Cyber Piątka: nowe zasady po wycieku danych z MyDr

Ministerstwo Cyfryzacji przedstawiło w Sejmie projekt o nazwie 'Cyber Piątka’, składający się z pięciu propozycji zmian prawnych. Projekt powstał po wycieku z platformy MyDr, który — według dostępnych informacji — mógł dotyczyć ponad 19 milionów osób.

Propozycja zakłada obowiązkową certyfikację wszystkich podmiotów, które przetwarzają dane medyczne. Tylko firmy i instytucje spełniające określone standardy bezpieczeństwa miałyby mieć dostęp do tych danych. Projekt przewiduje także wprowadzenie minimalnych wymagań technicznych dla systemów przetwarzania danych oraz obowiązek jawnego informowania, kto będzie nimi dysponował.

W zakresie reagowania na wycieki projekt nakłada obowiązek automatycznego przesyłania informacji o incydencie na rządowy portal BezpieczneDane. Podmioty przetwarzające przewidziano do przekazywania do CSIRT NASK danych osób, których informacje zostały ujawnione, w tym imienia, nazwiska i numeru PESEL, by umożliwić sprawdzenie i powiadomienie poszkodowanych.

Ministerstwo zaproponowało też wykorzystanie aplikacji mObywatel i Internetowego Konta Pacjenta (IKP) do wysyłania powiadomień o zdarzeniach medycznych. W aplikacjach pojawiałyby się informacje o umówionych wizytach, wystawionych receptach i innych świadczeniach medycznych, co ma ułatwić wykrycie nieautoryzowanego użycia danych.

Projekt został przedstawiony na konferencji prasowej i jest na etapie przygotowań legislacyjnych. Resort poinformował, że wprowadzenie zmian może zająć od kilku tygodni do kilku miesięcy.

W jednym z wpisów na platformie społecznościowej pojawił się komentarz: 'Musi się stać tragedia, by ktoś pomyślał. Tym razem potrzebny był wyciek danych 19 milionów Polaków’.

Tłem dla projektu jest wyciek danych z platformy MyDr, który — zgodnie z przekazanymi informacjami — objął dane dotyczące ponad 19 milionów osób. Proponowane rozwiązania dotyczą certyfikacji podmiotów, minimalnych wymagań systemowych, jawności podmiotów przetwarzających, automatycznego zgłaszania naruszeń do państwowych rejestrów oraz powiadomień w aplikacjach obywatelskich.