Dlaczego ważny? Bo dotyka moim zdaniem istoty stosowana różnych środków bezpieczeństwa w odniesieniu do danych osobowych i ich adekwatności. Z tych względów ma on również kluczowe znaczenie dla placówek medycznych i zdecydowanie warto go przybliżyć.
Zatem dziś o odpowiednich/adekwatnych środkach bezpieczeństwa wg. NSA. Z odcinka dowiesz się między innymi:
-> Czy można powiedzieć, że określone środki bezpieczeństwa zawsze są odpowiednie?
-> Czy dwuetapowe uwierzytelnienie rozwiąże każdy problem?
-> Czy skuteczny atak na bazę danych sam w sobie skutkuje sankcją administracyjną?
9 lutego 2023 r. Naczelny Sąd Administracyjny (NSA) wydał wyrok (sygn. akt III OSK 3945/21) w głośnej sprawie spółek z grupy Morele, uchylając zaskarżony wyrok i zaskarżoną decyzję. Kluczowy wniosek: art. 32 RODO nie zawiera zamkniętego katalogu środków bezpieczeństwa, a podstawą sankcji nie jest sam fakt, że doszło do naruszenia, tylko to, czy zastosowane środki techniczne i organizacyjne były w danej sytuacji odpowiednie. Ten sam środek – np. wymuszona zmiana hasła co 30 dni czy dwuetapowe uwierzytelnienie – może być adekwatny w jednym podmiocie leczniczym i nieadekwatny w drugim. To ważny wyrok, ale nie rewolucja, jak sugerują niektórzy.
Najważniejsze wnioski
- Prawodawca odszedł od statycznego określenia wymaganych środków na rzecz dynamicznej oceny przyjętych środków bezpieczeństwa – tak wprost wskazuje uzasadnienie wyroku NSA.
- Art. 32 RODO odnosi się do przyczyny, a nie do skutku. Sam nieuprawniony dostęp do bazy pacjentów nie przesądza jeszcze o sankcji administracyjnej – badane jest to, dlaczego do niego doszło.
- Środki wystarczające u jednego administratora wcale nie muszą być wystarczające u drugiego. Ocena jest indywidualna – liczy się m.in. liczba pracowników, liczba pacjentów i to, jakie bazy w danej placówce w ogóle istnieją.
- Dwuetapowe uwierzytelnienie jest powszechnym standardem, ale nie automatycznie „środkiem odpowiednim” w każdym stanie faktycznym – według NSA konieczna jest ścisła ocena w warunkach konkretnej sprawy.
- Odmowa powołania biegłego przez Prezesa Urzędu Ochrony Danych Osobowych (UODO) była w tej sprawie jednym z kluczowych błędów – przy ponad 2 milionach rekordów i bardzo wysokiej karze.
- Nie wystarczy załatać znalezionej dziury. Bezpieczeństwo danych to dynamiczny i ciągły proces badania środków oraz analizowania ryzyka.
Czego dotyczyła sprawa rozstrzygnięta przez NSA?
Sprawa dotyczyła kary pieniężnej nałożonej na jedną z większych spółek w Polsce, zarządzającą licznymi sklepami internetowymi. Spółka już w 2018 r. zgłosiła Prezesowi Urzędu Ochrony Danych Osobowych (UODO) dwa przypadki naruszenia ochrony danych osobowych: nieuprawniony dostęp do bazy danych klientów sklepów internetowych oraz uzyskanie przez osobę nieupoważnioną dostępu do konta pracownika spółki.
UODO uznał m.in., że doszło do naruszenia zasad poufności poprzez jedynie częściowe zapewnienie odpowiednich środków, i między innymi na tej podstawie nałożył karę w wysokości prawie trzech milionów złotych.
To brzmi jak sprawa z e-commerce, ale scenariusz jest w placówkach medycznych jak najbardziej spotykany. Podmioty lecznicze dysponują bardzo szeroką bazą danych pacjentów – przede wszystkim bazą stanowiącą dokumentację medyczną – i mają liczną grupę pracowników medycznych oraz, w pewnym zakresie, niemedycznych, którzy dostęp do tej bazy mogą mieć.
Co znaczą „odpowiednie” środki bezpieczeństwa w art. 32 RODO?
