To może być największy wyciek danych medycznych w Polsce. Placówki nie mają jasnych instrukcji działania, a każdy dzień bez wyjaśnienia to kolejny dzień, w którym dane pacjentów mogą być narażone na niebezpieczeństwo.
Po ataku na system MyDr zagrożone mogą być dane nawet 19 mln pacjentów. Nie wiemy, co dokładnie wyciekło, a jednocześnie pojawia się pytanie, kto ma zgłaszać incydent i informować pacjentów.
Tomasz Zieliński, specjalista medycyny rodzinnej i ekspert ds. informatyzacji, zwraca uwagę na poważny brak przygotowania w polskich placówkach: brak pełnych informacji i jasnych instrukcji utrudnia szybkie reagowanie i minimalizowanie szkód.
Nie wiemy, co dokładnie wyciekło, a jednocześnie pojawia się pytanie, kto ma zgłaszać incydent i informować pacjentów, Tomasz Zieliński, specjalista medycyny rodzinnej, ekspert ds. informatyzacji.
Ten przypadek pokazuje dwa oblicza cyfrowego zdrowia. Z jednej strony obietnice lepszej diagnostyki i wygody, z drugiej ryzyko utraty prywatności. Gdy nie ma jasnych procedur, każdy incydent staje się chaosem, który rozlewa się na praktykę w gabinecie, na komunikaty w mediach i na zaufanie pacjentów.
W kolejnych sekcjach spróbujemy odpowiedzieć, co to znaczy dla pacjentów, personelu medycznego i regulatorów, a także co zrobić już dziś, by e-zdrowie nie było tylko technologicznym ekosystemem, lecz bezpiecznym miejscem dla danych wrażliwych.
Skala problemu: co wiemy o wycieku
Wiemy, że incydent dotyczył systemu MyDr, a liczby wskazujące na zagrożenie obejmują miliony pacjentów. Nie mamy jeszcze kompletnej listy placówek, które zostały dotknięte, ani precyzyjnego zestawienia danych, które wyciekły. Ta niepewność utrudnia pracę zarówno administratorom systemów, jak i organom nadzorczym.
W praktyce chodzi o dane obejmujące historie chorobowe, wyniki badań, informacje kontaktowe i szczegóły leczenia. Możliwe, że część danych została udostępniona lub utracona w sposób niekontrolowany. Wreszcie, brak jednolitej definicji zakresu wycieku w polskim środowisku medycznym powoduje, że dwie placówki mogą mieć identyczny incydent, lecz oceniać go inaczej.
Kody, zgłoszenia i obowiązki: co mówi prawo i praktyka
RODO stawia obowiązek zgłoszenia naruszenia do organu nadzorczego w terminie 72 godzin od stwierdzenia incydentu. W praktyce w polskich realiach często - z powodu braku procedur - komunikacja z pacjentami i informowanie o zasięgu naruszenia jest opóźniona. To z kolei utrudnia dobrowolne podjęcie środków ochrony oraz ogranicza możliwości monitorowania skutków naruszenia w czasie.
Wyobraź sobie sytuację, w której nie wiadomo, jakie dane zostały wyciekłe, a pacjent nie wie, do kogo zwrócić się o pomoc. W takich warunkach poważnie rośnie ryzyko oszustw i nadużyć. Z tego powodu państwo i regulatorzy apelują o jasne procedury, szkolenia personelu i szybkie decyzje operacyjne w placówkach medycznych.
Dlaczego brak procedur to poważny problem
Procedury to nie formalność. To zestaw mechanizmów, które przekształcają chaos w kontrolowane działanie. Brak procedur jest jak brak planu pożarowego w domu albo jak nieznana instrukcja obsługi urządzenia w razie awarii. W razie incydentu nie wiadomo, kto informuje pacjentów, co publikować, w jakim czasie i jak minimalizować skutki.
W analogii do codzienności: jeśli ratujemy dziecko przed groźnym schorzeniem, trzeba mieć przygotowaną kartę kontaktów, łańcuch informacyjny i jasno przypisane role. W medycynie cyfrowej te role określa polityka bezpieczeństwa i plan reagowania na incydenty. Bez nich każdy w gabinecie działa na oślep, co wydłuża czas reakcji i zwiększa koszty szkód, w tym utratę zaufania pacjentów.
