10:34
17/3/2021

Jak nazwiecie sytuację, gdy na koncie pacjenta pojawia się komuś cudze dziecko i użytkownik zyskuje dostęp do informacji o jego leczeniu? Naszym zdaniem to jest Raczej Poważne Naruszenie. Mimo to administrator systemu nic nie naprawił i nie zgłosił sprawy do UODO. O sprawie wiadomo od kilku miesięcy i najwyraźniej takich przypadków jest więcej.

Mam nowego syna!

Nasz Czytelnik – Borys (imię zmienione) – zgłosił nam takie własnie naruszenie danych. Na jego Internetowym Koncie Pacjenta (IKP) w serwisie Pacjent.gov.pl pojawiło się “nadmiarowe dziecko” (nazwiemy je dalej D.S.). Dziecko leczy się na problemy skórne, mieszka w Warszawie, leczy się  w określonej przychodni (Borysowi udało się nawet porozmawiać z jego lekarzem).

Borys zauważył, że pesel D.S. przypomina PESEL jednego z jego dzieci. Co prawda PESEL D.S. znany jest Borysowi tylko częściowo, ale jest wysoce prawdopodobne, że numery różnią się tylko jedną cyfrą. Ktoś mógł się pomylić przy wprowadzaniu danych. Ustalenie źródła problemu nie było najważniejsze. Ważniejsze było jego rozwiązanie, dlatego Borys najpierw postanowił zgłosić sprawę do Centrum e-Zdrowia (CeZ, dawnego CSIOZ), czyli instytucji powołanej przez Ministerstwo Zdrowia do rozwijania systemów teleinformatycznych w obszarze opieki zdrowotnej.

Będzie już pół roku

Zgłoszenie trafiło do CeZ  w październiku ubiełego roku(!!!). Po dłuższej wymianie korespondencji CeZ wskazało, że w sumie jest to wina ZUS i trzeba się kontaktować z Zakładem!

Tym samym zgłoszenie zostało uznane za rozwiązane, czego dowodzi poniższy zrzut z ekranu.

Borys się nie poddał i napisał do ZUS. Dowiedział się, że  trzeba pisać do NFZ…


A mówiąc całkiem poważnie, z punktu widzenia RODO nie ma znaczenia czy do naruszenia doszło z winy dysponenta systemu czy może z jakiegoś innego powodu. Niedawno pisaliśmy o firmie, która została ukarana za wysyłkę maila do złego adresata, mimo iż to klient sam podał błędny adres. Inna rzecz, że serwis Pacjent.gov.pl jest  serwisem “Ministerstwa Zdrowia i NFZ“, więc może powinno dać się to ogarnąć bez osobnego kontaktowania się z Funduszem?

Korespondencja Borysa z CeZ nie ograniczała się do jednej czy dwóch wiadomości. Nasz Czytelnik bardzo się starał aby ze sprawą coś zrobiono, ale po prostu nie dał rady. Odezwanie się do nas było szukaniem ratunku w sytuacji, która zaczynała się wydawać beznadziejna.

Ministerstwo: “Tak to bywa”

W naszej pierwszej i – powiedzmy – powierzchownej ocenie sytuacji, problem leżał po stronie Ministerstwa Zdrowia. Przecież to ono odpowiada za IKP, a system wystąpił w IKP. Uznaliśmy, że obywatel nie powinien być prawnikiem-detektywem, który szuka miejsca wycieku i dociera do odpowiedniej instytucji.

Zwróciliśmy się do Ministerstwa Zdrowia z trzema pytaniami. Odpowiedzi  przesłała do nas pani Justyna Maletka z Biura Komunikacji MZ.

Niebezpiecznik.pl W jakich sytuacjach może dojść do dopisania danej osobie “nadmiarowego” dziecka? 

Biuro Komunikacji MZ: Sytuacje dopisania „nadmiarowego” dziecka faktycznie mają miejsce. Na początek warto jednak wyjaśnić z jakich źródeł czerpane są relacje rodzic-dziecko, które wpływają na dostępność do Internetowego Konta Pacjenta (IKP) dziecka. Akt prawny regulujący tą kwestię to Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz.U. 2011 nr 113 poz. 657)

Art. 7b mówi m.in. że relacje rodzic dziecko Centrum e-Zdrowia pozyskuje z Narodowego Funduszu Zdrowia – z informacji dot. ubezpieczenia dziecka przez rodzica, z bazy relacji zawartych w programie 500+ czy od samego użytkownika (kiedy ten np. nie ubezpiecza dziecka i w celu dostępu musi złożyć odpowiedni wniosek do CeZ).

Dalej – przedstawiciele ustawowi, którzy posiadają już dostęp do konta dziecka mogą potwierdzić prawo do działania innego przedstawiciela ustawowego za pośrednictwem specjalnego formularza dostępnego na Internetowym Koncie Pacjenta.

W przypadku NFZ czy 500+ dane te są pobierane automatycznie z odpowiednich rejestrów. I w tych właśnie przypadkach dochodzi najczęściej do błędów, które mogą być spowodowane m.in. złym wprowadzeniem niepoprawnych danych do rejestru. Np. podczas ubezpieczenia dziecka przez pracodawcę nastąpi pomyłka w PESEL’u dziecka, co  powoduje, że dana osoba, która ubezpiecza swoje dziecko może widzieć nie swoje dziecko. Natomiast pomyłka we wprowadzeniu niepoprawnego PESELu rodzica powoduje, że dziecko ubezpieczane przez rodzica jest podpięte pod inną osobę, która może odkryć taki fakt na swoim Internetowym Koncie Pacjenta, po otrzymaniu błędnej relacji. Internetowe Konto Pacjenta funkcjonuje w oparciu o taki zakres danych, jaki otrzyma z powyższych rejestrów. Jeżeli doszło do nieprawidłowo wprowadzonych danych w rejestrach źródłowych NFZ lub 500+, to takie dane przekazane są na Internetowe Konto Pacjenta i takimi danymi IKP się posługuje.