Punktem wyjścia jest art. 32 RODO, zgodnie z którym administratorzy i podmioty przetwarzające (procesorzy) wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych. Mamy więc dwa elementy: określenie ryzyka naruszenia w danej sytuacji oraz dobór odpowiednich (adekwatnych) środków.
NSA bardzo wyraźnie podkreśla, że „na gruncie przepisów RODO prawodawca odszedł od tak zwanego statycznego określenia tych wymaganych środków na rzecz dynamicznej oceny przyjętych środków bezpieczeństwa”.
Warto pamiętać, skąd bierze się to rozróżnienie. Obowiązywało kiedyś rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 2004 roku, które określało katalog stosowanych środków bezpieczeństwa. Przez wielu były one oceniane jako nieadekwatne, przestarzałe, niespełniające potrzeb i nienadążające za zmieniającą się technologią. Wśród nich był m.in. słynny wymóg zmiany haseł co 30 dni – bardzo szeroko krytykowany jako nieefektywny.
Czy istnieje katalog środków, po zastosowaniu którego „jesteśmy bezpieczni”?
Nie. Myślenie, że wystarczy zastosować środki z określonego katalogu, wytycznych czy norm, aby mieć pewność, że do naruszenia nie dojdzie, jest – jak trafnie określa NSA – właściwie absolutnie błędne i wynika z nieprawidłowego spojrzenia na art. 32 RODO.
Katalog środków absolutnie nie jest katalogiem zamkniętym. Standardy i wytyczne istnieją, można je stosować, a ich zastosowanie – jak widać z perspektywy postępowania przed UODO – ma bardzo istotne znaczenie. Nie są to jednak elementy, które w każdej sytuacji są jednakowe.
Czy skuteczny atak na bazę danych sam w sobie skutkuje sankcją?
Nie. Podstawą nałożenia sankcji administracyjnej nie jest to, że do naruszenia doszło. To oczywiście pewien skutek, ale art. 32 RODO odnosi się do przyczyny.
Kluczowe jest pytanie, dlaczego w ogóle doszło do naruszenia – dlaczego administrator (podmiot leczniczy) lub procesor dopuścił do nieuprawnionego dostępu. Odpowiedź uzyskuje się przez zbadanie zastosowanych środków technicznych i organizacyjnych oraz ocenę, czy w danej konkretnej sytuacji były one odpowiednie i czy spełniły swoją funkcję.
W dużym uproszczeniu: mogło dojść do naruszenia, ale doszłoby do niego i tak, mimo że zastosowane środki były adekwatne – czyli administrator wyczerpał katalog i nie pominął niczego, co było potrzebne. To jest klucz do zrozumienia treści art. 32 RODO.
Dlaczego te same środki mogą być odpowiednie w jednej placówce, a w drugiej nie?
Bo ocena jest indywidualna. Sąd bardzo wyraźnie podkreśla, że środki bezpieczeństwa wystarczające i adekwatne u jednego administratora czy w jednej placówce medycznej wcale nie muszą być wystarczające w drugim podmiocie.
Wróćmy do słynnej zmiany hasła co 30 dni. Sama w sobie nie jest czymś złym. W niedużej placówce – która nie ma wielu pracowników, wielu lekarzy, wielu pacjentów, albo dopiero zaczyna – zastosowanie tego nielubianego zabezpieczenia wydaje się możliwe, choć oczywiście wszystko zależy od konkretnej sytuacji.
Problem polega na tym, że wielu specjalistów twierdzi, iż wymiana hasła co 30 dni może okazać się zbyt częsta. Pracownicy stosują standardowe rozwiązanie: do dotychczasowego hasła dokładają jeden znak, literę lub cyfrę, albo stosują wymiennie dwa hasła. Wiele zależy od tego, na co pozwala konkretny system informatyczny – ale przy dużej liczbie pracowników skuteczność takiego środka z czasem spada, a on sam może wręcz wygenerować problem. Wtedy pojawia się pytanie o ryzyko: czy przy takiej liczbie pracowników i takim zakresie przetwarzanych danych ten środek nie zwiększa ryzyka naruszenia zasad ochrony danych?
A co z dokumentacją papierową?
