Wyciek danych z systemów MyDr może dotyczyć nawet 19 mln osób. Wśród potencjalnie ujawnionych informacji mogą znajdować się dane identyfikacyjne, kontaktowe, numery PESEL, a także dane dotyczące zdrowia.
Co powinni Państwo zrobić, jeżeli korzystali Państwo z placówki medycznej korzystającej z systemów MyDr?
W ostatnich dniach ujawniono informacje o poważnym cyberataku na firmę MyDr, dostawcę systemów wykorzystywanych przez placówki medyczne do prowadzenia elektronicznej dokumentacji medycznej.
Według aktualnych informacji skala incydentu może być ogromna – nieuprawniony dostęp może dotyczyć danych nawet około 18,8–19 mln osób, a także ponad 12 tys. placówek medycznych. Potwierdzono również, że chodzi o historyczne dane przechowywane w systemach MyDr.
Sprawa jest bardzo poważna ze względu na charakter danych. W systemach medycznych mogą znajdować się bowiem nie tylko imię i nazwisko czy dane kontaktowe, ale również dane dotyczące zdrowia, które zgodnie z RODO należą do danych wrażliwych.
Czy Państwa dane mogły ulec wyciekowi?
Jeżeli korzystali Państwo z usług lekarza, gabinetu lub placówki medycznej, która korzystała z systemów MyDr, warto sprawdzić, czy Państwa dane zostały objęte incydentem. Na obecnym etapie nie oznacza to jednak, że dane każdej osoby korzystającej z placówki medycznej zostały ujawnione. Najważniejsze jest ustalenie, czy Państwa dane znajdują się w zakresie objętym naruszeniem oraz jakie konkretnie informacje mogły zostać ujawnione.
Jeżeli otrzymają Państwo od placówki medycznej lub innego podmiotu informację o naruszeniu, warto ją zachować. Informacja ta powinna wskazywać, jakie dane mogły zostać objęte incydentem oraz jakie działania zabezpieczające mogą Państwo podjąć.
Dlaczego wyciek danych medycznych jest szczególnie poważny?
W przypadku wycieku zwykłych danych osobowych zagrożeniem może być np. wykorzystanie numeru telefonu czy adresu e-mail. W przypadku danych medycznych konsekwencje mogą być znacznie poważniejsze. Ujawnione informacje mogą bowiem dotyczyć m.in.:
- chorób oraz przebytych schorzeń,
- wyników badań,
- leczenia,
- wizyt lekarskich,
- przyjmowanych leków,
- zdrowia psychicznego,
- ciąży,
- leczenia niepłodności,
- innych informacji, które dotyczą Państwa stanu zdrowia.
Tego rodzaju informacje mogą być wykorzystane nie tylko do oszustw, ale również prowadzić do poważnego naruszenia prywatności, dobrego imienia czy poczucia bezpieczeństwa. UODO zwraca uwagę, że w przypadku naruszenia danych dotyczących zdrowia możliwe konsekwencje mogą obejmować m.in. dyskryminację, stygmatyzację czy naruszenie dóbr osobistych.
Co w związku z incydentem powinni Państwo zrobić?
- Sprawdzić, czy Państwa dane zostały objęte wyciekiem
Sprawdzenie, czy Państwa dane zostały objęte incydentem, jest możliwe na stronie https://bezpiecznedane.gov.pl/. Jeżeli jednak w momencie publikacji niniejszego artykułu funkcja weryfikacji nie jest jeszcze dostępna, warto na bieżąco śledzić oficjalne komunikaty dotyczące incydentu oraz informacje przekazywane przez placówkę medyczną, z której usług Państwo korzystali.
Należy zachować ostrożność. Nie powinni Państwo korzystać z przypadkowych linków przesyłanych SMS-em lub pocztą elektroniczną, które rzekomo mają służyć do sprawdzenia, czy Państwa dane wyciekły. Sama informacja o ogromnym wycieku może zostać bowiem wykorzystana przez cyberprzestępców do przeprowadzenia kolejnych ataków.
