Accesul la analize medicale era extrem de simplu: nu era nevoie de cunoștințe de programare sau hacking. Informația despre vulnerabilitatea site-ului alfalab.md a fost primită de NM de la unul dintre pacienți, care, cu ceva timp în urmă, și-a făcut o analiză în laborator și a descoperit întâmplător că datele cu rezultatele analizelor nu sunt deloc protejate și pot fi accesate liber.

În orice browser, era suficient să introduci adresa site-ului laboratorului medical, să accesezi secțiunea „Despre noi” de pe pagina principală și să deschizi organigrama companiei. Aceasta era un fișier încărcat pe site, având adresa specificată în bara de căutare.

Era suficient doar să schimbi una sau mai multe cifre din această adresă, și pe ecran apărea un document cu rezultatele analizelor unui pacient al laboratorului. Cel mai vechi rezultat accesibil, identificat de NM, datează din decembrie 2021. Cel mai recent era din noiembrie 2024. Astfel, informații despre rezultatele analizelor pacienților, din ultimii cel puțin trei ani, au fost accesibile publicului.

Potrivit evaluării unui expert IT care a studiat baza de date, ar fi vorba despre mii de rezultate ale analizelor.

Conform informațiilor de pe site-ul laboratorului despre politica de confidențialitate și protecția datelor cu caracter personal, laboratorul colectează date personale care pot identifica clienții doar dacă aceștia aleg să le furnizeze.

Datele personale, potrivit site-ului, sunt utilizate „doar de reprezentanții Alfa Diagnostica care au nevoie de aceste informații pentru a oferi servicii, a răspunde la întrebări sau solicitări, ori pentru analiza datelor în scopul îmbunătățirii calității serviciilor.”

Pe site-ul laboratorului Alfa Diagnostica, se puteau accesa liber rezultatele analizelor efectuate nu doar în laboratorul propriu, ci și în laboratoare moldovenești de stat și laboratoare private din străinătate, cu care compania are contracte.

Un exemplu îl reprezintă rezultatele analizelor pentru alergii alimentare (teste de sânge pentru determinarea nivelului de anticorpi IgG4), disponibile în volum mare pe site-ul alfalab.md. Aceste analize conțineau informații despre produsele la care pacienții — atât adulți, cât și copii — au intoleranță, cum ar fi gălbenușul de ou, laptele de vacă sau creveții. Testele sunt realizate direct de laboratorul Alfa Diagnostica, la fel ca și cele pentru alte tipuri de alergii: la acarieni, venin de insecte, latex sau polen de arbori.

Rezultatele testelor PAP, utilizate pentru detectarea celulelor precanceroase sau canceroase în vagin și colul uterin, au fost și ele disponibile. Aceste analize sunt efectuate de Centrul Republican de Diagnosticare Medicală, în baza unui contract cu Alfa Diagnostica. De asemenea, sute de rezultate ale analizelor de disbioză intestinală, realizate prin contract cu Centrul Național de Sănătate Publică (ANSP), au fost expuse public. Pe lângă rezultate, și datele personale ale pacienților erau accesibile.

Oricine putea accesa și sute de teste realizate în laboratoare din Germania, partenere ale laboratorului Alfa Diagnostica. Aceste rezultate nu erau protejate, inclusiv teste pentru diagnosticarea sclerozei multiple (determinarea oligoclonalelor IgG prin izoelectrofocalizare), efectuate de laboratorul medical MVZ Labor Limbach Berlin GbR din Germania, la solicitarea Alfa Diagnostica, în octombrie 2023.

Rezultatele testelor Harmony, efectuate pentru femeile însărcinate, erau, de asemenea, disponibile. Aceste teste de screening genetic prenatal, care detectează sindromul Down, Edwards, Patau și alte anomalii, sunt realizate în laboratorul german Cenata GmbH din Tübingen.

O parte dintre aceste date au ajuns pe motoarele de căutare, precum DuckDuckGo.

În mai puțin de 10 minute, orice utilizator putea descărca o bază de date care conținea informații despre sute de pacienți, inclusiv copii minori.