Czy to oznacza, że obywatel musi sam odkryć błąd i zaalarmować NFZ? Ministerstwo twierdzi, że jest inna droga.

Niebezpiecznik.pl: Czy osoba, która wykryje taki błąd, ma jakiekolwiek możliwości poprawienia swoich danych? 

BKMZ: Każda osoba, która wykryje taki błąd ma możliwość zgłosić taki fakt na infolinię techniczną Internetowego Konta Pacjenta, dostępną pod numerem telefonu 19 457 lub pod adresem ikp-pomoc@cez.gov.pl. Wszelkie zgłoszenia są weryfikowane przez zespół utrzymania IKP, a następnie przekazywane do odpowiednich podmiotów, które te dane udostępniają do aplikacji IKP, w celu ich weryfikacji w rejestrach źródłowych. Jeżeli doszło do błędu w zasileniu danymi, dokonywane są korekty w odpowiednich rejestrach źródłowych i przekazywane są aktualizacje do CeZ, które wprowadzają zmiany w widoczności konta dziecka na IKP, likwidując nieprawidłowe relacje i dodając prawidłowe. Natomiast jeżeli zasilenia na każdym etapie przebiegły prawidłowo, przekazywana jest informacja zwrotna, aby użytkownik (rodzic dziecka) zweryfikował dane, które podawał podczas wniosku o objęcie ubezpieczeniem dziecka czy wniosku 500+.

Trzecie pytanie zadane ministerstwu brzmiało tak.

Niebezpiecznik.pl Jak to możliwe, że administracja aplikacji IKP ignoruje zgłoszenie tak poważnego incydentu z zakresu ochrony danych? 

BKMZ: Administracja serwisu rozpatruje każde zgłoszenie. W ostatnim czasie, ze względu na duży przyrost aktywacji kont IKP, notujemy znaczną ilość zapytań dotyczących dostępu do kont dzieci. Powoduje to każdorazowo potrzebę odpytania poszczególnych instytucji przekazujących dane w celu sprawdzenia, jaka sytuacja ma miejsce. Każda takie zgłoszenie musi być wnikliwie sprawdzone, co w przypadku znacznej ich ilości powoduje, że czas odpowiedzi może być wydłużony. Jeżeli jednak infolinia techniczna IKP odrzuciła takie zgłoszenie, bardzo prosimy o kontakt i przekazanie numeru takiego zgłoszenia w celu weryfikacji zaistniałej sytuacji.

Te odpowiedzi wcale nas nie pocieszyły. Przede wszystkim dlatego, że w sytuacji Borysa to wcale nie wyglądało tak łatwo (“zgłoś i naprawimy”). Wręcz przeciwnie. Problemu nie udało się rozwiązać od kilku miesięcy.

W ogólności odpowiedzi MZ robią wrażenie, że Ministerstwo Zdrowia wie o takich incydentach i po prostu je akceptuje (niektórzy zażartują, że akceptacja to też forma zarządzania ryzykiem 🤣). My tymczasem widzimy w tym naruszenie ochrony danych, które powinno rodzić określone skutki (przewidziane w RODO) Dlatego wysłaliśmy do MZ jeszcze jedno pytanie.

W sytuacji dopisania “nadmiarowego” dziecka do konta IKP, mamy do czynienia z incydentem bezpieczeństwa danych osobowych. Jest to incydent związany z dużym ryzykiem dla praw i wolności, a źródła błędu nie mają tu znaczenia. Dlatego chciałem spytać – czy każdy taki incydent jest zgłaszany do UODO w przepisowym czasie 72 godzin?

Na to pytanie odpowiedzi nie dostaliśmy.

Pytamy UODO

Ponieważ Ministerstwo Zdrowia nie udzieliło nam odpowiedzi, postanowiliśmy spytać Urząd Ochrony Danych Osobowych o to, czy dotarły do niego zgłoszenia podobnych incydentów ze strony Ministerstwa Zdrowia. Pytanie zadaliśmy jeszcze w lutym, a odpowiedź otrzymaliśmy 16 lutego.

Szanowny Panie Redaktorze,

w odpowiedzi na Pana e-mail uprzejmie informuję, że do dnia dzisiejszego opisywany przez Pana incydent nie został zgłoszony do UODO zarówno przez Ministra Zdrowia, jak i również Centrum e-Zdrowia.

W związku z przedstawionymi przez Państwa redakcję nieprawidłowościami w funkcjonowaniu serwisu pacjent.gov.pl, UODO zwrócił się do Ministra Zdrowia o złożenie stosownych wyjaśnień w tej sprawie.

Nawet ekspert nie ma lekko

O komentarz w tej sprawie poprosiliśmy dra Pawła Litwińskiego, adwokata z kancelarii Barta Litwiński, cenionego w Polsce eksperta od prawa ochrony danych. Pan mecenas nie miał wątpliwości co do jednego – naruszenie było i powinno zostać zgłoszone organowi ochrony danych.

