medCLOUD › Aktualności

Bezpieczeństwo cyfrowe w ochronie zdrowia: prawo i zawód

W 2025 roku w Holandii odnotowano co najmniej dziesięć udanych cyberataków na organizacje opieki zdrowotnej, co podkreśla potrzebę lepszej ochrony danych pacjentów.

W 2025 roku Z-CERT, centrum ekspertyz w zakresie cyberbezpieczeństwa w holenderskiej ochronie zdrowia, odnotowało co najmniej dziesięć udanych cyberataków na organizacje opieki zdrowotnej. Europejska agencja ENISA wskazuje, że sektor zdrowia znajduje się w strefie ryzyka, co podkreśla dużą różnicę między jego znaczeniem dla społeczeństwa a odpornością cyfrową. W kwietniu 2026 roku doszło do ataku ransomware na ChipSoft, głównego dostawcę IT w ochronie zdrowia w Holandii, w wyniku którego skradziono dane pacjentów, w tym dane medyczne. Wiele organizacji opieki zdrowotnej wyłączyło systemy i portale jako środek ostrożności. 7 maja 2026 roku lekarze i farmaceuci w Almere byli niedostępni przez kilka godzin po pożarze w centrum danych. Te dane i incydenty są publiczne, ale rzadko trafiają na stół podczas spotkań.

Każdy pracownik ochrony zdrowia dostrzega obraz kryjący się za tymi liczbami. Koledzy, którzy chcą po prostu wykonać swoją pracę, utknęli w gąszczu przepisów, komisji i protokołów. Kończy się to wypaleniem, które często brzmi jak: „tak już jest”, „RODO na to nie pozwala” lub „nie wolno używać AI”. Ustawodawstwo takie jak MDR, AI Act i krajowe prawo dotyczące cyberbezpieczeństwa jest czymś, z czym przeciętny lekarz nigdy się nie zapoznaje.

Jednocześnie sektor wydaje się tracić coś istotnego. Pacjent z diagnozą nowotworu pyta w gabinecie, dlaczego to się stało, i samodzielnie szuka odpowiedzi. Taka pilność często brakuje w kontekście niepewności cyfrowej, jakby nie dotyczyła nas jako sektora. Prawo może być wspólną podstawą, tak jak w ruchu drogowym. Tam znamy zasady i je stosujemy, gdziekolwiek jesteśmy.

RODO nie jest ustawą zakazującą. To reżim obowiązku staranności. Wyrosło z fundamentalnego prawa krajowego i międzynarodowego, chroniącego naszą sferę prywatną, aby służyć ludziom. Brakuje jednak przetłumaczenia tych zasad na przysięgę, którą złożył każdy lekarz. Poprzez cztery tematy pokazujemy, jak prawo może wspierać wartości zawodowe, a z nimi przysięgę hipokratesową.

Temat 1. Informacje zdrowotne pod kierunkiem zawodu

RODO traktuje dane zdrowotne jako szczególną kategorię, z dodatkową ochroną. Artykuł 9(2)(h) pozwala na przetwarzanie danych zdrowotnych w celach opieki, pod warunkiem, że przetwarzanie odbywa się w ramach relacji opiekuńczej, pod tajemnicą zawodową i z odpowiednimi zabezpieczeniami. Ta tajemnica jest zakotwiczona w prawie, w samym RODO oraz, w Holandii, w ustawie o umowie o leczeniu (WGBO) i ustawie o wykorzystaniu numerów identyfikacyjnych obywateli w ochronie zdrowia (Wabvpz). Większość państw członkowskich ma porównywalne przepisy.

Rdzeniem relacji lekarz-pacjent jest zatem prawnie chroniona. To, co powstaje w gabinecie, pozostaje poufne, chyba że lekarz i pacjent zdecydują inaczej lub prawo wymaga inaczej. Ale ta ochrona musi być technicznie i organizacyjnie wprowadzona do każdego systemu wspierającego relację opiekuńczą. Fakt, że instytucja jest formalnie administratorem, a dostawca przetwarzającym, jest koniecznym wyborem projektowym. Punktem wyjścia pozostają dwie osoby prowadzące rozmowę.

