Naruszenie ochrony danych w gabinecie - masz 72 godziny

Pan Krzysztof wraca z pracy metrem. Wysiada na swojej stacji, sięga do plecaka po telefon -- i nie znajduje go. Zostawił go na siedzeniu. W telefonie jest aplikacja pocztowa zalogowana bez hasła, a w skrzynce -- kilkanaście maili z wynikami badań i planami terapii wysłanymi do pacjentów w ciągu ostatniego tygodnia. Krzysztof przez chwilę stoi na peronie, próbując ocenić, co właśnie się stało. Czy to jest "naruszenie ochrony danych"? Czy musi coś z tym zrobić już dziś? A może wystarczy zablokować kartę SIM i zapomnieć o sprawie?

To pytanie zadaje sobie większość właścicieli gabinetów dopiero w momencie, gdy jest już za późno na spokojne przeczytanie przepisów. RODO nie zostawia tu dużego marginesu -- od chwili, w której gabinet stwierdza naruszenie, biegnie zegar. Ma 72 godziny, żeby ocenić ryzyko i -- jeśli trzeba -- zgłosić sprawę do Urzędu Ochrony Danych Osobowych. W tym artykule wyjaśniamy, co w ogóle liczy się jako naruszenie, jak ocenić, czy zgłoszenie jest obowiązkowe, i co grozi za jego zaniechanie.

Czym jest naruszenie ochrony danych -- szeroka definicja

Wielu właścicieli gabinetów wyobraża sobie naruszenie ochrony danych wyłącznie jako spektakularny wyciek -- włamanie hakerskie albo publikację bazy danych w internecie. Tymczasem definicja z RODO jest znacznie szersza i obejmuje każde naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. W praktyce gabinetu fizjoterapii to bardzo szeroki katalog codziennych sytuacji.

Przykłady naruszeń, które łatwo zbagatelizować

• Zgubiony lub skradziony laptop albo telefon z dostępem do systemu EDM, poczty służbowej albo terminarza pacjentów -- niezależnie od tego, czy sprzęt był zaszyfrowany.
• E-mail z wynikami badań lub planem terapii wysłany do złego adresata -- klasyczna pomyłka przy autouzupełnianiu adresu w skrzynce pocztowej.
• Włamanie lub atak ransomware na system EDM -- zaszyfrowanie bazy pacjentów przez złośliwe oprogramowanie to naruszenie, nawet jeśli dane nie zostały wykradzione, tylko zablokowane.
• Kradzież segregatora z papierową dokumentacją medyczną -- np. z gabinetu, samochodu albo podczas transportu między filiami.
• Przypadkowe usunięcie danych bez kopii zapasowej -- utrata dostępności danych to również naruszenie w rozumieniu RODO, nawet jeśli nikt trzeci nie miał do nich dostępu.

Wspólny mianownik tych sytuacji to utrata kontroli nad danymi osobowymi -- niezależnie od tego, czy chodzi o poufność (ktoś niepowołany widzi dane), integralność (dane zostały zmienione) czy dostępność (dane zniknęły bezpowrotnie). Podstawy prowadzenia dokumentacji medycznej i jej zabezpieczania opisujemy szerzej w artykule RODO w gabinecie fizjoterapii.

Trzystopniowa ocena ryzyka -- co musisz ustalić

Gdy tylko dowiesz się o zdarzeniu, musisz przejść przez trzy pytania, w tej kolejności. Odpowiedź na każde z nich decyduje, co dalej.

Krok 1: Czy to w ogóle jest naruszenie

Nie każdy incydent techniczny jest naruszeniem ochrony danych. Awaria serwera, która nie doprowadziła do utraty ani nieuprawnionego dostępu do danych (bo np. działała kopia zapasowa i dane odtworzono bez śladu ingerencji osób trzecich), nie kwalifikuje się jako naruszenie w rozumieniu RODO. Pierwsze pytanie brzmi więc: czy doszło do naruszenia poufności, integralności lub dostępności danych osobowych. Jeśli nie -- sprawa się kończy, choć warto ją i tak odnotować wewnętrznie.

