|
|
Marek Michalski
Całość bardzo rzeczowa, a słowa "Gdyby dokumentacja była prowadzona lokalnie i na papierze byłaby bezpieczna. Ale tak nie będzie.", to BINGO! |
|
|
AgnieszkaS
Nie, to nie jest ściema. Sprawa jest bardzo poważna. Odpowiedzialność została przesunięta na przychodnie, pacjentów i lekarzy, czyli na miliony Polaków korzystających z platformy DocPlannera, pomimo że nie mają żadnej kontroli nad platformą. Ani rząd Mateusza Morawieckiego w momencie przejęcia MyDr w lutym 2023, ani obecny rząd Donalda Tuska nie stworzyły nadzoru nad platformami przetwarzającymi dane wrażliwe. W efekcie najważniejsi gracze - właściciele platformy i państwo - uchylili się od odpowiedzialności. |
|
|
AgnieszkaS
MyDr nadal istnieje ale jako część DocPlannera (podmiot zależny). Marka MyDr została wygaszona, a spółka z jej systemem i bazą danych pozostały. W świetle RODO MyDr/DocPlanner jest procesorem danych, więc praktycznie nie ponosi odpowiedzialności za wyciek - cała odpowiedzialność została zrzucona na przychodnie jako administratorów danych. |
|
|
AgnieszkaS
Z tego, co się dowiedziałam, MyDr był jednym z najpopularniejszych systemów, ponieważ był tani, prosty, posiadał kalendarz i rejestrację online. Dodatkowo MyDr był powiązany ze ZnanyLekarz.Po przejęciu MyDr przez DocPlannera przychodnie automatycznie przeszły do DocPlannera bez nadzoru państwa, bez audytów i bez możliwości oceny bezpieczeństwa. Przychodnie mogły zmienić system tylko teoretycznie, jeśli wiedziały o zmianie właściciela. A w praktyce takie przeniesienie dużej ilości danych z jednej platformy na inną było kosztowne, ryzykowne i zajmowało dużo czasu. Zatem, przychodnie nie miały realnego wyboru ani nawet świadomości ryzyka. Przychodnie to małe podmioty, które są niedofinansowane i nie stać je na dział IT. RODO wymaga od przychodni aby były odpowiedzialne za administrowanie danych, zabezpieczenie danych, ponoszenie odpowiedzialności za bezpieczeństwo, za wybór systemu i za incydenty (jak się dowiedzieliśmy).Natomiast platforma DocPlanner nie odpowiada praktycznie za nic. DocPlanner uważa się tylko za procesora, który robi, co mu przychodnia zleci i nie ponosi za nic odpowiedzialności. W rzeczywistości, to processor, czyli DocPlanner, wydawał instrukcje przychodniom (Tu kliknij, tu wpisz...), a nie odwrotnie. RODO zostało napisane przez EU pod duże korporacje, a nie małe przychodnie. Nie ma się czemu dziwić, gdyż Big Tech stać na lobbing w Brukseli, a przychodni już nie. |
|
|
Zbyszek
Włącznie w kontekst sprawy firmy DocPlanner nie jest uzasadnione, bo ta firma jest właścicielem firmy MrDr ale firma MrDr istnieje jako odrębny podmiot i to ona wykonywała czynności techniczne w zakresie danych medycznych.Gdy mowa o odpowiedzialności to należy ustalić przed kim i za co. Administratorami danych byli lekarze i przychodnie. To jest naturalne i właściwe. Podmiotem przetwarzającym dane była firma MrDr (a nie DocPlanner). Gdyby osoby, których dane zostały skradzione chciały dochodzić odpowiedzialności to roszczenia muszą kierować do administratorów danych a wiec lekarzy i/lub przychodni i to jest naturalne.Firma MrDr także ponosi odpowiedzialność. Tutaj przed admistratorami damnych za niewłaściwe wywiązanie się z umów. Także przed