Poczekajmy kilka dni z wchodzeniem na „Bezpieczne Dane”

Wczoraj wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził wyciek danych medycznych prawie 19 milionów Polaków. Zdarzenie stanowi jeden z najpoważniejszych wycieków danych w historii Polski.

W trakcie konferencji prasowej po posiedzeniu Połącznego Centrum Operacji Cyberbezpieczeństwa zapewnił, że zostanie dodana możliwość sprawdzenia tego, czy nasze dane zostały wykradzione przez cyberprzestępców. W tym celu zostanie wykorzystany portal „Bezpieczne Dane”, który od kilku lat agreguje wycieki danych Polaków.

Poczekajmy kilka dni

Niezależnie od tego, czy nasze dane kiedykolwiek wyciekły, powinniśmy zastrzec nasz numer PESEL – teraz.

To najlepsze, co możemy zrobić w tej sytuacji, wraz z zachowaniem wzmożonej ostrożności wobec prób kontaktu z nami (nawet w sytuacji, gdy ktoś podaje nasze dane osobowe w rozmowie).

Mówienie komuś „zaczekaj!” w sytuacji, gdy dane mogły ulec naruszeniu ochrony, nie jest komfortowe i może być uznane za irracjonalne. Jednocześnie – tak właśnie częściowo jest z racji na pewne okoliczności incydentu. W komunikacie Ministerstwa Cyfryzacji stwierdzono:

Z uwagi na to, że administratorem danych są poszczególne gabinety lekarskie oraz placówki ochrony zdrowia, proces przekazania danych do serwisu bezpiecznedane.gov.pl może zająć kilka dni.
Komunikat prasowy Ministerstwa Cyfryzacji po posiedzeniu PCOC

RODO

Można zapytać – jak to możliwe, że dane z MyDr w ciągu godzin nie trafiły do rządowego portalu? Tutaj kłaniają się artykuły 33 i 34 RODO, gdzie czytamy (w uproszczeniu):

„W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki (…) zgłasza je organowi nadzorczemu” – art. 33 pkt 1 RODO;

„Podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki zgłasza je administratorowi” – art. 33 pkt 2 RODO;

„Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu” – art. 34 pkt 1 RODO.

MyDr w przypadku tego incydentu jest podmiotem przetwarzającym, a nie administratorem (jest nim dana placówka ochrony zdrowia). Sprawę na łamach Zaufanej Trzeciej Strony opisał już w poniedziałek Adam Haertle:

Problem polega na tym, że MyDr jest jedynie "podmiotem przetwarzającym" zgodnie z RODO, a administratorem danych są placówki ochrony zdrowia, których są tysiące. Z prawnego punktu widzenia MyDr nie ma prawa przekazać danych ofiar incydentu np. zespołowi CERT Polska. by umieścić je w serwisie bezpiecznedane.gov.pl. No chyba że rząd coś wymyśli :)
Adam Haertle, Z3S

„Na dokładkę firma nie może (zgodnie z RODO) przekazać danych NASK, który to prowadzi serwis bezpiecznedane.gov.pl. (…) Ale firma danych przekazać nie może, prezes UODO nie pozwoli, a nikt mu nie każe pozwolić. Przepis to przepis i basta” – stwierdził Adam w poniedziałkowym artykule poświęconym sprawie.

O incydencie powinna poinformować nas poszczególna placówka medyczna (jako administrator).

Bezpieczne Dane

Wiele wskazuje na to, że „Bezpieczne Dane” będą mogły posłużyć do sprawdzenia, czy nasze dane wyciekły. Musimy jednak nieco poczekać.

Zapewne o wiele lepiej mieć sprawdzoną, binarną informację (wyciekły/nie wyciekły) niż „spośród dotychczasowych 2 milionów rekordów w bazie nie było Twoich, ale zaczekaj na pełną publikację, bo nadal czekamy na informacje od placówek ochrony zdrowia”.

„Dane z wycieku w firmie MyDr nie trafiły jeszcze do bazy serwisu. Zostaną udostępnione w serwisie niezwłocznie po ich przekazaniu przez podmioty dotknięte cyberatakiem” – głosi plansza na Bezpiecznych Danych.

Historia portalu

Już dziś można sprawdzić, czy nasze dane wyciekły w jednym z cyberataków w przeszłości.

Pragniemy przedstawić historyczny rys dodawania rekordów do Bazy – często było to kwestią dni, lecz bazy były zdecydowanie mniejsze.

27 listopada 2023 roku doszło do wycieku danych pacjentów ALAB Laboratoria. Tego samego dnia rekordy zostały dodane do Bezpiecznych Danych, dzięki czemu mogliśmy zweryfikować, czy nasze dane zostały upublicznione przez cyberprzestępców.

8 lipca 2024 roku nagłośniliśmy wyciek danych z polskiej strony dla modelek. Baza zawierała 180 tys. rekordów. Trzy dni później CERT Polska poinformowało, że dane z wycieku zasiliły portal bezpiecznedane.gov.pl – incydent dotyczył 40 tys. realnych użytkowników.

6 stycznia 2025 roku cyberprzestępcy opublikowali bazę zawierającą 200 tys. rekordów, skradzioną ze sklepu z armaturą łazienkową. Dwa dni później opisaliśmy to na naszych łamach. 13 stycznia każdy mógł sprawdzić na Bezpiecznych Danych, czy wyciek go dotyczył.

Pod koniec kwietnia ubiegłego roku miała miejsce zbiorowa aktualizacja rządowego portalu, obejmująca wycieki z poniższych organizacji:

• OIPiP w Gdańsku (10.2024);
• Naczelnej Rady Adwokackiej (02.2025);
• sklepu z zabawkami dla dzieci (03.2025).

14 kwietnia 2026 roku opisaliśmy wyciek danych ponad 130 tysięcy klientów polskiego sklepu z kołdrami. Dwa dni później każdy zainteresowany mógł sprawdzić na Bezpiecznych Danych, czy incydent go dotyczy.

Co dalej?

Poczekajmy na informacje od naszych placówek ochrony zdrowia oraz dodanie wycieku do „Bezpiecznych Danych”.

Pamiętajmy o zastrzeżeniu numeru PESEL, dwuetapowym uwierzytelnianiu, silnych hasłach oraz nieufności wobec prób kontaktu z nami.

Szerzej działania po wycieku danych opisaliśmy na naszych łamach: tutaj.