Naruszenie bezpieczeństwa w pacjent.gov.pl i brak konsekwencji – sprawa nie trafiła do UODO

Internetowe Konto Pacjenta dostępne w serwisie pacjent.gov.pl może zaskakiwać, szczególnie jeśli rodzic zobaczy w nim szczegóły dotyczące... cudzego dziecka. Dokładnie taki przypadek opisuje Niebezpiecznik, opierając się na autentycznej historii swojego czytelnika. Co zastanawiające, znalezienie odpowiedzialnego za błąd nie jest tak oczywiste.

Choć bulwersujący może być już sam fakt ujrzenia wrażliwych danych nieznanej osoby, najciekawsze jest podejście do jego rozwiązania. Czytelnik skontaktował się bowiem z Centrum e-Zdrowia opisując zauważone błędy, ale instytucja nie czuje się odpowiedzialna za problem, więc odesłała rodzica do ZUS-u, a ten potem do NFZ. Niestety, mimo upartości w dążeniu do celu ze strony użytkownika IKP, rzecz pozostaje nierozwiązana do dzisiaj, a ciągnie się już miesiącami.

W międzyczasie nikt też nie zgłosił sprawy do UODO, więc nie wiadomo, czy ktokolwiek poniesie właściwe konsekwencje – pomijając, że w tym momencie nie do końca wiemy, kto miałby to być. Równolegle wątpliwości budzi sam sposób komunikacji: gdyby nie determinacja wspominanego czytelnika, pewnie na którymś etapie problem zostałby "zamieciony pod dywan".

Opisywana sprawa to efekt pomyłki na którymś z etapów rejestrowania danych w systemie. Jak się okazuje, na przykład w wyniku błędnie wprowadzonego numeru PESEL jest to możliwe, a wówczas rodzice mogą uzyskać dostęp do danych i historii leczenia nieswoich dzieci. Jak by nie patrzeć, jest to poważny problem bezpieczeństwa, który – jak sugerowałyby przepisy RODO – wymaga zgłoszenia do Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od wykrycia.

Jak opisuje Niebezpiecznik, bazując na odpowiedziach rzeczników zarówno Ministerstwa Zdrowia, jak i UODO, nic takiego nie miało jednak miejsca. Sprawie obiecano się natomiast przyjrzeć, więc pozostaje nadzieja, że ostatecznie zostanie rozwiązana.