Co robi prawnik zajmujący się cyberatakami na placówki medyczne?

Placówki medyczne przetwarzają szczególnie wrażliwe dane: informacje o zdrowiu pacjentów. To czyni je atrakcyjnym celem cyberataków, a jednocześnie nakłada na nie surowe obowiązki prawne. Prawnik specjalizujący się w cyberbezpieczeństwie pomaga przejść przez obowiązki zgłoszeniowe, ocenić odpowiedzialność i ograniczyć ryzyko sankcji oraz roszczeń pacjentów.

Jakie przepisy obowiązują placówkę medyczną po cyberataku

Najważniejsze ramy to RODO (rozporządzenie 2016/679) oraz ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Dane o zdrowiu to dane szczególnej kategorii (art. 9 RODO), objęte podwyższoną ochroną. Jeśli dochodzi do naruszenia ochrony danych osobowych, administrator co do zasady ma obowiązek zgłosić je Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO), a w razie wysokiego ryzyka również zawiadomić osoby, których dane dotyczą (art. 34 RODO). Niezależnie od tego incydenty cyberbezpieczeństwa zgłasza się właściwemu zespołowi CSIRT (np. CSIRT NASK), zgodnie z terminami ustawy o KSC.

Ocena odpowiedzialności i ryzyka kar

Prawnik przeprowadza ocenę, czy placówka dochowała wymaganych środków technicznych i organizacyjnych (art. 32 RODO). Za naruszenie przepisów RODO grożą administracyjne kary pieniężne sięgające 20 mln euro lub 4 proc. rocznego światowego obrotu. Warto jednak doprecyzować częsty błąd: polska ustawa o ochronie danych osobowych ogranicza kary dla podmiotów sektora publicznego do 100 000 zł (art. 102), a nie 1 mln zł. Obok kar administracyjnych pacjenci mogą dochodzić odszkodowania na podstawie art. 82 RODO, a w grę wchodzi też odpowiedzialność cywilna z Kodeksu cywilnego.

Współpraca z ekspertami IT i obowiązki zgłoszeniowe

Prawnik koordynuje działania z zespołem bezpieczeństwa IT i biegłymi z zakresu informatyki śledczej, aby ustalić wektor ataku (np. phishing, ransomware, słabe hasła), zakres naruszenia i jego skutki. Ta analiza jest podstawą prawidłowego zgłoszenia do UODO i CSIRT oraz ewentualnego zawiadomienia organów ścigania o podejrzeniu przestępstwa (np. z art. 267 KK, nieuprawniony dostęp do informacji, lub art. 268a KK, niszczenie danych). Dokumentacja incydentu chroni placówkę w razie kontroli i sporu.

Działania naprawcze i zapobieganie kolejnym incydentom

Po opanowaniu sytuacji prawnik doradza przy odzyskiwaniu strat (np. roszczenia z polis cyberubezpieczenia, analiza umów z dostawcami IT pod kątem odpowiedzialności) oraz przy wdrożeniu rozwiązań ograniczających ryzyko: szyfrowania, polityk dostępu, szkoleń personelu, planów reagowania na incydenty i regularnych audytów bezpieczeństwa. Cel to nie tylko zgodność z prawem, ale realne zmniejszenie prawdopodobieństwa kolejnego ataku.