Wyciek danych w MyDr – co mają zrobić lekarze i pacjenci

Wyciek danych w firmie MyDr może dotyczyć nawet 19 mln osób, a wśród ujawnionych informacji mogą znajdować się także dane o zdrowiu. Placówki medyczne po otrzymaniu potwierdzenia incydentu powinny poinformować o nim Urząd Ochrony Danych Osobowych i pacjentów. Osoby, które poniosą szkodę w wyniku incydentu, będą mogły dochodzić odszkodowania, trudno im będzie natomiast całkowicie usunąć skutki zdarzenia.

O incydencie dotyczącym danych firma MyDr poinformowała w poniedziałek, 10 sierpnia o godz. 15. Dwa dni później Ministerstwo Cyfryzacji podało, że wyciek danych może dotyczyć blisko 19 milionów osób i ponad 12 tys. placówek medycznych. Pojawiły się już nagłówki sugerujące, że chodzi o dane medyczne, jednak są to cały czas spekulacje. Rzekomi sprawcy ataku skontaktowali się z portalem Zaufana Trzecia Strona, informując, że są w posiadaniu 18 814 422 numerów PESEL, przekazali też szczątkowe dane sugerujące, że znają numery recepty i numery telefonów oraz że próbowali uzyskać okup od zaatakowanej firmy.

Z ostatniego komunikatu MyDr (12 sierpnia, godz. 18.35) wynika, że firma nie jest jeszcze w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione nieuprawnionym osobom. Portal rządowy Bezpieczne Dane informuje z kolei, że dane z wycieku w firmie MyDr nie trafiły jeszcze do jego bazy. 

Wyciek MyDr: czy ujawniono dane o zdrowiu?

Dr Paweł Litwiński, adwokat, partner w kancelarii Barta Litwiński, potwierdza, że na ten moment nie mamy oficjalnego potwierdzenia, jakie dane wyciekły i ilu osób rzeczywiście dotyczą.

- Istnieje jednak duże prawdopodobieństwo, że doszło do naruszenia, i to bardzo specyficznego. Osoby nieuprawnione mogły uzyskać dostęp nie tylko do danych identyfikujących konkretną osobę, takich jak numer PESEL, do których wycieków zdążyliśmy się już niestety przyzwyczaić. Tym razem mogło dojść do pierwszego w Polsce wycieku danych dotyczących zdrowia na tak dużą skalę – mówi prawnik.

Jak dodaje, skutki tego naruszenia mogą być bardzo poważne. - Już sam fakt, że ktoś korzysta np. z poradni psychiatrycznej lub wenerologicznej, może zostać wykorzystany do szantażu lub dyskredytacji, co pokazuje choćby przypadek ujawnienia informacji o lekach psychoaktywnych, które miał przyjmować były szef Biura Bezpieczeństwa Narodowego – przypomina dr Litwiński.

- Państwo zmusiło ochronę zdrowia do cyfryzacji niemal wszystkiego. Wiele jednostek nie miało w swoich strukturach rozbudowanych działów IT, a lukę tę wypełniły prywatne firmy. Wiele przychodni powierzyło dane swoich pacjentów firmie MyDr, która cieszyła się na rynku opinią dużego i wiarygodnego podmiotu. Jak widać, przekonanie, że duży podmiot jest zawsze bezpieczny, okazało się fikcją - komentuje Mikołaj Otmianowski, radca prawny z Red Into Green. - Odpowiedzialność za ten incydent rozłoży się na wszystkie podmioty ochrony zdrowia, które podpisały umowy z tą firmą – dodaje.

Czytaj też w LEX: Dokumentacja prowadzona na podstawie ustawy o krajowym systemie cyberbezpieczeństwa jako dowód zgodności lub źródło odpowiedzialności z tytułu RODO >

Co zrobić, gdy doszło do wycieku danych

Procedury działania w takich sytuacjach przewiduje RODO, które posługuje się pojęciami „administratora” oraz „podmiotu przetwarzającego dane” (zwanego też „procesorem”).  

- MyDr jako podmiot przetwarzający ma obowiązek poinformować o wycieku administratorów, którzy powierzyli mu dane, a więc wszystkie przychodnie, szpitale itp. Termin na przekazanie takiej informacji wynika z umowy powierzenia. Standardowo może on wynosić od 8 do 48 godzin. – mówi mec. Otmianowski.

- Jeżeli umowa powierzenia nie zawiera terminu poinformowania administratora o wycieku, zakładałbym, że procesor powinien zrobić to niezwłocznie i nie spodziewam się, by w tak głośnej sprawie MyDr zwlekał z przekazaniem informacji – uważa mec. Litwiński.