- Zastrzeżenie numeru PESEL
Jeżeli Państwa numer PESEL mógł znaleźć się wśród ujawnionych danych, warto upewnić się, że jest on zastrzeżony. Zastrzeżenie PESEL jest jednym z podstawowych działań, które mogą ograniczyć ryzyko wykorzystania numeru PESEL do określonych działań finansowych lub prawnych. Jeżeli mają już Państwo zastrzeżony PESEL, nie ma potrzeby wykonywania tej czynności ponownie.
W związku z obecnym incydentem eksperci i instytucje publiczne wskazują zastrzeżenie PESEL jako jedno z podstawowych działań ochronnych.
Zastrzeżenie można bezpłatnie wykonać poprzez:
- Aplikację mObywatel – zakładka „USŁUGI” → „Zastrzeż PESEL”;
- Portal rządowy: gov.pl/zastrzezswojnumerpesellubcofnijzastrzezenie;
- Serwis ChronPESEL.pl: www.chronpesel.pl – umożliwia monitorowanie użycia numeru PESEL oraz szybkie zgłaszanie prób nieuprawnionego wykorzystania.
- Zachować szczególną ostrożność wobec SMS-ów, e-maili i telefonów
To jeden z najważniejszych elementów ochrony po wycieku danych. Jeżeli cyberprzestępcy uzyskali dostęp do prawdziwych informacji o Państwu, mogą wykorzystać je do stworzenia bardzo wiarygodnego oszustwa.
Mogą przykładowo wiedzieć:
- z jakiej placówki medycznej Państwo korzystali,
- kiedy Państwa wizyta się odbyła,
- jaki lekarz Państwa przyjmował,
- jakie dane kontaktowe Państwo podali.
Dzięki temu wiadomość lub telefon może wyglądać jak autentyczny kontakt ze strony placówki medycznej.
Nie należy przekazywać przez telefon ani w wiadomościach haseł, kodów SMS, kodów BLIK, danych karty płatniczej ani danych logowania.
Jeżeli ktoś powołuje się na wyciek z MyDr i prosi o kliknięcie w link lub potwierdzenie danych, najlepiej przerwać rozmowę i skontaktować się z daną instytucją za pośrednictwem oficjalnego numeru telefonu.
- Zmienić zagrożone hasła
Jeżeli korzystali Państwo z konta, którego dane mogły zostać objęte incydentem, warto zmienić hasło. Jeżeli tego samego hasła używali Państwo w innych serwisach, należy zmienić je również tam. Szczególnie istotne jest, aby nie używać tego samego hasła w wielu serwisach.
Warto również włączyć uwierzytelnianie wieloskładnikowe (MFA), jeżeli dana usługa je oferuje.
- Zachować dokumentację dotyczącą wycieku
Jeżeli otrzymają Państwo informację o naruszeniu, proszę jej nie usuwać. Warto zachować wszelką dokumentację związaną z incydentem, w szczególności:
- korespondencję otrzymaną od placówki medycznej,
- komunikaty lub wiadomości przekazane przez MyDr,
- informacje dotyczące zakresu i charakteru ujawnionych danych,
- oficjalne komunikaty dotyczące naruszenia,
- korespondencję prowadzoną z administratorem danych w związku z incydentem.
Dokumentacja może mieć znaczenie w przypadku późniejszego składania skargi do UODO lub dochodzenia roszczeń.
Czy mogą Państwo złożyć skargę do UODO? Tak.
Jeżeli uważają Państwo, że doszło do naruszenia przepisów o ochronie danych osobowych, mogą Państwo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.
UODO wyraźnie wskazuje, że osoba, której dane dotyczą, ma prawo złożyć skargę, jeżeli uważa, że przetwarzanie jej danych narusza przepisy RODO.
Skarga może być zasadna w szczególności wtedy, gdy:
- nie zostali Państwo poinformowani o naruszeniu, mimo że takie powiadomienie powinno zostać przekazane,
- przekazana informacja jest niepełna,
- nie mogą Państwo uzyskać informacji o zakresie ujawnionych danych,
- administrator nie odpowiada na Państwa pytania,
- mają Państwo wątpliwości dotyczące sposobu zabezpieczenia Państwa danych.
Warto przy tym pamiętać, że osoba fizyczna nie zgłasza do UODO samego naruszenia w trybie przewidzianym dla administratora. Formularz zgłoszenia naruszenia dostępny na stronie UODO jest przeznaczony dla administratorów danych. Osoba, której dane dotyczą, może natomiast złożyć skargę na niezgodne z RODO przetwarzanie danych.
