Podle časopisu Mediscape se cena jednoho zdravotního záznamu s osobními daty pacienta na černém trhu v Americe pohybuje od 50 dolarů do 200 dolarů za záznam.

Narušení osobních údajů ve zdravotnictví v USA

Od roku 2003 bylo zaznamenáno více než 171 000 stížností na ochranu osobních údajů, což vedlo k mnohamilionovým pokutám.

Nemocnice v Baltimore měla na jaře roku 2016 na několik dní ochromený celý IT systém. Aby mohla fungovat, zaplatila mnohamilionové výkupné.

Tři chyby z roku 2013 stály systém Advocate Health System ve výši 5,5 milionu dolarů.

Nemocnice New York Presbyterian Hospital a Columbia University zaplatila částku 4,8 milionu dolarů za vypořádání kvůli chybám v ochraně údajů v roce 2010.

V roce 2009 ve státě Virginia pronikli hackeři opakovaně do databází léků na předpis. Získali tak záznamy o osmi milionech pacientů. S ukradenými daty se pokusili vydírat jejich správce

Velká Británie: z Národního zdravotního systému zmizely v dubnu 2007 laptopy, USB připojení a mobilní připojení k síti obsahující osobní a zdravotní data o milionech pacientů.

Pro srovnání: v Česku se na černém trhu dle odhadů expertů z Úřadu na ochranu osobních údajů (UOOU) cena za pouhou databázi lidí, například klientů s kontakty, tedy bez jakýchkoliv ceněných zdravotnických dat, pohybuje podle její velikosti od 50 do 150 tisíc korun - to pokud jde o data zahrnující všechny regiony.

Z toho plyne, jak moc cenná jsou právě naše citlivá data o zdraví. U výrobců léčiv jsou údaje o pacientech a průběhu jejich léčby na vlastním léku, ta nejvíc sledovaná a hlídaná. Taková databáze má cenu mnoha milionů dolarů. Teoreticky: v praxi ji farmaceutické firmy samozřejmě nesmí nikomu poskytnout, kromě dohledového státního regulátora, což je v Česku SUKL.

Jenže platí, kde jsou citlivá data, je i poptávka po nich. A data se kradou.

Hlad je zejména po jménech, rodných číslech, kontaktních údajích, diagnózách a anamnéze v zahraničí je součástí záznamů o pacientovi i informace o platbách za zdravotní péči, tedy čísla pojištění a platebních karet.

Data z nemocnic unikají, ne že ne

Podle výzkumu Ponemon institutu se v USA s únikem dat potkalo 90 % poskytovatelů zdravotních služeb, navíc 40 % dokonce více než pětkrát v posledních dvou letech. Dělat si iluze o účinné ochraně dat v Česku tedy nemá smysl. Jen se u nás kvůli tomu pacienti ještě nenaučili soudit, jako o odškodné za způsobenou újmu.

A ukrást zdravotnická data není těžké. Například administrátorské účty a hesla ke zdravotnickým přístrojům bývají podle IT expertů ze specializovaného webu Root.cz často nastavená „natvrdo“, aby umožnila rychlý přístup servisním pracovníkům. „Dokonce i některé manuály k přístrojům upozorňují, že změna přístupových účtů k přístrojům může vést k ztrátě záruky či omezení servisu,“ zjistil Root.cz a doplňuje, že tisíce přístrojů jsou pak dostupné na veřejných IP adresách, což může vést k napadení nejen rentgenu či CT na dálku, ale i k napadení celé nemocniční sítě. Což jsou přesně ty věci, které se s příchodem GDPR musí změnit.

Jak říká Josef Prokeš z UOOU má totiž každá informace svou hodnotu. „Ty o zdraví speciálně. A mně vadí, že to u nás vlastně nikomu nevadí,“ řekl před časem, když se tvořil zákon o zdravotnických registrech.

Narážel tím na chování samotných pacientů. Bývalý europoslanec za ODS Milan Cabrnoch, který se shromažďováním těchto dat zabýval už před deseti lety v projektu IZIP, to dokonce shrnul slovy „Češi klidně prodají data o svém zdravotním stavu za slevovou kartičku na banán.“ Hovoří ze své konkrétní zkušenosti – do systému IZIP poskytlo 2,5 milionu lidí svá data dobrovolně. Nikoliv proto, že by to nařizoval zákon. Není divu: podle jednoho z průzkumů agentury Median lidé víc tají svůj plat a výši dluhů, před ochranou svých zdravotních údajů.