innymi organami państwa. Organy państwa narzuciły na lekarzy szereg obowiązków związanych z przetwarzaniem danych pacjentów. Próba samodzielnego gospodarowania tymi danymi przed konkretne podmioty medyczne generowałaby - prawdopodobnie - wielokrotnie wyższe koszty niż powierzenie przetwarzania wielkiej firmie informatycznej, która się w tym specjalizuje. Co więcej, taka próba zwiększała by odpowiedzialność tych podmiotów, bo byłby odpowiedzialne nie tylko jako administrator danych ale i jako przetwarzający te dane.W zaistniałej sytuacji naturalne jest, że podmioty medyczne przekazały dane zewnętrznej firmie. Odpowiednie organy kontrolne sprawdzą czy zewnętrzna firma wywiązała się z obowiązków, stosując odpowiednie zabezpieczenia. Teza, że podmioty medyczne miałby kontrolować tę firmę nie jest uzasadniona i jest niepraktyczna.Pomimo najlepszych praktyk mogą się zdarzyć włamania i jeśli najlepsze praktyki były stosowane, to odpowiedzialność będzie ograniczona i znikoma. Jeśli MrDr niewłaściwie dane zabezpieczał i w ten sposób niewłaściwie wywiązywał się z umów, to odpowiedzialność tej firmy może być szeroka.Można zakładać, że nasze dane są znane wszystkim istotnym podmiotom bez włamań. 100% ochrony przed włamaniami nie ma. Gdyby dokumentacja była prowadzona lokalnie i na papierze byłaby bezpieczna. Ale tak nie będzie. |
|
|
u2
"To jest luka systemowa, którą państwo musi natychmiast naprawić."Początkowo sądziłem, że to jakaś ściema z tymi 19 mln danych pacjentów. Ale po dementi ministra Gawkowskiego uwierzyłem. Minister Gawkowski mówi, że ... nic się stało. Bo na razie nie ma próby sprzedaży tych danych (?). Naprawdę, nie ma? Polacy, nic się nie stało? :)Remedium minister Gawkowski widzi w ... zastrzeżeniu PESEL-a. Tyle, że to utrudnia komunikację z bankami i urzędami. Państwo nie może się uchylać od odpowiedzialności, jeśli chodzi o bezpieczeństwo danych obywateli, zwłaszcza w takiej skali :) |
|
|
Marek Michalski
Również do przechowywania (zresztą z przesadą, bo o jeden dzień dłużej niż koniec świata w wyniku nadzoru dobrego państwa). Doktryna prawna oczywiście jest i w tej sprawie fałszywa.Proszę się upierać dalej, że potrzebuje pani nie szpitali i lekarzy, tylko gromadzenia danych i ich bohaterskiej ochrony, byle we własnym zakresie i na własny koszt. |
|
|
AgnieszkaS
Lekarze są odpowiedzialni za treść dokumentacji medycznej, ale nie za bezpieczeństwo systemów informatycznych. W przypadku MyDr/DocPlanner nie było żadnego udziału ani nadzoru państwa. Efektem tego braku nadzoru jest kradzież danych 19 mln Polaków. |
|
|
Marek Michalski
"To nie jest wina gabinetów. To jest luka systemowa, którą państwo musi natychmiast naprawić."Za dokumentację medyczną odpowiedzialni są lekarze i nie ma w tym niczego dziwnego. Problem w tym, że państwo zajęło się "cyfryzacją" i ponad miarę kreuje potrzebę przepływu danych poza możliwościami kontroli przez lekarzy. Od wrzucania danych do sieci wzrastają koszty i właśnie Pani proponuje, aby jeszcze je zwiększać po stronie urzędów państwa i po stronie lekarzy, którzy w konsekwencji zostaną zobligowani do kolejnych wymogów pseudoprawa. Który szpital proponuje Pani zamknąć, aby zwiększyć bezpieczeństwo nadmiaru danych medycznych i administracyjnych w sieci? |
