Potężny wyciek danych. Dotyczy 19 mln osób
Informację o cyberataku na firmę MyDr potwierdziło w środę Ministerstwo Cyfryzacji. W jego wyniku wyciekły dane 19 mln Polek i Polaków – to między innymi informacje o lekach czy receptach, a także personalia (imię, nazwisko, numer PESEL etc.) i dane kontaktowe.
W czwartek wicepremier i szef resortu cyfryzacji Krzysztof Gawkowski poinformował, że obecnie w przestrzeni publicznej nie ma danych skradzionych w cyberataku. Nie zostały też wystawione na sprzedaż. Podkreślił, że wszelkie informacje na temat wycieków danych można sprawdzić na stronie bezpiecznedane.gov.pl
Sprawą zajmują się już służby. Urząd Ochrony Danych Osobowych – jak przekazał Gawkowski na platformie X – zdecydował o przeprowadzeniu kontroli w spółce.
Wyciekły Twoje dane? Placówka medyczna musi Cię powiadomić
Co to wszystko oznacza dla pacjentów? Jak tłumaczy dr Paweł Litwiński w rozmowie z Polską Agencją Prasową, każda osoba, której dane wyciekły, powinna się o tym dowiedzieć od placówki medycznej.
Zgodnie z RODO firma MyDr jest podmiotem przetwarzającym dane osobowe, w związku z czym musi ona poinformować placówki medyczne i lekarzy prowadzących jednoosobowe gabinety medyczne, dla których przetwarza dane, o wycieku tych danych – tłumaczy dr Litwiński.
Ekspert mówi, że MyDr powinno przekazać poszczególnym placówkom informacje, których pacjentów dotyczył wyciek i jakie konkretnie dane zostały naruszone (np. numer PESEL, adres, jednostka chorobowa itp.).
Według RODO placówki medyczne i lekarze prowadzący jednoosobowe gabinety, jako administratorzy danych, muszą ocenić, jakie jest ryzyko dla pacjentów związane z wyciekiem. W przypadku danych o zdrowiu uznaje się, że ryzyko jest wysokie – wyjaśnia dr Litwiński.
Placówka medyczna ma następnie 72 godziny na zgłoszenie naruszenia do Urzędu Ochrony Danych Osobowych (UODO), licząc od momentu otrzymania informacji od MyDr. Zgłoszenia dokonuje się poprzez formularz na stronie urzędu.
Administrator danych osobowych ma też obowiązek powiadomić indywidualnie każdego pacjenta, o tym, że jego dane wyciekły. RODO stanowi, że musi to zrobić „bez zbędnej zwłoki”; nie ma wyznaczonego sztywnego terminu w dniach czy w godzinach – zwraca uwagę ekspert i dodaje, że forma kontaktu również nie jest określona w przepisach.
Placówka medyczna może więc wysłać SMS, e-mail lub list. Nie wystarczy samo zamieszczenie informacji o wycieku na stronie internetowej – podkreśla dr Litwiński. Wskazał, że pacjent musi dowiedzieć się z wiadomości, co się stało, czyli że doszło do wycieku jego danych osobowych; jakie mogą być tego negatywne konsekwencje oraz jak może im przeciwdziałać.
Jak oszuści mogą wykorzystać wykradzione dane?
Moim zdaniem pacjentów dotkniętych tym wyciekiem należy przede wszystkim uwrażliwić, że mogą stać się celem bardzo precyzyjnych ataków, w których cyberprzestępcy będą się podszywać pod daną placówkę czy lekarza. Na przykład osoba, która korzystała z poradni ortopedycznej, może otrzymać fałszywą wiadomość SMS lub e-mail, że należy dopłacić za ostatnią poradę u ortopedy. Albo, że musi dopłacić za refundację leku na receptę, który zażywa – mówi dr Litwiński. Dodaje, że w rzeczywistości wyłudzone w ten sposób pieniądze trafiłyby na konto cyberprzestępców.
Drugi, bardzo ryzykowny aspekt, to możliwość wykorzystania wrażliwych informacji przeciwko osobom, które objął wyciek. Na przykład szantażowanie ujawnieniem informacji, o tym, że ktoś leczył się psychiatrycznie albo przyjmuje określony rodzaj leków. Należy więc uwrażliwić ofiary wycieku na próby takich działań – ocenia adwokat.
Wyciekły dane pacjentów. Placówki medyczne mają określone obowiązki
Dr Litwiński zwraca uwagę, że administratorzy danych, przy informowaniu pacjentów o wycieku, mogą skorzystać z poradnika UODO. Dokument zawiera m.in. przykłady prawidłowego postępowania w takich sytuacjach.
Ekspert przypomina też, że za zlekceważenie obowiązków informacyjnych placówkom medycznym mogą grozić sankcje od prezesa UODO, czyli upomnienie lub, w skrajnych przypadkach, kara finansowa.
Potencjalna kara grozi również firmie MyDr, jeśli nie poinformuje swoich klientów, czyli placówek medycznych i lekarzy o wycieku lub jeśli okaże się, że nie zabezpieczyła danych osobowych w należyty sposób, choć na tym etapie jest zdecydowanie zbyt wcześnie, żeby cokolwiek tutaj przesądzać. Sankcje mogą sięgać do 4 proc. obrotu za poprzedni rok lub 20 mln euro – wskazuje dr Litwiński.
Czy systemy centralne są bezpieczne?
W związku z wyciekiem danych z MyDr Polska Agencja Prasowa zapytała Centrum e-Zdrowia o bezpieczeństwo systemów centralnych i o skalę wycieku, jeśli chodzi o publiczne podmioty ochrony zdrowia. W odpowiedzi wskazano, że „incydent dotyczy firmy MyDr i nie obejmuje centralnych usług e-zdrowia”.
Należy podkreślić, że nie doszło do naruszenia bezpieczeństwa systemów publicznych, a pacjenci zachowują pełny dostęp do świadczeń, e-recept i pozostałych usług realizowanych w publicznym systemie ochrony zdrowia. Obecnie nie ma informacji wskazujących, aby osoby nieuprawnione uzyskały dostęp do systemu P1 w związku z incydentem dotyczącym firmy MyDr – napisał zespół Centrum e-Zdrowia.
System P1 to centralny system informatyczny zarządzany przez Centrum e-Zdrowia. Stanowi podstawę usług takich jak e-recepta, e-skierowanie, Elektroniczna Dokumentacja Medyczna (EDM) oraz Internetowe Konto Pacjenta (IKP). Korzystają z niego pacjenci (przez IKP i aplikację mojeIKP), lekarze i inni pracownicy medyczni, przychodnie, szpitale i apteki oraz instytucje publiczne związane z ochroną zdrowia.
W wiadomości zaznaczono, że w związku z incydentem Centrum e-Zdrowia zwiększyło poziom monitoringu i pozostaje w stanie wyższej gotowości.