Moim zdaniem tym, co powinno pozostawać poza sporem, jest kwalifikacja całego zdarzenia z punktu widzenia art. 33 i 34 RODO, czyli obowiązków związanych z ew. naruszeniami ochrony danych osobowych. Ponieważ dane osobowe osoby A (dziecko) zostały ujawnione osobie B (osoba trzecia, rodzic … innego dziecka) w sytuacji, gdy osoba B nie była uprawniona do dostępu do danych osoby A, mamy do czynienia z naruszeniem ochrony danych osobowych polegającym na naruszeniu poufności danych. To jest dla mnie oczywiste.

Proste zastosowanie tutaj choćby metody ENISY służącej do oceny wagi naruszenia (mam pełną świadomość ograniczeń tej metody, ale lubię ją przynajmniej jako punkt wyjścia) prowadzi do wniosku, że waga naruszenia wyniesie co najmniej 4, a to ze względu na to, że w systemie są przetwarzane – i ujawniane osobie nieupoważnionej! – dane dotyczące zdrowia. A skoro tak, to na pewno naruszenie trzeba zgłosić do Prezesa UODO i poinformować o nim osoby, których dane dotyczą, czyli dziecko (tak, dziecko, odpowiednio dostosowując treść informacji, żeby dziecko mogło ją zrozumieć) i jego rodziców lub opiekunów prawnych.

To nie oznacza, że dr Litwiński uznał sprawę za łatwą.

Można odnieść wrażenie, że mamy klasyczną spychologię, czyli nikt nie czuje się za nie odpowiedzialny. A tymczasem już na poziomie Polityki prywatności mamy wyraźnie wskazanie Administratora Danych Osobowych (ADO) – „Minister Zdrowia”, a kontakt do niego to „Ministerstwo Zdrowia”. Oczywiście ADO jest minister, nie ministerstwo, zresztą sama Polityka prywatności jest bardzo niejasno napisana, bo mówi nam, że „dane w Systemie P1 oraz Internetowym Koncie Pacjenta przetwarzane są w celu gromadzenia, analizy, wytwarzania i udostępniania zasobów cyfrowych o zdarzeniach medycznych w zakresie zgodnym z Ustawą z 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, w tym w szczególności obsługi e-recepty”. Tymczasem określając podstawę przetwarzania danych nie można odsyłać do całej ustawy, ale trzeba wskazać konkretny przepis – a z tym będzie problem, bo ustawa nigdzie nie mówi o tym, kto jest ADO na potrzeby pacjent.gov.pl ani też wprost nie wskazuje, czyim zadaniem jest prowadzenie tego serwisu (a w sektorze publicznym tak się powinno określać administratora danych: albo wprost mówiąc w ustawie, kto nim jest, albo wskazując zadania, które konkretny podmiot ma realizować i jeżeli wymagają one przetwarzania danych, to wtedy ten podmiot jest ADO).

Ale przyjęcie, że ADO jest minister właściwy do spraw zdrowia się spina systemowo, bo:

  1. z ustawy o systemie informacji w ochronie zdrowia wynika, że „administratorem systemu Platformy Udostępniania On-Line Usług i Zasobów Cyfrowych Rejestrów Medycznych jest jednostka podległa ministrowi właściwemu do spraw zdrowia, właściwa w zakresie systemów informacyjnych ochrony zdrowia” (art. 6 ust. 2), czyli CeZ; CeZ nie jest więc ADO w zakresie danych prezentowanych w serwisie pacjent.gov.pl;
  2. art. 7b ust. 1a ustawy o systemie informacji w ochronie zdrowia mówi nam, że „dostęp do IKP, w pełnym lub ograniczonym zakresie funkcjonalności, może być zapewniany przez ministra właściwego do spraw zdrowia za pośrednictwem publicznej aplikacji mobilnej” – wiem, że to jest troszkę coś innego, ale wskazuje jednak na konkretny podmiot, czyli na ministra;
  3. zadaniem CeZ jest m.in. „zapewnienie bezpieczeństwa i integralności udostępnianych i pobieranych danych” (art. 7 ust. 3 ustawy o systemie informacji w ochronie zdrowia) – a skoro jest to jednostka podległa Ministrowi Zdrowia, która jednak nie jest ADO, a wyłącznie administratorem systemu, to znów mamy wskazanie na MZ.


W tym miejscu porzućmy prawne rozważania i wróćmy do bardziej podstawowej sprawy – czy to obywatel powinien szukać winnego i zastanawiać się komu zgłaszać problem? Zdaniem dr Litwińskiego nie, ponieważ tak czy owak za system Internetowego Konta Pacjenta odpowiedzialny jest Administrator Danych Osobowych (ADO) prowadzący ten system.

Jeżeli okazuje się, że dane w systemie są nieprawdziwe, to z ogólnych zasad przetwarzania danych wynika moim zdaniem to, że administrator danych, który jest na końcu tego łańcuszka, informuje wcześniejszych, że dane są nieprawidłowe. Ale w żaden sposób nie oznacza to, że obowiązki związane z naruszeniami w systemie IKP spoczywają na tych ADO, którzy dostarczają dane na potrzeby systemu – naruszeniem jest naruszenie poufności danych, które ma miejsce na końcu, czyli w pacjent.gov.pl.

Ja bym więc przyjął, że administratorem danych jest tutaj Minister Zdrowia, a więc to on powinien był zgłosić naruszenia. Sam, czy za pośrednictwem CeZ, to już sprawa drugorzędna. To, że tego nie zrobiono, w mojej ocenie wskazuje jednoznacznie na naruszenie przepisów RODO. A przy okazji (…) skoro ja nie jestem w stanie ustalić, kto jest odpowiedzialny za to przetwarzanie (czyli kto jest ADO), to jak ma się w tym odnaleźć tzw. zwykły człowiek?

