Po wycieku z MyDr: rząd szykuje nowe przepisy chroniące dane medyczne
Rząd szykuje „Cyber Piątkę” – pakiet przepisów wzmacniających ochronę danych, w tym medycznych, który ma trafić do Sejmu jeszcze w 2026 r. – zapowiedział wiceminister cyfryzacji Michał Gramatyka. Projekt ma przejść szybką ścieżkę legislacyjną, bez szerokich konsultacji.
Gramatyka podkreślił, że prace wymagają współpracy trzech resortów: cyfryzacji, zdrowia oraz spraw wewnętrznych i administracji. Podczas posiedzenia sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii wiceministrowie cyfryzacji Michał Gramatyka i zdrowia Tomasz Maciejewski przedstawili informacje na temat bezpieczeństwa danych medycznych pacjentów. Odnieśli się także do sierpniowego wycieku danych medycznych nawet 19 mln Polaków. Cyberprzestępcy wykorzystali luki w zabezpieczeniach firmy MyDr, obsługującej ok. 12 tys. podmiotów leczniczych.
Wiceminister Gramatyka ocenił, że za wyciekiem z MyDr stoją tzw. „białe kapelusze” („white hat”) – etyczni hakerzy testujący odporność systemów i informujący o lukach zamiast wykorzystywać je do szantażu czy sprzedaży danych. Zapytany o ustalenia śledczych, przyznał, że nie ma dostępu do materiałów postępowania, a swoją ocenę opiera na publicznie opisanej formie kontaktu z włamywaczami. Dodał, że osoby te „robią bardzo dużo”, by zachować anonimowość.
Aby zmniejszyć ryzyko takich zdarzeń w przyszłości Ministerstwo Cyfryzacji proponuje pakiet rozwiązań zwiększających odporność systemów przetwarzających dane medyczne. Zakłada on m.in.
- dodatkowe warunki dla podmiotów przetwarzających dane medyczne — wyższe standardy bezpieczeństwa dla firm i instytucji obsługujących dane pacjentów
- podniesienie wymagań technologicznych — obowiązek stosowania bardziej zaawansowanych zabezpieczeń
- obowiązkowa informacja o podmiotach przetwarzających dane — pacjent ma wiedzieć, kto korzysta z jego danych
- powiadomienia w mObywatelu i IKP — alerty o receptach, zabiegach i innych zdarzeniach medycznych
- dodatkowe obowiązki dla firm przetwarzających dane ponad 100 tys. osób — rozszerzone wymogi cyberbezpieczeństwa dla największych podmiotów
Próg 100 tys. osób – jak wyjaśniał Gramatyka – ma chronić lokalne inicjatywy, takie jak karty mieszkańca, choć może zostać skorygowany na etapie konsultacji.
