Ministerstwo Cyfryzacji chce zaostrzyć zasady ochrony danych medycznych po jednym z największych incydentów tego typu w Polsce, przesuwając większą część odpowiedzialności na firmy technologiczne obsługujące placówki ochrony zdrowia.
Pakiet „Cyber Piątka” przewiduje certyfikację podmiotów przetwarzających dane medyczne, minimalne wymagania techniczne dla ich systemów oraz obowiązek informowania pacjentów, komu powierzono ich dane. Firmy obsługujące ponad 100 administratorów lub dane co najmniej 100 tys. osób miałyby ponadto regularnie oceniać ryzyko oraz ujawniać klientom m.in. stosowane zabezpieczenia, lokalizację przetwarzania danych, podwykonawców i wyniki audytów.
Propozycja jest reakcją na sierpniowy cyberatak na MyDr. Według Ministerstwa Cyfryzacji nieuprawniony dostęp mógł objąć dane 18,8 mln osób przechowywane na potrzeby ponad 12 tys. placówek medycznych. Prokuratura potwierdziła, że wśród informacji znajdowały się m.in. numery PESEL, dane kontaktowe, notatki z wizyt i informacje o receptach.
Dla rynku medtech oznacza to możliwy wzrost kosztów zgodności, audytów i zabezpieczeń, ale także zmianę kryteriów wyboru dostawców. Cena oprogramowania może mieć mniejsze znaczenie, jeśli placówka będzie musiała dokładniej weryfikować bezpieczeństwo firmy, której powierza dane.
Zmiany wpisują się w szersze zaostrzenie wymagań cyberbezpieczeństwa. Od kwietnia obowiązuje już nowelizacja KSC wdrażająca NIS2, obejmująca ochronę zdrowia jako sektor kluczowy.
Istotnym elementem pakietu mają być także powiadomienia o wizytach, receptach i świadczeniach w mObywatelu i mojeIKP. Mogą one skrócić czas wykrywania nadużyć, przenosząc część kontroli nad wykorzystaniem danych bezpośrednio na pacjenta.
Na razie „Cyber Piątka” jest propozycją zmian legislacyjnych, a nie obowiązującym prawem.
