Systemy przychodni stanęły. Zarząd pytał: czy to zgłaszać do UODO — i co dalej?
Krytyczne systemy IT przychodni lekarskiej uległy awarii. Zakres DOIT objął ocenę zdarzenia, dokumentację dla zarządu oraz zgłoszenie i obsługę sprawy przed UODO.
Wyzwanie:Krytyczne systemy przychodni stanęły, a decyzja, czy to naruszenie ochrony danych i co zgłosić do UODO, musiała zapaść bez zwłoki — w rytmie 72 godzin z art. 33 RODO.
Czy to również Twoja sytuacja?
Placówka medyczna jest całkowicie zależna od systemów IT: rejestracji, dokumentacji medycznej, rozliczeń. Gdy systemy przestają działać, pierwsze godziny należą do informatyków. Pytanie o dane pacjentów pojawia się później — i wtedy okazuje się, że nikt nie potrafi na nie odpowiedzieć: czy doszło do naruszenia ochrony danych, czy wymaga ono zgłoszenia, kto ma to ocenić i na jakiej podstawie. Zarząd musi podjąć decyzję w rytmie art. 33 RODO, dysponując informacjami, które zmieniają się z godziny na godzinę. Bez przygotowanej oceny ryzyka i dokumentacji każda decyzja — zgłosić albo nie — jest obarczona ryzykiem, którego nie da się później wyjaśnić urzędowi.
Z czym przyszedł klient
Krytyczne systemy IT przychodni lekarskiej uległy awarii. W placówce medycznej to nie jest awaria „komputerów” — to dane pacjentów, czyli dane szczególnej kategorii, i pytanie, czy właśnie doszło do naruszenia ochrony danych.
Zarząd potrzebował nie opinii „na oko”, tylko podstawy do decyzji: zgłaszamy czy nie, co dokładnie, w jakim terminie i co powiemy, gdy urząd zapyta. A czas z art. 33 RODO liczy się od stwierdzenia naruszenia — nie od momentu, w którym ktoś poczuje się gotowy.
Co zrobiliśmy
- Ocena ryzyka i dokumentacja zdarzenia.Co się stało, jakie dane, jakie konsekwencje dla pacjentów — spisane tak, żeby obroniło się przed urzędem.
- Raport dla zarządu i opinie.Jedna strona z odpowiedzią na pytanie „co robimy”, a nie pięćdziesiąt stron, których nikt nie przeczyta.
- Zgłoszenie i obsługa sprawy przed UODO.Przygotowaliśmy zgłoszenie i prowadzimy kontakt z urzędem — zarząd nie stoi przed nim sam.
Co klient ma dziś
- Kompletną dokumentację zdarzenia, która pokazuje należytą staranność.
- Decyzje podjęte na piśmie, z uzasadnieniem, a nie w panice.
- Sprawę przed UODO prowadzoną przez ludzi, którzy robią to zawodowo.
Jeśli to brzmi znajomo
Prowadzisz przychodnię, klinikę albo laboratorium i wiesz, że Twoje systemy też mogą stanąć? Pierwsze pytanie nie brzmi „jak to naprawić”, tylko „co z danymi pacjentów i co mówimy urzędowi”. Na to pytanie odpowiadamy w dniu zdarzenia.