Wczoraj dowiedzieliśmy się z mediów, że dane medyczne 19 mln Polaków zostały wykradzione z platformy medycznej DocPlanner. Polska firma DocPlanner przejęła polską platformę medyczną MyDr w lutym 2023 roku, bez jakiegokolwiek nadzoru państwa (rząd PiS).
W poprzedniej notce „Wyciek danych 19 mln Polaków” udowodniłam, że DocPlanner to prywatna spółka, która wykorzystała pieniądze zagranicznych inwestorów na przejmowanie upadających firm medycznych w wielu krajach, ale nie zainwestowała w bezpieczeństwo ani w poziom techniczny własnych stron internetowych. Ich infrastruktura działa na wyjątkowo prymitywnym poziomie.
Dzisiaj dowiedzieliśmy się z mediów, że odpowiedzialność za wyciek nie spadnie na głównego winowajcę, lecz na przychodnie - mimo że nie miały żadnego wpływu na jakość, bezpieczeństwo ani technologię platformy MyDr/DocPlanner. To jest luka systemowa w prawie, która teraz wychodzi na jaw.
W świetle RODO to przychodnia jest „administratorem danych”, bo to ona decyduje, że chce korzystać z danego systemu. Natomiast DocPlanner jest tylko „procesorem”, czyli wykonawcą technicznym. I właśnie dlatego formalnie nie ponosi odpowiedzialności za wyciek – nawet jeśli to jego infrastruktura była prymitywna, nieaudytowana i nie spełniała podstawowych standardów bezpieczeństwa.
Problem polega na tym, że przychodnie nie mają żadnych narzędzi, żeby ocenić jakość takiej platformy. Nie mają działów IT, nie mają audytorów, nie mają możliwości sprawdzenia kodu, zabezpieczeń, architektury czy procedur. W praktyce widzą tylko marketing, popularność i obietnice bezpieczeństwa. A prawdziwy poziom technologii jest dla nich całkowicie niewidoczny.
DocPlanner korzysta z tej konstrukcji prawnej: przejmuje firmy, przejmuje rynek, przejmuje dane, ale nie przejmuje żadnej odpowiedzialności. Administratorami są tysiące małych gabinetów, które nie mają ani wiedzy, ani zasobów, ani wpływu na to, jak działa system. To jest widoczny gołym okiem absurd, ale zgodny z obowiązującym prawem.
W wielu krajach dane medyczne są traktowane jako infrastruktura krytyczna - prywatne platformy nie mogą ich przechowywać bez nadzoru państwa, certyfikacji i obowiązkowych audytów. W Polsce takich regulacji nie ma. Dlatego prymitywna platforma mogła obsługiwać dane 19 mln ludzi, a odpowiedzialność spada teraz na przychodnie, które nie miały żadnej możliwości oceny ryzyka. To jest ostania kropla, która przelała kielich goryczy polskiego upadającego systemu ochrony zdrowia.
Najbardziej niepokojące jest to, że wyciek nie dotyczy tylko „zwykłych pacjentów”. MON oficjalnie ostrzega żołnierzy przed próbami wyłudzeń i atakami socjotechnicznymi. Resort obrony wysyła komunikaty przez MILNET, bo dane dotyczą osób pełniących kluczowe funkcje państwowe. Eksperci od cyberbezpieczeństwa mówią wprost: baza przejęta z MyDr jest tak cenna, że pozazdrościłby jej niejeden wywiad na świecie. Dane o chorobach, leczeniu psychiatrycznym, uzależnieniach czy stanie zdrowia żołnierzy i urzędników to gotowe narzędzie szantażu i wpływu na decyzje.
o nie jest już tylko problem prywatności. To jest realne zagrożenie dla bezpieczeństwa państwa. I właśnie dlatego obecna konstrukcja prawna - w której odpowiedzialność spada na małe przychodnie, a platforma med‑tech, w którą inwestuje Goldman Sachs, pozostaje praktycznie bezkarna.
To nie jest wina gabinetów. To jest luka systemowa, którą państwo musi natychmiast naprawić.
__________________
Część pierwsza: Wyciek danych 19 mln Polaków
"To nie jest wina gabinetów. To jest luka systemowa, którą państwo musi natychmiast naprawić."
Za dokumentację medyczną odpowiedzialni są lekarze i nie ma w tym niczego dziwnego. Problem w tym, że państwo zajęło się "cyfryzacją" i ponad miarę kreuje potrzebę przepływu danych poza możliwościami kontroli przez lekarzy.
