Zaradi uhajanja podatkov prenova varnostne politike

Nekateri zaposleni v Univerzitetnem kliničnem centru (UKC) Ljubljana naj bi osebne podatke pacientov, ki so potrebovali oskrbo v urgentnem bloku UKC, večkrat neupravičeno posredovali raznim odškodninskim družbam, domnevno proti plačilu. Na UKC so pojasnili, da so v zvezi s tem odgovornim že poslali prošnjo za pojasnilo dogajanj.

V kliničnem centru so prav tako pojasnili, da so bili o nezakonitem dogajanju obveščeni s strani informacijske pooblaščenke Nataša Pirc Musar. Poudarili so, da takšno ravnanje zaposlenih obsojajo. "Takoj, ko smo izvedeli za ta dogodek, smo v sektorju za informacijsko tehnologijo preverili, kdo je dostopal do podatkov o pacientih v tistih dneh. Preverili smo tudi, če programske rešitve upoštevajo zahteve glede varovanja občutljivih podatkov," je pojasnila Blanka Šetinc iz Službe za odnose z javnostmi na UKC. Zaradi teh dogodkov so se v UKC odločili, da v naslednjem letu izvedejo prenovo varnostne politike kliničnega centra in dosledne varnostne preglede informacijske opreme.

Pirc Musarjeva je za omenjene dogodke izvedela preko posameznika, ki se je nanjo obrnil s pritožbo. Na njeni podlagi je pooblaščenka opravila nadzor nad zbirkami podatkov UKC in dostopov do njih. Po poročanju časnika Žurnal24 je Pirc Musarjeva prejela že številne prijave v zvezi z zlorabo podatkov na ljubljanskem kliničnem centru. Pooblaščenka naj bi nekatere vpletene odškodninske družbe tudi že oglobila, a se po njenih besedah kljub globam kupovanje osebnih podatkov ponesrečencev družbam očitno izplača.

Po poročanju omenjenega medija obstaja več posameznikov, ki so jih nekaj dni po oskrbi na urgentnem bloku UKC začele nadlegovati razne odškodninske družbe, tudi na domu. Zato obstaja sum, da so osebne podatke pacientov tem družbam posredovali zaposleni na UKC, saj oškodovanci trdijo, da svojih podatkov niso izdali nikomur drugemu. Po neuradnih podatkih naj bi bile odškodninske družbe, ki so nato poškodovanim ponujale svoje storitve, pripravljene za njihove osebne podatke odšteti 50 evrov na osebo.

Tudi informacijska pooblaščenka je prepričana, da uslužbenci podatkov ne posredujejo zastonj, a o znesku, ki ga prejemajo, ne želi ugibati. V zvezi z nezakonitim razkrivanjem podatkov pacientov, ki so imeli nezgodo, je trenutno v teku več postopkov, ki še niso končani. Globa zaradi zlorabe osebnih podatkov pacienta sicer znaša štiri tisoč evrov za odškodninsko družbo in 830 evrov za odgovorno osebo, še poroča Žurnal24.

Prva obvestila o uhajanju podatkov so na UKC dobili od informacijske pooblaščenke 26. oktobra letošnjega leta, je pojasnil predstojnik kliničnega oddelka za travmatologijo Matjaž Veselko. Da je takšno ravnanje očitno ponavljajoče, sistematično in proti plačilu, pa so izvedeli šele danes iz poročanj medijev. Povedal je, da na UKC takšno ravnanje zaposlenih ostro obsojajo in po svojih najboljših močeh poskušajo ugotoviti, kje točno se je neprimerno ravnanje z osebnimi podatki dogajalo.

Urad informacijske pooblaščenke ob izvajanju nadzora nad zbiranjem podatkov in dostopom do njih ni ugotovil nepravilnosti, prav tako pa nepravilnosti do danes niso ugotovili pri preverjanju zbirk podatkov znotraj samega UKC. Veselko je pojasnil, da na kliničnem centru nimajo podatkov o tem, kateri pacienti so bili oškodovani in so na pooblaščenko naslovili pritožbo. Pojasnil je, da je vir uhajanja informacij težko najti, tudi zato, ker se na urgentnem oddelku, ki je odprt 24 ur na dan, mesečno lahko zamenja okoli 100 različnih medicinskih uslužbencev. "Zaenkrat ne vemo, od kod in na kakšen način bi ti podatki lahko ušli," je dodal.

Urad informacijske pooblaščenke je kliničnemu centru sicer poslal poziv za posredovanje pisnega pojasnila dogajanja in dokumentacije, iz katerih so razvidna imena zaposlenih, ki so ob določenih dnevih delali v urgentni ambulanti za travmatologijo. Obenem je urad zahteval poročilo o sprejetih ukrepih v zvezi s sumom nezakonitega posredovanja osebnih podatkov pacientov. Vsa zahtevana dokumentacija je bila informacijski pooblaščenki posredovana konec novembra letos, so pojasnili v službi za odnose z javnostmi pri UKC Ljubljana.

Poleg prenove varnostne politike in doslednih varnostnih pregledov informacijske opreme, ki jih bodo izvajali v prihodnjem letu, so se na UKC tudi zavezali k ustreznim ukrepom v primeru, da kršitelja oziroma kršitelje odkrijejo. "Če bomo ugotovili, da kdo od naših zaposlenih navedene podatke zlorablja oziroma jih posreduje nepooblaščenim tretjim osebam, bomo seveda nemudoma reagirali skladno z zakonskimi predpisi in internimi akti," so zapisali.