Wyciek danych 19 mln Polaków. Co z odszkodowaniami? Prezes UODO tłumaczy

Justyna Kaczmarczyk, Interia: Doszło do wycieku danych blisko 19 milionów osób. To największy taki incydent w Polsce?

Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych: – Jeśli brać pod uwagę samą skalę, to nominalnie jest to drugi tak duży przypadek.

Drugi?

– Największy dotyczył tzw. wyborów kopertowych, kiedy to ówczesny minister cyfryzacji, nie mając ku temu podstawy prawnej, co potwierdził Naczelny Sąd Administracyjny, przekazał Poczcie Polskiej dane wszystkich dorosłych obywateli.

– Obecna sytuacja jest jednak zgoła odmienna, bo mamy do czynienia z bezpośrednią działalnością przestępczą. Dotyczy ona milionów osób i, co kluczowe, obejmuje dane szczególnych kategorii, czyli informacje o stanie zdrowia. Można zatem uznać, że pod względem wrażliwości danych jest to największy znany nam dotychczas incydent.

Dlaczego dane medyczne są traktowane w tak szczególny sposób?

– Ponieważ dotyczą one najbardziej intymnych sfer naszego życia i naszej autonomii informacyjnej. Każdy z nas ma prawo zachować informacje o swoim zdrowiu dla siebie, co jest również chronione tajemnicą lekarską. Niektóre schorzenia są wciąż stygmatyzowane społecznie, a wyciek takich informacji, szczególnie w przypadku osób publicznych, może stać się narzędziem szantażu. Ponadto dane te mają ogromną wartość ekonomiczną dla firm ubezpieczeniowych czy marketingowych, które chciałyby nas profilować i oferować określone produkty na podstawie naszego stanu zdrowia.

Według wicepremiera, ministra cyfryzacji Krzysztofa Gawkowskiego z usług MyDr, czyli firmy dotkniętej atakiem, korzystało 12 tys. placówek. Zgodnie z przepisami to one, jako administratorzy danych, powinny zgłosić się teraz do UODO. Urząd zalewa już fala zgłoszeń?

– Obecnie mamy blisko tysiąc takich zgłoszeń. Dla porządku – musimy tu rozróżnić dwa podmioty: firmę, która padła ofiarą ataku hakerskiego, czyli MyDr, która jest podmiotem przetwarzającym dane na zlecenie, oraz administratorów danych, czyli placówki medyczne – od małych gabinetów po duże sieci.

– To podmiot przetwarzający powinien precyzyjnie poinformować administratorów, których pacjentów i jakich kategorii danych dotyczy wyciek. Dopiero od momentu uzyskania tej wiedzy administrator ma 72 godziny na zgłoszenie naruszenia ochrony danych osobowych do organu nadzorczego.

Jeśli podmiot zarabia duże pieniądze na przetwarzaniu danych milionów pacjentów, musi ponosić konsekwencje za brak ich należytej ochrony

– Administratorzy nie powinni jednak pozostawać bezczynni. Gdy nie otrzymują wiadomości od podmiotu przetwarzającego powinni od niego zażądać informacji czy dane, które mu powierzyli, zostały dotknięte naruszeniem. Ponieważ postępowanie w samej firmie informatycznej wciąż trwa, spodziewamy się, że zgłoszenia będą wpływać sukcesywnie. RODO nie przewiduje przy tym mechanizmu zgłoszenia zbiorowego. Obowiązek ten spoczywa na poszczególnych administratorach, jednak skoro wiemy, że źródło problemu ma swój początek w podmiocie przetwarzającym, dlatego tam odbędzie się kontrola UODO.

Co dokładnie zamierzają państwo sprawdzić podczas kontroli firmy MyDr?

– Przede wszystkim wdrożone środki techniczne i organizacyjne. Chcemy sprawdzić, czy przeprowadzono rzetelną analizę ryzyka i czy zastosowano odpowiednie zabezpieczenia, które mogłyby zapobiec takiemu wyciekowi lub atakowi hakerskiemu. Zbadamy i dokumentację, jak i aspekty techniczne.

