O incydencie dotyczącym danych firma MyDr poinformowała w poniedziałek, 10 sierpnia o godz. 15. Dwa dni później Ministerstwo Cyfryzacji podało, że wyciek danych może dotyczyć blisko 19 milionów osób i ponad 12 tys. placówek medycznych. Pojawiły się już nagłówki sugerujące, że chodzi o dane medyczne, jednak są to cały czas spekulacje. Rzekomi sprawcy ataku skontaktowali się z portalem Zaufana Trzecia Strona, informując, że są w posiadaniu 18 814 422 numerów PESEL, przekazali też szczątkowe dane sugerujące, że znają numery recepty i numery telefonów oraz że próbowali uzyskać okup od zaatakowanej firmy.
Z ostatniego komunikatu MyDr (12 sierpnia, godz. 18.35) wynika, że firma nie jest jeszcze w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione nieuprawnionym osobom.
- Możemy potwierdzić, że incydentem objęta była część danych, jednak na dziś nie jesteśmy w stanie potwierdzić ich ilości i rodzaju - precyzuje firma w odpowiedzi na najczęstsze pytania (ostatnia aktualizacja: 13 sierpnia, godz. 11:21).
Portal rządowy Bezpieczne Dane informuje z kolei, że dane z wycieku dotąd nie trafiły do jego bazy. Tak więc nie ma jeszcze możliwości sprawdzenia, czyje dane wyciekły z MyDr.
Wyciek MyDr: czy ujawniono dane o zdrowiu?
Dr Paweł Litwiński, adwokat, partner w kancelarii Barta Litwiński, potwierdza, że na ten moment nie mamy oficjalnego potwierdzenia, jakie dane wyciekły i ilu osób rzeczywiście dotyczą.
- Istnieje jednak duże prawdopodobieństwo, że doszło do naruszenia, i to bardzo specyficznego. Osoby nieuprawnione mogły uzyskać dostęp nie tylko do danych identyfikujących konkretną osobę, takich jak numer PESEL, do których wycieków zdążyliśmy się już niestety przyzwyczaić. Tym razem mogło dojść do pierwszego w Polsce wycieku danych dotyczących zdrowia na tak dużą skalę – mówi prawnik.
Jak dodaje, skutki tego naruszenia mogą być bardzo poważne. - Już sam fakt, że ktoś korzysta np. z poradni psychiatrycznej lub wenerologicznej, może zostać wykorzystany do szantażu lub dyskredytacji, co pokazuje choćby przypadek ujawnienia informacji o lekach psychoaktywnych, które miał przyjmować były szef Biura Bezpieczeństwa Narodowego – przypomina dr Litwiński.
- Państwo zmusiło ochronę zdrowia do cyfryzacji niemal wszystkiego. Wiele jednostek nie miało w swoich strukturach rozbudowanych działów IT, a lukę tę wypełniły prywatne firmy. Wiele przychodni powierzyło dane swoich pacjentów firmie MyDr, która cieszyła się na rynku opinią dużego i wiarygodnego podmiotu. Jak widać, przekonanie, że duży podmiot jest zawsze bezpieczny, okazało się fikcją - komentuje Mikołaj Otmianowski, radca prawny z Red Into Green. - Odpowiedzialność za ten incydent rozłoży się na wszystkie podmioty ochrony zdrowia, które podpisały umowy z tą firmą – dodaje.
Czytaj też w LEX: Dokumentacja prowadzona na podstawie ustawy o krajowym systemie cyberbezpieczeństwa jako dowód zgodności lub źródło odpowiedzialności z tytułu RODO >
Co zrobić, gdy doszło do wycieku danych
Procedury działania w takich sytuacjach przewiduje RODO, które posługuje się pojęciami „administratora” oraz „podmiotu przetwarzającego dane” (zwanego też „procesorem”).
- MyDr jako podmiot przetwarzający ma obowiązek poinformować o wycieku administratorów, którzy powierzyli mu dane, a więc wszystkie przychodnie, szpitale itp. Termin na przekazanie takiej informacji wynika z umowy powierzenia. Standardowo może on wynosić od 8 do 48 godzin. – mówi mec. Otmianowski.
- Jeżeli umowa powierzenia nie zawiera terminu poinformowania administratora o wycieku, zakładałbym, że procesor powinien zrobić to niezwłocznie i nie spodziewam się, by w tak głośnej sprawie MyDr zwlekał z przekazaniem informacji – uważa mec. Litwiński.
Kiedy administrator odpowiada za działania podmiotu przetwarzającego? (wyrok NSA o sygn. II OSK 2398/22) - zobacz w LEX >
Wyciek MyDr: obowiązki lekarzy i placówek
Urząd Ochrony Danych Osobowych w związku z incydentem przypomniał, że administrator musi zgłosić do UODO wyciek, do którego doszło w podmiocie przetwarzającym. Dzieje się tak zawsze, gdy wyciek ma cechy naruszenia danych osobowych. - O tym, czy doszło do naruszenia, najprawdopodobniej przesądzi analiza przeprowadzona przez procesora, czyli MyDr. Lekarze prowadzący indywidualne gabinety zwykle nie mają na ten temat żadnej wiedzy – wyjaśnia dr Litwiński.
- Administrator musi też oszacować ryzyko naruszenia praw lub wolności osób fizycznych i, jeśli uzna je za wysokie, powiadomić osoby, których dane dotyczą, czyli pacjentów. Ryzyko to może być różne w poszczególnych podmiotach, ponieważ np. jeden już korzystał z rozwiązań MyDr, a drugi dopiero przygotowywał się do ich wdrożenia – mówi mec. Otmianowski.
