Niektóre podmioty administrujące bazami danych wolą się ubezpieczyć od wycieku i zapłacić karę, bo tak jest taniej, niż zainwestować w cyberbezpieczeństwo – powiedział w czwartek Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych, w Studiu PAP na Forum Ekonomicznym w Karpaczu.
W jego ocenie po skali kar nakładanych wcześniej przez UODO widać, że problem zabezpieczenia danych i organizacji kwestii technicznych, strategicznych i zarządczych ma znaczenie.
– Tych przypadków jest coraz więcej, bo jako Polska jesteśmy przedmiotem wielu ataków – mówił gość studia PAP.
Według niego systemowo mamy też do czynienia z lekceważeniem i niedoszacowaniem ryzyka przez administratorów.
– To jest decyzja zarządcza, że ubezpieczymy się i zapłacimy karę (z tytułu utraty danych – PAP), ale nie zainwestujemy w cyberbezpieczeństwo, bo to niestety kosztuje. Zzęsto tak jest – powiedział.
Dr Wróblewski był pytany przez PAP o trwającą kontrolę UODO w spółce MyDr po cyberataku na nią, w wyniku którego wyciekły dane 19 mln Polaków, m.in. o lekach i receptach.
– Co do istoty wiemy, co się stało, jakie były przyczyny. Sporo materiału zebraliśmy i będziemy go w urzędzie drobiazgowo analizować – dodał, wyjaśniając, że kontrolowano zarówno dokumentację, jak i stan techniczny zabezpieczeń. Nie chciał ujawnić konkluzji UODO przed zakończeniem postępowania.
Jak podkreślił, w sprawie MyDr występuje szczególna odpowiedzialność przetwarzającego dane, bo mamy do czynienia z wielką ich liczbą – około 19 mln osób, a po drugie są to dane najbardziej wrażliwe, bo o stanie zdrowia, więc procedury powinny gwarantować bardzo wysoki, szczególny standard ochrony danych.
– Problemem jest to, że dzisiaj przepisy są bardzo ogólne. Przepisy ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta mówią o możliwości powierzania przetwarzania danych osobowych, co w ogóle jest w moim przekonaniu kuriozum, bo mamy do czynienia z tajemnicą lekarską – czyli koniecznością szczególnej ochrony danych o zdrowiu – a z drugiej strony ustawa pozwoliła na takie przetwarzanie także podmiotom prywatnym – dodał.
Wróblewski powiedział, że na prośbę wicepremiera, ministra cyfryzacji Krzysztofa Gawkowskiego przeanalizował tę ustawę i zasugerował jej zmianę, by zapisać w niej, że takie podmioty muszą stosować wyłącznie certyfikowane oprogramowanie w rozumieniu ustawy o Krajowym Systemie Certyfikacji.
Jego zdaniem powinno się to znajdować pod ścisłym nadzorem państwa, bo dziś jest też tak, że żaden z resortów nie ma pełnej wiedzy, ile jeszcze jest takich podmiotów i ile danych jest przetwarzanych.
– To by też ułatwiło kontrole UODO. Dane o zdrowiu to są jedne z naszych najcenniejszych danych, nie tylko dla nas samych, bo one mają też wartość ekonomiczną i dlatego są przedmiotem ataków – podkreślił.
Prezes UODO ocenił, że dziś zastrzeżenie numeru PESEL jest najskuteczniejszym środkiem ochrony przed nieuprawnionym użyciem danych, np. przez wzięcie na nie kredytu. Bezpośrednio po wycieku danych z MyDr zrobiło tak 2 mln osób. Jak dodał, trwają dyskusje, czy PESEL powinien być zastrzeżony domyślnie dla wszystkich. Przeciwwskazaniem byłaby tu jednak dodatkowa uciążliwość dla niemałej grupy osób starszych, niekorzystających z narzędzi cyfrowych, o których trzeba pamiętać.
– Tu musi być, mówiąc krótko, decyzja polityczna – podsumował.
Ministerstwo Cyfryzacji 12 sierpnia potwierdziło informację o cyberataku na firmę MyDr. Jest ona dostawcą systemu do prowadzenia elektronicznej dokumentacji medycznej. Dane, które wyciekły, dotyczą 12 tys. podmiotów medycznych korzystających z platformy MyDr. (PAP)
wkt/ joz/
