Recepta na cyberbezpieczeństwo. Szkolenie z ochrony danych dla dyrektorów placówek medycznych

Urząd Ochrony Danych Osobowych, przy współpracy z Naczelną Izbę Lekarską, zorganizował szkolenie dla dyrektorów placówek medycznych „Praktyczne zagadnienia związane z ochroną  oraz udostępnianiem danych osobowych w podmiotach leczniczych”.

Ataki hakerskie (ale też błyskawiczny rozwój AI) w kontekście danych dotyczących zdrowia to bardzo niebezpieczne zjawisko. Ostatnio niemal nie ma tygodnia, by media nie donosiły o kolejnych wyciekach danych milionów pacjentów. W takich przypadkach to, że do sieci trafi nasz PESEL niekoniecznie musi być największym problem.

1 października CSIRT CeZ (Cyber Security Incident Response Team powołany przez Ministerstwo Zdrowia) ogłosił, że tylko do końca września br. wykryto 1379 incydentów cyberbezpieczeństwa w sektorze ochrony zdrowia.

W ostatnich tygodniach doszło do wielkich wycieków danych, m.in. z MyDr i Medyc. W obu przypadkach Prezes Urzędu Ochrony Danych Osobowych zdecydował o przeprowadzeniu kontroli w firmach odpowiedzialnych za przetwarzanie danych.

Prezes UODO Mirosław Wróblewski zdecydował również o dodatkowych kontrolach przetwarzania danych dotyczących sektora ochrony zdrowia. Zostaną one przeprowadzone do końca 2026 roku.

Miesiąc miodowy się skończył

UODO to nie tylko kontrole i kary, ale też szkolenia, takie jak „Praktyczne zagadnienia związane z ochroną  oraz udostępnianiem danych osobowych w podmiotach leczniczych” jakie zorganizowano 2 października. Było ono przeznaczone dla dyrektorów placówek medycznych.

„Ostatnie dwa miesiące pokazały, że miesiąc miodowy z RODO się zakończył” – podkreślił na wstępie Mirosław Wróblewski, Prezes UODO. „Musimy wszyscy to poważnie traktować, bo inaczej pacjenci zaczną tracić zaufanie do cyfryzacji i służby zdrowia. Liczę, że uczestnicy dzisiejszego szkolenia będą ambasadorami ochrony danych”.

W szkoleniu zorganizowanym przez UODO i Naczelną Izbę Lekarską wzięła udział trójka ekspertów z Urzędu Ochrony Danych Osobowych.

Monika Krasińska, Dyrektor Departamentu Prawa i Nowych Technologii, omówiła Zasady ochrony danych w realizacji zadań placówek medycznych. Zwróciła uwagę, że kluczowym elementem budowy zaufania do placówek medycznych jest właśnie ochrona danych osobowych.

„System ochrony danych osobowych wpływa – jeżeli jest odpowiednio stosowany – na zarządzanie placówką medyczną. Na cyberpieczeństwo i na jakość oferowanych produktów i usług” – tłumaczyła Monika Krasińska dodając, że nie ma cyberbezpieczeństwa bez ochrony danych osobowych.

Ekspertka UODO podkreśliła także niezwykle ważną rolę analizy ryzyka oraz inspektorów ochrony danych oraz zaangażowania w cały proces kadry zarządzającej. 

Phishing, ransomware i skargi

Departament Kontroli i Naruszeń, Wydział Naruszeń UODO reprezentował Piotr Popielewicz. „Naruszenia ochrony danych osobowych i zapewnienie bezpieczeństwa danych  w placówkach medycznych” to temat jego prelekcji, na potrzeby której dokonał przeglądu zgłoszeń z placówek medycznych.

Posługując się ciekawymi przykładami nieuprawnionego ujawnienia i naruszenia integralności danych, pozostawienia dokumentacji w niezabezpieczonej lokalizacji czy wreszcie nieuprawnionego wykorzystania danych osobowych Piotr Popielewicz zwracał też uwagę na brak świadomości zagrożeń i odpowiednich szkoleń odpowiadających na konkretne ryzyka.

Podawał też przykłady rozwiązań i zabezpieczeń, które mogą chronić placówki medyczne przed phishingiem i atakami ransomware. Za tym ostatnim często może stać korzystanie z oprogramowania, dla którego producent już zakończył wsparcie techniczne. A to z kolei oznacza krytyczne podatności na atak.

Ostatnią część szkolenia, poświęconą przetwarzaniu danych osobowych w sektorze ochrony zdrowia, poprowadził Maciej Tracz (Departament Skarg, Wydział ds. Sektora Zdrowia, Zatrudnienia i Szkolnictwa UODO).

Ze swojej perspektywy prowadzący podzielił skargi na dwa rodzaje:

•  Skargi na naruszenie danych osobowych z II rozdziału RODO
•  Skargi na naruszenie praw podmiotów danych z III rozdziału RODO

Zaznaczył przy tym, że skargi pochodzą nie tylko od pacjentów, ale też byłych czy obecnych pracowników placówek. Omówił też szereg spraw i decyzji jakie w tych przypadkach wydał Prezes UODO.