W praktyce oznacza to wspólne kierowanie i wspólną przejrzystość. Lekarz i pacjent razem widzą, jakie dane istnieją, kto je wykorzystuje i w jakim celu. Gdy wymagane jest uzyskanie zgody, jest ona organizowana w sposób zrozumiały i możliwy do wycofania. Gdy stosuje się inną podstawę prawną, pacjent pozostaje informowany i zaangażowany. Poufność nie jest wymogiem administracyjnym, lecz warunkiem zawodowym. Pacjent otworzy się tylko wtedy, gdy będzie to poufne, a bez tej otwartości obraz jej sytuacji zdrowotnej pozostaje niekompletny.

Temat 2. Bezpieczne wprowadzenie technologii do opieki

MDR, IVDR i AI Act istnieją, aby uczynić technologię demonstracyjnie bezpieczną, możliwą do śledzenia i odpowiedzialnie wdrażaną przed dotarciem do pacjentów. Urządzenia medyczne, diagnostyka in vitro i systemy AI wysokiego ryzyka muszą być oceniane, monitorowane i dostosowywane. To dokładnie to, czego lekarze już chcą: narzędzi, w których jasno widać, co robią, na czym się opierają i które można wycofać z obiegu, zanim dojdzie do szkody.

Tarcia nie ma w przepisach. Leży ono w momencie, w którym lekarz i pacjent wchodzą w obraz. Produkt jest projektowany, certyfikowany i oferowany; dopiero wtedy wprowadza się lekarza i pacjenta. W tym momencie podjęto decyzje, które mają znaczenie: jaki problem rozwiązuje produkt, jak pasuje do przepływu pracy, na jakich danych się opiera i jakie ryzyka są uważane za akceptowalne.

Kiedy lekarze i pacjenci współpracują z twórcami technologii od samego początku, czują się współodpowiedzialni i działają odpowiednio. Ramy prawne nie są wtedy przeszkodą dla innowacji, lecz zapewniają, że wyjątek, w którym coś idzie nie tak, nie jest pozostawiony przypadkowi.

Ustawa o odporności cybernetycznej podnosi poprzeczkę dla dostawców produktów cyfrowych: bezpieczeństwo musi być częścią projektowania, utrzymania i zarządzania podatnościami w całym cyklu życia. To daje zespołowi opieki coś, na czym mogą się oprzeć, gdy pociągają się nawzajem do odpowiedzialności, każdy za swój wkład. Dostawcy mogą spełniać tę rolę tylko wtedy, gdy lekarze i pacjenci wciąż informują ich o tym, co widzą w praktyce. Wprowadzenie najlepszych rozwiązań i wskazanie, co należy poprawić, jest częścią zawodu.

Temat 3. Organizacja bezpieczeństwa to praca ludzka

Dyrektywa NIS2 i jej krajowe wdrożenia wymagają jasnego zarządzania i odpowiedzialności: zorganizuj się tak, aby nadążyć za rozwojem. W Holandii weszło to w życie poprzez ustawę o cyberbezpieczeństwie w sierpniu 2026 roku. Naruszenie danych to więcej niż kwestia prywatności. Brak danych lub dane, co do których nie można być pewnym, mogą zakłócić opiekę równie mocno.

Niedostępność i utrata integralności wpływają na bezpieczeństwo pacjentów tak samo bezpośrednio, jak naruszenie poufności. Rezultat jest zawsze ten sam i równie bolesny: decyzje kliniczne oparte na ruchomym piasku.

Odpowiednio zabezpieczone, dostępne i rzetelne: te trzy wymagania są ze sobą powiązane, przebiegają przez każdą współpracę między organizacjami. Jedna słaba strona dotyka całego systemu. To sprawia, że bezpieczeństwo cyfrowe jest zadaniem całego ekosystemu, a w tym tkwi pułapka. To, co należy do wszystkich, szybko staje się niczyje. To zmienia się tylko wtedy, gdy każda strona podejmuje swoją część i może być pociągnięta do odpowiedzialności za to, co robi.

Lekarze nie muszą tego doświadczać tylko jako nałożony obowiązek. Mogą profesjonalnie domagać się bezpieczeństwa cyfrowego jako warunku dobrej opieki. Staranność jest jej sercem. NIS2 wyraźnie stawia odpowiedzialność na kierownikach, w tym uwagę na łańcuch dostawców, który często nosi infrastrukturę cyfrową. Lekarz ma prawo oczekiwać, że instytucja ma to w porządku.

