W zeszłym tygodniu Gazeta Prawna opisała nową aplikację stworzoną przez Gemini Apps. To spółka celowa z grupy Gemini, do której należy jedna z największych sieci aptek w Polsce. W dzisiejszy wydaniu gazety sprawa ma swój dalszy ciąg. Okazuje się, że tematem zainteresowało się ministerstwo zdrowia, które zawiadomiło prokuraturę o możliwości popełnienia przestępstwa. A chodzi o nieuprawnione pozyskiwanie i przekazywanie informacji z systemu P1, zawierających dane medyczne pacjentów (czytaj więcej: Naczelna Izba Aptekarska oburzona planami sieci Gemini…).
Aplikacja Gemini miała umożliwiać pacjentom wyszukiwanie i rezerwowanie w aptekach tej sieci leków z e-recepty. W tym celu użytkownik aplikacji przekazywał dane dostępowe do e-recepty (PESEL i PIN) oraz wyrażał zgodę na przetwarzanie pozyskanych w ten sposób informacji. Sposób przetwarzania tych informacji i przekazywania ich do innych podmiotów budził kontrowersje wśród ekspertów. W tle pojawiła się bowiem kwestia „profilowania” użytkowników i przekazywania ich danych takim podmiotom jak Microsoft czy Amazon. W rezultacie Naczelna Izba Aptekarska zawnioskowała do UODO o skontrolowanie aplikacji.
Kto ma certyfikat dostępu do platformy P1?
Okazuje się, że jeszcze więcej wątpliwości wzbudziła legalność i sposób pozyskiwania przez aplikację danych z systemu P1. Spółka Gemini Apps nie jest bowiem apteką, a więc nie posiada certyfikatu uprawniającego do pobierania danych z systemu P1. Takie certyfikaty mają jednak apteki należące do Gemini. Jednak ich pracownicy nie mają prawa przekazywać takich informacji poza aptekę – w tym przypadku do aplikacji. To właśnie zwróciło uwagę ministerstwa zdrowia (czytaj również: Podłączanie do P1 dla opornych – e-recepta).
Analitycy Centrum Systemów Informacyjnych Ochrony Zdrowia ustalili, że informacje z systemu P1 przekazywała do aplikacji w sposób zautomatyzowany gdańska apteka należąca do innej spółki z grupy Gemini. Dane medyczne o pacjentach, pozyskane z państwowego rejestru, lądowały od razu na zagranicznych serwerach – w chmurze dostarczanej przez Amazona.
– W ocenie Ministerstwa Zdrowia taka praktyka jest przestępcza. Dostęp do danych uzyskały bowiem podmioty do tego nieuprawnione. A Gemini Apps, dzięki danym zdobytym z systemu P1, ma możliwość profilowania klientów. Państwowy rejestr zaś nigdy nie miał służyć takim komercyjnym celom – piszą dziennikarze Gazety Prawnej.
Sprawą na wniosek resortu zdrowia zajmie się więc prokuratura oraz specjalna jednostka ds. walki z cyberprzestępczością w Komendzie Głównej Policji. Urząd Ochrony Danych Osobowych poinformował dziennikarzy Gazety Prawnej, że jego prezes „bardzo zainteresował się” sprawą. Również Rzeczniczka Głównego Inspektora Farmaceutycznego zapowiedziała, że kwestą tą mogą zająć się wojewódzcy inspektorzy wojewódzcy, a GIF będzie sprawę nadzorował.
Odpowiedzialność farmaceutów…
Eksperci wypowiadający się na ten temat w Gazecie Prawnej wskazują, że nie bez winy są pracownicy aptek Gemini. To oni mają bowiem umożliwiać przekazywanie danych do aplikacji z systemu P1. Dobrawa Biadun, radca prawny, zwraca uwagę, że zasady dostępu do systemu P1 są wprost określone w przepisach. Dostęp ten przysługuje pracownikom medycznym, do których zalicza się także aptekarzy (czytaj również: Odpowiedzialność zawodowa farmaceuty).
