Wyciek danych u dostawcy programu - lista kontrolna dla gabinetu

Informacja o wycieku danych z systemu, z którego korzysta gabinet, zwykle przychodzi w najgorszym momencie: w trakcie przyjęć, mailem od dostawcy albo z wiadomości w internecie. Pierwszy odruch to czekać, aż dostawca wszystko wyjaśni. Tymczasem obowiązki z RODO spoczywają na gabinecie, bo to gabinet jest administratorem danych pacjentów - także wtedy, gdy dane leżały na serwerach dostawcy.

Ta lista pomoże przejść przez pierwsze dni krok po kroku i niczego nie pominąć.

Pierwsze godziny

1. Zapisz, kiedy i skąd się dowiedziałeś

Zanotuj datę, godzinę i źródło informacji: mail od dostawcy, telefon, artykuł w prasie. Termin 72 godzin na zgłoszenie do UODO liczy się od chwili, w której gabinet stwierdził naruszenie - czyli z rozsądną pewnością wie, że incydent dotyczy jego danych. Ta notatka będzie później podstawą do wyjaśnienia, dlaczego zgłoszenie zostało złożone w tym, a nie innym dniu.

2. Zażądaj od dostawcy informacji na piśmie

Dostawca programu przetwarza dane na zlecenie gabinetu, więc musi pomóc w obsłudze naruszenia. Zapytaj mailem o konkretne rzeczy:

• czy incydent dotyczy danych twojego gabinetu - tak lub nie, a nie "trwa analiza",
• jakie kategorie danych zostały objęte: dane kontaktowe, PESEL, dokumentacja leczenia, zdjęcia, dane rozliczeniowe,
• ilu pacjentów może dotyczyć i z jakiego okresu,
• kiedy doszło do naruszenia i kiedy dostawca je wykrył,
• jakie środki podjął, żeby ograniczyć skutki,
• kto jest osobą kontaktową po stronie dostawcy.

Odpowiedzi zachowaj. Są częścią dokumentacji naruszenia.

3. Nie czekaj z decyzją do pełnej wiedzy

Pełna analiza po stronie dostawcy może trwać tygodniami, a termin biegnie. RODO przewiduje na to rozwiązanie: zgłoszenie można złożyć etapami - najpierw z tym, co wiadomo, a następnie uzupełnić je, gdy pojawią się nowe informacje.

Do 72 godzin

4. Oceń ryzyko dla pacjentów

Zastanów się, co realnie może się stać z danymi, które wyciekły. Przy dokumentacji medycznej ryzyko jest zwykle wysokie: dane o zdrowiu należą do szczególnej kategorii danych, a połączenie imienia, nazwiska, PESEL-u i numeru telefonu wystarcza do prób wyłudzeń i oszustw "na gabinet".

Oceń i zapisz:

5. Zgłoś naruszenie Prezesowi UODO

Jeśli naruszenie może powodować ryzyko dla pacjentów - a przy danych medycznych tak jest prawie zawsze - zgłoś je Prezesowi UODO w ciągu 72 godzin. Formularz zgłoszenia jest dostępny na stronie urzędu.

W zgłoszeniu opisujesz charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje, podjęte i planowane środki, a także dane kontaktowe osoby, która udzieli dalszych informacji. Tam, gdzie czegoś jeszcze nie wiesz, napisz to wprost i zaznacz, że zgłoszenie zostanie uzupełnione.

6. Wpisz naruszenie do wewnętrznego rejestru

Każde naruszenie trzeba udokumentować w rejestrze naruszeń gabinetu - także wtedy, gdy po analizie uznasz, że zgłoszenie do UODO nie jest potrzebne. W rejestrze zapisujesz okoliczności, skutki, podjęte działania i uzasadnienie decyzji. To pierwszy dokument, o który zapyta kontrola.

Kolejne dni

7. Zawiadom pacjentów

Gdy ryzyko dla pacjentów jest wysokie, trzeba ich zawiadomić bez zbędnej zwłoki. Zawiadomienie ma być napisane prostym językiem i zawierać:

• co się stało i jakich danych dotyczy,
• jakie mogą być konsekwencje,
• co zrobił gabinet i dostawca,
• co pacjent może zrobić sam,
• z kim się kontaktować w tej sprawie.

Pacjentom warto doradzić konkretne kroki: zastrzeżenie numeru PESEL (można to zrobić w aplikacji mObywatel albo w urzędzie gminy), ostrożność wobec SMS-ów i maili z prośbą o dopłatę lub kliknięcie w link oraz sprawdzanie wiadomości "od gabinetu", które wyglądają nietypowo.

8. Przygotuj recepcję na telefony

Pacjenci będą dzwonić. Recepcja powinna mieć kilka zdań, które może powtórzyć: co wiadomo, co gabinet zrobił, gdzie pacjent znajdzie więcej informacji i do kogo skierować szczegółowe pytania. Lepiej powiedzieć "sprawdzamy to i oddzwonimy" niż zgadywać.

9. Zabezpiecz konta i dostęp

Niezależnie od tego, co wyciekło, potraktuj incydent jako sygnał do porządków:

• zmień hasła do systemu i do skrzynek pocztowych gabinetu,
• włącz logowanie dwuskładnikowe wszędzie, gdzie to możliwe,
• usuń konta byłych pracowników i wspólne loginy,
• przejrzyj, kto ma dostęp do dokumentacji i czy ten zakres jest potrzebny.

10. Zadbaj o własną kopię danych

Jeśli cała dokumentacja gabinetu jest wyłącznie u dostawcy, zażądaj pełnej kopii bazy danych - nie wydruków ani PDF-ów, tylko danych, które da się przenieść do innego systemu. Jako administrator masz do tego prawo. Kopia przyda się niezależnie od tego, czy zostaniesz przy obecnym dostawcy, czy nie.

Po opanowaniu sytuacji

11. Oceń dostawcę i umowę

RODO pozwala powierzać dane tylko podmiotom, które dają wystarczające gwarancje ich ochrony. Po incydencie trzeba tę ocenę powtórzyć i ją udokumentować. Sprawdź:

• czy dostawca poinformował cię szybko i konkretnie,
• czy umowa powierzenia określa maksymalny czas na zawiadomienie o incydencie,
• komu dostawca powierza dane dalej i gdzie one fizycznie są,
• w jakim formacie i terminie odzyskasz dane, jeśli zakończysz współpracę.

Gotowe pytania do wysłania znajdziesz w przewodniku 7 pytań do dostawcy oprogramowania o dane pacjentów. Jeśli odpowiedzi cię nie przekonają, w przewodniku Zmiana programu gabinetowego krok po kroku opisujemy, jak przejść na inny program bez utraty danych.

Lista kontrolna do wydruku

A jeśli baza jest w gabinecie?

Te same obowiązki dotyczą gabinetu, który trzyma bazę u siebie. Zmienia się tylko typowy scenariusz: zamiast wycieku z serwerowni dostawcy jest to zwykle zaszyfrowanie dysków przez złośliwe oprogramowanie, kradzież laptopa albo zgubiony nośnik z kopią. Dlatego w SmartDental kładziemy nacisk na rzeczy, które ograniczają skutki takich zdarzeń: automatyczną kopię zapasową, logowanie dwuskładnikowe i rejestr dostępu do kartotek, który pokazuje, kto i kiedy otwierał dane pacjenta.

Więcej o podziale odpowiedzialności między gabinet a dostawcę piszemy w przewodniku Kto odpowiada za dane pacjentów.