Mam “nadmiarowe dziecko”. Co robić? Jak żyć?

Zajrzyj na swoje Internetowe Konto Pacjenta. Sprawdź czy nie dopisano Ci nieznanego dziecka. Jeśli tak, najpierw wyjaśnij małżonkowi/małżonce,  że to nie jest żadne Twoje nieznane dziecko, ale po prostu system ministerstwa tak ma (możesz pokazać ten artykuł na dowód).

Następnie możesz spróbować zgłosić sprawę na adres ikp-pomoc@cez.gov.pl. Może się uda coś zrobić, może nie.

Niestety jako obywatel nie zmienisz tego, że ministerstwo nie doszło do ładu z tymi systemami. Pozostaje nam mieć nadzieję, że niniejsza publikacja przyczyni się do poprawy tego stanu rzeczy. Wiemy, że UODO ma już świadomość problemu i zwrócił się o wyjaśnienia. Będziemy monitorować tę sprawę.

Epilog

Na dziś (17.03.2021) Borys ciągle ma w systemie “nadmiarowe dziecko”.
Będziemy pytać UODO o to, czy MZ jakoś się wytłumaczyło.
Jeszcze raz zwrócimy się do MZ w sprawie Borysa. Uznaliśmy, że może pójdzie łatwiej po opublikowaniu tego tekstu.


Aktualizacja 22.03.2021, 14:04
A jednak cuda się zdarzają! Dziecko Borysa właśnie zostało usunięte:

Przeczytaj także:

70 komentarzy

Dodaj komentarz
  1. Panie Borys, bierz pan 500, i nie marudź :D

    • Ktoś chyba brał to 500, oficjalnie jako pan Borys

  2. Może Borys powinien zawnioskować jednak o 500+ na to “nadmiarowe” dziecko – wtedy ktoś szybciej się do niego przyzna…

    • Gorzej jak zamiast 500 plus będzie musiał alimenty płacić…. :)

  3. Wszyscy najznamienitsi ynformatycy w kraju przecież zajęci są tworzeniem pseudoporotalu Albicla. Nie ma czasu na naruszenia, ochronę danych osobowych, ważniejsze jest sianie propagandy i pranie mózgów tym których mózgi zostały już wyprane po 100 razy.

    • Portal Albicla tworzyli studenci i kompletnie za darmo. Jednak taki jest obecnie trend – szuka się ludzi, którzy zrobią Ci portal i będą dbać o jego bezpieczeństwo za najmniejszą stawkę. Zawsze się znajdzie ktoś kto na to przystanie. Bezpieczeństwo takich witryn/danych na nich gormadzonych jest co najwyżej dyskusyjna.

  4. Nic mnie w tym kraju nie dziwi…. Sama też miałam przepychankę z CeZ. Po utworzeniu konta IKP zobaczyłam receptę na mój PESEL, której nigdy w życiu nie miałam w ręcę (od lekarza z drugiego końca PL). Zgłosiłam im i po trzech miesiącach upominając się o doprowadzenie mojego zgłoszenia do końca otrzymałam informację – “osoba realizująca potwierdziła błąd podczas realizacji recepty – omyłkowo wpisała błędny numer PESEL tzw. “czeski błąd”. ” Oni chyba uwielbiają Czechy i te czeskie błędy… z którymi to my mamy się użerać i dociekać ich wyeliminowania.

    • numer PESEL i czeski błąd? przecież to kłamstwo. PESEL ma 2 cyfry kontrolne. omyłkowo wpisana 1 cyfra powoduje, że PESEL jest po prostu zły, więc zwalanie na czeski błąd jest tu po prostu nieuzasadnione.

    • Są różne czeskie błędy:
      88080829335
      88080829533
      Tak jak plusy ujemne, pomroczności jasne itp.

    • Czy to oznacza że w formularzu ZUS mogę zrobić ‘przypadkowa’ pomyłkę i uzyskać dane osobowe i medyczne dowolnej osoby?

  5. Pesele NIE MOGĄ różnić się jedną cyfrą. Po to mają cyfrę kontrolną.

    • Mogą! Można zamienić cyfry daty urodzenia, i suma kontrolna jest na to obojętna.

    • Niestety, walidator ma wagi 1-3-7-9-1-3-… i to są najgorsze wagi z możliwych, w szczególności wagi 1-3 dotyczą zarówno roku jak i dnia. W przypadku części nas urodzonych przed 2000, pomyłka polegająca na zamianie roku i dnia była możliwa do wychwycenia dodatkowym walidatorem sprawdzającym czy data ma sens (czyli np. 800115 przepisane omyłkowo jako 150180 nie przeszłoby walidacji bo nie ma takiego dnia w miesiącu jak “80”) ale dla dzieciaków teraz mamy równoważność PESELa powiedzmy 092110 (dziesiąty stycznia 2009) i 102109 (dziewiąty stycznia 2010). Te same wagi, te same sumy kontrolne. Tęgi umysł to zaprojektował a potem kolejne tęgie umysły to zatwierdziły w takiej postaci.

    • @TeDe: Wtedy się różnią dwiema cyframi. Jakby nie patrzeć, nie jest to jedna cyfra.

    • Mogą.
      Z kombinatoryki wynika, że cyfra kontrolna to 10 wartości.
      Zakładając więc, że każda zmiana cyfry w “części głównej” numeru generuje zmianę cyfry kontrolnej mamy relację 1:1, nieprawdaż? Z tym, że nie jest nigdzie powiedziane że ten przypadek ma miejsce. W szczególności rok urodzenia to 100 wartości, a cyfra kontrolna jest jedna.
      I jeszcze jedno: nie ma żadnej pewności, że numer PESEL jest walidowany na każdym kroku przetwarzania.

