Wyciek danych osobowych 19 mln osób, obejmujących również informacje o zdrowiu, stał się impulsem do przygotowania nowych przepisów dotyczących cyberbezpieczeństwa. W Wykazie prac legislacyjnych i programowych Rady Ministrów opublikowano założenia projektu ustawy UD504, który ma ograniczyć ryzyko podobnych incydentów. Zmiany obejmą placówki medyczne, dostawców systemów informatycznych oraz zasady informowania pacjentów o przetwarzaniu ich danych. Rząd planuje przyjąć projekt w I kwartale 2027 roku.
Z tego artykułu dowiesz się…
- Dlaczego wyciek danych 19 mln osób doprowadził do przygotowania projektu ustawy UD504.
- Jakie nowe obowiązki obejmą placówki medyczne i dostawców systemów informatycznych.
- Kiedy certyfikacja cyberbezpieczeństwa będzie obowiązkowa i jakie informacje otrzymają pacjenci.
- Jak mają działać powiadomienia w mObywatelu i mojeIKP oraz kiedy rząd planuje przyjąć projekt.
Wyciek danych 19 mln osób impulsem do zmian w prawie
Ministerstwo Cyfryzacji przygotowuje projekt ustawy o zmianie niektórych ustaw w celu wzmocnienia ochrony danych i cyberbezpieczeństwa (UD504). Bezpośrednią przyczyną rozpoczęcia prac był incydent bezpieczeństwa u podmiotu przetwarzającego dane osobowe 19 mln osób, również dane dotyczące zdrowia. Zdarzenie pokazało skalę zagrożenia wynikającego z powierzania dokumentacji medycznej zewnętrznym dostawcom IT. Naruszenie bezpieczeństwa u jednego usługodawcy może jednocześnie dotknąć wiele placówek medycznych i miliony pacjentów.
Projekt przewiduje nowe obowiązki informacyjne, certyfikację procesów cyberbezpieczeństwa oraz rozwiązania umożliwiające szybsze wykrywanie nieuprawnionego wykorzystania danych.
Nowe obowiązki dla dostawców IT obsługujących placówki medyczne
Projektowane przepisy obejmą podmioty przetwarzające dane na rzecz więcej niż 100 administratorów lub dysponujące danymi osobowymi ponad 100 tys. osób. Wystarczy spełnienie jednego z tych warunków.
Takie firmy będą zobowiązane do przekazywania administratorom szczegółowych informacji dotyczących stosowanych zabezpieczeń, lokalizacji przetwarzania danych, podwykonawców oraz przeprowadzonych audytów i testów bezpieczeństwa.
Informacje o wynikach czynności weryfikacyjnych mają być udostępniane co najmniej raz na dwa lata. Istotne zmiany wpływające na bezpieczeństwo danych będą zgłaszane bez zbędnej zwłoki.
Projekt nie nakłada jednak nowego obowiązku przeprowadzania testów co dwa lata. Reguluje przede wszystkim dostęp administratorów do informacji o czynnościach wykonywanych zgodnie z RODO.
Certyfikacja cyberbezpieczeństwa przy przetwarzaniu dokumentacji medycznej
Jedną z istotniejszych propozycji jest obowiązkowa certyfikacja procesów zarządzania cyberbezpieczeństwem u podmiotów, którym powierzono przetwarzanie dokumentacji medycznej. Wymóg ten będzie obowiązywał niezależnie od liczby obsługiwanych administratorów i pacjentów, a więc również wtedy, gdy dostawca obsługuje nie więcej niż 100 administratorów i przetwarza dane nie więcej niż 100 tys. osób.
Certyfikacja obejmie określone procesy, a nie automatycznie całe przedsiębiorstwo. Ocena bezpieczeństwa może dotyczyć m.in. zarządzania dostępem do danych, aktualizacjami systemów, konfiguracją oraz kopiami zapasowymi.
Świadczeniodawcy będą zobowiązani do sprawdzania, czy ich dostawcy spełniają wymagania certyfikacyjne. Certyfikacja będzie realizowana w ramach krajowego systemu certyfikacji cyberbezpieczeństwa, na zasadach określonych w ustawie z 25 czerwca 2025 r.
Pacjent dowie się, kto przetwarza jego dokumentację medyczną
Zmiany obejmą również ustawę o prawach pacjenta i Rzeczniku Praw Pacjenta. Placówki medyczne będą musiały przekazywać pacjentom konkretne informacje o podmiotach zewnętrznych przetwarzających ich dokumentację. Obowiązek obejmie identyfikację usługodawcy, zakres powierzonych czynności, dane kontaktowe oraz informowanie o zmianach.
