NHS a transmis date medicale prin pagere necriptate: lecția canalului sigur

NHS Blood and Transplant a admis, în urma unei investigații BBC publicate pe 14 august 2026, că informații sensibile despre pacienți cu transplant au fost trimise în mod curent către echipele spitalicești printr-o rețea națională de pagere fără criptare. Organizația a oprit transmiterea informațiilor sensibile pe acest canal, a raportat incidentul autorității britanice pentru protecția datelor și a început o investigație internă.

Ce informații erau incluse

BBC a constatat că mesajele NHSBT puteau conține numele și data nașterii pacientului, organul oferit sau necesar și factori clinici folosiți pentru compatibilitate ori imunosupresie. Aceste elemente pot dezvălui atât identitatea, cât și starea medicală a unei persoane aflate într-un moment deosebit de sensibil.

• NHSBT a spus că regretă profund situația și că informațiile sensibile nu mai sunt trimise prin pagere.
• Information Commissioner’s Office a confirmat pentru BBC că face verificări în legătură cu incidentul.
• Investigația a observat și mesaje sensibile provenite din alte servicii medicale, de ambulanță sau de urgență, dar acestea nu trebuie atribuite automat incidentului NHSBT.
• Nu există o cifră publică pentru pacienți, perioada completă a expunerii ori numărul mesajelor relevante.
• Folosirea unui pager nu este, singură, dovada unei breșe; problema este transmiterea datelor identificabile și medicale printr-un canal care nu oferea confidențialitatea necesară.

De ce „așa funcționează de ani” este un semnal de risc

În procesele critice, tehnologia veche poate rămâne deoarece este simplă, are acoperire bună și continuă să funcționeze în zone unde alte dispozitive sunt mai puțin fiabile. Problema apare când fiabilitatea operațională este confundată cu securitatea și nimeni nu mai verifică ce date ajung efectiv în mesaj, cine le poate recepționa și ce alternativă există.

• Inventariază canalul, tipul de mesaj, datele permise, expeditorii, destinatarii și proprietarul procesului.
• Aplică minimizarea: un mesaj de alertare poate cere un callback pe un canal sigur fără să includă numele și detaliile medicale.
• Testează confidențialitatea, integritatea, disponibilitatea, acoperirea, latența și procedura de cădere înainte de înlocuirea unui canal clinic.
• Nu muta pur și simplu aceleași date într-o aplicație nouă; validează criptarea, autentificarea, jurnalizarea, retenția și accesul de pe dispozitive pierdute.
• Definește o excepție temporară cu owner, termen și control compensatoriu atunci când migrarea completă nu este imediat posibilă.

Trainingul corect nu cere personalului să aleagă între siguranță și urgență

Un curs generic care spune doar „nu trimite date pe pager” poate eșua în primul caz critic. Personalul trebuie să știe ce informație minimă poate transmite, unde mută conversația, ce face când canalul securizat nu funcționează și cine poate aproba o excepție. Procedura trebuie exersată în condițiile reale ale spitalului, inclusiv zone cu acoperire dificilă.

Tabletop pentru echipa clinică, IT și privacy

• Inject 1 — un organ devine disponibil, iar clinicianul aflat de gardă răspunde doar la pager. Ce mesaj minim poate fi transmis și pe ce canal continuă comunicarea?
• Inject 2 — platforma securizată are indisponibilitate. Cine declară fallback-ul, ce date sunt interzise și cum se păstrează cronologia?
• Inject 3 — un angajat observă că un mesaj conține nume, dată de naștere și diagnostic. Cum oprește repetarea fără să blocheze îngrijirea?
• Inject 4 — apare suspiciunea că mesaje radio au fost recepționate din exterior. Cine păstrează probele, evaluează persoanele afectate și contactează autoritatea?
• Inject 5 — managementul vrea să înlocuiască imediat toate pagerele. Cine testează acoperirea, redundanța și siguranța clinică înainte de migrare?

Indicatori utili după exercițiu

• Procentul mesajelor simulate care conțin numai datele minime aprobate.
• Timpul până la mutarea conversației pe canalul securizat și timpul de livrare în urgență.
• Rata participanților care raportează o expunere fără să redistribuie mesajul sensibil.
• Numărul excepțiilor fără owner, termen de expirare sau control compensatoriu.
• Rezultatele testelor de acoperire și continuitate pentru canalul principal și fallback.

Pentru Learning Awarely, incidentul devine un exercițiu pe roluri, nu o lecție despre un dispozitiv vechi. Clinicienii exersează minimizarea și callback-ul, dispecerii folosesc șabloane aprobate, IT demonstrează disponibilitatea canalelor, iar privacy și managementul decid notificarea și remedierea. Comportamentul bun protejează simultan pacientul, confidențialitatea și continuitatea clinică.