Wyciek z MyDr to więcej kontroli UODO. Co może sprawdzić urząd?

Zdjęcie: Wyciek z MyDr to więcej kontroli UODO. Co może sprawdzić urząd?

Kogo mogą dotyczyć dodatkowe kontrole?

Kontrole nie zostały ograniczone wyłącznie do placówek korzystających z MyDr. Po rozpoczęciu kontroli samej spółki Prezes UODO zdecydował o rozszerzeniu działań na kolejne podmioty sektora ochrony zdrowia. Urząd wskazał wprost, iż chce zweryfikować stosowane przez nie zabezpieczenia danych osób korzystających z usług medycznych.

Ma to szczególne znaczenie dlatego, iż placówki medyczne przetwarzają dane dotyczące zdrowia, czyli szczególną kategorię danych osobowych w rozumieniu RODO. Informacje o diagnozach, leczeniu, receptach, wynikach badań czy przebytych chorobach wymagają odpowiednio wysokiego poziomu ochrony.

Co może sprawdzić PUODO?

Zakres konkretnej kontroli będzie wynikał z upoważnienia do jej przeprowadzenia. Kierunek zapowiedzianych działań jest jednak wyraźny. W przypadku MyDr PUODO wskazał, iż bada przede wszystkim zastosowane środki techniczne i organizacyjne, analizę ryzyka oraz to, czy zabezpieczenia były regularnie testowane i dostosowywane do zmieniających się zagrożeń.

W praktyce kontrola placówki medycznej może więc objąć m.in.:

1. analizę ryzyka – czy uwzględnia rzeczywiste zagrożenia związane z rodzajem i skalą przetwarzanych danych oraz wykorzystywanymi systemami;
2. zabezpieczenia informatyczne i organizacyjne – m.in. zasady dostępu do systemów, zarządzanie uprawnieniami, aktualizowanie oprogramowania, tworzenie i testowanie kopii zapasowych, ochronę urządzeń i sposób przywracania danych po awarii;
3. regularne testowanie zabezpieczeń – art. 32 RODO wymaga nie tylko wdrożenia odpowiednich środków, ale również ich regularnego testowania, mierzenia i oceniania;
4. współpracę z dostawcami systemów i innych usług IT – w tym umowy powierzenia danych, zasady korzystania z dalszych podmiotów przetwarzających oraz to, czy dostawca został zweryfikowany pod kątem gwarancji bezpieczeństwa;
5. rejestry i dokumentację RODO – w szczególności rejestr czynności przetwarzania, procedury ochrony danych, dokumentację naruszeń, analizę ryzyka oraz o ile była wymagana ocenę skutków dla ochrony danych;
6. zarządzanie dostępami pracowników i współpracowników – czy dostęp do danych mają wyłącznie osoby, które rzeczywiście go potrzebują, oraz czy zakres uprawnień odpowiada wykonywanym obowiązkom;
7. reakcję na incydenty – czy podmiot potrafi rozpoznać naruszenie, ocenić ryzyko, odpowiednio je udokumentować oraz gdy zachodzą przesłanki zgłosić je PUODO i zawiadomić osoby, których dane dotyczą.

Sam PUODO, wskazując w 2026 r., jak przygotować się do kontroli, zwrócił uwagę m.in. na procedury aktualizacji oprogramowania, testowanie kopii zapasowych, realizację zaleceń z wcześniejszych audytów oraz aktualność dokumentacji. Dokumentacja powinna przy tym odpowiadać temu, jak dane są faktycznie przetwarzane w organizacji, a nie jedynie formalnie opisywać przyjęte procedury.

Dostawca systemu nie przejmuje odpowiedzialności placówki

Incydent MyDr przypomina również o istotnym podziale ról. W modelu opisanym przez PUODO placówki medyczne pozostają administratorami danych pacjentów, natomiast MyDr działa jako podmiot przetwarzający dane na ich rzecz.

Powierzenie obsługi danych zewnętrznemu dostawcy nie powoduje jednak przeniesienia całej odpowiedzialności za ochronę danych na firmę informatyczną. Zgodnie z art. 28 RODO administrator powinien korzystać wyłącznie z podmiotów zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.

W czasie kontroli istotne może być zatem nie tylko to, czy podpisano umowę powierzenia, ale również czy administrator rzeczywiście ocenił dostawcę, zna stosowane przez niego zabezpieczenia i reaguje na informacje o zmianach lub zagrożeniach. Szczególnie przy danych medycznych samo posiadanie prawidłowo przygotowanej umowy nie zastępuje oceny ryzyka.

Naruszenie – czy procedura działa w praktyce?

Drugim istotnym obszarem jest sposób reagowania na naruszenia ochrony danych. Po incydencie MyDr PUODO przypomniał placówkom, iż po ustaleniu, iż naruszenie dotyczy przetwarzanych przez nie danych, muszą samodzielnie przeprowadzić ocenę ryzyka dla praw i wolności pacjentów.

Jeżeli naruszenie może powodować ryzyko dla osób, administrator powinien bez zbędnej zwłoki i w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia zgłosić je organowi nadzorczemu. Gdy ryzyko jest wysokie, może powstać również obowiązek bezpośredniego zawiadomienia pacjentów. Niezależnie od tego każde naruszenie powinno zostać odpowiednio udokumentowane.

PUODO może więc sprawdzić nie tylko treść procedury, ale także wcześniejsze incydenty i sposób, w jaki placówka rzeczywiście na nie reagowała.

Jak daleko może sięgać kontrola?

Kontrola PUODO nie ogranicza się do żądania przesłania dokumentów. Na podstawie ustawy o ochronie danych osobowych kontrolujący mogą m.in. przeglądać dokumenty i informacje związane z przedmiotem kontroli, dokonywać oględzin urządzeń, nośników i systemów informatycznych, żądać wyjaśnień oraz przesłuchiwać osoby w charakterze świadków. Mogą także wejść do pomieszczeń kontrolowanego w godzinach wskazanych w ustawie.

W praktyce oznacza to, iż placówka powinna być przygotowana nie tylko na przedstawienie polityki bezpieczeństwa, ale również na pokazanie jak działa konkretny system, kto posiada do niego dostęp, jak wykonywane są kopie zapasowe albo w jaki sposób wdrożono zalecenia wynikające z analizy ryzyka.

Co warto zrobić już teraz?

Najważniejszym działaniem nie powinno być tworzenie nowych dokumentów „na wypadek kontroli”, ale sprawdzenie zgodności dokumentacji z rzeczywistym sposobem pracy. Warto zweryfikować aktualność analizy ryzyka, dostęp pracowników do systemów, umowy i zasady współpracy z dostawcami IT, aktualizacje oprogramowania, wykonywanie oraz testowanie kopii zapasowych, dokumentację wcześniejszych incydentów, a także realizację zaleceń wynikających z audytów.

W RODO kluczowa jest bowiem zasada rozliczalności: administrator ma nie tylko przestrzegać wymagań ochrony danych, ale również być w stanie wykazać, iż faktycznie to robi.

Sama kontrola nie oznacza automatycznie nałożenia kary. Jednak w obecnej sytuacji sektor ochrony zdrowia znalazł się wyraźnie w obszarze zainteresowania organu nadzorczego. Dlatego dla placówek medycznych najbezpieczniejszym rozwiązaniem jest potraktowanie zapowiedzi PUODO jako momentu na praktyczny przegląd zabezpieczeń. Zanim zrobią to kontrolerzy.

W razie pytań, a także pomysłów tematów na kolejne wydania Newsletter’a zapraszamy do kontaktu:

[email protected]