UODO przedstawia wytyczne dla lekarzy po wycieku z MyDr
Po sprzecznych komunikatach UODO i dostawcy systemu MyDr lekarze nie wiedzą, jakie obowiązki nakładają na nich przepisy. Naczelna Izba Lekarska zwróciła się do Prezesa UODO o pilne doprecyzowanie zasad postępowania po wycieku danych.
Do NIL napływają liczne pytania od lekarzy prowadzących praktyki oraz od podmiotów leczniczych korzystających z systemu EDM MyDr. Wątpliwości pojawiły się po publikacji dwóch komunikatów: UODO przypomniał o konieczności analizy ryzyka, zgłoszenia naruszenia i zawiadomienia pacjentów. MyDr poinformował, że na obecnym etapie placówki „nie muszą podejmować żadnych działań”.
Jak wskazuje samorząd lekarski, zestawienie obu stanowisk wywołało stan niepewności dotyczący obowiązków obwarowanych krótkimi terminami zawitymi oraz ryzykiem sankcji administracyjnych.
W związku z tym NIL poprosiła Prezesa UODO o jednoznaczne wyjaśnienie m.in.:
– obowiązków administratora w sytuacji, gdy podmiot przetwarzający informuje o braku konieczności zgłoszenia;
– momentu rozpoczęcia biegu 72 godzin na zgłoszenie naruszenia, jeśli lekarz nie otrzymał indywidualnej informacji od dostawcy;
– konieczności dokonania zgłoszenia wstępnego w przypadku braku potwierdzenia, że dane zostały objęte incydentem;
– sposobu oceny ryzyka przy braku dowodów na publiczne ujawnienie danych;
– tego, czy sama zapowiedź kontaktu ze strony dostawcy może być uznana za wystarczającą z punktu widzenia obowiązków administratora;
– postępowania w sytuacji braku informacji o zakresie naruszenia;
– możliwości wydania dodatkowych wytycznych skierowanych bezpośrednio do podmiotów wykonujących działalność leczniczą.
Izba zwróciła uwagę na szczególnie trudną sytuację lekarzy prowadzących jednoosobowe praktyki, którzy nie mają wsparcia wyspecjalizowanych struktur ochrony danych i muszą działać wyłącznie na podstawie komunikatów dostawcy oprogramowania. Celem wystąpienia jest uzyskanie jasnych wskazówek, które pozwolą lekarzom prawidłowo wykonać obowiązki wynikające z RODO bez ryzyka przekroczenia terminów i bez niepewności interpretacyjnej.
Odpowiedź Prezesa UODO znajduje się w załączonym dokumencie:
