Atak ransomware i kara UODO dla szpitala

Opracowanie: Michał Kowalski

Szpital doznał ataku hakerskiego w lutym 2022 r. Był to typowy atak typu ransomware polegający na zaszyfrowaniu danych osobowych 30 tys. pacjentów i ponad 1 tys. pracowników a w efekcie utracie dostępu do tych danych.

Problemem była – ocenie Prezesa Urzędu Ochrony Danych Osobowych – niewłaściwa ocena naruszenia przez placówkę. Administrator uznał bowiem, że atak nie był poważny, ponieważ dane osobowe nie uległy wyciekowi, a jedynie utracono do nich dostęp (placówka otrzymała żądanie zapłacenia okupu). Administrator nie wykazał jednak, że nie doszło np. do skopiowania danych przez hakerów przed ich zaszyfrowaniem.

Poza tym szpital zaniechał przeprowadzenia analizy ryzyka RODO. Placówka nie przedstawiła dokumentów potwierdzających sporządzenie i aktualizację takiej analizy. Jak ustalono, za bezpieczeństwo danych w placówce odpowiadał informatyk, który na bieżąco analizował m.in. podatności, zagrożenia, możliwe skutki naruszenia oraz środki bezpieczeństwa mające na celu zapewnienie poufności, integralności i dostępności przetwarzanych danych osobowych. W ocenie Prezesa UODO praktyka taka była niewystarczająca a przyjęte środki bezpieczeństwa – nieadekwatne do poziomu ryzyka wiążącego się z przetwarzaniem danych.

Organ nadzorczy zwrócił także uwagę na spóźnioną reakcję placówki na cyberatak. Poza jego niewłaściwą oceną jako naruszenia ochrony danych szpital zareagował na incydent dopiero po jego wystąpieniu, wzywając zewnętrznych ekspertów, którzy wskazali luki w zabezpieczeniach i przedstawili rekomendacje zmian. Po incydencie zorganizowano także szkolenia dla personelu placówki dotyczące bezpieczeństwa danych osobowych w systemach IT.

Kolejny zarzut dotyczył także niewłaściwej reakcji na naruszenie. O ile bowiem szpital zgłosił naruszenie do Prezesa UODO i zawiadomił organa ścigana o uzasadnionym podejrzeniu popełnienia przestępstwa, o tyle nie poinformował o zdarzeniu osób, do których danych utracił dostęp. W ocenie Prezesa UODO ryzyko naruszenia praw i wolności osób fizycznych w związku ze zdarzeniem było zaś wysokie.