Nakładki hurtowni w systemach aptecznych: czy PESEL i historia chorób pacjentów trafiały do dystrybutorów leków?

Zakończone postępowanie antymonopolowe UOKiK odsłoniło nieoczekiwany problem: specjalne oprogramowanie zainstalowane w tysiącach aptek automatycznie przesyłało hurtowniom dane o sprzedaży leków. Kłopot w tym, że te same systemy informatyczne zawierają numery PESEL i informacje o chorobach pacjentów. Prezes UODO właśnie zapytał Głównego Inspektora Farmaceutycznego, czy ktokolwiek wcześniej sprawdził, co tak naprawdę było wysyłane i dlaczego nikt tego pytania nie zadał wcześniej.

Najważniejsze:

• Prezes UODO Mirosław Wróblewski skierował do Głównego Inspektora Farmaceutycznego Łukasza Pietrzaka pilne pismo z pytaniem, czy nakładki instalowane w aptecznych systemach informatycznych przekazywały hurtowniom dane osobowe pacjentów, w tym numery PESEL i dane o stanie zdrowia.
• Podstawą interwencji jest zakończone postępowanie antymonopolowe UOKiK wobec hurtowni takich jak Neuca, Farmacol i PGF, które prowadziły programy partnerskie z aptekami oparte na automatycznym raportowaniu sprzedaży.
• Programy partnerskie obejmowały ponad cztery tysiące aptek, co stanowi blisko dwie piąte krajowego rynku aptecznego; wskazane hurtownie kontrolowały łącznie ponad siedem dziesiątych rynku dystrybucji.
• UODO nie przesądza, że doszło do naruszenia, urząd dopiero ustala, czy zakres pobieranych danych w ogóle był kiedykolwiek skontrolowany.
• Decyzja o instalacji nakładki należała do kierownictwa apteki i hurtowni.

Skąd ta sprawa i dlaczego akurat teraz

Postępowanie antymonopolowe UOKiK skupiało się na tym, czy wymiana informacji handlowych między hurtowniami a aptekami naruszała reguły konkurencji. Mechanizm był następujący: apteki instalowały w swoich systemach oprogramowanie integracyjne dostarczone przez hurtownie, które automatycznie raportowało dane o sprzedaży leków. Z perspektywy prawa konkurencji chodzi o koordynację rynkową. Z perspektywy ochrony danych osobowych pojawia się jednak zupełnie inne pytanie: co dokładnie ta nakładka pobierała?

Dopiero po zamknięciu sprawy przez UOKiK prezes UODO wystąpił do inspektora farmaceutycznego. Samo opóźnienie jest wymowne: przez cały czas trwania postępowania antymonopolowego aspekt ochrony danych pacjentów najwyraźniej nie był priorytetem żadnego z organów. Nasuwa się pytanie, czy organy regulacyjne patrzące na tę samą sprawę z różnych stron w ogóle wymieniały między sobą informacje i czy powinny to robić systemowo, a nie dopiero po fakcie.

Po co hurtowni dane pacjenta? Logika biznesowa i realne ryzyko

Zanim ocenimy skalę zagrożenia, warto zrozumieć, po co hurtowniom mogłyby służyć dane wykraczające poza anonimowe statystyki sprzedaży. Czysto handlowo wystarczyłoby wiedzieć, ile opakowań danego preparatu sprzedała apteka w danym tygodniu. Jednak dane powiązane z konkretnym pacjentem, wiek, płeć, schorzenie, stosowana terapia, mają wartość marketingową i analityczną nieporównywalnie wyższą: umożliwiają profilowanie grup pacjentów, przewidywanie popytu na konkretne leki, a w skrajnym scenariuszu, targetowanie ofert handlowych według profilu zdrowotnego.

Czytaj także: Pacjenci onkologiczni a sektor finansowy: UODO domaga się systemowej ochrony danych

System apteczny to nie kasa fiskalna rejestrująca transakcje. Przetwarza on dane zaliczane przez RODO do kategorii szczególnie chronionych, a także dane, których ujawnienie rodzi istotne ryzyka, takie jak numery PESEL. Ujawnienie numeru PESEL w połączeniu z danymi o stosowanej terapii tworzy profil, który może posłużyć zarówno do wyłudzenia tożsamości, jak i do dyskryminacji, na przykład przez ubezpieczycieli lub pracodawców.

