Rząd Tuska liże rany po wycieku z MyDr. Jest projekt
Po gigantycznym wycieku danych medycznych Polaków z platformy MyDr rząd szuka rozwiązania, które zabezpieczy nas w przyszłości przed kolejnymi takimi zdarzeniami. Ministerstwo Cyfryzacji zaprezentowało pakiet zmian prawnych pod nazwą Cyber Piątka.
Wyciek z platformy MyDr obnażył słabość dotychczasowych zabezpieczeń całego systemu wymiany wrażliwych danych Polaków. Gdy ich przetwarzaniem zajmuje się prywatna spółka, państwo praktycznie traci nad tym kontrolę, a o zdarzeniach dowiaduje się wiele dni po fakcie.
Nowe regulacje zapowiadane przez Ministerstwo Cyfryzacji mają ukrócić zaniedbania firm prywatnych, wyegzekwować od nich wyższe standardy cyfrowej ochrony oraz dać pacjentom większą kontrolę nad tym, co dzieje się z ich danymi.
Firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność, niezależnie od ich roli. Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie. Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie
Cyber Piątka uszczelni system?
Pierwszym punktem proponowanych zmian w prawie jest obowiązkowa certyfikacja platform, które zajmują się przetwarzaniem dokumentacji medycznej. Firmy te musiałyby spełniać określone standardy bezpieczeństwa, a ich certyfikacja byłaby powiązana z systemem określonym w ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa.
Druga zmiana to określone wymagania technologiczne dla systemów teleinformatycznych, dopasowane do aktualnych norm cyberbezpieczeństwa. Dzięki temu każda zewnętrzna platforma operująca na danych pacjentów będzie musiał spełnić identyczne, rygorystyczne kryteria ochronne.
Po trzecie, pacjent będzie wiedział, kto przetwarza jego dane. Ministerstwo proponuje wprowadzenie nowego obowiązku o przetwarzaniu danych. Polacy zyskają prawo do pełnej informacji wiedzy o tym, jakim zewnętrznym firmom przekazano ich dane, poznają dokładny zakres tego powierzenia oraz dane kontaktowe odbiorców.
Czwarta zmiana to powiadomienia o zdarzeniach medycznych. W aplikacjach mObywatel i mojeIKP pojawią się natychmiastowe powiadomienia o zarejestrowaniu nowej wizyty, wystawieniu recepty czy wykonaniu dowolnego świadczenia. Pozwoli to na błyskawiczne wyłapanie próby podszycia się pod kogoś w celu wyłudzenia leków bądź usług medycznych.
🔒 Cyber Piątka dla bezpieczeństwa danych medycznych
— Ministerstwo Cyfryzacji (@CYFRA_GOV_PL) August 31, 2026
Dane dotyczące zdrowia wymagają szczególnej ochrony. Dlatego proponujemy pakiet zmian, które zwiększą bezpieczeństwo danych medycznych i wzmocnią kontrolę obywateli nad tym, kto i w jaki sposób je przetwarza.
Wśród propozycji… pic.twitter.com/QJV9uxU4Mu
Piątym elementem są nowe, dodatkowe obowiązki dla podmiotów masowo przetwarzających dane. Chodzi o firmy świadczące usługi przetwarzania danych dla więcej niż 100 administratorów lub przetwarzające dane dotyczące łącznie ponad 100 tys. osób.
Pierwszym z tych obowiązków jest szybka informacja o naruszeniu. W razie wycieku firma przetwarzająca przekazywałaby do CSIRT NASK, za pośrednictwem Policji, dane osób objętych naruszeniem. Dane te mogłyby następnie zostać udostępnione obywatelom za pośrednictwem portalu bezpiecznedane.gov.pl.
Dodatkowo firmy te będą zobowiązane do ciągłego prowadzenia i odświeżania oceny ryzyka oraz regularnego udostępniania placówkom medycznym wyników audytów bezpieczeństwa czy szczegółów dotyczących podwykonawców.