După ce NM a contactat administrația laboratorului, aceștia au modificat linkul fișierului „Organigrama” și au ascuns rezultatele analizelor pacienților. Din motive etice, NM nu a publicat acest material atât timp cât baza de date deschisă era activă pe site, cu rezultate ale analizelor și date personale disponibile. Reprezentanții Alfa Diagnostica au declarat că nu știau despre vulnerabilitatea datelor și că au aflat despre aceasta pentru prima dată de la NM.

După aceasta, angajații companiei au propus să se întâlnească cu redacția NM pentru a li se oferi dreptul la replică. Totuși, ulterior au anunțat că nu pot participa la întâlnire și au trimis replica în formă scrisă. Publicăm textul scrisorii Alfa Diagnostica fără modificări:

Publicarea în acces liber sau divulgarea datelor personale ale pacienților instituțiilor medicale reprezintă o încălcare a legislației Republicii Moldova. Potrivit legii „Cu privire la protecția datelor cu caracter personal” adoptată acum 10 ani, informațiile despre starea de sănătate face parte dintr-o categorie specială de date personale. Respectarea legii este monitorizată de un organ specializat – Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP).

Într-un răspuns la solicitarea NM, CNPDCP a subliniat că datele personale privind starea de sănătate necesită o protecție sporită, deoarece prelucrarea necorespunzătoare a acestora poate avea consecințe negative asupra pacienților.

De asemenea, CNPDCP a anunțat că va efectua un control la compania Alfa Diagnostica, care gestionează clinica cu același nume.

„Măsurile tehnice și organizaționale adoptate de operatorul de date cu caracter personal, în cazul S.R.L. Alfa Diagnostica, nu au asigurat un nivel adecvat de protecție a datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, distribuirii, precum și altor acțiuni ilegale, în conformitate cu prevederile articolului 30, punctul (1) din Legea nr. 133/2011 Cu privire la protecția datelor cu caracter personal. În baza acestui fapt, Centrul Național pentru Protecția Datelor cu Caracter Personal a inițiat o verificare privind conformitatea procesării datelor personale cu cerințele legislației”, au declarat reprezentanții CNPDCP.

Legislația națională nu stabilește direct sancțiuni pentru scurgerea sau divulgarea publică a datelor cu caracter personal. Totuși, pentru nerespectarea regulilor privind prelucrarea datelor cu caracter personal sunt prevăzute amenzi.

„Simpla mențiune că o persoană a suferit o accidentare la picior și se află în concediu medical constituie date personale privind starea de sănătate,” se arată în instrucțiunile Centrului Național pentru Protecția Datelor cu Caracter Personal.

Cazul Alfa Diagnostica și accesul la datele personale ale pacienților laboratoarelor private nu este primul de acest fel în Republica Moldova. În 2021, NM a scris despre faptul că, la scanarea codului QR de pe rezultatele testului COVID, obținute pe un formular special al centrului de diagnostic Invitro, datele personale ale clientului deveneau accesibile publicului larg.

O persoană care, la scanarea codului QR, primea un link cu acces la versiunea online a certificatului său, putea modifica manual cifrele din acel link în bara de adrese și obținea astfel acces la rezultatele analizelor unor persoane complet străine.

Atunci, directorul general al centrului de diagnostic Invitro, Marin Balanuță, a declarat pentru NM că știa despre această problemă și că dezvoltatorul site-ului tocmai o soluționa. De asemenea, Balanuță a descris problema ca fiind una „nu chiar atât de gravă”.

„Oricum, nu veți reuși să accesați informațiile pentru întreaga perioadă și să obțineți întreaga noastră bază de date. Există anumite corelări între data vizitei și număr, care nu permit acest lucru”, a adăugat directorul laboratorului.

Totuși, această problemă „nu chiar atât de gravă” a atras atenția Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP). NM a aflat că, în același an 2021, CNPDCP a întocmit un proces-verbal în cazul Invitro și a obligat compania să achite o amendă.

„S-a constatat că laboratorul menționat, conștientizând necesitatea respectării legislației în domeniul protecției datelor cu caracter personal, a întreprins măsurile necesare pentru a remedia situația descrisă”, se menționează în raportul CNPDCP pentru anul 2021.

Alexandr Sarioglo, un managerul tehnic moldovean care activează în SUA, a subliniat într-o discuție cu NM că protecția datelor reprezintă una dintre sarcinile cheie ale companiilor care lucrează cu informații, în special cu date sensibile, precum cele medicale.