Nowe regulacje mają zastąpić ogólne informacje o kategoriach odbiorców danych bardziej precyzyjnymi komunikatami wskazującymi rzeczywistych dostawców.
Dane o wyciekach szybciej trafią do usługi Bezpieczne Dane
Projekt UD504 przewiduje także usprawnienie przekazywania informacji o naruszeniach bezpieczeństwa do CSIRT NASK. Podmioty objęte nowymi obowiązkami będą przekazywać niezbędne dane identyfikujące osoby, których informacje zostały nieuprawnienie ujawnione lub pozyskane. Pozwoli to wykorzystać je w usłudze Bezpieczne Dane, za pomocą której obywatele mogą sprawdzić, czy ich dane znalazły się w ujawnionych zbiorach.
Informacje o tym samym incydencie mają być przekazywane jednokrotnie. W określonych sytuacjach dane będzie mógł przekazać również organ prowadzący postępowanie przygotowawcze.
Mechanizm nie zastąpi dotychczasowych obowiązków zgłaszania naruszeń wynikających z RODO.
Powiadomienia o receptach i świadczeniach w mObywatelu i mojeIKP
Kolejna propozycja dotyczy automatycznych powiadomień o zarejestrowanych zdarzeniach medycznych. Pacjenci mają otrzymywać komunikaty za pośrednictwem aplikacji mObywatel i mojeIKP, np. po wystawieniu recepty lub odnotowaniu udzielonego świadczenia zdrowotnego.
Powiadomienie nie będzie zawierało szczegółowych danych dotyczących zdrowia. Dostęp do nich będzie wymagał uwierzytelnienia w odpowiedniej usłudze. Rozwiązanie ma ułatwić wykrywanie sytuacji, w których dane pacjenta wykorzystano bez jego wiedzy. Termin wdrożenia funkcjonalności nie został jeszcze określony.
Dokumentacja medyczna po śmierci lekarza. Nowy mechanizm zabezpieczenia
Projekt reguluje również problem dokumentacji medycznej pozostającej po śmierci lekarza prowadzącego indywidualną praktykę lekarską lub indywidualną specjalistyczną praktykę lekarską. Lekarz będzie mógł wcześniej wyznaczyć osobę lub podmiot odpowiedzialny za zabezpieczenie i przekazanie dokumentacji. O takim wyznaczeniu oraz jego zmianach trzeba będzie zawiadomić właściwą okręgową izbę lekarską.
Celem jest zapewnienie realizacji już istniejącego obowiązku przekazania dokumentacji podmiotowi przejmującemu działalność albo właściwej izbie lekarskiej.
Kiedy nowe przepisy wejdą w życie?
Za opracowanie projektu UD504 odpowiada Ministerstwo Cyfryzacji, a osobą odpowiedzialną jest Michał Gramatyka, sekretarz stanu w resorcie. Planowany termin przyjęcia projektu przez Radę Ministrów to I kwartał 2027 roku. Nie jest to jednak data wejścia przepisów w życie.
Na obecnym etapie opublikowano założenia legislacyjne. Szczegółowe rozwiązania i terminy obowiązywania nowych wymagań będą znane po przygotowaniu projektu ustawy.
Zgodnie z informacjami zawartymi w wykazie rządowym przeprowadzona analiza nie wykazała sprzeczności planowanych rozwiązań z rozporządzeniem o europejskiej przestrzeni danych dotyczących zdrowia (EHDS).
Główne wnioski
- Wyciek danych 19 mln osób, obejmujących również informacje o zdrowiu, stał się impulsem do przygotowania projektu ustawy UD504 przez Ministerstwo Cyfryzacji.
- Nowe obowiązki informacyjne obejmą dostawców obsługujących ponad 100 administratorów lub przetwarzających dane ponad 100 tys. osób. Informacje o wynikach czynności weryfikacyjnych będą przekazywane co najmniej raz na dwa lata.
- Certyfikacja procesów cyberbezpieczeństwa będzie obowiązkowa dla podmiotów przetwarzających powierzoną dokumentację medyczną, niezależnie od liczby administratorów i pacjentów. Świadczeniodawcy będą weryfikować spełnienie tego wymogu.
- Projekt UD504 ma zostać przyjęty przez Radę Ministrów w I kwartale 2027 r. Przewiduje również powiadomienia o zdarzeniach medycznych w mObywatelu i mojeIKP oraz usprawnienie przekazywania informacji o wyciekach do CSIRT NASK.
Źródło:
- https://www.gov.pl/web/premier/projekt-ustawy-o-zmianie-niektorych-ustaw-w-celu-wzmocnienia-ochrony-danych-i-cyberbezpieczenstwa
