Wyciek z FELG Dent. Co musi zrobić gabinet stomatologiczny krok po kroku

Jeżeli naruszenie objęło dane Twoich pacjentów, zgłoś je do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 ust. 1 RODO). Wyjątek dotyczy tylko sytuacji, gdy ryzyko naruszenia praw lub wolności jest mało prawdopodobne. Przy ujawnieniu czytelnych danych o zdrowiu i numeru PESEL zgłoszenie jest co do zasady konieczne. Zawiadomienie pacjentów (art. 34 RODO) też trzeba wysłać bez zbędnej zwłoki.

Nie opisujemy skali ani przyczyny zdarzenia, bo ich nie znamy. Opieramy się na tym, co FELG przekazał gabinetom, i na tym, co widzieliśmy w październiku, przygotowując dokumentację dla gabinetów stomatologicznych.

W skrócie

• Wiadomość od FELG nie zastępuje Twojego zgłoszenia. Obowiązek z art. 33 RODO ciąży na administratorze, a nie na dostawcy.
• Najwygodniej zgłosić przez biznes.gov.pl. Możesz je złożyć etapami i uzupełnić później (art. 33 ust. 4).
• Zawiadomienie pacjentów (art. 34) możesz wysłać SMS-em z modułu „Incydent”, który udostępnił FELG. Treść musi zawierać elementy z art. 34 ust. 2.
• Każde naruszenie wpisujesz do rejestru naruszeń (art. 33 ust. 5), także to zgłoszone w terminie.

Od kiedy liczą się 72 godziny?

Od chwili, w której gabinet stwierdził naruszenie, czyli ma wystarczającą pewność, że dotyczy ono danych jego pacjentów. Termin nie biegnie od samego medialnego komunikatu o incydencie. Prezes UODO wyjaśniał to wcześniej przy incydencie w innym systemie gabinetowym. Jeżeli wiadomość od FELG dostałeś 7 października wieczorem, bezpiecznie jest liczyć termin od tej wiadomości.

Do zgłoszenia nie musisz mieć pełnych informacji. Art. 33 ust. 4 RODO pozwala podać je etapami, a potem złożyć zgłoszenie uzupełniające.

Jak zgłosić naruszenie do UODO?

Najwygodniej zgłosić elektronicznie przez serwis biznes.gov.pl (formularz zgłoszenia naruszenia ochrony danych osobowych), do czego potrzebny jest profil zaufany albo podpis kwalifikowany. UODO dopuszcza też inne kanały, w tym zgłoszenie pisemne. Zgłoszenie musi zawierać elementy z art. 33 ust. 3 RODO:

1. charakter naruszenia, w miarę możliwości z kategoriami i przybliżoną liczbą osób oraz wpisów,
2. dane kontaktowe osoby, od której UODO może uzyskać więcej informacji (IOD albo inny punkt kontaktowy),
3. możliwe konsekwencje naruszenia,
4. środki zastosowane lub proponowane w celu zaradzenia naruszeniu.

Po złożeniu zachowaj potwierdzenie z biznes.gov.pl. To Twój dowód, że zgłosiłeś w terminie.

Czy muszę zawiadomić pacjentów?

Jeśli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności pacjentów, tak (art. 34 ust. 1 RODO). Dane o zdrowiu razem z numerem PESEL trudno uznać za ryzyko niskie. Art. 34 ust. 3 przewiduje wyjątki, na przykład gdy dane były skutecznie zaszyfrowane albo indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku (wtedy wystarczy równie skuteczny komunikat publiczny). Decyzję i jej uzasadnienie wpisz do rejestru naruszeń.

FELG udostępnił w module „Incydent” wysyłkę SMS do pacjentów. Możesz z niej skorzystać, ale odpowiedzialność za treść zawiadomienia zostaje po stronie gabinetu. Zawiadomienie musi opisywać naruszenie jasnym i prostym językiem i zawierać co najmniej (art. 34 ust. 2 w zw. z art. 33 ust. 3 lit. b, c i d):

• opis charakteru naruszenia,
• dane kontaktowe osoby, od której pacjent dowie się więcej (telefon do gabinetu albo IOD),
• możliwe konsekwencje naruszenia,
• zastosowane środki, a także to, co może zrobić sam pacjent. Przy wycieku numeru PESEL jest to na przykład zastrzeżenie PESEL w aplikacji mObywatel albo w urzędzie gminy.

Brak numeru telefonu nie zwalnia z zawiadomienia. Pacjentów bez telefonu zawiadom inną drogą, na przykład listownie albo mailem.

Jakie błędy widzieliśmy w październiku?

Opisujemy je bez danych, po których dałoby się rozpoznać gabinet.

Środki zabezpieczające opisane jako „dotychczasowe”, choć wdrożono je po incydencie

Zgłoszenie ma wskazywać środki zastosowane lub proponowane po naruszeniu. Część gabinetów wpisała jako dotychczasowe zabezpieczenia takie rzeczy jak uwierzytelnianie dwuskładnikowe czy szkolenia, które wdrożyły dopiero po incydencie. Podpowiadał to także wzór z FAQ dostawcy. Jeśli tak zrobiłeś, przekaż UODO sprostowanie zgłoszeniem uzupełniającym i wpisz osobno, co działało przed incydentem, a co wdrożyłeś po nim.