Omawiany wyrok wskazuje przede wszystkim na informatyczne środki bezpieczeństwa, ale w ochronie zdrowia to nie wyczerpuje tematu. Nadal funkcjonuje szereg placówek – chociażby placówki medycyny pracy – uprawnionych do posługiwania się papierową dokumentacją medyczną. Rozważania o adekwatności środków trzeba więc przenosić nie tylko na zabezpieczenia informatyczne, ale także na zabezpieczenia dokumentów prowadzonych w formie papierowej.
Czy dwuetapowe uwierzytelnienie rozwiąże każdy problem?
Nie w sposób automatyczny. Jednym z podstawowych zarzutów UODO wobec spółki było to, że nie zastosowała dwupoziomowej weryfikacji (dwuetapowego uwierzytelnienia) na etapie dostępu do bazy dla pracowników. Urząd powoływał się w uzasadnieniu na różnego typu standardy i wytyczne, m.in. na standardy normy 27001, wskazując, że dwuetapowe uwierzytelnienie jest już pewnym standardem.
Trudno nie zgodzić się, że jest to bardzo ważny i powszechnie stosowany środek bezpieczeństwa. NSA podkreśla jednak, że i tak należy dokonać ścisłej oceny, czy w warunkach tego konkretnego stanu faktycznego jest to środek odpowiedni. Być może wystarczające byłoby jednoetapowe uwierzytelnienie, które w spółce zastosowano – to już jednak dodatek autorski, a nie teza wyroku.
Wniosek jest prosty: każdy przypadek jest inny i każdy powinien być oceniany indywidualnie – z uwzględnieniem liczby pracowników, liczby pacjentów i tego, jakie bazy w danej placówce w ogóle istnieją.
Kiedy organ powinien powołać biegłego?
To jeden z najistotniejszych elementów wyroku. Spółka już na etapie postępowania przed UODO złożyła wniosek dowodowy o powołanie biegłego dysponującego odpowiednią wiedzą specjalistyczną, który zbadałby m.in. adekwatność stosowanych środków bezpieczeństwa. Urząd wniosku nie uwzględnił, a NSA uznał to za jedną z okoliczności istotnych dla sprawy i dla korzystnego dla skarżącej spółki rozstrzygnięcia.
Zgodnie z art. 84 Kodeksu postępowania administracyjnego (k.p.a.), gdy w sprawie wymagane są wiadomości specjalne, organ administracji publicznej może zwrócić się do biegłego lub biegłych o wydanie opinii. UODO położył nacisk właśnie na to sformułowanie: organ może, czyli nie musi – i uznał, że sam dysponuje odpowiednią wiedzą, by ocenić stosowane środki bezpieczeństwa.
NSA przyznał rację co do tego, że przepis wskazuje na możliwość, a nie konieczność powołania biegłego. Nie zarzucił też pracownikom urzędu braku kompetencji. Zwrócił jednak uwagę na konkretne okoliczności sprawy: skarżąca spółka dysponowała ponad dwoma milionami rekordów z danymi osobowymi klientów, kara była bardzo wysoka, a sama baza – bardzo duża. Sprawa, jak podkreślił NSA, ma charakter precedensowy. W tych warunkach urząd powinien rozważyć powołanie biegłego, który oceniłby m.in. adekwatność zastosowanych środków.
Czy każdy podmiot leczniczy może teraz skutecznie żądać biegłego?
Nie. To nie oznacza, że w każdym przypadku podmiot leczniczy, na który nałożono karę pieniężną, złoży wniosek o biegłego i będzie oczekiwał jego pozytywnego rozpatrzenia. To cały czas możliwość, a nie automatyzm – wszystko zależy od konkretnej sytuacji.
Można sobie wyobrazić, że taki wniosek zostałby uznany za zasadny w odniesieniu do bardzo dużego szpitala klinicznego, dysponującego ogromną bazą danych pacjentów obecnych, byłych i archiwalnych. Przy niewielkiej poradni, która nie ma dużej bazy ani wielu pracowników, powołanie biegłego raczej mogłoby okazać się niemożliwe.
Dlaczego to szczególnie ważne w postępowaniu przed UODO?
Bo postępowanie przed Urzędem Ochrony Danych Osobowych jest postępowaniem sankcyjnym i jednoinstancyjnym. Administrator nie ma możliwości odwołania w trybie administracyjnym ani złożenia wniosku o ponowne rozpoznanie sprawy. To, co może zrobić, to złożyć skargę do sądu administracyjnego.
