Przetwarzanie danych w dokumentacji medycznej będzie powiązane z wymogiem certyfikacji realizowanej w ramach krajowego systemu certyfikacji cyberbezpieczeństwa – przewidują założenia projektu ustawy przygotowywanej przez Ministerstwo Cyfryzacji.
W wykazie prac legislacyjnych rządu opublikowano we wtorek informację o założeniach projektu ustawy o zmianie niektórych ustaw w celu wzmocnienia ochrony danych i cyberbezpieczeństwa przygotowywanego przez resort cyfryzacji.
Impulsem do przygotowania projektu było naruszenie bezpieczeństwa systemów podmiotu przetwarzającego, które dotyczyło danych osobowych 19 mln osób, w tym informacji o zdrowiu.
Celem projektu jest zwiększenie odporności systemu ochrony danych osobowych na zagrożenia związane z powierzaniem przetwarzania danych podmiotom zewnętrznym, zwłaszcza gdy jeden usługodawca obsługuje wielu administratorów. Proponowane środki obejmują zarówno wzmocnienie przejrzystości i bezpieczeństwa takiego przetwarzania, jak i ułatwienie osobom fizycznym reagowania na nieuprawnione ujawnienie ich danych osobowych.
Projektowane zmiany zakładają, że podmioty przetwarzające dane na rzecz więcej niż 100 administratorów albo dane osobowe dotyczące więcej niż 100 tys. osób będą zobowiązane do przekazywania administratorom – nie rzadziej niż raz na dwa lata, a o istotnych zmianach warunków przetwarzania – bez zbędnej zwłoki, szczegółowych informacji o stosowanych zabezpieczeniach, ew. dalszych podmiotach przetwarzających, miejscu przetwarzania, audytach i wynikach już przeprowadzonych testów, pomiarów oraz ocen.
Proponowane przepisy zakładają m.in., że „powierzenie przetwarzania danych zawartych w dokumentacji medycznej będzie powiązane z wymogiem certyfikacji właściwych procesów zarządzania cyberbezpieczeństwem podmiotu, któremu powierzane są dane”.
Wyjaśniono, że „certyfikacja będzie realizowana w ramach krajowego systemu certyfikacji cyberbezpieczeństwa”. „Nie oznacza to jednak stworzenia odrębnego systemu certyfikacji przeznaczonego wyłącznie dla sektora ochrony zdrowia” – napisano.
Zgodnie z założeniami do projektu przewidziane jest „przekazywanie do CSIRT NASK niezbędnych danych identyfikujących osoby, których dane zostały pozyskane lub ujawnione w sposób nieuprawniony w związku z incydentem lub cyberzagrożeniem tak, aby możliwe było ich wykorzystanie w usłudze Bezpieczne Dane”.
„Obowiązek ma obejmować podmioty kluczowe, podmioty ważne oraz określone w projekcie podmioty przetwarzające dane na dużą skalę” – czytamy w założeniach.
Projektowane zmiany zakładają także „uruchomienie powiadomień o zarejestrowaniu zdarzenia medycznego z wykorzystaniem mObywatela i mojeIKP”.
Doprecyzowano, że „komunikat ma sygnalizować zdarzenie odnoszące się do pacjenta, np. wystawienie recepty lub udzielenie świadczenia, bez prezentowania w powiadomieniu szczegółowych informacji o zdrowiu”. Wyjaśniono, że „ich sprawdzenie będzie wymagało uwierzytelnienia w odpowiedniej usłudze”.
Zmiany przepisów uwzględniają m.in. śmierć lekarza prowadzącego indywidualną praktykę lekarską lub indywidualną specjalistyczną praktykę lekarską. Zgodnie z założeniami powinna zostać wcześniej wyznaczona osoba albo podmiot odpowiedzialny za zabezpieczenie i przekazanie dokumentacji.
Przewiduje się także zawiadomienie właściwej okręgowej izby lekarskiej o wyznaczeniu oraz o zmianach tych informacji. (PAP)
mgw/ joz/