Nie wiadomo, czy do takiego transferu doszło. Właśnie dlatego UODO pyta, ale sam fakt, że pytanie pada dopiero po zakończeniu sprawy antymonopolowej, pokazuje lukę w systemie nadzoru.

Dwa konkretne pytania do inspektora farmaceutycznego

Prezes UODO sformułował wobec Głównego Inspektora Farmaceutycznego dwa precyzyjne pytania. Po pierwsze, czy inspektorat farmaceutyczny w ogóle analizował, jakie dane były pobierane przez oprogramowanie integracyjne hurtowni z aptecznych systemów informatycznych. Po drugie, czy posiada udokumentowane przypadki, w których systemy raportujące będące przedmiotem sprawy UOKiK faktycznie przesłały dane osobowe poza aptekę.

Czytaj także: Dekada zmowy na rynku leków. UOKiK nakłada prawie miliard zł kar na największe hurtownie farmaceutyczne

To nie są pytania retoryczne. Odpowiedź twierdząca na pierwsze z nich oznaczałaby, że inspektorat miał wiedzę o zakresie pobieranych danych i nie podjął działań. Odpowiedź przecząca, że nikt nigdy nie zbadał, co nakładka robi z dostępem do systemu aptecznego. Obydwa warianty są kłopotliwe z punktu widzenia nadzoru nad sektorem farmaceutycznym.

Skala: miliony pacjentów, tysiące aptek, jedno pytanie bez odpowiedzi

Liczby podane przez UOKiK pozwalają oszacować potencjalny zasięg problemu. Hurtownie objęte postępowaniem kontrolowały ponad siedem dziesiątych rynku dystrybucji farmaceutycznej. Programy partnerskie działały w ponad czterech tysiącach aptek, co odpowiada blisko dwóm piątym wszystkich placówek w Polsce. Nawet ostrożne szacunki wskazują, że potencjalna ekspozycja danych mogła obejmować miliony rekordów.

Dla porównania: największe dotychczasowe naruszenia danych osobowych w polskiej ochronie zdrowia dotyczyły pojedynczych placówek lub regionalnych baz danych. Gdyby okazało się, że nakładki pobierały dane pacjentów, mielibyśmy do czynienia ze zdarzeniem o skali systemowej, bez precedensu w krajowym sektorze zdrowia.

Pacjent bez wiedzy i bez wyboru

Osoba realizująca receptę nie wiedziała i nie mogła wiedzieć, jakie oprogramowanie działa w tle systemu aptecznego. Decyzja o instalacji nakładki należała do kierownictwa apteki i hurtowni, była elementem umowy handlowej. Żaden przepis nie wymagał, by pacjent był o tym informowany, choć RODO nakłada na administratorów danych obowiązek przejrzystości.

Jeśli okaże się, że dane osobowe były przekazywane bez odpowiedniej podstawy prawnej i bez poinformowania pacjentów, apteki jako administratorzy danych będą musiały zmierzyć się z zarzutem naruszenia nie tylko przepisów o ochronie danych, ale też obowiązku informacyjnego, który jest jednym z fundamentów RODO.

Co pacjent może zrobić już dziś

Ponieważ UODO nie potwierdził jeszcze żadnego naruszenia, nie ma podstaw do alarmistycznych działań zbiorowych. Każdy pacjent ma jednak już teraz dwa konkretne uprawnienia. Może zapytać swoją aptekę, na piśmie, powołując się na prawo dostępu wynikające z RODO, komu i na jakiej podstawie prawnej apteka udostępnia jego dane osobowe. Apteka jako administrator ma obowiązek odpowiedzieć. Może też złożyć skargę do Prezesa UODO, jeśli uzna, że odpowiedź jest niepełna lub że jego dane były przetwarzane bez podstawy prawnej.

