Sto dni między włamaniem a rozstrzygnięciem

30 lipca 2026 roku zaczęły docierać pierwsze listy. Pisano w nich, że imię i nazwisko, adres, data urodzenia, numer ubezpieczenia społecznego, prawo jazdy, urzędowe dokumenty tożsamości, dane bankowe, numery kart i dokumentacja medyczna mogły zostać wyniesione. U części tych osób skradzione dane karty obejmowały także kod zabezpieczający z rewersu. Nadawcą był CareCloud, firma tworząca oprogramowanie dla ochrony zdrowia, której systemy przechowują kartoteki w imieniu gabinetów lekarskich.

Włamanie miało miejsce w marcu. Napastnicy przebywali w jednym z sześciu środowisk elektronicznej dokumentacji medycznej CareCloud, utrzymywanych w Amazon Web Services, między 10 a 16 marca 2026 roku. Środowisko zostało zakłócone 16 marca i przywrócone tego samego wieczoru. Pod koniec miesiąca firma ujawniła incydent publicznie, zaznaczając zarazem, że dochodzenie w sprawie tego, do czego faktycznie uzyskano dostęp, wciąż trwa.

To dochodzenie zakończyło się 24 czerwca, gdy CareCloud ustalił, że doszło do naruszenia informacji osobowych, finansowych i medycznych. Od 16 marca do 24 czerwca mija dokładnie sto dni. Do pierwszych listów mija sto trzydzieści sześć.

Termin nie zaczyna biec tam, gdzie zakładasz

Amerykańskie zawiadomienia w ochronie zdrowia opierają się na zasadzie sześćdziesięciu dni: poinformować osoby dotknięte bez nieuzasadnionej zwłoki i najpóźniej w ciągu sześćdziesięciu dni kalendarzowych od wykrycia naruszenia. Czytane wprost, wykrycie brzmi jak dzień, w którym dowiadujesz się o włamaniu, tutaj 16 marca. Przy takim odczytaniu listy spóźniają się o ponad dwa miesiące.

Odczytanie, przy którym ten harmonogram się spina, jest inne. Traktuje wykrycie jako dzień, w którym dochodzenie stwierdza, że informacje chronione rzeczywiście były objęte zdarzeniem, czyli 24 czerwca. Licząc sześćdziesiąt dni od tej daty, listy wysłane 30 lipca mieszczą się w terminie z zapasem. Na tym odczytaniu praktyka opiera się szeroko i właśnie dlatego ten harmonogram da się obronić w każdym stanie, w którym CareCloud złożył zgłoszenie, w tym w Kalifornii, Massachusetts, New Hampshire, Teksasie i Maine.

Które odczytanie jest właściwe, to osobna sprawa; zwróć uwagę, co robi to drugie. Czyni początek terminu wynikiem dochodzenia, a żaden przepis nie wyznacza terminu na zakończenie dochodzenia. Obowiązek, który zaczyna się wtedy, gdy uznasz, że się zaczyna, to obowiązek, którego moment sam kontrolujesz.

Europa napisała tę zasadę odwrotnie

Artykuł 33 RODO wymaga od administratora zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, a w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Stwierdzenie nie oznacza zamknięcia raportu z analizy śledczej. To moment, w którym istnieje rozsądny stopień pewności, że incydent bezpieczeństwa naruszył dane osobowe, a moment ten nadchodzi prawie zawsze na długo przed tym, nim wiadomo, czyje to dane i ile ich jest.

Prawodawca przewidział dokładnie tę lukę, w której CareCloud spędził sto dni. Artykuł 33 ustęp 4 stanowi, że jeżeli informacji nie da się udzielić w tym samym czasie, można je udzielać sukcesywnie bez zbędnej zwłoki. Założeniem konstrukcyjnym jest to, że zgłaszasz, będąc jeszcze w niewiedzy, i uzupełniasz w miarę zdobywania wiedzy. Model amerykański pozwala czekać, aż będziesz wiedzieć; model europejski nakazuje zgłosić, zanim będziesz wiedzieć, i zgłaszać dalej.

