O wycieku z MyDr w Sejmie. „Dane nie zostały opublikowane”

W I połowie sierpnia Polskę zelektryzowała wiadomość o wycieku danych 19 mln osób z platformy MyDr. Informacje zdrowotne o pacjentach pochodziły z całego kraju; jak informowaliśmy na naszych łamach, kara dla firmy za zaniedbania mogłaby być jedną z najwyższych. Sama informacja o numerach PESEL, które zostały dotknięte wyciekiem, znalazła się w serwisie Bezpieczne Dane dopiero w ostatni weekend sierpnia.

Gramatyka: dane w systemach państwowych są bezpieczne

Incydent w MyDr spowodował dyskusję o bezpieczeństwie danych medycznych Polaków. W czwartek 3 września sprawie poświęcono posiedzenie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii. Wiceminister cyfryzacji Michał Gramatyka powiedział, że po zweryfikowaniu próbki danych przekazanej przez sprawców włamania, służby wszczęły postępowanie w sprawie.

„Odnotowujemy setki prób zaatakowania systemów państwowych, nie odnotowaliśmy ani jednej skutecznej próby. Te dane w systemach państwowych były, są i będą bezpieczne” – dodał wiceszef resortu.

Pocieszającą informacją jest to, że tych danych nigdzie (publicznie – red.) nie ma. Nie zostały one wystawione na sprzedaż, nikt nie używa tych danych do szantażu. Osoby, które przeczesują internet w poszukiwaniu tej gigantycznej paczki danych, nie odnalazły żadnego śladu wskazującego na to, żeby te dane zostały ujawnione.
Michał Gramatyka, wiceminister cyfryzacji

Wiceminister podkreślił, że według komunikatów zamieszczanych przez hakerów w sieci, nie chcieli oni przechwyconych danych sprzedać lub udostępniać; ich działania miały na celu rzekomo testowanie odporności systemów informatycznych. Z kolei po opublikowaniu informacji w serwisie Bezpieczne Dane, swój status sprawdziło w nim ponad 2 mln Polaków, zaś resort rozpoczął prace nad tzw. „cyberpiątką”.

Maciejewski: platforma e-Zdrowie nienaruszona

Z kolei wiceminister zdrowia Tomasz Maciejewski zaznaczył, że nie doszło do naruszenia centralnej platformy e-Zdrowie, zaś wszystkie usług funkcjonują bez incydentów. W ramach działań po zidentyfikowaniu zdarzenia, Centrum e-Zdrowia włączyło się do współpracy z odpowiednimi komórkami w Ministerstwie Cyfryzacji, zweryfikowało integralność i dane na platformie e-Zdrowie, a także włączyło proces wymiany certyfikatów w sposób uporządkowany, aby te potencjalnie skompromitowane wyłączyć z użytku.

„Zostały wydane zalecenia do wszystkich podmiotów, które były wskazane w ramach tego incydentu, do weryfikacji swoich systemów, wdrożenia wszelkich zaleceń i sprawdzenia swoich procedur cyberbezpieczeństwa. Ten proces cały czas się toczy, bo działania instytucji nadzorujących ten incydent trwają nadal” – dodał Maciejewski.

Publikacja w Bezpiecznych Danych wymagała zgody prokuratury

Podczas dyskusji, przewodniczący Komisji Bartłomiej Pejo (Konfederacja) zapytał, jaki dokładnie był zakres danych obywateli, które wyciekły, a także dlaczego kilka dni po incydencie nie działał serwis Bezpieczne Dane. Według wyjaśnień Gramatyki, jedna z osób z kierownictwa resortu cyfryzacji zadeklarowała, że zostanie zrobione wszystko, aby informacje pojawiły się na Bezpiecznych Danych. W ten sposób, zwiększone zainteresowanie opinii publicznej i masowe logowania doprowadziły do niedostępności strony.

Co istotne, w tamtym momencie danych z wycieku nie było jeszcze na portalu, ponieważ publikacja wymagała postanowienia prokuratury prowadzącej śledztwo w tej sprawie. Sytuacja spowodowała też włączenie systemu kolejkowania, aby Węzeł Krajowy (wykorzystywany do logowania się za pomocą np. mObywatela wytrzymał zwiększony ruch.

Według Gramatyki, dokładny zakres danych objętych wyciekiem zna sama firma MyDr, a także placówki zdrowotne, które korzystały z jej systemów i zgodnie z RODO są zobowiązane do informowania klientów, że dane wyciekły. W tym drugim gronie znalazło się ok. 12 tys. placówek. Z kolei zakres przechwyconych danych może obejmować procedury medyczne i recepty wystawiane na numery PESEL; dokładną listę znają tylko wspomniane placówki.

Czy dane są odpowiednio zabezpieczone?