Jak unikají citlivá zdravotní data v Česku

• Soukromý lékař smluvně zajišťující preventivní zdravotní péči pro strojírenskou firmu doporučil na základě lékařského vyšetření zaměstnancům firmy další odborná vyšetření. Doporučení (včetně diagnóz) předal nikoliv přímo svým pacientům, ale pro „urychlení“ hromadně jejich nadřízenému.
• Soukromé lékařce byla na vlastní žádost krajským úřadem zrušena registrace její ordinace. Lékařka měla povinnost předat zdravotnickou dokumentaci pacientů krajskému úřadu. Povinnost nesplnila, protože majitel nebytových prostor, kde měla lékařka svou ordinaci, zdravotnickou dokumentaci z vyklizovaných místností nedopatřením odebral a spálil v kotli.
• Soukromá lékařka hodlala předat zdravotnickou dokumentaci jinému lékaři (pacient změnil lékaře). K předání využila zásilkovou službu, jíž chorobopis předala tak, že jej nechala ležet na volně přístupném stole v chodbě polikliniky, odkud si zásilková služba vždy zásilky odebírá. Zdravotní karty se však ze stolu ztratily a dotčení pacienti si oprávněně stěžovali.
• Jiná soukromá lékařka má kartotéku se zdravotními kartami svých pacientů v čekárně před ordinací. Jako kartotéka slouží dřevěná registrační skříň se samostatnými zásuvkami, každá opatřená zámkem. Pacienti si stěžovali, že v průběhu ordinačních hodin nejsou zámky zásuvek uzamčeny, a že tedy hrozí reálná možnost, že do zdravotních karet mohou nahlížet nepovolané osoby.

Situace v Česku

Úřad na ochranu osobních údajů již provedl před časem kontrolu v Ústavu zdravotnických informací a statistiky, který je největším správcem dat v Česku. Spadá pod něj čtrnáct obřích zdravotnických registrů. „Kontrolou bylo zjištěno a konstatováno, že ÚZIS ČR v rámci sběru a zpracování zdravotnických informací a při vedení národních zdravotních registrů řádně plní všechny podmínky ochrany osobních údajů stanovené zákonem,“ píše se ve výsledku kontroly UOOU.

Chlácholení však není na místě. Jinde situace zdaleka tak růžová není. Připomeňme si třeba kauzu velké soukromé polikliniky, kdy se na sběrném dvoře několik kilometrů od polikliniky našly zdravotní karty jejích pacientů. Kontrola UOOU zjistila, že jde o chorobopisy zhruba dvou tisíc pacientů.

„V následném správním řízení byla za spáchaný správní delikt poliklinice uložena pokuta ve výši 1,75 milionů korun. K úniku zdravotnické dokumentace došlo zcela nepochopitelnou nedbalostí při nakládání s ní. Míra této nedbalosti je zarážející vzhledem k tomu, že se jedná právě o zdravotnické zařízení a zdravotnické pracovníky, pro něž by měla být ochrana údajů o pacientech naprostou samozřejmostí, i bez zákonem stanovených zásad,“ konstatoval UOOU.

„Výsledky kontrolních šetření a oprávněné poukazování občanů na nedostatky v činnosti malých nestátních zdravotnických zařízení prokazují, že mnozí soukromí lékaři si dosud neuvědomují nezbytné nároky na ochranu dat pacientů a odpovědnost za tuto ochranu, a to i přesto, že na základě principu zachování lékařského tajemství by pro ně měly být tyto věci zcela přirozené,“ komentovala to mluvčí UOOU Hana Štěpánková.

Mimochodem: když v roce 2015 končila společnost IZIP, tedy elektronická zdravotní knížka dlouhá léta spojená s VZP, nikdo se neptal, co se stalo s citlivými zdravotními daty téměř dvou a půl milionů lidí, kteří byli v IZIP zaregistrováni. Data patřila společnosti IZIP, protože té lidé podepisovali souhlas s nakládáním se zdravotními údaji, lécích, které berou, prodělaných hospitalizacích, diagnózách, vývoji nemoci, alergiích a navštívených lékařích. Přitom tam na sklonku roku 2015 bylo skoro čtvrt miliardy citlivých zdravotních záznamů a jen dat o předepisovaných lécích bylo přes jedenáct milionů.

IZIP sice nikdy nebyl v podezření z úniku dat, ale je zarážející, že sami pacienti se o svá data nezajímají. Je dobré se zeptat, jak by se komu líbilo, kdyby jejich zaměstnavatel kromě tradičního CV o nich získal také údaje o tom, že se léčí s maniodepresivní psychózou, leželi na infekčním v nemocnici s kapavkou nebo si například dochází pro antabus do protialkoholní léčebny? Asi nikoliv. A ono se to reálně děje. Své o tom ví například Jitka Seitlová, bývalá senátorka a poté zástupkyně ombudsmana. Ještě když byla činná v politice, protistrana ji jejími uniklými citlivými daty z chorobopisu vydírala, jak přiznala pro MF DNES.

Takže má smysl si hlídat, kdo a jak s našimi daty o zdraví zachází. „Dokud se na to sám pacient nezačne ptát, nebudou zdravotnická zařízení, která k GDPR přistupují dosud laxně, nucena nic měnit,“ komentuje to právnička, specialistka na zdravotnictví, Jolana Těšinová.

Lenka Petrášová

Dvacet let se coby novinářka snažila přijít na to, jak funguje české zdravotnictví a proč je v něm tolik nelogických zákrut. Díky tomu otevírala v MF DNES témata, která široce rezonovala napříč společností. Získala za ně také tři prestižní novinářská ocenění. Dnes pracuje ve vydavatelství Economia. Vzhledem k tomu, že svět zdravotnictví považuje za důležitý a domnívá se, že relevantní informace o něm v Česku stále chybí, rozhodla se podílet se na tom, aby se to změnilo.
lenka.petrasova@seznam.cz