Wczoraj dowiedzieliśmy się z mediów, że dane medyczne 19 mln Polaków zostały wykradzione z platformy medycznej DocPlanner. Polska firma DocPlanner przejęła polską platformę medyczną MyDr w lutym 2023 roku, bez jakiegokolwiek nadzoru państwa (rząd PiS).
W poprzedniej notce „Wyciek danych 19 mln Polaków” udowodniłam, że DocPlanner to prywatna spółka, która wykorzystała pieniądze zagranicznych inwestorów na przejmowanie upadających firm medycznych w wielu krajach, ale nie zainwestowała w bezpieczeństwo ani w poziom techniczny własnych stron internetowych. Ich infrastruktura działa na wyjątkowo prymitywnym poziomie.
Dzisiaj dowiedzieliśmy się z mediów, że odpowiedzialność za wyciek nie spadnie na głównego winowajcę, lecz na przychodnie - mimo że nie miały żadnego wpływu na jakość, bezpieczeństwo ani technologię platformy MyDr/DocPlanner. To jest luka systemowa w prawie, która teraz wychodzi na jaw.
W świetle RODO to przychodnia jest „administratorem danych”, bo to ona decyduje, że chce korzystać z danego systemu. Natomiast DocPlanner jest tylko „procesorem”, czyli wykonawcą technicznym. I właśnie dlatego formalnie nie ponosi odpowiedzialności za wyciek – nawet jeśli to jego infrastruktura była prymitywna, nieaudytowana i nie spełniała podstawowych standardów bezpieczeństwa.
Problem polega na tym, że przychodnie nie mają żadnych narzędzi, żeby ocenić jakość takiej platformy. Nie mają działów IT, nie mają audytorów, nie mają możliwości sprawdzenia kodu, zabezpieczeń, architektury czy procedur. W praktyce widzą tylko marketing, popularność i obietnice bezpieczeństwa. A prawdziwy poziom technologii jest dla nich całkowicie niewidoczny.
DocPlanner korzysta z tej konstrukcji prawnej: przejmuje firmy, przejmuje rynek, przejmuje dane, ale nie przejmuje żadnej odpowiedzialności. Administratorami są tysiące małych gabinetów, które nie mają ani wiedzy, ani zasobów, ani wpływu na to, jak działa system. To jest widoczny gołym okiem absurd, ale zgodny z obowiązującym prawem.
W wielu krajach dane medyczne są traktowane jako infrastruktura krytyczna - prywatne platformy nie mogą ich przechowywać bez nadzoru państwa, certyfikacji i obowiązkowych audytów. W Polsce takich regulacji nie ma. Dlatego prymitywna platforma mogła obsługiwać dane 19 mln ludzi, a odpowiedzialność spada teraz na przychodnie, które nie miały żadnej możliwości oceny ryzyka. To jest ostania kropla, która przelała kielich goryczy polskiego upadającego systemu ochrony zdrowia.
Najbardziej niepokojące jest to, że wyciek nie dotyczy tylko „zwykłych pacjentów”. MON oficjalnie ostrzega żołnierzy przed próbami wyłudzeń i atakami socjotechnicznymi. Resort obrony wysyła komunikaty przez MILNET, bo dane dotyczą osób pełniących kluczowe funkcje państwowe. Eksperci od cyberbezpieczeństwa mówią wprost: baza przejęta z MyDr jest tak cenna, że pozazdrościłby jej niejeden wywiad na świecie. Dane o chorobach, leczeniu psychiatrycznym, uzależnieniach czy stanie zdrowia żołnierzy i urzędników to gotowe narzędzie szantażu i wpływu na decyzje.
o nie jest już tylko problem prywatności. To jest realne zagrożenie dla bezpieczeństwa państwa. I właśnie dlatego obecna konstrukcja prawna - w której odpowiedzialność spada na małe przychodnie, a platforma med‑tech, w którą inwestuje Goldman Sachs, pozostaje praktycznie bezkarna.
To nie jest wina gabinetów. To jest luka systemowa, którą państwo musi natychmiast naprawić.
__________________
Część pierwsza: Wyciek danych 19 mln Polaków
"To nie jest wina gabinetów. To jest luka systemowa, którą państwo musi natychmiast naprawić."
Za dokumentację medyczną odpowiedzialni są lekarze i nie ma w tym niczego dziwnego. Problem w tym, że państwo zajęło się "cyfryzacją" i ponad miarę kreuje potrzebę przepływu danych poza możliwościami kontroli przez lekarzy.
Od wrzucania danych do sieci wzrastają koszty i właśnie Pani proponuje, aby jeszcze je zwiększać po stronie urzędów państwa i po stronie lekarzy, którzy w konsekwencji zostaną zobligowani do kolejnych wymogów pseudoprawa.
Który szpital proponuje Pani zamknąć, aby zwiększyć bezpieczeństwo nadmiaru danych medycznych i administracyjnych w sieci?
Lekarze są odpowiedzialni za treść dokumentacji medycznej, ale nie za bezpieczeństwo systemów informatycznych. W przypadku MyDr/DocPlanner nie było żadnego udziału ani nadzoru państwa. Efektem tego braku nadzoru jest kradzież danych 19 mln Polaków.
Również do przechowywania (zresztą z przesadą, bo o jeden dzień dłużej niż koniec świata w wyniku nadzoru dobrego państwa). Doktryna prawna oczywiście jest i w tej sprawie fałszywa.
Proszę się upierać dalej, że potrzebuje pani nie szpitali i lekarzy, tylko gromadzenia danych i ich bohaterskiej ochrony, byle we własnym zakresie i na własny koszt.
"To jest luka systemowa, którą państwo musi natychmiast naprawić."
Początkowo sądziłem, że to jakaś ściema z tymi 19 mln danych pacjentów. Ale po dementi ministra Gawkowskiego uwierzyłem. Minister Gawkowski mówi, że ... nic się stało. Bo na razie nie ma próby sprzedaży tych danych (?). Naprawdę, nie ma? Polacy, nic się nie stało? :)
Remedium minister Gawkowski widzi w ... zastrzeżeniu PESEL-a. Tyle, że to utrudnia komunikację z bankami i urzędami. Państwo nie może się uchylać od odpowiedzialności, jeśli chodzi o bezpieczeństwo danych obywateli, zwłaszcza w takiej skali :)