Ministerstwo Cyfryzacji potwierdziło wyciek danych z firmy MyDr. Dr Paweł Litwiński w rozmowie z PAP opowiada o obowiązkach placówek medycznych dotkniętych wyciekiem.
- Firma MyDr musi poinformować ok. 12 tys. placówek medycznych o wycieku, a te mają 72 godziny na zgłoszenie sprawy do UODO i obowiązek powiadomienia każdego poszkodowanego pacjenta „bez zbędnej zwłoki”.
- Eksperci ostrzegają przed falą oszustw – cyberprzestępcy mogą podszywać się pod lekarzy i placówki, żądając fałszywych dopłat za wizyty czy leki, a także szantażować ujawnieniem wrażliwych informacji zdrowotnych.
- Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem prokuratury; wicepremier Krzysztof Gawkowski zapewnia, że skradzione dane nie pojawiły się dotąd w sieci ani nie trafiły do sprzedaży.
Ministerstwo Cyfryzacji potwierdziło w środę, że doszło do cyberataku na firmę MyDr, w wyniku którego ujawnione zostały dane dotyczące leków i recept nawet 19 mln Polaków. Jak przekazał wicepremier i szef resortu Krzysztof Gawkowski, wyciek objął dane przetwarzane przez około 12 tys. placówek medycznych, a sprawą zajmują się już odpowiednie służby.
Jak wyjaśnia w rozmowie z PAP dr Paweł Litwiński, adwokat i członek Społecznego Zespołu Ekspertów przy Prezesie UODO, MyDr jako podmiot przetwarzający dane ma obowiązek poinformować placówki medyczne oraz lekarzy prowadzących jednoosobowe praktyki o tym, których pacjentów dotyczy wyciek i jakie konkretnie informacje zostały ujawnione – na przykład numer PESEL, adres czy jednostka chorobowa.
72 godziny na zgłoszenie do UODO
Placówki medyczne, występujące w tej sytuacji jako administratorzy danych, muszą samodzielnie ocenić poziom ryzyka dla swoich pacjentów. W przypadku danych o zdrowiu ryzyko to uznaje się za wysokie. Od momentu otrzymania informacji od MyDr placówka ma 72 godziny na zgłoszenie naruszenia do Urzędu Ochrony Danych Osobowych za pomocą formularza dostępnego na stronie urzędu.
Administrator musi też indywidualnie zawiadomić każdego poszkodowanego pacjenta. RODO nie precyzuje sztywnego terminu – wymaga jedynie działania „bez zbędnej zwłoki” – ani konkretnej formy kontaktu. Jak podkreśla dr Litwiński, dopuszczalny jest SMS, e-mail czy tradycyjny list, natomiast samo zamieszczenie informacji na stronie internetowej placówki nie spełnia tego obowiązku. Pacjent musi jasno dowiedzieć się, co się stało, jakie grożą mu konsekwencje i jak może się przed nimi zabezpieczyć.
Ryzyko oszustw i szantażu
Ekspert ostrzega przed dwoma głównymi zagrożeniami. Pierwszym są precyzyjne ataki phishingowe, w których przestępcy podszywają się pod konkretną placówkę lub lekarza – przykładowo żądając rzekomej dopłaty za wizytę u specjalisty albo za refundację przyjmowanego leku. Pieniądze wyłudzone w ten sposób trafiają oczywiście na konta przestępców, a nie do placówek medycznych.
Drugim zagrożeniem jest możliwość wykorzystania wrażliwych danych do szantażu – na przykład groźby ujawnienia informacji o leczeniu psychiatrycznym czy przyjmowanych lekach. Dr Litwiński zaznacza, że administratorzy powinni w komunikacji z pacjentami wprost uczulać ich na takie scenariusze, a przy formułowaniu treści powiadomień mogą korzystać z poradnika przygotowanego przez UODO.
Kary grożą obu stronom
Za zaniedbanie obowiązków informacyjnych placówkom medycznym grożą sankcje ze strony prezesa UODO – od upomnienia po karę finansową w skrajnych przypadkach. Podobne ryzyko dotyczy samej firmy MyDr, jeśli nie dopełni obowiązku poinformowania swoich klientów lub jeśli okaże się, że nie zabezpieczyła danych w sposób zgodny z przepisami. Kary na gruncie RODO mogą sięgać do 4 proc. rocznego obrotu firmy lub 20 mln euro.
Śledztwo w tej sprawie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. Dotyczy ono nieuprawnionego dostępu do systemów MyDr i przekazania części danych do serwisu „Zaufana Trzecia Strona” – za taki czyn grozi do trzech lat pozbawienia wolności. Wyciekły m.in. imiona, nazwiska, numery PESEL, dane kontaktowe oraz informacje o stanie zdrowia, w tym treść notatek z wizyt i wystawionych recept.
Wicepremier Gawkowski poinformował w czwartek, że skradzione dane nie pojawiły się dotąd w przestrzeni publicznej ani nie trafiły do sprzedaży. Trwają prace nad zabezpieczeniem danych i przeniesieniem ich do systemów państwowych, a aktualne informacje na temat wycieku można znaleźć na stronie bezpiecznedane.gov.pl. Służby, jak zapewnił szef MC, rozpracowują grupę odpowiedzialną za atak.