    • no tak, niestety macie rację z tymi walidacjami. najpierw polacy rozwalają enigmę, by potem już w czasach komuny jakieś nieuki “projektowały” formatowanie PESEL.

      jednak jedna rzecz nam tu umyka. Kiedyś komputerów nie było, i pesel trzeba było wyliczyć wg. wzoru. zdarzały się pomyłki, a także to że pesele dwóch różnych osób były *takie same*.

      Jednak nie mogę wyjść z podziwu w jednej kwestii. Przecież w PESEL jest zapisana data urodzenia, w dodatku teraz wszystko liczą komputery. czy nie lepiej przyjąć że te 2 ostatnie cyfry są liczone np. do ostatniego dnia 2021 roku, a od początku roku 2022 te 2 ostatnie cyfry byłyby wyliczane dziesiętnie jako dwucyfrowy CRC ? cokolwiek, nawet to jest lepsze niż to co mamy teraz, kiedy wszystko można zwalić na “czeski błąd”.

      zresztą podobnie było z klienckimi rachunkami w banku, gdzie wypisywany na kwitku numerek musiał mieć po kolei cyfry wg. systemu księgowego, ze wszystkimi kropkami kreskami i innymi głupotami. zostało to zaorane ustawą, i bardzo dobrze. czy z PESEL tak nie można? otóż jak najbardziej można na zasadzie stary pesel, nowy pesel. a jak ktoś kiedyś tam zechce ujednolicenia, to pozostałym przy życiu niech ustawią dodatkowy drugi nowy pesel i tyle. to nie jest jakaś technologia kosmiczna aby tego nie wprowadzić.

      btw. jeśli jakiś podmiot się “pomylił”, to nie jest mi potrzebna wiedza jaki pesel miałby być wpisany. ale ich obowiązkiem powinno być podanie, kto i kiedy się “pomylił”, chociaż kiedy, to jest w systemie.

  6. A czy gdy zgłoszenie będzie bezskuteczne nie ejst rozwiązaniem zgłoszenie prokuraturze że minister zdriwua popełniło przestępstwo?

    • Prokuratorem generalnym jest Ziobro.
      Czy uważasz że takie zgłoszenie będzie skuteczne?

  7. No to sypną się kary na miliony szekli…a nie, czekaj, kruk krukowi oka nie wykole…

    • A nawet gdyby UODO przywalił MZ karę na pierdylion zł, to co by to dało? Oba podmioty mają tego samego właściciela czyli Skarb Państwa. Czyli tak, jakbym ja sam na siebie nałożył grzywną. Opłacę ją pieniędzmi z lewej kieszeni zaś wpływy z grzywien zasilają moją prawą kieszeń…
      Nie to co w USA, że karę płaci nie jakiś tam wirtualny “podmiot publiczny” a konkretny urzędnik winny zaniedbania!

    • Przecież Minister z własnych nie odda. Zapłacimy za tę niekompetencję oczywiście, jak zawsze, my wszyscy…

    • @blz
      Dlaczego zapłacimy wszyscy? Po prostu jeden organ należący do państwa zabierze trochę kasy drugiemu organowi należącemu do państwa. Ale państwo przez to ani się nie wzbogaci ani nie ma żadnych strat!

    • Tylko… że wbrew pozorom jeden organ panstwa nakladajacy na inne organy kary ma jak najbardziej sens. Podzial srodkow jest przecierz w jakis sposob ustalony – wiec to nie jest tak, ze pieniadze odebrane pacjent.gov.pl od razu przeplyna spowrotem.
      Do tego jak ktos juz zauwazyl – jesli IT jest robione przez przyslowiowego Pana Ździśka za grosze, to nie on dostanie po kieszeni a ci ktorzy “przygarniaja” kase IT, teraz (w normalnym kraju) trzeba tylko przypilnowac czy winni nie proboja przykryc jednego przekretu drugim i w razie czego wywalic na py*k.

      Swoja droga, niewiem czemu urzednik mialby nie ponosic osobistej odpowiedzialnosci w niektorych sytuacjach. Podobnie jesli pracownik fastfoodu pusci go z dymem, potkniecie sie o smazalnice prowadzace do pozaru to troche inna sytuacja niz oblewanie budynku benzyna wykrzykujac inwektywy.

    • Kary dla podmiotów publicznych są ograniczone do 100 000 zł.

    • @avtv
      Właśnie to jest absurd tego kontynentu. Dla podmiotu publicznego limit kary powinien wynosić 0 zł. Po co mielić pieniędzmi w miejscu i produkować niepotrzebne kwity? Natomiast urzędnik, który doprowadził do naruszenia powinien odpowiadać swoimi obecnymi i przyszłymi dochodami i majątkiem bez ograniczeń, do wysokości wyrządzonej szkody!