Wiceprzewodniczący Komisji Grzegorz Napieralski (Koalicja Obywatelska) zapytał natomiast, jak wyglądała oś czasu od pojawienia się MyDr na rynku do włamania do ich systemów, m.in. pod kątem przepisów prawa w zakresie monitoringu bezpieczeństwa. Dodatkowo spytał też o to, czy dane przechowywane przez firmy są odpowiednio zabezpieczone.

„Ja nie mam problemu, aby opowiedzieć o swoich receptach, ale czy recepty mojej mamy, moich znajomych, czy ludzi, którzy siedzą na tej Sali, są bezpieczne? Czy dane dzieci, szczególnie w tym trudnym czasie, kiedy mamy problemy w sieci, są też zabezpieczone? Mam takie wrażenie, że przez te wszystkie lata, wiedząc dokładnie o wszystkich zagrożeniach, myśmy w ogóle nie budowali takiego systemu bezpieczeństwa” – powiedział Napieralski, stwierdzając, że „czym więcej wolności, tym mniej bezpieczeństwa”.

W kontekście przepisów prawnych Michał Gramatyka zaznaczył, że obowiązywała i obowiązuje ustawa o ochronie danych osobowych. Zwrócił uwagę, że zaatakowana została firma, która nie była administratorem danych osobowych, tylko została upoważniona do przetwarzania.

„Tego nie widzieliśmy w polskim prawie, że są takie firmy, które mogą koncentrować bardzo duże ilości danych, nie będąc ich administratorami, zobowiązanymi ze względu na RODO. Oni oczywiście też muszą realizować obowiązki wynikające z RODO, natomiast w naszej ocenie jest to niedostateczne. Przedstawiciele tej firmy by się z nami nie zgodzili, ale to niedostateczny poziom bezpieczeństwa spowodował, że ktoś im te dane ukradł” – przekazał wiceminister cyfryzacji.

Działania nie tylko w prokuraturze

Wiceprzewodniczący Dariusz Stefaniuk (Prawo i Sprawiedliwość) zwrócił się z kolei z pytaniem dotyczącym działań prokuratury w sprawie wycieku oraz samej firmy MyDr, oraz dlaczego jako próg do nakazu audytów i sprawdzania firm wyznaczono posiadanie danych 100 tys. osób. Do tego poprosił o informację, czy znany jest już termin złożenia projektu ustawy tzw. „cyberpiątki” w Sejmie i czy jest on już gotowy.

Wiceszef ministerstwa odpowiedział, że działania prowadzi nie tylko Prokuratura Okręgowa w Warszawie przy pomocy Centralnego Biura Zwalczania Cyberprzestępczości. Prace są także prowadzone także w Agencji Bezpieczeństwa Wewnętrznego oraz CSIRT NASK.

„Państwo podejmuje wszystkie przewidziane prawem możliwości, żeby uniknąć takiej sytuacji na przyszłość i znaleźć osoby odpowiedzialne za to przestępstwo” – wyjaśnił Gramatyka. Dodał przy tym, że sprawcy robią „dużo, aby pozostać anonimowymi”, ale są tzw. białymi kapeluszami (white hat), którzy nie działają na szkodę organizacji.

Sam projekt „cyberpiątki” ma z kolei być procedowany „szybką ścieżką rządową”. Próg 100 tys. został przyjęty tak, aby nie zwiększać obowiązków mniejszych podmiotów, m.in. miasteczek i nie zabijało w ten sposób „przydatnych inicjatyw”.

Chcemy zrobić tak, żeby maksymalnie ograniczyć proces konsultacji tej legislacji, ale tutaj będzie współpraca co najmniej trzech resortów: zdrowia, cyfryzacji i administracji odpowiedzialnej za ochronę danych osobowych. Te prace już się toczą, te przepisy powstają. Kiedy one będą w Sejmie, trudno mi odpowiedzieć, ale jestem przekonany, że jeszcze w tym roku.
Michał Gramatyka, wiceminister cyfryzacji

Karczewska: czy będą wyciągnięte wnioski?

Do propozycji zmian legislacyjnych ze sceptycyzmem podeszła natomiast Joanna Karczewska. W swojej wypowiedzi podczas posiedzenia komisji przypomniała, że w 2026 roku doszło do dziewięciu poważnych cyberataków na placówki ochrony zdrowia. Odnosząc się także do swoich doświadczeń z danymi osobowymi podczas likwidacji przedszkola, zapytała, czy zostaną wyciągnięte wnioski z całej zaistniałej sytuacji, z uwzględnieniem innych obszarów, jak oświata.

Odnosząc się do pytania Michał Gramatyka przekazał, że na etapie prac rządowych projekt legislacji będzie opiniowany.

„Myślę, że będziemy mieli nieraz okazję do tego, żeby dyskutować o tym prawie, jakich obszarów ono powinno dotyczyć i w oparciu o jakie reguły być podejmowane” – dodał wiceminister.