Co z „Cyber Piątką”? Ministerstwo ujawnia stan prac

Po sierpniowym wielkim wycieku danych 19 mln Polaków z MyDr rząd zapowiedział pakiet zmian mających poprawić sytuację z ochroną danych osobowych w ochronie zdrowia. Szczegóły poznaliśmy 31 sierpnia – jak informowaliśmy na naszym portalu, przewidziano w nich m.in. informowanie pacjentów o przetwarzaniu czy zdarzeniach dotyczących wykorzystania ich danych. Podmioty przetwarzające dane miały z kolei otrzymać nowe obowiązki.

Cztery ataki od ogłoszenia „Cyber Piątki"

Przez większość września nie pojawiały się nowe informacje o projektowanych zmianach – w przeciwieństwie do doniesień o kolejnych incydentach cyberbezpieczeństwa. W połowie września włamano się do bazy danych pacjentów pomorskiej sieci przychodni, zaś kilka dni później informowaliśmy o cyberataku na Zdrowit, w wyniku którego doszło do zaszyfrowania części systemów.

Dzień później opublikowaliśmy informacje o kradzieży danych pacjentów ośrodka odwykowego, która okazała się częścią dużego wycieku danych z systemu Medyc. Równolegle inna nieuprawniona osoba uzyskała dostęp do niektórych danych pacjentów sieci Enel-Med.

W takiej sytuacji zaczęły pojawiać się pytania co do dalszych działań związanych z „Cyber Piątką” oraz ich zaawansowaniem. Zwróciliśmy się z nimi do Ministerstwa Cyfryzacji.

Prezes UODO przekazał postulaty

Jak przekazał resort cyfryzacji naszej redakcji, w resorcie mają trwać „intensywne prace” nad projektem ustawy wprowadzającej zmiany w ochronie danych. Oprócz dopracowywania rozwiązań legislacyjnych, prowadzone są także analizy ich możliwych wariantów oraz skutków.

Przeprowadzane są także robocze konsultacje w sprawie dokumentu. W działania zaangażował się także Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski, z którym odbyło się spotkanie poświęcone rozwiązaniom.

„Prezes UODO przedstawił postulaty dotyczące zmian w obszarze ochrony zdrowia, w tym w ustawie o prawach pacjenta i Rzeczniku Praw Pacjenta. Ministerstwo przeanalizowało te postulaty i obecnie opracowuje rozwiązania legislacyjne, które mogłyby służyć ich realizacji” – czytamy w odpowiedzi Ministerstwa Cyfryzacji dla redakcji CyberDefence24.

Zaangażowanie Wróblewskiego nie jest zaskakujące. W piśmie do wiceministra Dariusza Standerskiego zwracał uwagę, że obecne rozwiązania dotyczące powierzania przewtarzania danych są „niewystarczające”. Przedstawił również cztery kierunki zmian w tym kontekście.

Będą konsultacje z Ministerstwem Zdrowia

W pracach nad projektem weźmie również udział Ministerstwo Zdrowia. Rozwiązania z obszaru, którym zajmuje się resort, mają być przedmiotem przyszłych konsultacji organizowanych przez Ministerstwo Cyfryzacji.

Jak natomiast wyglądają plany co do dalszych etapów działań? Kierowany przez Krzysztofa Gawkowskiego resort potwierdził, że Zespół ds. Programowania Prac Rządu Kancelarii Prezesa Rady Ministrów otrzymał wniosek o wpisanie projektu ustawy do Wykazu prac legislacyjnych i programowych rządu. Nastąpiło to 25 września, czyli dzień po ujawnieniu wycieku z Medyc.

„Po uzyskaniu wpisu do Wykazu projekt będzie procedowany zgodnie z kolejnymi etapami rządowego procesu legislacyjnego” – deklaruje Ministerstwo.

Uchwalenie ustawy w przyszłym roku?

Według zapowiedzi wicepremiera przekazanych PAP, prace w rządzie miałyby zostać przeprowadzone w trzy miesiące. Uchwalenie nowych przepisów miałoby z kolei nastąpić na początku przyszłego roku.

Oprócz przekazywania informacji pacjentom oraz nowych obowiązków dla podmiotów przetwarzających, projekt ma także obejmować zdefiniowanie minimalnych wymagań technicznych dla systemów przetwarzających dane medyczne. Z kolei podmioty je przetwarzające mają spełniać restrykcyjne normy bezpieczeństwa technicznego.