  8. Chyba się korektor rozleniwił, albo bardzo Wam na czasie zależało, bo coś dużo “potknięć” w tym artykule. Jednego zdanie nie umiem nawet sobie dopowiedzieć: “jak perfekcyjnie […] zasady ochrony danych” – chyba za dużo w te 3 kropki weszło… ;-)

    A tak bardziej na temat: Państwo posiada (a przynajmniej powinno posiadać) listę powiązań rodzic dziecko, w bazie PESEL. Nie potrafię zrozumieć, dlaczego wszystkie inne systemy wymagają wpisywania ręcznie peseli dzieci, skoro można by ograniczyć wybór po prostu do tej listy (albo przynajmniej weryfikować te wpisane). Literówki zdarzają się przecież wszędzie i każdemu…
    W sumie z tej samej parafii (i na czasie) jest coroczne uzupełnianie peseli dzieci w załączniku do PITu rocznego w ramach tzw. ulgi na dzieci – jeśli już nie mogą sobie sami tego sprawdzić, to mogło by wystarczyć zwyczajne: stan niezmieniony od zeszłego roku (a najprościej było by tą ulgę zlikwidować, podnosząc w zamian kwotę wolną od podatku).
    Chyba za dużo logiki wymagam od systemów “państwowych”…

    • To raczej na szczęście tak jeszcze nie jest i nie ma jednej superbazy danych o obywatelach.
      Chociaż mam wrażenie, że to z powodu niemożności organizacyjnych, a nie dlatego, żeby ktoś się naruszeniem konstytucji i zakazu zbierania nadmiarowych danych przejmował.
      W każdym razie, np. w przypadku systemu Emp@tia nikt się nie przejmował, że nie było podstawy do zbierania danych, tj. ona oczywiście się znalazła, wystarczyło inaczej zinterpretować stare ustawy.

  9. Borys to miał szczęście, że w ogóle otrzymał odpowiedź od CeZu. Pracuję nad integracją różnych usług z systemu P1 (e-recepty, e-skierowania) i jeżeli otrzymam odpowiedź na pytanie to już jest święto! Pytań jest dużo a wszystko przez słabą dokumentację techniczną, oraz masę błędów. Zapytajcie się lepiej o poziom bezpieczeństwa systemu P1 i o to dlaczego serwer testowy jest lepiej chroniony niż produkcyjny (“Na śr. INT jest włączony two-way SSL, na śr. PRD two-way SSL jest czasowo wyłączony.”) Czasowo to słowo klucz bo od zawsze środowisko produkcyjne nie wymagało certyfikatu SSL XD

    • Co masz na myśli przez słabą dokumentację techniczną? Kilka dokumentacji systemów państwowych widziałem i w porównaniu z nimi CEZ nie wypada tak blado moim zdaniem. Rozwiniesz?

    • Spoko, mój profil testowy w ramach e-systemów po okresie testów przenieśli na produkcję bo im się coś nie pyknęło… i kapnąłem się po tym jak mi zamknęli dostęp bo na produkcji, po paru błędach implementacji blokują dostęp SOAP…
      A ten SOAP to panie – osobna bajka… tak spieprzyć coś co jest relatywnie proste i działa to trzeba być mega-cyber-magiem… Niby WS ale nie do końca bo bindingi po HTTPS ale Simple… i jakieś zdziczałe strony kodowe, wywalające się certyfikaty SSL/TLS – nigdy nie wiesz czy to co rano działa, wieczorem nadal będzie działać bo akurat może ktoś zmieni tam coś… i zapomni komuś przekazać powiedzieć…

    • @Karol

      W dokumentacji jest wiele niejasności oraz wiele błędów. W jednym akapicie wymienione są parametry opcjonalne wykorzystywane do logowania a kilka zdań poniżej te parametry oznaczone są jako wymagane. I tak sobie wysyłasz zapytanie do CeZu i czekasz na odpowiedź czasem nawet kilka miesięcy. Ot taka Polska rzeczywistość. Dodatkowo zdarzają się błędy w nazwach parametrów/zmiennych lub brak opisów.Takich przykładów niestety jest dużo.
      Dużym utrudnieniem dla programistów jest brak spójności między serwerem testowym a produkcyjnym. Wysyłając zapytanie, np. e-recepte na ww. serwery dostajesz dwa różne wyniki bo serwer produkcyjny jest w innej wersji i zawiera inne reguły walidujące. Może okazać się tak, że sprawdzone rozwiązanie na serwerze testowym nie zadziała na produkcji. Ogólnie system P1 to temat rzeka :-)

  10. Co do IKP… to ja mam z kolei w historia leczenia -> zaplanowane wizyty od jakiegoś roku umówioną wizytę w PORADNI PROFILAKTYKI CHORÓB PIERSI – ostatnio tylko zmieniła się data, bo teraz jest: Stan na dzień 30.11.2020, a wcześniej była 31.01.2020.

    Nie musze mowic, ze ta wizyta nie wiem jak sie tam znalazla i również napisałem maila do nich w tej sprawie… i zamiast sami zadziałać odpowiednio to mi kazali drążyć.

  11. Do redakcji Niebezpiecznika: dlaczego jako podmiot zainteresowany chronieniem prywatnosci wykorzystujace Cloudflare?

    • A jak Cloudflare naruszył Twoją prywatność podczas wizyty na naszej stronie?

    • Ooo dobrze, że ktoś poruszył temat. Ja przez tydzień nie mogłem korzystać ze strony, bo Cloudflare zbanował IP od NordVPN z którego się łącze.

    • Nie cloudflare, tylko nasz IPS. Dlaczego nie zmieniłeś na IP na inny? Ten VPN oferuje ponad 5000 hostów do wyboru?

  12. No i pani dyrektor CeZ odleciała ze stanowiska.

  13. Nadmiarowe dziecko czasem może powstać z bardzo prostego powodu. Sam miałem tego przykład gdy księgowa dodawała moje dziecko do ubezpieczenia i przestawiła dwie cyfry w peselu. Zgłoszenie przeszło, pojawiło mi się cudze dziecko. Po sprawdzeniu księgowa zrobiła korektę co rozwiązało problem.

