Cyberatak na dostawcę IT a RODO. Kto odpowiada za bezpieczeństwo powierzonych danych?

Informacje o cyberataku na systemy firmy MyDr i możliwym wycieku danych dotyczącym milionów Polaków pokazują skalę ryzyka związanego z cyfryzacją ochrony zdrowia. Według informacji przekazanych 12 sierpnia przez ministra cyfryzacji sprawa dotyczy bardzo dużego zbioru danych, a jej dokładny zakres i okoliczności są obecnie badane przez właściwe służby.

Na tym etapie zdecydowanie za wcześnie jest na formułowanie ocen dotyczących przyczyn zdarzenia czy odpowiedzialności poszczególnych podmiotów. Warto natomiast wykorzystać ten przypadek do postawienia pytania znacznie szerszego, dotyczącego nie tylko sektora medycznego.

Czy powierzenie danych profesjonalnemu dostawcy IT, operatorowi systemu SaaS albo dostawcy usług chmurowych oznacza, że przedsiębiorca przenosi na niego również odpowiedzialność za ich bezpieczeństwo? Odpowiedź nie jest tak prosta, jak czasami się zakłada.

Współczesna gospodarka nie może funkcjonować bez outsourcingu technologicznego. Firmy korzystają z zewnętrznych systemów księgowych, kadrowych, CRM, platform sprzedażowych, chmury czy wyspecjalizowanych systemów branżowych. W ochronie zdrowia zewnętrzne rozwiązania obsługują dodatkowo dokumentację medyczną, rejestrację pacjentów, recepty czy komunikację z placówkami. Samo korzystanie z takich rozwiązań jest czymś zupełnie naturalnym. Nie zwalnia jednak organizacji z własnych obowiązków.

RODO w art. 28 ustanawia w tym zakresie zasadę mającą fundamentalne znaczenie: administrator może korzystać wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. To oznacza coś więcej niż podpisanie umowy powierzenia przetwarzania danych.

Administrator powinien dokonać odpowiedniego wyboru dostawcy i posiadać podstawy do przyjęcia, że zapewnia on poziom ochrony adekwatny do charakteru przetwarzanych informacji i występującego ryzyka. Im bardziej wrażliwe dane i większa skala ich przetwarzania, tym większe znaczenie ma rzeczywista, a nie wyłącznie formalna ocena bezpieczeństwa.

W przypadku danych medycznych poprzeczka znajduje się szczególnie wysoko. Informacje o zdrowiu należą do szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO. Ich ujawnienie może prowadzić do konsekwencji dalece wykraczających poza typowy incydent dotyczący adresu e-mail czy numeru telefonu. Dlatego samo stwierdzenie, że dane znajdowały się w systemie zewnętrznego dostawcy, nie zamyka analizy prawnej.

Art. 32 RODO nakłada obowiązki dotyczące bezpieczeństwa zarówno na administratora, jak i na podmiot przetwarzający. Wymagany poziom zabezpieczeń powinien odpowiadać ryzyku, przy uwzględnieniu m.in. charakteru, zakresu i kontekstu przetwarzania. Rozporządzenie wskazuje w tym kontekście m.in. na poufność, integralność, dostępność i odporność systemów oraz potrzebę regularnego testowania i oceniania skuteczności zastosowanych zabezpieczeń.

Nie oznacza to oczywiście, że każdy skuteczny cyberatak automatycznie świadczy o naruszeniu RODO. Nie istnieje system informatyczny całkowicie odporny na wszystkie zagrożenia. Odpowiedzialności nie można wyprowadzać wyłącznie z faktu, że doszło do incydentu. Kluczowe będzie coś innego: czy przed jego wystąpieniem podjęto środki odpowiednie do istniejącego ryzyka i czy można to wykazać.

Kto i w jakim terminie powinien poinformować o naruszeniu? Jakie informacje musi przekazać dostawca? Czy administrator zna podprocesorów uczestniczących w przetwarzaniu? Czy ma prawo uzyskać informacje potrzebne do oceny zdarzenia? Czy może przeprowadzić audyt? Kto zabezpiecza materiał dotyczący incydentu? Kto współpracuje z organami? Kto odpowiada za przygotowanie informacji dla osób, których dane dotyczą?

Czas ma przy tym znaczenie zasadnicze. Zgodnie z art. 33 RODO administrator, gdy spełnione są przesłanki zgłoszenia naruszenia, powinien dokonać go bez zbędnej zwłoki, a w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Administrator może więc mieć obowiązek podjęcia bardzo szybkich decyzji, choć zasadnicza wiedza o zdarzeniu znajduje się po stronie zewnętrznego dostawcy.

Dlatego dobrze skonstruowana relacja z dostawcą IT powinna być przygotowana na kryzys jeszcze przed jego wystąpieniem. Nie wystarczy ogólny zapis zobowiązujący kontrahenta do przestrzegania RODO. Umowa powinna odpowiadać rzeczywistemu modelowi współpracy i ryzyku. Szczególnego znaczenia nabierają obowiązki informacyjne dotyczące incydentów, zasady korzystania z podwykonawców, dostęp do informacji i dokumentacji, współpraca przy analizie naruszenia, zabezpieczaniu dowodów i wykonywaniu obowiązków wobec organów oraz osób, których dane dotyczą.

Istotne są także postanowienia dotyczące odpowiedzialności. W praktyce umowy technologiczne bardzo często przewidują limity odpowiedzialności dostawcy powiązane z kilkumiesięcznym lub rocznym wynagrodzeniem. Przy typowej awarii systemu takie rozwiązanie może być biznesowo uzasadnione. Zupełnie inaczej wygląda jednak jego znaczenie, jeżeli potencjalne zdarzenie dotyczy setek tysięcy albo milionów rekordów zawierających dane szczególnej kategorii.

Warto więc sprawdzić, czy kontraktowy podział ryzyka rzeczywiście odpowiada skali potencjalnych konsekwencji. Nie oznacza to przy tym, że cała odpowiedzialność zawsze spoczywa na administratorze. RODO nakłada własne obowiązki również bezpośrednio na procesora, a naruszenie ich może prowadzić do jego odpowiedzialności. W konkretnym przypadku konieczne jest więc ustalenie ról poszczególnych podmiotów, źródła naruszenia, zakresu ich obowiązków oraz tego, kto i w jakim stopniu przyczynił się do powstania szkody.

Dlatego po dużym cyberincydencie pytanie „kto został zaatakowany?” jest prawnie dopiero początkiem analizy. Znacznie ważniejsze może okazać się ustalenie, kto decydował o sposobie przetwarzania danych, kto faktycznie je przetwarzał, jakie obowiązki spoczywały na poszczególnych uczestnikach procesu, jakie zabezpieczenia zastosowano i czy relacja pomiędzy nimi została właściwie przygotowana na sytuację kryzysową.

Można powierzyć zewnętrznemu podmiotowi przechowywanie danych, obsługę systemu czy zapewnienie infrastruktury. Nie można natomiast zakładać, że wraz z podpisaniem umowy wszystkie obowiązki dotyczące bezpieczeństwa automatycznie przechodzą na dostawcę. Dlatego właściwy moment na analizę umowy z dostawcą IT nie zaczyna się wtedy, gdy dochodzi do wycieku. Wtedy jest już czas na zarządzanie kryzysem.

Jarosław Chałas

Partner Zarządzający Radca Prawny

Kancelaria Prawna Chałas i Wspólnicy