Po wykryciu masowego cyberataku na systemy spółki MyDr, Urząd Ochrony Danych Osobowych przypomniał o kluczowych obowiązkach prawnych spoczywających na podmiotach przetwarzających dane medyczne. Równolegle władze apelują do obywateli o szybkie podjęcie działań osłonowych, z zastrzeżeniem numeru PESEL na czele. Kto ma obowiązek bezpośredniego powiadomienia pacjentów dotkniętych incydentem?
- Cyberatak na firmę MyDr objął dane blisko 19 mln Polaków, a skradziona baza liczy ponad dwa terabajty. O zdarzeniu poinformował wicepremier Krzysztof Gawkowski.
- Obowiązek powiadomienia poszkodowanych pacjentów spoczywa na administratorach korzystających z usług MyDr. Muszą oni zgłosić wyciek do UODO w ciągu 72 godzin.
- Rząd oraz UODO apelują do obywateli o szybkie zastrzeżenie numeru PESEL. Zalecają też ostrożność wobec próśb o podanie danych i próby phishingu.
O skali zdarzenia poinformował minister cyfryzacji Krzysztof Gawkowski po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa. Cyberatak objął firmę MyDr, stanowiącą jeden z największych w kraju podmiotów dostarczających oprogramowanie do prowadzenia elektronicznej dokumentacji medycznej. W ręce nieuprawnionych osób trafiła baza o rozmiarze ponad dwóch terabajtów, zawierająca dane blisko 19 mln Polaków. Informacje o wycieku mają zostać udostępnione w serwisie Bezpieczne Dane.
UODO przypomina, kto ma obowiązek poinformowania pacjentów
W reakcji na zdarzenie Urząd Ochrony Danych Osobowych opublikował oficjalny komunikat, w którym precyzuje procedury wymagane od podmiotów współpracujących z dostawcą oprogramowania. Zgodnie z zapisami rozporządzenia RODO, w przypadku stwierdzenia naruszenia ochrony danych osobowych administrator ma obowiązek zgłosić ten fakt organowi nadzorczemu bez zbędnej zwłoki. Standardowy termin na dopełnienie tej formalności wynosi maksymalnie 72 godziny od momentu wykrycia incydentu. Jeśli zgłoszenie nastąpi po tym czasie, wymagane jest dołączenie oficjalnego wyjaśnienia przyczyn powstałego opóźnienia.
Formalne zgłoszenie do urzędu musi zawierać szczegółowy opis charakteru zdarzenia. Administratorzy są zobowiązani podać w nim – w miarę istniejących możliwości – kategorie oraz szacowaną liczbę osób, jakich dotyczy wyciek, a także specyfikację i ilość wyciekniętych wpisów. Formularz zgłoszeniowy został udostępniony w portalu internetowym UODO.
Oprócz procedur zgłoszeniowych organ nadzorczy przypomniał o wymogach informacyjnych wobec samych poszkodowanych. Obowiązek bezpośredniego poinformowania osób fizycznych, których dane uległy ujawnieniu, spoczywa w całości na administratorach korzystających z rozwiązań technologicznych spółki MyDr. Urząd podkreśla, że celem takich zawiadomień jest zminimalizowanie ryzyka wystąpienia negatywnych konsekwencji prawnych i finansowych dla obywateli.
Lepiej zastrzec numer PESEL
W ramach poradnika bezpieczeństwa instytucje państwowe rekomendują poszkodowanym niezwłoczne zastrzeżenie numeru PESEL, co stanowi pierwszą linię obrony przed nieuprawnionym wykorzystaniem tożsamości. Wicepremier Krzysztof Gawkowski zaznaczył jednoznacznie: – W pierwszej kolejności należy zastrzec PESEL. UODO wskazuje ponadto na konieczność zachowania szczególnej ostrożności podczas podawania informacji przez telefon lub w formularzach internetowych, co ma uniemożliwić przestępcom pozyskanie dodatkowych danych.
Eksperci do spraw ochrony danych zwracają również uwagę na podwyższone ryzyko ataków phishingowych. Osoby dotknięte wyciekiem powinny poddawać skrupulatnej weryfikacji przychodzące wiadomości SMS oraz e-mail. Celem takich działań socjotechnicznych bywa wyłudzenie haseł lub uzyskanie dostępu do internetowych systemów bankowych.
UODO przypomniał jednocześnie ogólne zasady dbania o prywatność. W sytuacji podejrzenia, że dany podmiot przetwarza dane bez podstawy prawnej lub uchyla się od podania źródła ich pochodzenia, obywatel ma prawo zażądać oficjalnych wyjaśnień, a w dalszej kolejności złożyć skargę do Prezesa UODO. Urząd radzi również domagać się podstawy prawnej w przypadku żądania kserokopii dowodu osobistego, pamiętać o opcjonalnym charakterze zgód marketingowych na rzecz partnerów biznesowych przy kartach lojalnościowych, a także fizycznie niszczyć papierowe dokumenty i czyścić stare nośniki cyfrowe z zapisanych haseł przed ich utylizacją.