Krótka odpowiedź
Twórca aplikacji ma obowiązek powiadomić użytkownika, gdy wyciek danych medycznych powoduje wysokie ryzyko naruszenia praw lub wolności osoby; zgłoszenie do organu nadzorczego następuje w ciągu 72 godzin od stwierdzenia naruszenia. Ze względu na specyfikę danych o zdrowiu próg „wysokiego ryzyka” osiągany jest znacznie częściej niż przy zwykłych danych osobowych.
Podstawa prawna i istotne pojęcia
Art. 34 RODO nakłada obowiązek informowania osób, których dane dotyczą, gdy naruszenie ochrony danych osobowych powoduje wysokie ryzyko naruszenia praw lub wolności osoby fizycznej. Dane o zdrowiu należą do szczególnych kategorii danych i z założenia generują wyższy poziom ryzyka. W praktyce oznacza to, że większość incydentów obejmujących diagnozy, wyniki badań, dane o terapiach lub stanie zdrowia psychicznego wymaga szczególnie wnikliwej oceny.
W ocenie ryzyka kluczowe są trzy filary: identyfikowalność osoby, charakter ujawnionych informacji oraz możliwe skutki prawne, reputacyjne lub finansowe. Administrator (twórca aplikacji) ponosi obowiązek nie tylko technicznego zabezpieczenia systemu, lecz także rzetelnej dokumentacji decyzji związanych z powiadamianiem lub rezygnacją z powiadamiania.
Jak ocenić, czy ryzyko jest wysokie?
Ocena ryzyka powinna być szybka, dokumentowana i oparta na konkretnych kryteriach. Trzeba uwzględnić prawdopodobieństwo wykorzystania ujawnionych danych oraz skalę i charakter potencjalnej szkody. Przy danych medycznych organ nadzorczy i praktyka prawnicza skłaniają się do traktowania ryzyka jako „wysokie” w większości przypadków, chyba że administrator może obiektywnie wykazać przeciwnie.
- możliwość identyfikacji osoby (np. pełne imię i nazwisko, PESEL, e‑mail),
- rodzaj danych medycznych (np. diagnoza, wyniki badań, informacje o terapiach),
- możliwe szkody: dyskryminacja, szkody reputacyjne, finansowe lub naruszenie prywatności,
- skala incydentu: pojedynczy rekord kontra pełna baza danych.
Kiedy twórca aplikacji ma obowiązek powiadomić użytkownika — konkretne przypadki
Obowiązek powiadomienia pojawia się zawsze wtedy, gdy naruszenie może prowadzić do wysokiego ryzyka naruszenia praw lub wolności osób. Poniższe przykłady pomagają zrozumieć praktyczne scenariusze, w których powiadomienie użytkowników jest zwykle konieczne.
- nieuprawniony dostęp wynikający z ataku hakerskiego, skutkujący odczytem historii chorób lub wyników badań,
- błąd aplikacji powodujący wyświetlenie danych innego pacjenta (np. zamiana kartotek),
- kradzież nośnika z niezaszyfrowanymi eksportami danych (laptop, pendrive, backup na zewnętrznym dysku),
- publiczne ujawnienie fragmentów bazy medycznej (indeksowanie przez wyszukiwarki, publiczny link),
- wycieki wynikające z działania podwykonawcy (hosting, cloud, zewnętrzny serwis analityczny), gdy dostęp do danych nie jest odpowiednio zabezpieczony.
W tych sytuacjach należy pamiętać o obowiązku zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin od momentu stwierdzenia incydentu. Równolegle trzeba przeprowadzić szybką ocenę, czy ryzyko dla osób jest wysokie i czy wymagane jest powiadomienie indywidualne „bez zbędnej zwłoki”.