Tym większe znaczenie ma to, co sąd podkreśla: ocena adekwatności środków ma charakter bardzo indywidualny, a samo bezpieczeństwo danych to dynamiczny i ciągły proces badania środków oraz analizowania ryzyka wystąpienia określonych naruszeń.
Co to oznacza w praktyce dla podmiotu leczniczego?
Przede wszystkim to, że nie wystarcza wdrażanie samych „poprawek bezpieczeństwa”. Jeżeli audyt w szpitalu wykaże dziurę w bezpieczeństwie danych osobowych, jej załatanie nie zamyka tematu. Konieczne jest również przewidywanie tego, co będzie działo się w przyszłości, i reagowanie tak, aby środki pozostawały odpowiednie i adekwatne.
I jeszcze jedno – to nie jest rewolucja. Sąd uchylił zaskarżony wyrok i zaskarżoną decyzję, co oczywiście nie zamyka sprawy. Zwłaszcza w kwestii opinii biegłego nie mamy tu ogromnej zmiany, tylko – jak się wydaje – prawidłową wykładnię.
FAQ
Czego dotyczy wyrok NSA z 9 lutego 2023 r., sygn. akt III OSK 3945/21? Dotyczy kary pieniężnej nałożonej przez Prezesa UODO na spółkę zarządzającą licznymi sklepami internetowymi po zgłoszeniu w 2018 r. dwóch naruszeń ochrony danych osobowych. NSA uchylił zaskarżony wyrok i zaskarżoną decyzję.
Czy określone środki bezpieczeństwa zawsze są odpowiednie? Nie. Środki adekwatne u jednego administratora nie muszą być wystarczające u innego. RODO opiera się na dynamicznej ocenie przyjętych środków, a nie na statycznym katalogu.
Czy sam fakt naruszenia ochrony danych oznacza karę? Nie. Art. 32 RODO odnosi się do przyczyny naruszenia, a nie do samego skutku. Badane jest to, czy zastosowane środki techniczne i organizacyjne były w danej sytuacji odpowiednie.
Czy dwuetapowe uwierzytelnienie jest obowiązkowe? Jest powszechnie stosowanym standardem i bardzo ważnym środkiem bezpieczeństwa, ale według NSA także w jego przypadku konieczna jest ścisła ocena, czy w konkretnych okolicznościach jest to środek odpowiedni.
Czy zmiana hasła co 30 dni to dobre zabezpieczenie? To zależy od sytuacji. W małej placówce może być rozwiązaniem możliwym do zastosowania. Przy dużej liczbie pracowników jego skuteczność bywa niższa – pracownicy dokładają do hasła jeden znak lub stosują wymiennie dwa hasła – a środek może wręcz zwiększać ryzyko.
Kiedy UODO powinien powołać biegłego? Art. 84 k.p.a. przewiduje możliwość, a nie obowiązek. W omawianej sprawie – przy ponad 2 milionach rekordów, bardzo wysokiej karze i precedensowym charakterze sprawy – NSA uznał, że urząd powinien rozważyć powołanie biegłego.
Czy wyrok dotyczy tylko zabezpieczeń informatycznych? Wyrok koncentruje się na środkach informatycznych, ale w placówkach medycznych – chociażby w medycynie pracy uprawnionej do prowadzenia papierowej dokumentacji medycznej – te same rozważania trzeba odnosić także do zabezpieczeń dokumentów papierowych.
Podsumowanie
Wyrok NSA w sprawie III OSK 3945/21 nie jest rewolucją, ale dotyka istoty stosowania środków bezpieczeństwa i ich adekwatności – dlatego dla podmiotów leczniczych, ze względu na charakter i rozległość przetwarzanych danych, ma znaczenie szczególne. Najważniejsze do zapamiętania: nie ma zamkniętej listy środków, które raz na zawsze zapewnią bezpieczeństwo, a ocena zawsze odnosi się do konkretnych okoliczności – liczby pracowników, liczby pacjentów i charakteru prowadzonych baz. Treść tego wyroku, zwłaszcza fragment dotyczący odpowiednich środków technicznych, warto przeczytać w oryginale.
Całą argumentację, wraz z wątkiem opinii biegłego i jednoinstancyjności postępowania przed UODO, omawiamy szerzej w 47. odcinku podcastu „Recepta na przepis” – zapraszamy do wysłuchania.