Podmioty medyczne wiedzą, że z panem nie ma miękkiej gry. Przypomnę nałożone przez pana 1,5 mln złotych kary dla spółki medycznej po ataku hakerskim czy ponad 1,1 mln zł kary dla szpitala położniczo-ginekologicznego za monitoring wizyjny i ochronę nagrań niezgodne z przepisami.

– Kary muszą być proporcjonalne, ale i odstraszające. Jeśli podmiot zarabia duże pieniądze na przetwarzaniu danych milionów pacjentów, musi ponosić konsekwencje za brak ich należytej ochrony. Kara dla wspomnianego przez panią szpitala mogła znacznie wyższa. Dbam jednak, żeby kary – choć odczuwalne – nie były zbyt dużym obciążeniem i zawsze były odpowiednie do rangi popełnionego naruszenia.

Czy te 12 tysięcy placówek, które korzystały z usług zaatakowanej firmy, może spodziewać się teraz sankcji finansowych?

– Oczywiście odpowiedzialność administratorów nie jest wykluczona, ale tutaj wiemy, jaka jest sytuacja, dlatego chcemy skontrolować przede wszystkim podmiot przetwarzający. Administratorzy mają swoje obowiązki, w tym obowiązek weryfikacji swoich kontrahentów, mogą ich też kontrolować, obowiązki leżą po obu stronach. I to będziemy sprawdzać. Naszym priorytetem jest jednak obecnie kontrola firmy świadczącej profesjonalne usługi informatyczne, czyli podmiotu przetwarzającego dane na zlecenie administratorów.

Oczywiście odpowiedzialność administratorów nie jest wykluczona, ale tutaj wiemy, jaka jest sytuacja. Dlatego chcemy skontrolować przede wszystkim podmiot przetwarzający.

Ile może potrwać całe to postępowanie?

– Miesiące. Takie postępowanie wymaga drobiazgowego zbadania całej sytuacji, zachowania zasad postępowania administracyjnego oraz zapewnienia podmiotom prawa do wypowiedzenia się. To nie są tylko czynności kontrolne u przedsiębiorcy, ale szereg innych działań. Często sporo czasu zajmuje oczekiwanie na niezbędne wyjaśnienia ze strony kontrolowanego podmiotu.

Trybunał Sprawiedliwości Unii Europejskiej uznał, że sama obawa przed wykorzystaniem danych może stanowić szkodę niemajątkową. Czy spodziewa się pan fali pozwów ze strony poszkodowanych obywateli?

– Każda osoba, której dane naruszono, ma prawo dochodzić odszkodowania za straty materialne i niematerialne, o których pani mówi, na podstawie art. 82 RODO. Są to indywidualne decyzje pokrzywdzonych i postępowania toczone przed sądami cywilnymi. W Polsce z tego uprawnienia korzysta się stosunkowo rzadko, szczególnie w porównaniu do innych państw Unii Europejskiej. Trudno mi powiedzieć, jak będzie w tej sprawie.

Polskie przypadki wykradania danych nie są odosobnione. W tym tygodniu francuskie ministerstwo finansów potwierdziło wyciek danych tamtejszej skarbówki 700 tys. obywateli. Jak dziś ocenia pan skalę zagrożeń?

– Przestępczość w dużej mierze przeniosła się do sfery cyfrowej, bo tam są pieniądze i cenne dane. Cyfryzujemy usługi medyczne, handel i w zasadzie całe nasze życie. To czyni nas celem ataków. To zjawisko ogólnoświatowe.

To co? Lepiej nie cyfryzować?

– Trzeba nadążać za zmianami, ale w odpowiedni sposób. Nie chodzi o to, żeby z tych wszystkich udogodnień, jakie daje cyfryzacja, nie korzystać. Musimy po prostu wprowadzać adekwatne rozwiązania, żeby minimalizować ryzyko utraty kontroli nad naszymi danymi. Musimy zbroić się w sieci tak samo, jak zbroimy się militarnie czy zabezpieczamy domy i samochody. Bezpieczeństwo kosztuje, a my musimy dbać także o podstawową higienę cyfrową: czyli np. regularną zmianę haseł, uwierzytelnianie dwuskładnikowe oraz zasadę ograniczonego zaufania do otrzymywanych linków.