El a accentuat că o protecție fiabilă a datelor trebuie să înceapă cu un sistem eficient de autentificare și autorizare, iar un simplu login și o parolă nu sunt suficiente. „Accesul la documente nu ar trebui să se realizeze prin linkuri directe. În schimb, este important să se folosească protecția API, criptarea și alte metode care verifică drepturile utilizatorului și limitează accesul la datele altor persoane”, a explicat expertul.

În opinia sa, scurgerea datelor medicale reprezintă o amenințare deosebită. „Datele medicale sunt unice. Dacă ajung pe mâini străine, informațiile despre starea de sănătate nu pot fi compensate, așa cum ar fi, de exemplu, în cazul unui furt de card de credit”, a subliniat Alexandr Sarioglo.

Potrivit lui, informațiile medicale sunt adesea utilizate de răufăcători pentru fraude, discriminare și șantaj. Cunoscând un diagnostic sau o stare de sănătate, aceștia pot exercita presiuni asupra unei persoane, iar în unele cazuri pot vinde aceste date unor persoane terțe.

El a mai menționat că multe companii ignoră necesitatea protecției datelor încă la etapa de dezvoltare a sistemelor, ceea ce duce la consecințe catastrofale în cazul atacurilor. „În afaceri, importanța protecției datelor este adesea subestimată. Însă pentru companiile care lucrează cu informații medicale, securitatea trebuie să fie integrată încă de la început. Nu este doar o chestiune de etică, ci o necesitate”, a concluzionat expertul.

Iar adjuncta avocatului poporului, Oxana Gumennaia, a subliniat importanța eticii medicale.

Companiile din întreaga lume se confruntă cu scurgeri de date medicale. În 2018, Uniunea Europeană a adoptat Regulamentul General privind Protecția Datelor (GDPR) și a înăsprit sancțiunile pentru astfel de incidente. Companiile care nu respectă regulile de procesare a datelor personale pot fi amendate cu până la 2 milioane de euro.

În 2022, Autoritatea pentru Protecția Datelor din Spania (AEPD) a amendat compania medicală DKV Seguros y Reaseguros cu 220.000 de euro pentru încălcarea GDPR. Între aprilie 2020 și martie 2021, angajații companiei au trimis 51 de e-mailuri cu date medicale confidențiale către o persoană care nu era destinatarul corect. În plus, compania nu a notificat AEPD despre această scurgere de date, deși a descoperit-o. Ulterior, amenda a fost redusă la 132.000 de euro, după ce compania și-a recunoscut vina și a achitat voluntar sancțiunea.

Pe lângă scurgerile accidentale, sectorul sănătății este un obiectiv frecvent al atacurilor cibernetice. În 2024, în urma unui atac ransomware asupra unei filiale a uneia dintre cele mai mari companii de asigurări medicale din Statele Unite, UnitedHealth Group, au fost furate datele personale ale unei treimi dintre cetățenii americani.

În timpul audierilor din Senatul și Camera Reprezentanților din SUA, din mai 2024, directorul companiei UnitedHealth Group a cerut scuze pacienților și medicilor. El a recunoscut că hackerii au pătruns în baza de date printr-un server slab securizat și a confirmat că a autorizat plata unei despăgubiri în valoare de 22 de milioane de dolari, conform Vocea Americii.

Conform raportului companiei IBM, începând cu 2011, sectorul medical conduce clasamentul privind costurile financiare asociate scurgerilor de date. Aceste costuri pot include cheltuieli pentru remedierea consecințelor scurgerii, restaurarea sistemelor, notificarea persoanelor afectate, plata amenzilor, costurile juridice și pierderile de reputație. În 2023, costul mediu al acestor cheltuieli a fost de 9,77 milioane de dolari. Spre comparație, costul mediu în sectorul financiar este de 6,08 milioane de dolari, în sectorul industrial – 5,5 milioane de dolari, iar în sectorul media – 3,9 milioane de dolari.

„Sănătatea rămâne o țintă pentru infractori, deoarece acest domeniu suferă adesea din cauza tehnologiilor învechite și este extrem de vulnerabil la defecțiuni, ceea ce poate pune în pericol siguranța pacienților”, se menționează în raportul IBM „Costul scurgerilor de date”.