Wyjątki od obowiązku powiadomienia
Art. 34 RODO przewiduje wyjątki pozwalające zrezygnować z indywidualnego powiadomienia, ale ich zastosowanie wymaga rzetelnej dokumentacji. Najważniejsze okoliczności, w których administrator może nie powiadamiać użytkowników, to:
zaszyfrowane dane bez dostępu do kluczy szyfrujących — gdy atakowany materiał jest praktycznie nieczytelny bez klucza, ryzyko dla osób może być niskie; dane zanonimizowane w sposób uniemożliwiający identyfikację osoby — wówczas nie są to już „dane osobowe” w rozumieniu RODO; podjęcie natychmiastowych i skutecznych działań zmniejszających ryzyko do niskiego poziomu (np. zdalne wymazanie, unieważnienie haseł, zamknięcie luki technicznej); oraz sytuacje, gdy indywidualne powiadomienie wymagałoby niewspółmiernego wysiłku — wtedy dopuszczalne jest publiczne ogłoszenie (np. komunikat w aplikacji lub na stronie internetowej). Administrator musi umieć przedstawić dokumentację potwierdzającą przyjęcie takiej decyzji.
Co musi zawierać komunikat do użytkownika
Komunikat do osoby poszkodowanej powinien być jasny, konkretny i kompletny — bez technicznego żargonu. Forma może być elektroniczna (e‑mail, powiadomienie w aplikacji), SMS lub list, w zależności od charakteru i zasięgu incydentu oraz dostępnych danych kontaktowych.
- opis naruszenia: co się stało i kiedy doszło do incydentu,
- zakres danych: dokładne kategorie danych medycznych, które mogły zostać ujawnione (np. wyniki badań, diagnozy, leki),
- możliwe konsekwencje dla osoby: np. ryzyko ujawnienia stanu zdrowia pracodawcy lub bliskim,
- środki już podjęte: kroki techniczne lub organizacyjne podjęte natychmiast po wykryciu incydentu,
- zalecane działania dla użytkownika: zmiana haseł, monitorowanie komunikacji, ostrożność wobec phishingu, ewentualne zastrzeżenie dokumentów tożsamości,
- dane kontaktowe: inspektora ochrony danych lub osoby odpowiedzialnej za kontakt z poszkodowanymi.
Dobry komunikat zawiera także orientacyjny harmonogram dalszych działań i informację, gdzie szukać aktualizacji (strona, kanały komunikacji aplikacji). Przygotowanie wzoru takiego komunikatu wcześniej znacznie skraca czas reakcji i minimalizuje ryzyko komunikacyjnych błędów.
Terminy i kluczowe liczby
72 godziny to kluczowy termin — maksymalny czas na zgłoszenie naruszenia do organu nadzorczego (Prezesa UODO) od momentu jego stwierdzenia. W przypadku powiadomień osób fizycznych RODO używa sformułowania „bez zbędnej zwłoki”, co oznacza konieczność szybkiej, proporcjonalnej reakcji — zwykle w dniach, a nie tygodniach.
Skala zjawiska: w pierwszych latach obowiązywania RODO w Polsce rejestrowano rocznie kilka tysięcy zgłoszeń naruszeń ochrony danych osobowych, a sektor zdrowia należał do najbardziej dotkniętych. Europejskie organy nadzorcze wielokrotnie wskazywały, że liczba incydentów w sektorze zdrowia rośnie, a aplikacje medyczne i telemedyczne zwiększają powierzchnię ataku. To praktyczny argument, aby projektować systemy z myślą o minimalizacji ryzyka i szybkim reagowaniu.
Praktyczne środki zapobiegawcze dla twórców aplikacji
Celem działań zapobiegawczych jest zmniejszenie prawdopodobieństwa wycieku i obniżenie ryzyka skutków incydentu, tak aby w razie problemu administrator mógł wykazać, że ryzyko nie osiągnęło poziomu wysokiego.
- szyfrowanie danych w spoczynku i w tranzycie: TLS/HTTPS dla ruchu; AES‑256 lub równoważne dla baz i backupów,
- minimalizacja zbieranych danych: przechowywanie tylko niezbędnych danych medycznych,
- pseudonimizacja: separacja identyfikatorów osobowych od danych medycznych przy użyciu losowych identyfikatorów,
- dwuskładnikowe uwierzytelnianie (2FA) dla kont administracyjnych i personelu medycznego.
Dodatkowo warto wdrożyć regularne testy penetracyjne, politykę aktualizacji komponentów, procedurę incydentową z przypisanymi rolami i gotowymi szablonami komunikatów oraz szkolenia personelu. Z perspektywy kosztów: inwestycja w bezpieczeństwo jest zwykle wielokrotnie niższa niż koszty powiadamiania tysięcy użytkowników, potencjalnych kar i utraty zaufania.