Krok 2: Czy trzeba zgłosić do UODO

Jeśli to jest naruszenie, kolejne pytanie brzmi: czy istnieje ryzyko naruszenia praw lub wolności osób fizycznych. Obowiązek zgłoszenia do UODO powstaje właśnie wtedy, gdy takie ryzyko istnieje -- czyli w praktyce niemal zawsze, gdy w grę wchodzą dane o zdrowiu pacjentów (dane szczególnej kategorii z art. 9 RODO). Jedynym wyjątkiem jest sytuacja, w której naruszenie jest mało prawdopodobne, by skutkowało ryzykiem dla osób, których dane dotyczą -- co przy dokumentacji medycznej jest sytuacją rzadką.

Krok 3: Czy trzeba zawiadomić samych pacjentów

Trzecie pytanie dotyczy już nie UODO, tylko osób, których dane dotyczą. Obowiązek bezpośredniego zawiadomienia pacjentów powstaje wyłącznie wtedy, gdy ryzyko jest wysokie -- to wyższy próg niż "zwykłe" ryzyko uzasadniające zgłoszenie do UODO. Przykładem może być wyciek danych o stanie zdrowia w połączeniu z danymi umożliwiającymi identyfikację tożsamości, gdy jest realne prawdopodobieństwo, że dane trafią w niepowołane ręce (np. publikacja w internecie, sprzedaż bazy). Przy wysokim ryzyku administrator musi bez zbędnej zwłoki poinformować pacjentów w sposób jasny i prosty, co się stało i jakie mają podjąć kroki.

Krok oceny	Pytanie	Skutek jeśli TAK
1. Czy to naruszenie	Czy doszło do naruszenia poufności/integralności/dostępności danych	Przechodzisz do kroku 2
2. Zgłoszenie do UODO	Czy istnieje ryzyko dla praw lub wolności osób	Zgłoszenie do UODO w 72h
3. Zawiadomienie pacjentów	Czy ryzyko jest WYSOKIE	Bezpośrednie zawiadomienie pacjentów bez zbędnej zwłoki

Kiedy wystarczy tylko wpis do rejestru naruszeń

Nie każde naruszenie wymaga zgłoszenia do UODO. Jeśli po analizie ryzyka okaże się, że incydent jest drobny, szybko naprawiony i nie stwarza realnego zagrożenia dla praw pacjentów, wystarczy odnotować go w wewnętrznym rejestrze naruszeń -- bez informowania urzędu. Typowy przykład to sytuacja, w której pracownik przez pomyłkę otworzył kartę innego pacjenta w systemie EDM, natychmiast to zauważył, zamknął widok i nie skopiował ani nie zapisał żadnych danych. Ryzyko dla praw i wolności osoby, której dane dotyczą, jest w takim przypadku znikome -- ale sam fakt zdarzenia i tak musi zostać udokumentowany.

Jak liczyć 72 godziny -- najczęstszy błąd

To jeden z punktów, w których gabinety popełniają najwięcej błędów. Termin 72 godzin liczy się od momentu stwierdzenia naruszenia, a nie od chwili, w której faktycznie do niego doszło. Jeśli laptop zaginął w piątek wieczorem, ale gabinet dowiedział się o tym dopiero w poniedziałek rano (bo nikt nie sprawdzał sprzętu przez weekend), zegar zaczyna tykać w poniedziałek -- nie w piątek.

Druga pułapka: termin liczy się w godzinach, nie w dniach roboczych. Weekend, święto czy urlop właściciela gabinetu nie wstrzymują biegu terminu. Jeśli naruszenie zostanie stwierdzone w sobotę po południu, 72-godzinny termin upływa we wtorek po południu -- niezależnie od tego, że gabinet w niedzielę jest zamknięty. Dlatego warto z góry ustalić, kto w gabinecie odpowiada za monitorowanie takich sytuacji i kto ma dostęp do procedury zgłoszeniowej także poza typowymi godzinami pracy.