Czy mogą Państwo domagać się odszkodowania?
Samo wystąpienie wycieku danych nie oznacza automatycznie, że każdej osobie przysługuje odszkodowanie w określonej wysokości. RODO przewiduje jednak możliwość dochodzenia odszkodowania w przypadku poniesienia szkody w związku z naruszeniem przepisów o ochronie danych osobowych. W konkretnej sprawie znaczenie może mieć, w szczególności:
- rodzaj i zakres ujawnionych danych,
- charakter danych, w tym to, czy obejmowały informacje dotyczące zdrowia,
- fakt ujawnienia numeru PESEL,
- skala i okoliczności naruszenia,
- ewentualne wykorzystanie danych przez osoby nieuprawnione,
- negatywne skutki, jakich doświadczyli Państwo w związku z naruszeniem,
- działania podjęte przez administratora po stwierdzeniu naruszenia. Dlatego osoby, które otrzymały informację o objęciu ich danych incydentem, powinny zachować dokumentację i obserwować, czy w związku z wyciekiem pojawiają się dalsze niepokojące zdarzenia.
Co z odpowiedzialnością placówki medycznej?
W przypadku wycieku z systemu dostawcy może pojawić się pytanie, kto ponosi odpowiedzialność za bezpieczeństwo danych. Dla Państwa jako pacjentów najważniejsze jest jednak to, że nie muszą Państwo samodzielnie ustalać technicznej odpowiedzialności pomiędzy placówką medyczną a dostawcą systemu.
To administrator danych powinien przeprowadzić analizę naruszenia. UODO przypomniał właśnie w związku z incydentem MyDr, że placówki korzystające z tego systemu powinny dokonać analizy ryzyka i ustalić, czy zachodzą podstawy do zgłoszenia naruszenia UODO oraz zawiadomienia osób, których dane dotyczą. Dla Państwa istotne jest natomiast to, czy Państwa dane zostały objęte naruszeniem, jakie dane zostały ujawnione i jakie skutki może to dla Państwa powodować.
Najważniejsze kroki po wycieku danych
Jeżeli korzystali Państwo z placówki medycznej, która korzystała z MyDr, rekomendujemy:
- Sprawdzić, czy Państwa dane zostały objęte incydentem.
- Zastrzec PESEL, jeżeli nie jest jeszcze zastrzeżony.
- Zmienić zagrożone hasła, szczególnie jeżeli były wykorzystywane również w innych serwisach.
- Zachować szczególną ostrożność wobec telefonów, SMS-ów i e-maili.
- Nie przekazywać nikomu kodów SMS, BLIK, haseł ani danych bankowych.
- Zachować wszystkie informacje dotyczące naruszenia.
- Jeżeli mają Państwo wątpliwości co do sposobu ochrony danych – rozważyć złożenie skargi do Prezesa UODO.
- Jeżeli ponieśli Państwo negatywne konsekwencje w związku z wyciekiem – rozważyć analizę możliwości dochodzenia roszczeń.
Wyciek danych to nie tylko problem „na dziś”. W przypadku tak dużego incydentu zagrożenie może nie zakończyć się w momencie ujawnienia informacji o wycieku. Dane mogą być wykorzystywane przez cyberprzestępców również wiele miesięcy później. Szczególnie niebezpieczne jest połączenie danych identyfikacyjnych z informacjami dotyczącymi zdrowia. Dlatego warto zachować ostrożność nie tylko przez kilka dni po otrzymaniu informacji o wycieku, ale również w kolejnych miesiącach.
Jeżeli otrzymają Państwo informację, że Państwa dane zostały objęte wyciekiem z MyDr, kancelaria może pomóc w ocenie sytuacji – w szczególności w analizie zakresu ujawnionych danych, ocenie praw przysługujących osobie dotkniętej naruszeniem, przygotowaniu skargi do Prezesa UODO oraz ocenie możliwości dochodzenia roszczeń. W celu uzyskania wsparcia w ocenie Państwa sytuacji prosimy o bezpośredni kontakt z Kancelarią.
Joanna Mikulczyńska – radca prawny | ekspert ds. ochrony danych osobowych
NK Legal Partners