Co może zrobić placówka od zaraz
Najpierw trzeba stworzyć mapę danych. To znaczy zestaw, gdzie przetwarzamy dane, kto ma do nich dostęp, w jakim celu i jak długo są przechowywane. To nie jest opis do szuflady; to praktyczny plan, który pozwala zrozumieć zakres ryzyka i wskazać miejsca, w których trzeba wprowadzić wzmożoną ochronę.
Następnie należy zaktualizować polityki bezpieczeństwa i procedury reagowania na incydenty. W praktyce to krótkie dokumenty, które precyzują, kto powiadamia pacjentów, kiedy to robi i jakie informacje udostępnia. Dzięki temu personel nie musi domyślać się, co zrobić w stresującej sytuacji.
Ważny jest plan komunikacyjny skierowany do pacjentów i mediów. Zasada jest prosta: informacja powinna być jasna, rzetelna i możliwie wcześnie. Brak konsekwentnego przekazu prowadzi do dezinformacji i pogłębia nieufność. W analogii do sytuacji awaryjnej, mamy wtedy dwa pytania, które zadaje każdy: co się stało i co teraz robić, aby zminimalizować zagrożenie.
Trzeci krok to szkolenia personelu. Tylko wyszkolony zespół potrafi odróżnić oczywiste błędy od realnych zagrożeń i wykonuje operacje zgodnie z procedurami. Szkolenia powinny obejmować nie tylko techniczne aspekty IT, ale także komunikację z pacjentem i wąskie tematy prawne. W ten sposób dokumenty nie pozostają abstrakcją, lecz stają się narzędziem pracy.
Ostatni krok to testy i audyty. Co jakiś czas trzeba powtarzać testy penetracyjne i audyty zgodności. Dzięki temu łatwiej wykryć luki w systemie i wprowadzić korekty zanim dojdzie do realnego incydentu. Takie działania mogą być kosztowne, ale koszt kryzysu bezpieczeństwa jest znacznie wyższy niż inwestycje w profilaktykę.
Co to znaczy dla pacjentów i dla systemu e-zdrowia
Pacjentom rekomendujemy m.in. zwracanie uwagi na niepokojące sygnały. Należy sprawdzać konta bankowe i konta medyczne, a także uważnie obserwować korespondencję od placówek. W praktyce to oznacza również ostrożność wobec podejrzanych wiadomości e-mail i SMS. Zdarza się, że oszuści wykorzystują chwilowy chaos po incydencie, by wyłudzić dane. To przypomina sytuację, gdy ktoś próbuje wykorzystać nieuwagę w czasie choroby i próbuje podkradać zaufanie.
Dla systemu e-zdrowia wyzwania są większe. Potrzebujemy spójnego zestawu standardów i wymogów, które będą obowiązywać w całej branży. Dzięki temu jedna placówka nie będzie miała lekkiej samowolki, a inna nie będzie gubić się w procedurach. W praktyce chodzi o zaufanie pacjentów, które buduje stabilny i przewidywalny system, a nie puszka dętek z przypadkowych rozwiązań. Wprowadzenie jasnych obowiązków, standardów raportowania i efektywnych procesów komunikacyjnych może zredukować ryzyko w przyszłości i skrócić czas reakcji, gdy incydent nastąpi.
Co dalej dla e-zdrowia
Rząd i regulatorzy stoją przed wyzwaniem, jak połączyć innowacje z ochroną danych. Sukces zależy od zysku zaufania i od tego, jak szybko sektor medyczny zdoła zbudować i utrzymać solidne procesy bezpieczeństwa. Budowa kultury bezpieczeństwa zaczyna się od jasnych zasad, a kończy na codziennych decyzjach pracowników. W długiej perspektywie e-zdrowie może stać się bardziej odporne, gdy systemy informatyczne będą traktowane nie jako osobne narzędzia, lecz jako integralna część opieki nad pacjentem.
W praktyce to znaczy inwestycje w cyberbezpieczeństwo, w procesy zgodności i w edukację użytkowników systemu. Bez takich kroków ryzyko nie zniknie, a wyciek danych stanie się tylko kolejnym przykładem na to, że skala problemu przekracza pojedynczy incydent. Cyfrowa opieka zdrowotna to nie tylko lepsze wyniki i szybsze diagnozy. To także bezpieczna przestrzeń dla danych pacjentów, w której nie trzeba wybierać, czy informacja dotrze do właściwej osoby w odpowiednim czasie.
