Resort chce także, aby pacjenci byli lepiej informowani o tym, kto przetwarza ich dane. Jedną z propozycji jest również wprowadzenie powiadomień o wybranych zdarzeniach medycznych w aplikacjach mObywatel i mojeIKP. Ministerstwo argumentuje, że zmiany są odpowiedzią na rosnące zagrożenia związane z cyberbezpieczeństwem i przypadki wycieków danych. Chodzi tutaj przede wszystkim o niedawny wyciek z serwisu MyDr.

Firmy przetwarzające dane medyczne mogą zostać objęte certyfikacją

Pierwsza propozycja dotyczy podmiotów, którym powierzane jest przetwarzanie danych medycznych. Ministerstwo chce wprowadzić dla nich dodatkowe wymagania dotyczące bezpieczeństwa. Firmy przetwarzające takie dane musiałyby spełniać określone standardy, a ich certyfikacja miałaby zostać powiązana z systemem przewidzianym w ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa.

Resort proponuje również określenie minimalnych wymagań technologicznych dla systemów teleinformatycznych wykorzystywanych do przetwarzania danych medycznych. Wytyczne miałyby uwzględniać aktualne standardy i normy z zakresu cyberbezpieczeństwa. Celem jest zapewnienie określonego poziomu ochrony niezależnie od tego, jaka zewnętrzna firma lub instytucja odpowiada za przetwarzanie danych.

Pacjent ma wiedzieć, kto otrzymuje dostęp do jego danych

Kolejna propozycja zakłada większą przejrzystość w zakresie powierzania danych medycznych podmiotom zewnętrznym. Pacjenci mieliby otrzymywać informacje o tym, że ich dane zostały przekazane do przetwarzania innemu podmiotowi. Informacja obejmowałaby m.in. zakres i przedmiot powierzenia oraz dane kontaktowe firmy lub instytucji, która przetwarza dane.

Resort proponuje także wprowadzenie powiadomień o zdarzeniach medycznych w aplikacjach mObywatel oraz mojeIKP. Chodzi m.in. o informacje dotyczące wizyt, wystawienia recepty czy skorzystania ze świadczenia medycznego. Samo powiadomienie miałoby jedynie informować, że dane zdarzenie miało miejsce. Szczegóły byłyby dostępne po zalogowaniu do Internetowego Konta Pacjenta lub aplikacji mojeIKP.

Rozwiązanie ma umożliwić szybsze wykrycie sytuacji, w której ktoś wykorzystał dane obywatela bez jego wiedzy, np. do uzyskania recepty lub świadczenia medycznego.

Nowe obowiązki dla firm działających na dużą skalę

Najbardziej rozbudowane propozycje dotyczą podmiotów masowo przetwarzających dane. Nowe obowiązki miałyby objąć firmy świadczące usługi przetwarzania danych dla ponad 100 administratorów lub przetwarzające dane dotyczące łącznie więcej niż 100 tys. osób.

W przypadku naruszenia bezpieczeństwa danych taki podmiot miałby przekazywać do CSIRT NASK, za pośrednictwem Policji, podstawowe dane osób objętych naruszeniem – imię, nazwisko i numer PESEL. Informacje te mogłyby następnie zostać udostępnione obywatelom za pośrednictwem portalu bezpiecznedane.gov.pl.

Firmy przetwarzające dane miałyby również przekazywać placówkom i instytucjom, które powierzyły im dane, informacje potrzebne do oceny poziomu bezpieczeństwa. Chodzi m.in. o stosowane zabezpieczenia, korzystanie z kolejnych podmiotów przetwarzających dane, miejsce ich przetwarzania oraz wyniki audytów, testów i ocen bezpieczeństwa.

Ministerstwo proponuje ponadto obowiązkową ocenę ryzyka przed rozpoczęciem przetwarzania danych. Taka analiza musiałaby być aktualizowana co najmniej raz na dwa lata, a także po każdej istotnej zmianie sposobu lub warunków przetwarzania informacji.

Przedstawione rozwiązania są na razie propozycjami zmian legislacyjnych. Kolejnym etapem mają być prace nad szczegółowymi przepisami oraz ich późniejszym wdrożeniem.