Lekarze mogą odpowiadać za wyciek danych pacjentów po cyberataku na oprogramowanie firmy MyDr. To zdanie nie brzmi jak sensacja, a jak realny punkt wyjścia do rozmowy o odpowiedzialności i bezpieczeństwie. W praktyce kluczowy bywa zapis umowy z dostawcą, który spełnia funkcje narzędzia do prowadzenia dokumentacji medycznej. Jeżeli umowa nie zakłada wystarczających zabezpieczeń, a lekarz nie zgłosił uwag, to wziął ryzyko na siebie. Taką tezę potwierdzają prawnicy i menedżerowie zajmujący się ochroną danych w ochronie zdrowia, w rozmowach z Rynkiem Zdrowia. MyDr korzystał z usług chmurowych podwykonawców i oferował analizy rynku na podstawie danych z gabinetów, co rodzi pytania o to, jak bezpieczne są nasze cyfrowe zasoby a także kto odpowiada za ich utrzymanie.
W pierwszej kolejności trzeba zrozumieć, że dane pacjentów to wyjątkowy rodzaj informacji. Jeden zapis w umowie może powiedzieć mniej niż tysiąc stron polityk bezpieczeństwa. Wyobraź sobie, że prowadzisz praktykę i masz klucz do sejfu z dowodem pacjenta. Kiedy myślisz o zabezpieczeniach, myślisz o hasłach, szyfrowaniu i monitoringu. Jednak w świecie e-zdrowia okoliczności decyduje podział odpowiedzialności między lekarzem a dostawcą oprogramowania oraz granice tej odpowiedzialności w umowie. Przypadek MyDr weryfikuje, że ryzyko nie ma prostych reguł.
To, co niedawno wyskakuje w rozmowach z ekspertami, to po pierwsze ryzyko związane z chmurą i podwykonawcami. Po drugie brak jasnych mechanizmów zgłaszania incydentu. Po trzecie fakt, że dane z gabinetów były wykorzystywane do analiz rynkowych. Każdy z tych elementów dodaje kolejny wątek do rozmowy o odpowiedzialności, a jednocześnie pokazuje, że prosty przepis nie istnieje.
Co to znaczy odpowiedzialność lekarza
Odpowiedzialność lekarza za wyciek danych wynika z kombinacji przepisów prawa i treści umowy z dostawcą. Wyobraź sobie trzy filary domu: fundamenty to regulacje ochrony danych, ściany to umowa a belki to praktyka kliniczna. Jeżeli jeden z filarów jest słaby, reszta nie utrzyma całości. Kiedy umowa nie precyzuje wymogów bezpieczeństwa, a lekarz nie zgłasza uwag, ryzyko przerzuca się na niego. Z perspektywy prawnej klucz jest jasne: każdy podmiot biorący udział w przetwarzaniu danych odpowiada za naruszenia, lecz zakres odpowiedzialności i sposób obciążenia kosztami zależy od treści umowy i od przepisów prawa ochrony danych.
Wyobraź sobie sytuację z gabinetu, w której pacjent trafia do systemu i jego dane trafiają do chmury. W praktyce to lekarz wie, kiedy system nie działa, i to on powinien zgłosić wątpliwości do dostawcy. Jednak jeśli dostawca nie zareagował, a lekarz nie zgłosił uwag w odpowiednim czasie, ryzyko przerzuca się na lekarza z powodu braku skutecznych zabezpieczeń lub braków zgłoszeniowych. To pokazuje, że rynek wymaga jasnych zapisów o odpowiedzialności i obowiązkach każdej strony.
Jak doszlo do wycieku i co to oznacza dla praktyk
W przypadku MyDr mowa o uzywaniu usług chmurowych podwykonawców. Główna myśl: dane pacjentów przestają być tylko lokalnym zasobem w gabinecie, a stają się elementem łańcucha przetwarzania prowadzonego z wykorzystaniem usług zewnętrznych. To oznacza, że ryzyko naruszenia nie leży wyłącznie po stronie jednego specjalisty, lecz rozciąga się na całą sieć dostawców. Z perspektywy praktyki to sygnał, że nawet przy najlepszej woli i stosowaniu standardów, incydent może wywołać efekt domina. Wyobraź sobie sytuację, w której członek zespołu w gabinecie zgłasza alert o nieprawidłowym działaniu systemu. Informacja powinna dotrzeć do administratora systemu, a następnie do firmy dostarczającej oprogramowanie. Gdyby ten przepływ był utrudniony lub nie do końca jasny, ryzyko wywołuje dodatkowe koszty, i to nie koszty czysto finansowe, lecz koszty reputacyjne i prawne.
W tej historii pojawiają się także pytania o analizę danych z ledwie zebranych informacji. Czy analizy rynku oparte na danych z gabinetów mogą naruszać prywatność pacjentów? Czy podmioty zewnętrzne, takie jak dostawcy chmury, mogą mieć dostęp do danych bez wyraźnego upoważnienia? Odpowiedzi na te pytania zależą od treści umowy, polityk bezpieczeństwa a także od działań samych lekarzy.