Ponieważ lekarz i pacjent stają się coraz bardziej mobilni, kształtuje się inny obraz: cyfrowa warstwa, która porusza się z nimi, pod ich wspólnym kierunkiem. Gdzie dane są teraz często zablokowane w oddzielnych systemach per instytucja, może powstać osobista i interoperacyjna warstwa zdrowotna. Nie poprzez uczynienie systemów źródłowych zbędnymi, ale poprzez uczynienie danych dostępnymi, przenośnymi i zrozumiale dostępnymi dla pacjenta i klinicysty. AI może pomóc w szybszym i inteligentniejszym budowaniu tej warstwy, pod warunkiem, że kierunek, pochodzenie i niezawodność pozostaną jasne.

Technologia rozwija się szybko. Modele AI mogą teraz pomóc w znalezieniu podatności w oprogramowaniu. Ta sama zdolność, która sprawia, że atakujący są szybszy, może również wzmocnić obrońcę. Ci, którzy dobrze się organizują, znajdują słabe punkty i zamykają je, zanim zrobi to atakujący. W ten sposób technologia nadal służy zdrowiu, a nie zagraża mu.

Lekarz od dawna nie może samodzielnie zapewnić dobrej opieki. To, co dzieje się w gabinecie, opiera się na systemach, danych i decyzjach podejmowanych przez ludzi, którzy nigdy nie widzą pacjenta, czy to sobie uświadamiają, czy nie. Przysięga nie jest zatem już tylko przysięgą lekarza. Każdy, kto przyczynia się do zdrowia, ją nosi.

Ostatecznie chodzi o to, aby ludzie wzięli na siebie swoją rolę: jasno określić, kto jest odpowiedzialny za co, i być gotowym do pociągania się nawzajem do odpowiedzialności. Technologia wspiera, ludzie wykonują pracę.

Temat 4. Uczenie się ponad granicami

Dyrektywa 2005/36/WE uznaje, że lekarz może korzystać ze swojego wykształcenia w całej UE. Praktyka jest bardziej oporna: wymagania językowe, procedury specyficzne dla kraju i procesy uznawania trwające miesiące. Coś podobnego dotyczy danych zdrowotnych. RODO, a w Holandii Wabvpz, od lat dają obywatelom prawo dostępu do swoich danych i ich przenoszenia. Regulacja EHDS rozwija to, zapewniając lepszy dostęp do własnych danych i przenośność do wybranego klinicysty. Jednak obywatele często nie mogą znaleźć swoich danych lub nie w formie użytecznej gdzie indziej.

Uczenie się ponad granicami staje się konkretne, gdy pacjent szuka pomocy w innym kraju UE, a jego historia nie podróżuje z nim, lub gdy lekarz widzi rzadki przypadek, który jest już rutyną gdzie indziej. Europejskie infrastruktury, które są budowane w tym celu, takie jak MyHealth@EU, łączą głównie krajowe systemy. To konieczne, ale podąża tą samą drogą, która już okazała się trudna w obrębie granic krajowych.

Tłumaczenie jest tą samą warstwą, teraz ponad granicami: taką, która podróżuje z lekarzem i pacjentem, także gdy zmieniają instytucję lub kraj. Przenośność jest warunkiem wstępnym, a prawo tworzy przestrzeń dla niej. To, co lekarz i pacjent zapisują razem, może wówczas przyczynić się do sieci wiedzy kolegów oraz do badań i innowacji, nie znikając z ich widoku.

Podsumowanie

Ustawodawstwo cyfrowe nie stoi w opozycji do dobrej opieki. Powinno być odczytywane jako rozszerzenie wartości profesjonalnej opieki. W każdym z czterech powyższych tematów wskazuje w tym samym kierunku, co przysięga (patrz ramka). Ramy zostały zbudowane z dobrymi intencjami, z wartościami, które się utrzymują. Ale lepsza opieka nie wynika z dodawania nowych warstw przez prawników i specjalistów IT. To tylko jeszcze bardziej utrudnia sprawy.

Ochrona zdrowia robi cyfrowo, ale jeszcze nie jest cyfrowa. To jest krok, który teraz się liczy. Nie poprzez tworzenie większej odległości między zasadami a praktyką, ale poprzez przywrócenie prawa do tego, do czego jest przeznaczone: ochrony ludzi. To zaczyna się od każdego, kto przyczynia się do zdrowia.

Zaktualizowana przysięga

Obiecuję, że będę:

Źródło: https://www.icthealth.org/news/on-digital-security-the-law-and-the-profession

Źródło: www.icthealth.org

Cyberbezpieczeństwo w medycynie – monitoring SOC · Pakiety ochrony od 990 zł · Bezpłatna konsultacja