skrzynkami pocztowymi i kto ma zdalny dostęp do sieci wewnętrznej, ryzyko nie kończy się na awarii systemu, a może oznaczać naruszenie prywatności pacjentów.

Rzecznik podkreślił, że sam fakt cyberataku nie przesądza automatycznie o naruszeniu praw pacjenta. Problem pojawia się wtedy, gdy placówka nie stosuje aktualnych i adekwatnych mechanizmów zabezpieczających. W tej sprawie RPP wskazał m.in. brak centralnego zarządzania pocztą elektroniczną, możliwość samodzielnego tworzenia reguł przekierowań przez użytkowników, niekontrolowany dostęp zdalny z prywatnego sprzętu oraz brak egzekwowania zabezpieczeń kryptograficznych w korespondencji mailowej.

Bartłomiej Chmielowiec, Rzecznik Praw Pacjenta, przypomniał obowiązki placówek medycznych.

Decyzja RPP pokazuje, że w placówkach medycznych standardem powinno być szyfrowanie wiadomości i plików z danymi pacjentów, kontrola dostępu do skrzynek pocztowych, blokada automatycznego przekierowywania wiadomości poza domenę organizacji, ograniczenie pracy zdalnej do sprzętu służbowego oraz regularna analiza ryzyka.

Szpital musi umieć wykazać, że przewidział możliwe scenariusze naruszenia danych i wdrożył zabezpieczenia adekwatne do wrażliwości dokumentacji medycznej.

Dokumentacja medyczna zawiera dane szczególnych kategorii w rozumieniu RODO, w tym dane dotyczące zdrowia. RPP wskazał, że administrator danych musi zapewnić podwyższony poziom ochrony, obejmujący rozwiązania techniczne i organizacyjne.

Bartłomiej Chmielowiec podkreśla, że obowiązek szpitala nie kończy się na bieżącej ochronie danych.

RPP nakazał wyeliminowanie nieprawidłowości i oczekuje na stanowisko podmiotu leczniczego.