Kiedy wylicza pan te punkty, przypomina mi się scena z urzędu w jednej z dużych gmin w województwie śląskim. W poniedziałek był tam wielki tłum ludzi, głównie seniorów, którzy przyszli zastrzec numer PESEL. O to po wycieku apelowali i rządzący, i pan, i specjaliści od cyberbezpieczeństwa. Te osoby przyszły osobiście, bo pozostałe metody, czyli aplikacja i strona rządowa, były poza ich zasięgiem. Dzisiaj także ludzie, którzy sami nie używają narzędzi cyfrowych, są narażeni w związku z cyberatakami. Czy widzi pan grupy szczególnie wrażliwe?

– Narażeni jesteśmy wszyscy. Często gubi nas nie brak wiedzy albo pośpiech. Ataki phishingowe opierają się na socjotechnice i presji czasu. Jak łatwo się nabrać, pokazał wiceminister sprawiedliwości Arkadiusz Myrcha, który opisał, jak sam padł ofiarą cyberoszustów. Nawet osoby posiadające wiedzę mogą zadziałać odruchowo i wpaść w pułapkę hakerów.

Dzisiaj służby regularnie ostrzegają przed cyberatakami, a analitycy wskazują, że Rosja prowadzi z nami wojnę poznawczą. Jakie znaczenie ma ochrona danych osobowych w tym kontekście?

– Ogromne. Ochrona danych osobowych to dziś kwestia odporności państwa. Obce państwa dążą do uzyskania informacji o nas, żeby zdobywać przewagę, prowadzić dezinformację i nas osłabiać. Skuteczność tej ochrony jest miarą naszego wspólnego bezpieczeństwa.

Są też dane, które udostępniamy sami, nieświadomi zagrożenia. Jakie?

– Bardzo liczne. Pobierając „darmowe” aplikacje, często lekkomyślnie wyrażamy zgody na przetwarzanie danych. Pamięta pani modną swego czasu zabawę w sprawdzenie, jak będziemy wyglądać za 20 czy 30 lat?

Pamiętam. Aplikacja postarzała wgrane przez użytkownika zdjęcie jego twarzy.

– Brzmi jak sympatyczna zabawa, tylko nasze dane popłynęły, jak wskazał CERT Polska, poza obszar Unii Europejskiej. Utraciliśmy nad nimi kontrolę dla chwili rozrywki. Nie było żadnego włamania, oddaliśmy sami. Tego typu niewinne zabawy powinny budzić naszą czujność. Ogólnie rozważajmy, czy to, co robimy i po co to robimy, jest warte udostępniania naszych danych.

A sztuczna inteligencja? Z danych Urzędu wynika, że ponad 95 proc. organizacji nie uważa się za przygotowane do wdrażania AI zgodnie z RODO. Czy w polskich firmach używa się jej już niezgodnie z przepisami?

– Myślę, że ta nasza ankieta, której wyniki pani przytacza, dobrze pokazuje stan świadomości wśród administratorów danych. Jednocześnie są inne badania, które pokazują, że polscy przedsiębiorcy w porównaniu z tymi z krajów z Europy Zachodniej, wykazują pewną ostrożność i powściągliwość w korzystaniu z systemów AI. Jednak narzędzia AI są i u nas wprowadzane, choćby ze względu na konieczność zachowania konkurencyjności. Problemem jest zjawisko tzw. shadow AI.

Co to znaczy?

– Chodzi o korzystanie przez pracowników z modeli językowych poza wiedzą pracodawcy. Na przykład wrzucanie dokumentów z danymi osobowymi do LLM-ów, czyli dużych modeli językowych. To niedopuszczalne, bo te dane trafiają w niepowołane ręce. Dlatego też opublikowaliśmy opublikowaliśmy poradnik, który ma pomóc sektorowi publicznemu i prywatnemu we właściwym i zgodnym z prawem wdrażaniu systemów AI. Można z tych narzędzi korzystać bezpiecznie, o ile zachowane zostaną zasady ochrony danych.
Rozmawiała Justyna Kaczmarczyk
[email protected]