Jak dokumentować incydent
Dokumentacja incydentu musi być kompletna i umożliwiać późniejszą weryfikację decyzji. Zapisuj daty i czasy wykrycia, identyfikacji przyczyny oraz wszystkie podjęte działania techniczne i organizacyjne. W dokumentacji powinny znaleźć się: zakres ujawnionych danych i liczba dotkniętych osób; lista środków łagodzących i ich efektywność; ocena ryzyka z uzasadnieniem i kryteriami, na podstawie których podjęto decyzję o powiadomieniu lub rezygnacji z powiadomienia; oraz komunikaty wysłane do organu nadzorczego i do osób.
Rady dla użytkowników po otrzymaniu informacji o wycieku
Po otrzymaniu powiadomienia użytkownik powinien działać szybko i rozważnie: zmienić hasła do konta w aplikacji i do innych kont używających tego samego hasła; włączyć 2FA tam, gdzie to możliwe; zachować szczególną ostrożność wobec e‑maili i SMS‑ów — ryzyko phishingu zwykle rośnie po wycieku; monitorować konta finansowe i ubezpieczeniowe; skontaktować się z inspektorem ochrony danych aplikacji, aby uzyskać szczegółowe informacje; a w przypadku ujawnienia identyfikatorów (PESEL, numery dokumentów) rozważyć zastrzeżenie dokumentów tożsamości.
Użytkownik ma też prawo złożyć skargę do Prezesa UODO, jeżeli uzna, że administrator nie dopełnił obowiązków informacyjnych lub stosowanych zabezpieczeń.
Częste błędy i obszary ryzyka
W praktyce twórców aplikacji najczęściej spotyka się brak szyfrowania backupów, przechowywanie nadmiarowych danych medycznych bez uzasadnionego celu, nieaktualne lub brak procedury incydentowej, powolna reakcja na wykryte podatności oraz ujawnienia przez podwykonawcę bez odpowiednich umów i kontroli technicznej. Wiele realnych incydentów można przypisać brakom w zarządzaniu dostępem, niezałatanym komponentom oprogramowania lub błędom konfiguracyjnym serwerów.
Jak postępować z podwykonawcami
W umowach z dostawcami usług (hosting, chmura, analityka) należy precyzyjnie określić zakres przetwarzania, środki techniczne i organizacyjne, obowiązki informacyjne oraz procesy audytu i raportowania incydentów. Wymagaj dokumentacji bezpieczeństwa, audytów oraz kontroli nad kluczami szyfrującymi. Pamiętaj, że odpowiedzialność za przetwarzanie spoczywa na administratorze, więc brak odpowiedniej umowy z podwykonawcą nie zwalnia twórcy aplikacji z obowiązków wynikających z RODO.
Przykładowy scenariusz i wymagane działania
Scenariusz: atak ransomware zaszyfrował bazę pacjentów i wyciekła kopia bazy bez kluczy szyfrujących. Pierwszym krokiem jest szybka ocena, czy ujawniona kopia jest praktycznie nieczytelna bez kluczy — jeśli tak, ryzyko może być niskie, co trzeba udokumentować. Równolegle zabezpiecz system: odetnij punkty dostępu, zmień klucze i hasła, przywróć dane z bezpiecznych backupów, przeprowadź analizę śledczą. Zgłoszenie do UODO należy złożyć w ciągu 72 godzin, informując o zakresie i podjętych środkach łagodzących. Powiadomienie użytkowników będzie konieczne, jeśli istnieje realna szansa odszyfrowania kopii przez osoby trzecie lub jeśli ujawnione dane pozwalają na identyfikację osób.
Ważne liczby i kontekst
72 godziny — termin na zgłoszenie naruszenia do UODO; wiele tysięcy zgłoszeń rocznie w Polsce w pierwszych latach po wejściu RODO; sektor zdrowia należy do najbardziej narażonych na incydenty. Rosnąca liczba aplikacji zdrowotnych i telemedycznych zwiększa ryzyko ataków, dlatego projektowanie z uwzględnieniem zasad minimalizacji danych, pseudonimizacji i szyfrowania ma kluczowe znaczenie dla ograniczenia obowiązków informacyjnych i ochrony zaufania użytkowników.