    • Jak księgowa potrafi 2 z 9 cyfr pomylić – to zmień księgową ;)

    • To raczej nie ten przypadek. Poszkodowany pisze o “nadmiarowym” dziecku, nie o “zamienionym” dziecku. Bład popełnił zgłaszający to dziecko do ubezpieczenia, podał nieprawidłowy PESEL rodzica. System przypiłą więc dziecko innemu rodzicowi.

  14. Ciekawe czy pozwalniali te panienki, które tak bardzo zbliżyły gościa do rozwiązania sprawy?

  15. A może po prostu wystarczyło wyjaśnić sprawę ze swoją partnerką ;)

  16. Nie chcialbym pisac w tym miejscu elaboratu na temat clouflare, z ktorego uslug korzystacie.
    Pozwalam sobie wkleic link, ktory wyjasni jak dziala Cloudflare i jak inwazyjna jest ich usluga.
    https://git.sdf.org/resistance/stop_cloudflare/src/branch/master/readme/pl.md

  17. Dobry moment na ten artykuł, bo akurat dziś rano gruchnęła wieść, że Dyrektor CeZ straciła stanowisko :)

  18. nie znam się więc pytam, a może zgłoszenie do jakiejś europejskiej instytucji zajmującej się RODO przyspieszy wyjaśnienie sytuacji?

  19. Kiedy zgłosiłem nadmiarowa dwójkę, dostałem rekomendacje zweryfikowania tematu z ZUS.

  20. Czekam na zakończenie tego incydentu.

  21. Chciałbym jeszcze podnieść kwestię wysysania danych określonej osoby: rozumiem, że wystarczy mieć znajomą księgową/kadrową, żeby “podpiąć się” do jakiejś osoby poprzez relację rodzic-dziecko oraz wyssać z IKP jej dane wrażliwe tłumacząc później, że to był “czeski błąd”?

    • Z całej tej historii ta uwaga jest najgroźniejsza. Ujrzałem oczami wyobraźni hulające po pastebin historie leczenia ministra zdrowia, szefa NFZ, polityków… wystarczy PESEL, własna IDG i tyle? a jedyna kara to z paragrafu o fałszywych oświadczeniach jaki widnieje na wnioskach do ZUS? I to jest całe zabezpieczenie? I to tylko pod warunkiem, że ten kto sobie podepnie ofiary to się tym pochwali, bo automatycznie nikt tego nie znajduje? Brak słów.

  22. Ja od dwóch lat mam przypisane czyjeś dziecko, zgłaszałem to kilkukrotnie i bezskutecznie, przychodzą mi na email cudze recepty. Zgłaszałem i bez rezultatu, może UODO coś z tym w końcu zrobi.

  23. Rany… Od samego pcozatku wiadomo, ze GDPR jest od tego, aby wysysac kase ze srednich przedsiebiorstw i dawac w lape kascie prawniczej. Kazdy myslacy ma ten cyrk w d…

    • Z drugiej strony lepiej wlepić miliardową karę ministerstwu, żeby wszyscy podatnicy ją później spłacali…

    • @Anonim Nie jestes w temacie: urzady publiczne, banki i branza medyczna sa zwolnione z GDPR. Juz na etapie projektowania tego pseudoprawa dokonano korekt, aby przypadkiem nie skrzywdzic swoich kolesi od wodki. O tym malo kto wie (bo przeciez jak to – ktos stoi ponad prawem, przeciez niby wszyscy sa rowni), ale spytaj prawnikow specjalizujacych sie w tym temacie.

  24. W warunkach korzystania z serwisu mamy (§4 p.3): “…CeZ nie odpowiada za szkody powstałe w związku z Systemem P1, jej użytkowaniem bądź w związku z niewłaściwym działaniem, błędami, brakami, zakłóceniami, defektami, opóźnieniami w transmisji danych, wirusami komputerowymi, awarią linii lub systemu informatycznego…”.
    Powinniśmy być więc pewnie wdzięczni że to działa, jakkolwiek, choć jak widać nikt za nic nie odpowiada.

  25. W tej nieco przydługiej opowieści zabrakło jednej informacji: to Pan Borys czyli UBEZPIECZONY jest źródłem informacji. Ani ZUS ani NFZ ani CeZ nie wytwarzają informacji, a jedynie je przetwarzają i to w miliardowych ilościach. Jasne, że sensacyjne ‘walenie’ w instytucje jest ciekawsze, ale to Pan Borys i wszyscy, którzy natrafią na takie zdarzenie powinni zacząć od siebie. Trzeba sprawdzić jakie dane zostały przez PRACODAWCĘ wysłane do ZUS – elektronicznie. I wtedy może przyjdzie refleksja, że za podawanie fałszywych danych jest paragraf?

    • A co to, kolega przedstawiciel dobrej zmiany? “nie podskakuj walcowi, bo cię walec rozjedzie”?

  26. Dzisiaj rano zgłosiłam do IOD pewnego dużego i znanego sklepu internetowego że dostałam na swojego maila potwierdzenie zamówienia z danymi innej osoby. Tak się składa, że ciągle dostaję maile dotyczące tej osoby począwszy or rezerwacji wizyt u lekarza i kosmetyczki, poprzez zamówienia ze sklepów internetowych aż po wyciąg z karty prepaid jakiegoś szwajcarskiego banku Klarna, Ktoś chyba nie umie w internety i ciągle podaje mój adres mailowy podobny do własnego. Napisałam że nie będę z tego robił jakiegoś problemu ale skoro mają numer telefonu do tej osoby to proszę o poinformowanie jej aby naumiała się swojego adresu e-mail. W odpowiedzi dostałam bon na 50 zł do wykorzystania w tym sklepie. Łapówka?