Zbyt zgrubne szacowanie liczby osób i wpisów

Art. 33 ust. 3 lit. a dopuszcza liczby przybliżone, ale im lepiej oszacowane, tym lepiej. Zamiast „kilkaset” podaj najlepszą ustaloną liczbę pacjentów i wpisów objętych naruszeniem i napisz, skąd ją masz. Liczba wszystkich pacjentów w systemie nie musi być liczbą osób objętych naruszeniem. Brak dokładnej liczby nie powinien opóźniać zgłoszenia: uzupełnisz je później. Liczbę wpisz też do rejestru.

Brak wpisu w rejestrze naruszeń

Zgłoszenie do UODO nie zastępuje rejestru. Art. 33 ust. 5 wymaga, żeby administrator dokumentował każde naruszenie: okoliczności, skutki i podjęte działania. UODO może poprosić o ten dokument przy kontroli albo skardze.

Pominięcie dzieci wśród pacjentów

W gabinetach stomatologicznych leczą się też dzieci. Zaznacz to w zgłoszeniu jako osoby szczególnie narażone i zadbaj, żeby zawiadomienie trafiło do rodziców lub opiekunów.

Zmiana haseł tylko u części użytkowników

Ustal z dostawcą, czy zagrożone są dane logowania. Jeśli tak, zmień hasła u wszystkich użytkowników systemu: lekarzy, asystentek, rejestracji. Uwierzytelnianie dwuskładnikowe jest zalecanym zabezpieczeniem. Jego wdrożenie oceń zgodnie z art. 32 RODO. Zapisz datę zmiany, bo to jeden ze środków do wpisania w zgłoszeniu.

Co z odpowiedzią od UODO?

Brak odpowiedzi jest normalny. UODO nie potwierdza merytorycznie każdego zgłoszenia. Zachowaj potwierdzenie złożenia. Numer widoczny na ekranie po wysłaniu i numer z potwierdzenia mailowego mogą się różnić, więc zapisz oba.

Co zrobić teraz, jeśli jeszcze nie zgłosiłem?

Zgłoś jak najszybciej, jeśli ryzyko nie jest mało prawdopodobne. Jeżeli minęło więcej niż 72 godziny, zgłoszenie musi zawierać wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 zdanie drugie RODO). Napisz krótko i uczciwie, kiedy i jak dowiedziałeś się o incydencie. Zwlekanie dalej tylko pogarsza sytuację.

Lista kontrolna

Możemy to przygotować za Ciebie

Obsługa naruszenia, 849 zł. Karta zdarzenia z oceną ryzyka, wpis do rejestru naruszeń, treść zawiadomienia z elementami z art. 34 ust. 2, zgłoszenie uzupełniające do UODO i ściąga na telefony od pacjentów. Termin: jeden dzień roboczy od Twoich odpowiedzi.

Komplet dokumentacji RODO dla gabinetu, 999 zł. Jeśli incydent pokazał, że dokumentacji brakuje: informacja dla pacjentów, rejestr czynności, analiza ryzyka, procedura naruszeń i umowy powierzenia. Szczegóły w cenniku.

Zadzwoń: 880 133 640, Roman Jońca.

Zobacz też: procedura zgłoszenia naruszenia w 72 godziny, RODO w gabinecie stomatologicznym i co zrobić, gdy pacjent żąda odszkodowania po wycieku.

Najczęstsze pytania

Czy muszę zgłaszać naruszenie, skoro FELG już poinformował gabinety? Tak, jeśli naruszenie objęło dane Twoich pacjentów i nie jest mało prawdopodobne, że powoduje ryzyko dla ich praw lub wolności. FELG jest podmiotem przetwarzającym, a obowiązek z art. 33 RODO ciąży na administratorze, czyli na gabinecie.

Czy mogę zgłosić naruszenie, zanim poznam wszystkie szczegóły? Tak. Art. 33 ust. 4 RODO pozwala podawać informacje etapami. Złóż zgłoszenie w terminie, a braki uzupełnij zgłoszeniem uzupełniającym.

Czy SMS z modułu „Incydent” wystarczy jako zawiadomienie pacjentów? Może wystarczyć, jeśli jego treść zawiera elementy z art. 34 ust. 2 RODO: opis naruszenia, kontakt, możliwe konsekwencje i środki. Sprawdź treść, zanim wyślesz.

Wpisałem w zgłoszeniu środki, które wdrożyłem dopiero po incydencie jako dotychczasowe. Co teraz? Przekaż UODO sprostowanie w zgłoszeniu uzupełniającym i rozdziel środki sprzed incydentu od wdrożonych po nim.

Nie dostałem odpowiedzi od UODO. Czy to źle? Nie. Brak odpowiedzi jest normalny. Zachowaj potwierdzenie złożenia zgłoszenia.