Nebriga za podatke ugrožava zdravlje i živote: 'CEZIH-ova web stranica nema objavljenu politiku privatnosti, a to je jedna od najosnovnijih obveza GDPR-a'

Udruga Poltiscope objavila je post u kojem su opisali gruba kršenja GDPR-a prilikom nedavnih sigurnosnih incidenata u sektoru zdravstva pri čemu se misli na hakerski napad na KBC Zagreb, ali i česte padove CEZIH-a. 

'Zakonodavni okvir koji izuzima tijela javne vlasti od novčanih kazni za kršenje GDPR-a rezultirao je slabim institucionalnim kapacitetima za zakonitu i sigurnu obradu podataka. Nažalost, to posebno vrijedi za zdravstveni sustav, gdje učestali propusti u zaštiti podataka mogu imati značajne posljedice po zdravlje i živote ljudi', poručuju. 

Mapirali su propuste u obradi podataka u zdravstvenom sektoru te predložili odgovarajuće mjere:

- Česti padovi CEZIH-a onemogućuju liječnicima izdavanje recepata i pregled nalaza, dok pacijenti ne mogu preuzeti lijekove. Unatoč ozbiljnim rizicima, voditelji obrade ne obavještavaju pravovremeno ispitanike o nedostupnosti sustava, a prve informacije redovito objavljuju mediji, na temelju dojava pacijenata.

CEZIH-ova web stranica uopće nema objavljenu politiku privatnosti, što je jedna od najosnovnijih obveza GDPR-a. Posebno bizaran detalj je nedostatak SSL certifikata na Internet stranici CEZIH-a i upozorenje kako stranica nije sigurna.

- Nedavni hakerski napad na KBC Zagreb, jedan od najopasnijih data breacheva u EU, ugrozio je živote pacijenata oboljelih od raka jer su planovi zračenja pacijenata bili nedostupni. Nedostatak sigurnosnih kopija ključnih zdravstvenih podataka grubo je kršenje GDPR-a, jer nisu poduzete odgovarajuće mjere zaštite podataka.

Umjesto pravovremene komunikacije o posljedicama, kako bi pacijenti mogli umanjiti rizike za svoje zdravlje i život, bolnica je provodila PR aktivnosti uvjeravanja da sustav normalno funkcionira.

- Niz incidenata u zdravstvenom sektoru već je ranije ukazivao na zastarjelu IT infrastrukturu i niske kapacitete za zaštitu osobnih podataka. Primjerice, Digitalni asistent Andrija i portal za registraciju za cijepljenje lansirani su bez Politike privatnosti, a Ured za zdravstvo Grada Zagreba slao je netočne rezultate COVID testova građanima, ugrozivši njihovo zdravlje i slobode.

Pozivaju Vladu, nadležno ministarstvo i Hrvatski sabor da ukinu iznimke u novčanom kažnjavanju za javna tijela te osnaže institucionalne kapacitete Agencije za zaštitu osobnih podataka (AZOP). AZOP pozivaju da provodi strogi nadzor nad primjenom Uredbe u državnoj i javnoj upravi, kroz primjenu nenovčanih oblika sankcija (javna opomena, naredba o usklađivanju, naredba o obavještavanju ispitanika, zabrana obrade).

Ove korake je, smatraju, nužno poduzeti prije usvajanja nacionalnog zakonskog okvira za umjetnu inteligenciju te pokretanja velikih digitalnih projekata s osobnim podacima građana, poput Registra stanovnika. Uz postojeće niske razine povjerenja u institucije, RH nema luksuz pogreške u izgradnji povjerenja u tehnologiju i digitalna rješenja u upravi.

'Zaštita neotuđivih ljudskih i digitalnih prava građana, uključujući pravo na zaštitu osobnih podataka, vrijednost je na kojoj moramo izgraditi modernu državnu i javnu upravu RH', zaključuju.