  27. Żeby to był jedyny błąd… Najgorsze jest to że cyfryzacja służby zdrowia postępuje, więc pewnie za pół roku będzie artykuł o e-skierowaniach bo to co tam się dzieje to jest dopiero cyrk.

  28. Czy na serio brak zgłoszenia to jedyny powód niewszczęcia postępowania przez GIODO/UODO czy jak mu tam? serio?

    no tak. ręka rękę myje. obie strony to podmioty państwowe.

  29. “Przecież to ono odpowiada za IKP, a system wystąpił w IKP.” – chyba błąd raczej wystąpił a nie system :-)

  30. ja widzę większe zagrożenie w IKP niż przypadkowe dane. Logując się do IKP przez profil zaufany (ja przez Millenium Bank) nie przechodzę żadnej weryfikacji dwuetapowej!!! Wpisuje ID w panelu banku, hasło, i dwie cyfry PESEL i już jestem na koncie. Żadnego hasła SMS! Nawet logując się w praca.gov.pl czy gdziekolwiek indziej (gdzie dane są o wiele mniej wrażliwe) muszę podać kod sms. Tutaj nic. Login do banku, hasło i można widzieć wszystko.

  31. Sprawa prosta jak drut.
    1. Polityka prywatności IKP jasno wskazuje ADO, czyli Min. Zdrowia, jest nawet kontakt do Inspektora Ochrony Danych w tej polityce. Pan Borys robi wniosek do ADO/Min. Zdrowia o sprostowanie/usunięcie danych i ADO ma czas realizacji “bez zbędnej zwłoki, a w każdym razie w terminie miesiąca“ wynikający z RODO. Jak po 30 dniach nie usuną, to do UODO skarga.
    2. To, że system IKP czerpie z innych źródeł dane o osobach nic nie zmienia w gestii tego kto jest ADO i kto odpowiada za poprawność, autentyczność, integralność danych w systemie IKP.
    3. RODO jak najbardziej dopuszcza możliwość udostępniania przez jednego ADO (np. ZUS) danych do drugiego ADO (Min. Zdrowia). Oba podmioty są ADO, mają te same/podobne dane, ale realizują inne, własne cele.
    4. Dla uszczelnienia systemu udostępniania danych przez ZUS do MZ, proponowałbym Panu Borysowi złożenie wniosku z RODO o sprostowanie/usunięcie danych do ZUS i czekać 30 dni na realizację tego wniosku. Jeśli nie zmienią, to do UODO, że ADO nie wywiązuje się, ze swoich obowiązków. Kary będą leciały raz za brak realizacji praw wymienionych w RODO, dwa za brak zgłoszenia naruszenia ochrony danych do UODO, a mówimy o danych szczególnej kategorii (dane medyczne dot. stanu zdrowia), które to dane RODO nakazuje chronić najbardziej.

  32. Czy chcąc wykraść czyjeś dane związane z leczeniem wystarczy go ubezpieczyć jako swoje dziecko w jakiejś firmie, a potem wszystko jest na tacy w systemie?!

  33. Dawno temu w czasach studenckich odkryłem wpisy w moim indeksie wskazujące że biorę stypendium , którego na oczy nie widziałem. Panie w dziekanacie były zdziwione i mnie zbyły. Po latach żałuję że nie poszedłem z tym na policję, bo była to ewidentna kradzież na moje nazwisko. Być może podobnie to wygląda z tym nadmiarowym dzieckiem , warto sprawdzić czy ktoś i ile wziął na to “dziecko”

  34. Też uciąłem sobie długą dyskusję z obsługującymi IKP. Ja nie miałem dodatkowego dziecka, w systemie nie miałem żadnego, pomimo poprawnego zgłoszenia do ZUS i pobiegania 500+. Odpowiedzi od obsługi podobne. Problem rozwiązany identycznie jak w tym przypadku – czyli wcale. U mnie dodatkowo dochodziło nieustanne żądane kogoś po stronie MZ przesyłania numerów PESEL w normalnej wiadomości e-mail, bez żadnej kontroli kto i kiedy przeczyta tą wiadomość. Na pytanie czy nie mogę użyć epuapu lub innego systemy albo nie dostawałem odpowiedzi albo dostawałem odpowiedź, że nie obsługują ani epuapu ani szyfrowania ani podpisów kwalifikowanych.

  35. Co to za naruszenie…. Osobiście znam szpital w którym wyparowało 10 lat badań radiologicznych. Dziesiątki tysięcy pacjentów… I co?… I nic… Dyr olał temat, nikt nie zgłosił, rok minął i cisza….

  36. To w moim przypadku na stronie pacjent.gov.pl mam wystawioną receptę na mój numer pesel przez lekarza w Grudziądzu i zrealizowaną w Wąbrzeźnie i niby ok jednak w tym okresie czasu przebywałem w Warszawie – dodam tylko że w Wąbrzeźnie w życiu tym nie byłem może w poprzednim

  37. Skoro dane tak nagle bez wyjaśnienia zniknęły… To czy Pan Borys nie powinien zgłosić teraz braku danych? W końcu w zasadzie nie wiadomo co się stało…

  38. “Dziecko Borysa właśnie zostało usunięte”… Hahahaha

  39. Dzieci są naszym wspólnym dobrem. Z tego założenia wychodzi ZUS i NFZ

Odpowiadasz na komentarz buuuuuuu190

Kliknij tu, aby anulować

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: