Doszło do nieuprawnionego dostępu do danych gabinetów lekarskich, które były przechowywane w systemach firmy MyDr. Z informacji omawianych na specjalnym posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa wynika, że może to dotyczyć 18,8 milionów osób i ponad 12 tys. placówek medycznych. Podmioty, które powierzały dane tej firmie, muszą przeanalizować sytuację pod kątem RODO.
Firma MyDr dostarcza oprogramowanie dla lekarzy i placówek ochrony zdrowia. Incydent dotyczy danych historycznych, zgromadzonych do kwietnia 2024 r. Nie ma wpływu na bieżące funkcjonowanie jednostek ochrony zdrowia, w tym wystawiania recept.
Po identyfikacji, czyje dane zostały w sposób nieuprawniony przejęte przez cyberprzestępców, będą one sukcesywnie przekazywane do serwisu bezpiecznedane.gov.pl, w którym każdy będzie mógł sprawdzić, czy ten incydent dotyczy go bezpośrednio. Z uwagi na to, że administratorem danych są poszczególne gabinety lekarskie oraz placówki ochrony zdrowia, proces przekazania danych do serwisu bezpiecznedane.gov.pl może zająć kilka dni – podaje Ministerstwo Cyfryzacji.
Kiedy incydent cyberbezpieczeństwa staje się naruszeniem danych osobowych – kumulacja obowiązków z UKSC i RODO - czytaj w LEX >
Resort informuje też, że dalsze działania będą podejmowane we współpracy z ministrem koordynatorem służb specjalnych, minister zdrowia, prezesem Urzędu Ochrony Danych Osobowych oraz Prokuraturą Krajową i Centralnym Biurem Zwalczania Cyberprzestępczości.
Marek Gieorgica z Ministerstwa Cyfryzacji poinformował PAP, że kradzież danych nie dotyczy tylko komercyjnych placówek medycznych. - Z oprogramowania firmy korzystało 12 tys. podmiotów. To nie są tylko placówki prywatne - powiedział urzędnik.
Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych, przypomina tymczasem administratorom danych osobowych, którzy powierzyli ich przetwarzanie firmie MyDr, o obowiązku przeanalizowania zdarzenia pod kątem naruszenia danych.
Zgodnie z art. 33 ust. 1 RODO, w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu (można to zrobić przez formularz na stronie UODO). Zgłoszenia przekazane po terminie wymagają wyjaśnienia przyczyn opóźnienia.
Zobacz procedurę w LEX: Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych >
Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, to - zgodnie z art. 34 ust. 1 i 2 w zw. z art. 33 ust. 3 RODO - administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu.
UODO publikuje informacje nt. tego, co takie zgłoszenie powinno zawierać. Przypomina też o swoim poradniku dotyczącym naruszeń ochrony danych osobowych.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
