Oddali PESEL-e 19 mln Polaków. Teraz rząd grozi paluszkiem

Wyciek z MyDr może skończyć się czymś więcej niż postępowaniami, kontrolą i zastrzeganiem numerów PESEL. Rząd zapowiada zmianę prawa. Na celowniku znalazły się firmy, które same nie muszą być administratorami danych, ale w praktyce przechowują i przetwarzają informacje należące do milionów osób.

Skalę problemu dobrze pokazuje sam przypadek MyDr. Firma dostarcza oprogramowanie wykorzystywane przez placówki ochrony zdrowia do prowadzenia elektronicznej dokumentacji medycznej, obsługi wizyt czy wystawiania recept.

Z systemów związanych z MyDr korzysta około 12 tys. podmiotów medycznych. Według danych firmy za pośrednictwem platformy realizowanych jest około 3 mln wizyt i wystawianych 2,7 mln recept miesięcznie. Cyberatak na takiego dostawcę nie oznaczał więc problemu jednej przychodni czy nawet jednej dużej sieci medycznej.

W przejętej bazie mają znajdować się dane dotyczące blisko 19 mln Polaków. Wśród informacji są imiona, nazwiska, numery PESEL i telefonów, adresy e-mail, a także dane związane ze zdrowiem, receptami i wizytami lekarskimi. Nie oznacza to, że w przypadku każdej osoby wykradziono identyczny komplet informacji, ale skala całego zbioru jest ogromna.

Jak pisaliśmy już na Spider’s Web, osoby podające się za sprawców deklarowały dostęp do dokładnie 18 814 422 unikatowych numerów PESEL. Rząd potwierdził później, że incydent rzeczywiście może dotyczyć blisko 19 mln obywateli.

Dla zwykłego pacjenta układ jest praktycznie niewidoczny. Idziemy do lekarza, zapisujemy się do konkretnej przychodni i to jej przekazujemy swoje dane. Tymczasem placówka może korzystać z oprogramowania zewnętrznej firmy, która technicznie przechowuje i przetwarza ogromną część informacji.

W przypadku MyDr administratorami danych pozostają przede wszystkim poszczególne placówki medyczne. Sama firma występuje jako podmiot przetwarzający, któremu dane zostały powierzone.

Nie oznacza to, że taki dostawca jest dziś zwolniony z odpowiedzialności. RODO nakłada obowiązki również na podmioty przetwarzające, w tym dotyczące odpowiedniego zabezpieczenia informacji. UODO może także nakładać na nie administracyjne kary.

Rząd uważa jednak, że obecny model nie wystarcza w sytuacji, gdy pojedyncza firma zaczyna przetwarzać dane na ogromną skalę. Wiceminister cyfryzacji Dariusz Standerski zapowiedział zwiększenie odpowiedzialności właśnie takich podmiotów oraz nałożenie nowych obowiązków na przedsiębiorstwa masowo przetwarzające informacje, niezależnie od tego, czy formalnie są ich administratorami.

Na razie nie wiadomo jeszcze, jak daleko pójdą zmiany. Ministerstwo nie przedstawiło projektu ustawy, nie znamy nowych progów, wymagań technicznych ani potencjalnych sankcji. Nie można więc jeszcze powiedzieć, że rząd np. automatycznie podniesie kary albo nakaże każdej dużej firmie stosowanie konkretnego rodzaju zabezpieczeń. Konkretne rozwiązania ustawowe mają zostać pokazane w przyszłym tygodniu.

Państwo chce mocniej objąć regulacjami przedsiębiorstwa, które pełnią funkcję technologicznego zaplecza dla setek lub tysięcy innych organizacji. Przypadek MyDr pokazał bowiem efekt koncentracji ryzyka. 12 tys. placówek może oddzielnie dbać o swoje komputery, hasła i sieci, ale jeżeli wszystkie korzystają z usług jednego dużego dostawcy, skuteczny atak na jego infrastrukturę może otworzyć drogę do danych pacjentów rozsianych po całej Polsce. Jeden słaby punkt przestaje być wtedy problemem jednej firmy.

Niezależnie od przyszłej zmiany prawa obecny incydent jest analizowany według obowiązujących przepisów. Prezes UODO zdecydował o przeprowadzeniu kontroli w MyDr. Kontrolerzy mają sprawdzić zastosowane środki techniczne i organizacyjne, sposób przeprowadzenia analizy ryzyka oraz to, czy zabezpieczenia były regularnie testowane i dostosowywane do zmieniających się zagrożeń.

Przy tak dużej bazie danych samo posiadanie zabezpieczeń nie wystarcza. Muszą one odpowiadać rzeczywistemu ryzyku wynikającemu ze skali i charakteru przetwarzanych informacji. Dane dotyczące zdrowia należą przy tym do szczególnie wrażliwych. Ujawnienie numeru PESEL może zwiększać ryzyko prób wyłudzeń, ale informacja o konkretnych lekach, diagnozach czy wizytach lekarskich dotyka już bezpośrednio prywatności człowieka.

Na Spider’s Web dokładnie opisywaliśmy, czym właściwie jest MyDr i dlaczego firma, której większość pacjentów nawet nie znała, posiadała dostęp do tak wielkiej części polskiej dokumentacji medycznej.

Czy moje dane są w skradzionej bazie? Odpowiedzi wciąż nie ma. NASK jest przygotowany do umieszczenia informacji w państwowym serwisie bezpiecznedane.gov.pl. Według resortu cyfryzacji po otrzymaniu odpowiedniego zbioru techniczne załadowanie go do systemu ma potrwać około 6-8 godz. Najpierw dane musi jednak zakończyć analizować policja. Ministerstwo nie podaje terminu, w którym ten etap się zakończy.

Przeczytaj także:

Do tego czasu zastrzeżenie numeru PESEL pozostaje jednym z podstawowych zabezpieczeń po tak dużym wycieku, choć nie rozwiązuje problemu ujawnionych informacji medycznych czy kontaktowych.

*Źródło grafiki wprowadzającej: sciencephotolibrary, Canva Pro / Canva Pro