Analiza ryzyka w ochronie danych osobowych vs. analiza ryzyka w cyberbezpieczeństwie - czytaj w LEX >
Pacjenci powinni otrzymać wiarygodne informacje od administratorów, czyli lekarzy, przychodni itp., a rządowy portal Bezpieczne Dane ma jedynie charakter pomocniczy. Zakładam przy tym, że MyDr sporządzi przynajmniej wzór informacji, którą administratorzy powinni przekazać pacjentom – dodaje dr Litwiński.
Termin na poinformowanie UODO o incydencie wynosi 72 godziny i - jak tłumaczy mec. Litwiński - zaczyna biec w momencie, w którym administrator dowie się o wycieku od procesora, a nie z mediów czy komunikatu wicepremiera. Pacjentów trzeba poinformować „niezwłocznie”.
O tym, jak powinno wyglądać zgłoszenie, UODO przypomniał w komunikacie "Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym".
- Jesteśmy w kontakcie z Urzędem Ochrony Danych Osobowych i potwierdziliśmy wobec Urzędu gotowość pomocy placówkom medycznym w przygotowaniu zgłoszeń do Urzędu, a także to, że MyDr na obecnym etapie nie stwierdził konieczności ich dokonania przez naszych klientów - pisze firma w odpowiedzi na najczęstsze pytania.
Zobacz procedurę w LEX: Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych >
Urząd Ochrony Danych Osobowych, który najprawdopodobniej oceni opisywane zdarzenie, nie może ukarać za sam wyciek, ale może ukarać np. za niewdrożenie odpowiednich środków technicznych i organizacyjnych zabezpieczających dane.
- Prezes UODO prawdopodobnie będzie koncentrował się na badaniu, czy odpowiednie środki bezpieczeństwa zostały zapewnione przez MyDr, a nie przez poszczególnych lekarzy, ponieważ wyciek nastąpił z infrastruktury procesora. Nie możemy przesądzać, jaki będzie wynik ewentualnego postępowania – mówi dr Litwiński.
Mirosław Wróblewski, prezes UODO, ogłosił tymczasem, że otrzymał już pierwsze zgłoszenia i zdecydował o przeprowadzeniu kontroli w firmy MyDr.
Kontrolerzy sprawdzą, jakie środki techniczne i organizacyjne spółka zastosowała w celu zapewnienia bezpieczeństwa przetwarzanych danych oraz czy zabezpieczenia te były regularnie testowane pod kątem zmieniających się zagrożeń - zapowiedział prezes Wróblewski.
Obecnie incydent nie wywołuje dodatkowych obowiązków, które przewiduje dyrektywa NIS-2, wdrożona już w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC).
Kiedy incydent cyberbezpieczeństwa staje się naruszeniem danych osobowych – kumulacja obowiązków z UKSC i RODO - czytaj w LEX >
- Nowelizacja ustawy o KSC przewiduje, że tego typu zdarzenie należy zgłosić do właściwego CSIRT (Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego – red), jednak przepisy ustanawiające ten obowiązek wejdą w życie dopiero 3 kwietnia 2027 r. – mówi mec. Otmianowski.
Pacjenci mogą dochodzić odszkodowań i zastrzec PESEL
Mec. Otmianowski przywołuje art. 82 RODO, który przyznaje prawo dochodzenia odszkodowania od administratora lub podmiotu przetwarzającego każdej osobie, która w wyniku naruszenia poniosła szkodę majątkową lub niemajątkową.
- Jeżeli potwierdzi się, że doszło do ujawnienia danych medycznych, uważam, że pacjenci będą mogli skorzystać z tej możliwości – mówi mec. Otmianowski.
Więcej na temat odpowiedzialności cywilnej za naruszenie przepisów o ochronie danych osobowych przeczytasz w LEX >
Mec. Litwiński spodziewa się, że część pacjentów będzie chciała dochodzić roszczenia z art. 82 RODO od lekarzy.
- W takiej sytuacji lekarz, czyli potencjalny pozwany, powinien podjąć wszelkie starania w celu przeniesienia odpowiedzialności na procesora, co mocno skomplikuje sytuację procesową – uważa.
- Jeśli chodzi o środki bezpieczeństwa, pozostaje zachęcać do zastrzeżenia numeru PESEL. Jeśli nasze dane znajdą się w internecie, można zwrócić się do danej platformy o ich usunięcie. Nie widzę jednak większych możliwości skutecznego działania w odniesieniu do danych publikowanych w darknecie – dodaje mec. Otmianowski.
Zobacz też w LEX: Kodeks postępowania (RODO) dla sektora ochrony zdrowia (podmiotów wykonujących działalność leczniczą) >
Stanowisko firmy LUX MED
Oświadczenie w związku z wyciekiem opublikowała firma Lux Med. Zapewnia w nim, że podjęła działania mające na celu uzyskanie pełnych wyjaśnień od MyDr, a także przeprowadza własną analizę skali i charakteru potencjalnego wpływu tego zdarzenia.
- Wstępne ustalenia wskazują, że zakres danych, który potencjalnie mogłyby dotyczyć pacjentów korzystających z naszych usług, jest ograniczony i pozostaje nieproporcjonalnie mały w stosunku do skali całego incydentu obejmującego pacjentów w całej Polsce - czytamy.
Firma poinformowała również o sygnałach, że cyberprzestępcy już próbują wykorzystywać zdarzenie do wyłudzania danych
----------------------------------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