Kiedy administrator odpowiada za działania podmiotu przetwarzającego? (wyrok NSA o sygn. II OSK 2398/22) - zobacz w LEX >

Wyciek MyDr: obowiązki lekarzy i placówek

Urząd Ochrony Danych Osobowych w związku z incydentem przypomniał, że administrator musi zgłosić do UODO wyciek, do którego doszło w podmiocie przetwarzającym. Dzieje się tak zawsze, gdy wyciek ma cechy naruszenia danych osobowych. - O tym, czy doszło do naruszenia, najprawdopodobniej przesądzi analiza przeprowadzona przez procesora, czyli MyDr. Lekarze prowadzący indywidualne gabinety zwykle nie mają na ten temat żadnej wiedzy – wyjaśnia dr Litwiński.

 - Administrator musi też oszacować ryzyko naruszenia praw lub wolności osób fizycznych i, jeśli uzna je za wysokie, powiadomić osoby, których dane dotyczą, czyli pacjentów. Ryzyko to może być różne w poszczególnych podmiotach, ponieważ np. jeden już korzystał z rozwiązań MyDr, a drugi dopiero przygotowywał się do ich wdrożenia – mówi mec. Otmianowski.

Analiza ryzyka w ochronie danych osobowych vs. analiza ryzyka w cyberbezpieczeństwie - czytaj w LEX >

Pacjenci powinni otrzymać wiarygodne informacje od administratorów, czyli lekarzy, przychodni itp., a rządowy portal Bezpieczne Dane ma jedynie charakter pomocniczy. Zakładam przy tym, że MyDr sporządzi przynajmniej wzór informacji, którą administratorzy powinni przekazać pacjentom – dodaje dr Litwiński.

Termin na poinformowanie UODO o incydencie wynosi 72 godziny i - jak tłumaczy mec. Litwiński - zaczyna biec w momencie, w którym administrator dowie się o wycieku od procesora, a nie z mediów czy komunikatu wicepremiera. Pacjentów trzeba poinformować „niezwłocznie”.

Zobacz procedurę w LEX: Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych >

Można zakładać, że zdarzenie będzie oceniane przez Urząd Ochrony Danych Osobowych, który nie może ukarać za sam wyciek, ale może ukarać np. za niewdrożenie odpowiednich środków technicznych i organizacyjnych zabezpieczających dane.

- Prezes UODO prawdopodobnie będzie koncentrował się na badaniu, czy odpowiednie środki bezpieczeństwa zostały zapewnione przez MyDr, a nie przez poszczególnych lekarzy, ponieważ wyciek nastąpił z infrastruktury procesora. Nie możemy przesądzać, jaki będzie wynik ewentualnego postępowania – mówi dr Litwiński.

Obecnie incydent nie wywołuje dodatkowych obowiązków, które przewiduje dyrektywa NIS-2, wdrożona już w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC).

Kiedy incydent cyberbezpieczeństwa staje się naruszeniem danych osobowych – kumulacja obowiązków z UKSC i RODO - czytaj w LEX >

- Nowelizacja ustawy o KSC przewiduje, że tego typu zdarzenie należy zgłosić do właściwego CSIRT (Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego – red), jednak przepisy ustanawiające ten obowiązek wejdą w życie dopiero 3 kwietnia 2027 r. – mówi mec. Otmianowski.

Pacjenci mogą dochodzić odszkodowań i zastrzec PESEL

Mec. Otmianowski przywołuje art. 82 RODO, który przyznaje prawo dochodzenia odszkodowania od administratora lub podmiotu przetwarzającego każdej osobie, która w wyniku naruszenia poniosła szkodę majątkową lub niemajątkową.

- Jeżeli potwierdzi się, że doszło do ujawnienia danych medycznych, uważam, że pacjenci będą mogli skorzystać z tej możliwości – mówi mec. Otmianowski.

Więcej na temat odpowiedzialności cywilnej za naruszenie przepisów o ochronie danych osobowych przeczytasz w LEX >

Mec. Litwiński spodziewa się, że część pacjentów będzie chciała dochodzić roszczenia z art. 82 RODO od lekarzy.

- W takiej sytuacji lekarz, czyli potencjalny pozwany, powinien podjąć wszelkie starania w celu przeniesienia odpowiedzialności na procesora, co mocno skomplikuje sytuację procesową – uważa.

- Jeśli chodzi o środki bezpieczeństwa, pozostaje zachęcać do zastrzeżenia numeru PESEL. Jeśli nasze dane znajdą się w internecie, można zwrócić się do danej platformy o ich usunięcie. Nie widzę jednak większych możliwości skutecznego działania w odniesieniu do danych publikowanych w darknecie – dodaje mec. Otmianowski.

Zobacz też w LEX: Kodeks postępowania (RODO) dla sektora ochrony zdrowia (podmiotów wykonujących działalność leczniczą) >