Od wrzucania danych do sieci wzrastają koszty i właśnie Pani proponuje, aby jeszcze je zwiększać po stronie urzędów państwa i po stronie lekarzy, którzy w konsekwencji zostaną zobligowani do kolejnych wymogów pseudoprawa.
Który szpital proponuje Pani zamknąć, aby zwiększyć bezpieczeństwo nadmiaru danych medycznych i administracyjnych w sieci?
Lekarze są odpowiedzialni za treść dokumentacji medycznej, ale nie za bezpieczeństwo systemów informatycznych. W przypadku MyDr/DocPlanner nie było żadnego udziału ani nadzoru państwa. Efektem tego braku nadzoru jest kradzież danych 19 mln Polaków.
Również do przechowywania (zresztą z przesadą, bo o jeden dzień dłużej niż koniec świata w wyniku nadzoru dobrego państwa). Doktryna prawna oczywiście jest i w tej sprawie fałszywa.
Proszę się upierać dalej, że potrzebuje pani nie szpitali i lekarzy, tylko gromadzenia danych i ich bohaterskiej ochrony, byle we własnym zakresie i na własny koszt.
"To jest luka systemowa, którą państwo musi natychmiast naprawić."
Początkowo sądziłem, że to jakaś ściema z tymi 19 mln danych pacjentów. Ale po dementi ministra Gawkowskiego uwierzyłem. Minister Gawkowski mówi, że ... nic się stało. Bo na razie nie ma próby sprzedaży tych danych (?). Naprawdę, nie ma? Polacy, nic się nie stało? :)
Remedium minister Gawkowski widzi w ... zastrzeżeniu PESEL-a. Tyle, że to utrudnia komunikację z bankami i urzędami. Państwo nie może się uchylać od odpowiedzialności, jeśli chodzi o bezpieczeństwo danych obywateli, zwłaszcza w takiej skali :)
Nie, to nie jest ściema. Sprawa jest bardzo poważna. Odpowiedzialność została przesunięta na przychodnie, pacjentów i lekarzy, czyli na miliony Polaków korzystających z platformy DocPlannera, pomimo że nie mają żadnej kontroli nad platformą.
Ani rząd Mateusza Morawieckiego w momencie przejęcia MyDr w lutym 2023, ani obecny rząd Donalda Tuska nie stworzyły nadzoru nad platformami przetwarzającymi dane wrażliwe. W efekcie najważniejsi gracze - właściciele platformy i państwo - uchylili się od odpowiedzialności.
MyDr nadal istnieje ale jako część DocPlannera (podmiot zależny). Marka MyDr została wygaszona, a spółka z jej systemem i bazą danych pozostały. W świetle RODO MyDr/DocPlanner jest procesorem danych, więc praktycznie nie ponosi odpowiedzialności za wyciek - cała odpowiedzialność została zrzucona na przychodnie jako administratorów danych.
Z tego, co się dowiedziałam, MyDr był jednym z najpopularniejszych systemów, ponieważ był tani, prosty, posiadał kalendarz i rejestrację online. Dodatkowo MyDr był powiązany ze ZnanyLekarz.
Po przejęciu MyDr przez DocPlannera przychodnie automatycznie przeszły do DocPlannera bez nadzoru państwa, bez audytów i bez możliwości oceny bezpieczeństwa. Przychodnie mogły zmienić system tylko teoretycznie, jeśli wiedziały o zmianie właściciela. A w praktyce takie przeniesienie dużej ilości danych z jednej platformy na inną było kosztowne, ryzykowne i zajmowało dużo czasu. Zatem, przychodnie nie miały realnego wyboru ani nawet świadomości ryzyka. Przychodnie to małe podmioty, które są niedofinansowane i nie stać je na dział IT.
RODO wymaga od przychodni aby były odpowiedzialne za administrowanie danych, zabezpieczenie danych, ponoszenie odpowiedzialności za bezpieczeństwo, za wybór systemu i za incydenty (jak się dowiedzieliśmy).
Natomiast platforma DocPlanner nie odpowiada praktycznie za nic. DocPlanner uważa się tylko za procesora, który robi, co mu przychodnia zleci i nie ponosi za nic odpowiedzialności. W rzeczywistości, to processor, czyli DocPlanner, wydawał instrukcje przychodniom (Tu kliknij, tu wpisz...), a nie odwrotnie.
RODO zostało napisane przez EU pod duże korporacje, a nie małe przychodnie. Nie ma się czemu dziwić, gdyż Big Tech stać na lobbing w Brukseli, a przychodni już nie.