Konsekwencja dla przedsiębiorcy nie jest abstrakcyjna. Ten sam incydent, na tej samej infrastrukturze, po jednej stronie Atlantyku daje zgłoszenie w 72 godziny, a po drugiej ustalenie po stu dniach. Jeśli odruchy twojego dostawcy ukształtował ten drugi kalendarz, to właśnie te odruchy stoją teraz między tobą a twoim własnym terminem.

Obraz rósł, gdy termin był odsuwany

Odsuwanie początku terminu ważyłoby mniej, gdyby wczesna relacja się obroniła. Nie obroniła się. Własny opis CareCloud z marca szacował nieuprawniony dostęp na około osiem godzin 16 marca, zamknięty w jednym środowisku i bez udziału innych systemów firmy. Późniejsze zgłoszenia do stanów opisują napastników obecnych w tym środowisku od 10 do 16 marca, czyli sześć dni zamiast ośmiu godzin.

Grono dotkniętych również urosło. Zgłoszenia mówią o co najmniej 345 000 osób, następnie doniesiono o ponad 350 000, a kolejne wnioski stanowe zapewne znów ruszą tę liczbę. Firma oświadczyła, że napastnik twierdził, iż wyprowadził dane z jej baz, że zewnętrzni specjaliści zabezpieczyli środowisko i potwierdzili brak utrzymującego się nieuprawnionego dostępu oraz że nie ma dowodów na niewłaściwe wykorzystanie skradzionych danych. Prezes zarządu Stephen Snyder odmówił komentarza, gdy zwrócili się do niego dziennikarze.

Każda z tych korekt szła w tę samą stronę i każda pojawiła się po pierwszej publicznej relacji. Dochodzenie, które wciąż powiększa własne szacunki, nie jest powodem, by kazać czekać osobom dotkniętym. Jest powodem, by powiadomić je wcześnie i publicznie korygować w górę.

Brakująca liczba należy do twojej umowy

Jeśli dostawca przetwarza dane osobowe w twoim imieniu, to ty jesteś administratorem, a te 72 godziny należą do ciebie. Artykuł 33 ustęp 2 wymaga od podmiotu przetwarzającego zawiadomienia administratora bez zbędnej zwłoki i nie dołącza do tego żadnej liczby. Artykuł 28 wymaga, by twoja umowa zobowiązywała podmiot przetwarzający do pomocy w wywiązaniu się z obowiązków z artykułu 33. Między tymi przepisami zostaje dziura w kształcie liczby, a jeśli jej nie wypełnisz, dziedziczysz harmonogram, który toleruje organ nadzorczy twojego dostawcy.

Wypełnij ją dwiema klauzulami, a nie jedną. Pierwsza ustala sztywny termin liczony w godzinach, biegnący od chwili, gdy dostawca wykryje incydent bezpieczeństwa w środowisku zawierającym twoje dane, a nie od chwili, gdy ustali, jakich danych dotyczył, bo to właśnie temu drugiemu zdarzeniu nie towarzyszy żaden termin. Druga daje ci prawo do faktów w miarę ich pojawiania się, w tym do listy dotkniętych środowisk, okna dostępu i kategorii zagrożonych danych, zamiast do jednego gotowego raportu na końcu.

Potem sprawdź to tak, jak sprawdzasz kopię zapasową. Zapytaj pisemnie trzech największych podmiotów przetwarzających, kiedy ostatnio mieli incydent bezpieczeństwa w środowisku z twoimi danymi, w jakiej dacie go wykryli i w jakiej dacie powiadomili klienta. Dostawca, który nie potrafi rozdzielić ci tych dwóch dat na żądanie, nie rozdzieli ich także pod presją. W Polsce zgłoszenie trafia do Urzędu Ochrony Danych Osobowych, i to ciebie, a nie twojego dostawcę, ten organ zapyta, dlaczego wpłynęło późno.

Czytaj dalej: Skarga na cookies z 2021 roku wróciła  |  Cztery amerykańskie chmury pod brytyjskim nadzorem