Co grozi za zatajenie naruszenia

Konsekwencje niezgłoszenia naruszenia, które podlegało obowiązkowi zgłoszenia, są dotkliwe na dwóch poziomach. Formalnie, na podstawie art. 83 ust. 4 RODO, administratorowi grozi kara administracyjna do 10 mln EUR lub do 2% jego całkowitego rocznego światowego obrotu -- w zależności od tego, która wartość jest wyższa. Dla małego gabinetu fizjoterapii kwota liczona od obrotu może wydawać się abstrakcyjna, ale sam fakt, że UODO w ogóle prowadzi postępowanie i nakłada karę administracyjną, wiąże się z realnymi kosztami i czasem.

Drugi poziom konsekwencji jest często bardziej dotkliwy w praktyce niż sama kara: utrata zaufania pacjentów. Gabinet fizjoterapii żyje z relacji i rekomendacji -- informacja, że placówka ukryła wyciek danych zdrowotnych, może skutecznie zniszczyć reputację budowaną latami. Do tego dochodzi ryzyko indywidualnych roszczeń odszkodowawczych ze strony pacjentów, których dane ucierpiały, a którzy dowiedzieli się o sprawie z opóźnieniem lub od osób trzecich, a nie od samego gabinetu.

Scenariusze z życia gabinetu -- zgłaszać czy nie

Poniższe przykłady pokazują, jak różnie może wyglądać ocena pozornie podobnych sytuacji.

Scenariusz 1: zgubiony telefon z dostępem do poczty. Telefon bez blokady ekranu, z zalogowaną skrzynką pocztową zawierającą maile z wynikami badań pacjentów, ginie w miejscu publicznym. Ryzyko nieuprawnionego dostępu do danych o zdrowiu jest realne -- to naruszenie wymagające zgłoszenia do UODO, a przy większej liczbie poszkodowanych pacjentów prawdopodobnie także bezpośredniego zawiadomienia ich samych.

Scenariusz 2: zaszyfrowany laptop z aktualnym backupem. Laptop z pełnym szyfrowaniem dysku i wymuszonym silnym hasłem zostaje skradziony z samochodu, ale dane pacjentów są równocześnie dostępne z aktualnej kopii zapasowej, a szyfrowanie praktycznie uniemożliwia odczyt danych przez osobę nieuprawnioną. To wciąż formalnie naruszenie (utrata kontroli nad nośnikiem danych), ale analiza ryzyka może wykazać, że prawdopodobieństwo naruszenia praw pacjentów jest niskie -- decyzję i jej uzasadnienie trzeba jednak udokumentować w rejestrze.

Scenariusz 3: e-mail z wynikiem badania wysłany do niewłaściwego pacjenta. Pracownik pomylił się przy wpisywaniu adresu i wynik badania trafił do osoby o podobnym nazwisku. To naruszenie poufności danych szczególnej kategorii dotyczące konkretnej, możliwej do zidentyfikowania osoby -- w praktyce niemal zawsze wymaga zgłoszenia do UODO, a często również poinformowania obu zainteresowanych pacjentów.

[SP] Przykład -- Solo-Praktyka: Pani Ewa, prowadząca jednoosobowy gabinet, zauważa rano, że jej telefon z dostępem do skrzynki mailowej zaginął poprzedniego wieczoru. Od razu blokuje kartę SIM i zmienia hasło do poczty, ale ma świadomość, że to nie kończy sprawy -- w ciągu 72 godzin od stwierdzenia zdarzenia musi ocenić ryzyko i, jeśli jest ono realne, zgłosić naruszenie do UODO, korzystając z gotowej procedury krok po kroku.

[GR] Przykład -- Gabinet Grupowy: W gabinecie zatrudniającym kilku fizjoterapeutów administrator systemu zauważa nietypową aktywność logowań do EDM w środku nocy. Zespół natychmiast odcina dostęp, resetuje hasła i uruchamia wewnętrzną procedurę reakcji na incydent, jednocześnie licząc czas od momentu wykrycia -- nie od domniemanego momentu włamania, którego dokładnie ustalić się nie da.

Po co prowadzić rejestr naruszeń, nawet gdy nic nie zgłaszasz

Wielu właścicieli gabinetów zakłada, że skoro dany incydent nie wymagał zgłoszenia do UODO, to nie trzeba go nigdzie odnotowywać. To błędne założenie. Art. 33 ust. 5 RODO wprost wymaga, żeby administrator dokumentował wszystkie naruszenia ochrony danych osobowych -- w tym te, które nie podlegały obowiązkowi zgłoszenia -- łącznie z okolicznościami naruszenia, jego skutkami oraz podjętymi działaniami zaradczymi.

Ten rejestr ma konkretny cel praktyczny: umożliwia UODO zweryfikowanie przestrzegania przepisów podczas ewentualnej kontroli. Gabinet, który potrafi pokazać kompletny, prowadzony na bieżąco rejestr -- nawet z wpisami "incydent bez ryzyka, brak zgłoszenia" -- buduje sobie pozycję podmiotu świadomie zarządzającego bezpieczeństwem danych. Gabinet bez takiego rejestru, nawet jeśli nigdy nie doszło u niego do poważnego wycieku, może zostać ukarany wyłącznie za brak dokumentacji.

Najczęściej zadawane pytania

Od kiedy liczy się 72 godziny na zgłoszenie naruszenia do UODO?

Termin liczy się od momentu, w którym administrator (właściciel gabinetu) stwierdził naruszenie, a nie od chwili, w której faktycznie do niego doszło. Liczy się go w pełnych godzinach, a nie w dniach roboczych, więc weekendy i dni wolne od pracy nie wstrzymują jego biegu. Jeśli zaginięcie sprzętu zostało wykryte kilka dni po fakcie, zegar zaczyna biec dopiero od momentu wykrycia.

Czy każde naruszenie danych trzeba zgłaszać do UODO?

Nie. Zgłoszenie jest obowiązkowe tylko wtedy, gdy istnieje ryzyko naruszenia praw lub wolności osób, których dane dotyczą. Jeśli analiza ryzyka wykaże, że incydent jest mało prawdopodobny, by wywołać takie ryzyko -- np. był drobny i szybko naprawiony, bez faktycznego dostępu osób trzecich -- wystarczy odnotować go w wewnętrznym rejestrze naruszeń, bez zawiadamiania urzędu.

Czy trzeba informować pacjentów o każdym zgłoszonym do UODO naruszeniu?

Nie zawsze. Obowiązek bezpośredniego zawiadomienia osób, których dane dotyczą, powstaje dopiero wtedy, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności -- to wyższy próg niż ten, który uzasadnia samo zgłoszenie do UODO. Część naruszeń zgłasza się więc do urzędu, nie informując przy tym bezpośrednio pacjentów, jeśli ryzyko nie osiąga poziomu wysokiego.

Czy grozi kara, jeśli naruszenie zostało zgłoszone po terminie?

Tak, przekroczenie terminu 72 godzin samo w sobie może zostać uznane za naruszenie obowiązków wynikających z RODO i skutkować karą administracyjną na podstawie art. 83 ust. 4 RODO, niezależnie od tego, jak poważne było samo naruszenie danych. Dlatego kluczowe jest posiadanie gotowej procedury, która pozwala działać szybko od pierwszej godziny, a nie dopiero po ustaleniu wszystkich szczegółów sprawy.

CTA: Nie chcesz liczyć godzin pod presją, zastanawiając się, co dokładnie napisać w zgłoszeniu do UODO? Pakiet PREMIUM zawiera gotową procedurę naruszenia ochrony danych -- krok po kroku, wraz z szablonem rejestru naruszeń do bieżącego dokumentowania incydentów, nawet tych niewymagających zgłoszenia. Zobacz pakiety FizjoReady

Powiązane artykuły:
- RODO w gabinecie fizjoterapii -- kompletny przewodnik
- Klauzula informacyjna RODO w gabinecie fizjoterapii
- Strona internetowa gabinetu a RODO