Co dalej ze sprawą

Odpowiedź Głównego Inspektora Farmaceutycznego wyznaczy kierunek dalszych działań. Jeśli inspektorat nie prowadził dotąd żadnej weryfikacji zakresu danych pobieranych przez nakładki, UODO będzie musiał samodzielnie ustalić stan faktyczny, co przy skali czterech tysięcy aptek i co najmniej kilku systemów informatycznych będzie zadaniem złożonym logistycznie i czasochłonnym.

Gdyby postępowanie potwierdziło przekazywanie danych osobowych bez podstawy prawnej, prezes UODO dysponuje szerokim wachlarzem środków: od nakazania zaprzestania przetwarzania, przez zobowiązanie do powiadomienia poszkodowanych pacjentów, po nałożenie administracyjnych kar finansowych przewidzianych przez RODO. Dla rynku aptecznego oznaczałoby to konieczność audytu każdej nakładki i prawdopodobnie przebudowy integracji z systemami hurtowni.

Prezes UODO poprosił o pilne potraktowanie sprawy. Biorąc pod uwagę potencjalną liczbę osób dotkniętych problemem, tempo odpowiedzi inspektoratu farmaceutycznego będzie pierwszym testem tego, na ile poważnie instytucje traktują ochronę danych zdrowotnych jako priorytet, nie tylko na papierze.

Najczęściej zadawane pytania

Jak długo nakładki mogły działać bez żadnej kontroli pod kątem danych osobowych?

Tego na razie nie wiadomo i to jest właśnie sedno pytania zadanego przez UODO. Postępowanie antymonopolowe UOKiK dotyczyło programów partnerskich działających przez pewien czas, jednak żaden ze źródeł nie podaje precyzyjnej daty ich uruchomienia. Odpowiedź inspektora farmaceutycznego ma ujawnić m.in. to, czy zakres pobieranych danych był kiedykolwiek weryfikowany.

Czy nakładka mogła pobierać więcej niż tylko dane sprzedażowe: np. kartotekę pacjenta czy numer konta?

UODO wprost przyznaje, że tego nie wiadomo. System apteczny przetwarza zarówno dane identyfikacyjne jak numer PESEL, jak i dane o zdrowiu powiązane z konkretnymi osobami. Zakres tego, do czego nakładka miała technicznie dostęp, jest właśnie przedmiotem pytania do inspektora farmaceutycznego.

Ile może kosztować i jak długo potrwać audyt czterech tysięcy aptek?

Źródło nie podaje żadnych szacunków kosztowych ani harmonogramów. Biorąc jednak pod uwagę, że chodzi o weryfikację technicznej architektury oprogramowania w tysiącach placówek korzystających z różnych systemów informatycznych, byłoby to przedsięwzięcie wielomiesięczne i wielomilionowe, niezależnie od tego, kto ostatecznie poniósłby jego koszty.

Czy pacjent ma prawo dowiedzieć się, czy jego apteka miała zainstalowaną nakładkę?

Tak. Na podstawie RODO każdy może złożyć do swojej apteki wniosek o dostęp do danych i zapytać, komu apteka udostępniała jego dane osobowe oraz na jakiej podstawie prawnej. Apteka jako administrator danych ma obowiązek udzielić odpowiedzi. Jeśli tego nie zrobi lub odpowiedź będzie wymijająca, można złożyć skargę do Prezesa UODO.

Dlaczego aspekt ochrony danych nie był badany już w trakcie postępowania antymonopolowego UOKiK?

Źródło nie wyjaśnia tego wprost. Sam fakt, że prezes UODO interweniuje dopiero po zakończeniu sprawy przez UOKiK, sugeruje, że oba organy prowadziły analizy równolegle, ale niezależnie, bez mechanizmu wymiany informacji, który skierowałby uwagę na wątek RODO wcześniej. To pytanie o architekturę współpracy między regulatorami, na które odpowiedź mogłaby mieć znaczenie systemowe daleko poza tą konkretną sprawą.

Materiał przygotowany z wykorzystaniem narzędzi sztucznej inteligencji.

Fot. cottonbro studio / Pexels