Jakie zapisy umowy mogą ograniczyć ryzyko
Pierwszy fundament to definicje zakresu przetwarzania i odpowiedzialności. Umowa powinna precyzować, kto jest administratorem a kto operatorem danych oraz jakie dane przetwarza. Drugi element to obowiązek zapewnienia skutecznych zabezpieczeń technicznych i organizacyjnych. W praktyce oznacza to szyfrowanie danych w spoczynku i w tranzycie, wielowoczna identyfikacja oraz monitorowanie incydentów. Trzeci punkt to obowiązek zgłaszania incydentów w odpowiednim terminie i transparentność w komunikowaniu o skutkach naruszenia. Czwarty to zapis o odpowiedzialności, w tym limity odpowiedzialności i ewentualne wyłączenia odpowiedzialności dostawcy w sytuacjach nadzwyczajnych. Piąty element to prawa audytu i możliwość weryfikacji zgodności z politykami bezpieczeństwa.
W praktyce przegląd takich zapisów może przynieść korzyści dla lekarzy i placówek. Dzięki temu łatwiej weryfikować, kto ponosi koszty incydentu i jakie obowiązki spoczywają na dostawcy. Dodatkowo, jeśli umowa zawiera plan reagowania na incydenty i jasne procedury komunikacyjne, to popycha rynek w stronę większej przejrzystości.
Rola lekarza placówek i dostawcy
W tej układance w roli centralnej znajduje się nie tylko lekarz, lecz cała placówka i systemy wspierające proces leczenia. Lekarz sam w sobie nie stanie na drodze incydentowi, jeśli nie będzie mieć dostępu do bezpiecznych narzędzi i jasnych zasad działania. Placówki medyczne muszą implementować polityki ochrony danych, a dostawcy oprogramowania muszą sprostać wymogom prawnym i branżowym. Z perspektywy praktyki, to partnerstwo; dostawca powinien zapewnić zgodność, a lekarz powinien zgłaszać wątpliwości i monitorować działanie systemu.
Należy pamiętać, że incydent to nie tylko aspekt prawny, lecz także operacyjny. Koszty związane z przerwami w pracy, utracone godziny pracy, przestoje systemowe i pranie danych to realny obraz księgowy. W jednym z raportów branżowych koszty naruszeń w ochronie danych w sektorze zdrowia mogą przekraczać setki tysięcy złotych w przypadku drobnych naruszeń, a w poważniejszych scenariuszach nawet kilka milionów. Rola lekarza i placówki w tym sensie to przede wszystkim szybkie wykrycie, reagowanie i informowanie o incydencie, a także weryfikacja, czy dostawca spełnia swoje zobowiązania.
Co powinieneś zrobić teraz
Z podnoszeniem świadomości rośnie potrzeba praktycznego podejścia. Zastosowanie dobrego planu reagowania na incydenty, weryfikacja zgodności z instrukcjami bezpieczeństwa i bieżące szkolenia personelu mogą zmniejszyć ryzyko. Wyobraź sobie, że potwierdzasz, iż twoja umowa z dostawcą jest aktualna i że wskazujesz skutki naruszenia w przedsiębiorcze planie. Taki plan to nie pusty dokument, a zestaw instrukcji do wykonania w momencie realnego incydentu. W praktyce warto utrzymywać aktualne listy kontaktów, wskazać role i odpowiedzialności wewnątrz gabinetu oraz wyznaczyć osoby odpowiedzialne za weryfikację logów i raportowanie. Równie ważny jest proces weryfikacji i aktualizacji polityk bezpieczeństwa w praktyce.
Wyobraź sobie koszty incydentu pozostające w sferze operacyjnej. Koszt jednorazowego przestoju w gabinecie może wynosić kilka tysięcy złotych. W skali roku suma może przekroczyć setki tysięcy lub więcej, jeśli incydent dotknie kilku gabinetów. To realna kwota, która staje się motorem do inwestowania w bezpieczeństwo i szkolenia personelu.
W kontekście prawodawstwa warto pamiętać o regulacjach. RODO kładzie nacisk na przejrzystość i odpowiedzialność podmiotów przetwarzających, a także na prawa pacjentów do informacji i kontroli nad danymi. Komisje ochrony danych utrzymują, że istotnym elementem jest podpisanie umów z dostawcami i weryfikacja, czy przetwarzanie danych odbywa się zgodnie z przepisami. W praktyce oznacza to unikanie niejasnych klauzul i jasne kartowanie ról oraz obowiązków.
Co dalej w polskiej praktyce medycznej
Sprawa z MyDr to sygnał do zmian. Producenci oprogramowania medycznego, placówki i lekarze powinni pracować nad klarownymi zapisami, a także zrozumieć, że dane pacjentów to nie tylko informacja, lecz także zobowiązanie. Dlatego warto prowadzić regularne szkolenia z bezpieczeństwa danych, audyty zgodności i testy penetracyjne, by wykryć słabe punkty zanim zrobi to cyberprzestępca. Z perspektywy praktyki narastają także wątpliwości dotyczące analityki danych i sposobu, w jaki firmy zewnętrzne mogą korzystać z danych z gabinetów. Wymogi prawa i etyki stają w jednym szeregu.
