Wciąż nie wiesz, czy Twoje dane wyciekły z MyDr. Czas zadawać pytania [OPINIA]

Poniższy artykuł to opinia autora i nie zawsze musi odzwierciedlać stanowisko całej redakcji.

Tydzień temu wicepremier Krzysztof Gawkowski potwierdził wystąpienie największego wycieku danych osobowych w historii Polski.

Statystycznie incydent obejmuje 50,5% z nas. Dobrze, że nie można wyszukiwać w darknecie informacji o chorobach wenerycznych swoich sąsiadów czy oponentów politycznych, lecz nie neguje to pytania: kiedy dowiemy się, czy wyciek nas obejmuje?

W styczniu br. wskazywałem, że nie słyszeliśmy o wielu incydentach. Choć widziałem dane osobowe w darknecie, podmioty najprawdopodobniej nie poinformowały osób o naruszeniu.

Jednocześnie nie można tego stwierdzić w 100%, bo nie mamy publicznej listy naruszeń ochrony danych. Mają ją niektóre amerykańskie stany – np. Kalifornia, gdzie mogę zobaczyć organizacje, które zgłosiły wyciek danych.

Informowanie osób

Jeśli firma X miała wyciek, musi zgłosić go do organu nadzorczego oraz poinformować osoby…

…chyba, że wymaga to „niewspółmiernie dużego wysiłku” (art. 34 ust. 3 lit. c RODO). Jest to sensowne, np. w przypadku zaszyfrowania bazy danych przez złośliwe oprogramowanie (ransomware). Obawiam się jednak, że taki środek może być zastosowany przez wiele mniejszych przychodni – nie oceniam – lecz nie odpowiada to na pytanie: „czy i jakie moje dane wyciekły?”.

Pozwolę sobie zacytować komunikat Ministerstwa Cyfryzacji tuż po Posiedzeniu Centrum Połączonych Operacji Cyberbezpieczeństwa:

Po identyfikacji, czyje dane zostały w sposób nieuprawniony przejęte przez cyberprzestępców, będą one sukcesywnie przekazywane do serwisu bezpiecznedane.gov.pl, w którym każdy będzie mógł sprawdzić, czy ten incydent dotyczy go bezpośrednio. Z uwagi na to, że administratorem danych są poszczególne gabinety lekarskie oraz placówki ochrony zdrowia, proces przekazania danych do serwisu bezpiecznedane.gov.pl może zająć kilka dni.
Ministerstwo Cyfryzacji

Sprawa jest o tyle ciekawa, że administratorem danych były poszczególne placówki ochrony zdrowia. To na ich barkach spoczywa informowanie o zdarzeniu. Szczerze współczuję.

Minął tydzień. MyDr nie przekazało klientom (placówkom zdrowia) konkretnych informacji o wycieku, co wiemy z bardzo ciekawego artykułu Gazety Wyborczej. Pytam więc jasno: kiedy dowiem się, że moje dane wyciekły? Oczekuję konkretu i będę w tym roszczeniowy.

”(…) MyDr nie przekazała jeszcze indywidualnych zaleceń dotyczących dokonania zgłoszenia do UODO. Liczba klientów, którzy otrzymali od MyDr takie zalecenie, wynosi zatem obecnie zero” – przekazało MyDr Gazecie Wyborczej.

Policja: analizujemy, czekajcie

Funkcjonariuszy CBZC dażę dużym szacunkiem – wielokrotnie pokazali, że potrafią skutecznie walczyć z cyberprzestępczością.

Jednocześnie najnowszy komunikat cyberpolicji jest dla mnie… dziwny. Czytamy w nim:

Na tym etapie nie jest zasadnym publikowanie numerów PESEL pacjentów obsługiwanych przez system MyDr na stronie bezpiecznedane.gov.pl. Publikowanie takich danych mogłoby utrudnić prowadzone działania. CBZC realizuje bowiem aktywne czynności, mające na celu maksymalne ograniczenie zakresu wycieku danych
CBZC

Podkreślam, że nie znam szczegółów działania służb. Jednocześnie nie rozumiem, jak teraźniejsze działania mają na celu ograniczenie zakresu wycieku – on już miał miejsce. Dane wyciekły. Prawdopodobnie leżą na czyiś dyskach, „gdzieś”. Ciągi zer i jedynek dotyczących niecałych 19 milionów osób.

Mam problem ze zrozumieniem, jak możliwość sprawdzenia tego, czy moje (wyłącznie moje) dane wyciekły, utrudniałoby działania śledczych. Chcę wierzyć, że decyzja jest podyktowana racjonalnymi pobudkami – niestety aktualnie ich nie widzę. Nie wykluczam jednak, że kiedyś je poznamy.

Kto ma dane?

Z artykułu „Nie sprawdzimy, czy nasz PESEL jest wśród 19 mln skradzionych z bazy MyDr. Policja jest przeciw” wyłania się smutny obraz państwa, które nie umie współpracować (a na pewno spójnie komunikować), a politycy składają obietnice bez pokrycia (akurat to nic nowego, niezależnie od barw politycznych). Szkoda, bo na szali mogą być dane o zdrowiu Twojej mamy, taty, babci czy dziecka.

Ministerstwo Cyfryzacji miało nieoficjalnie przekazać Wyborczej, że są zaskoczeni decyzją policji. Rozumiem – ja też. Tylko że nie obiecałem milionowi Polaków, że za kilka dni ich dane będą w „Bezpiecznych Danych”.

Judyta Watoła z Gazety Wyborczej zadała Adamowi Haertle (Z3S) pytanie o to, że wbrew zapowiedziom MC nie będziemy mogli sprawdzić, czy nasze dane wyciekły, wskazując na stanowisko CBZC o zakłóceniu śledztwa. Adam odpowiedział mocno:

Niby jak miałoby to cokolwiek zakłócić? To jest pokrętne tłumaczenie. Wyjaśnienie jest proste. Nie mają tych danych, więc nie mogą ich udostępnić.
Adam Haertle (Z3S) dla Gazety Wyborczej

Analiza 2 terabajtów danych wymaga czasu – to w pełni zrozumiałe, oczywiście jeżeli te dane istnieją. Jeśłi nie istnieją – dowiedzmy się o tym.

Pytanie tylko: kiedy się dowiemy. Ile czasu potrzeba. Nikt nie umie tego jasno powiedzieć i to jest porażką tej sprawy. Szkoda. Minął tydzień.

"6-8 godzin"

”Nasz zespół w NASK jest gotowy i po przekazaniu tych danych potrzebuje od 6 do 8 godzin, żeby dane załadować na portalu bezpiecznedane.gov.pl. Wówczas będą dostępne” – przekazał na łamach TVN24 wiceminister Dariusz Standerski, cytowany przez PAP.

Warto przy tym dodać, że dane z wycieków (obejmujących głównie tekstowe bazy danych) wielokrotnie były dodawane w ciągu dni – szerzej opisywałem sprawę w artykule na łamach CyberDefence24. Twierdzenie sekretarza stanu wydaje się prawdopodobne, uwzględniając skalę i powagę zdarzenia – niewątpliwie pracowanoby w trybie „wszystkie ręce na pokład”.

To, co wyciekło, już nie „odcieknie”. Uważam, że zasługujemy na jak najszybszą informację o tym, czy nasze dane wyciekły. Binarną i konkretną: tak/nie i ile. Serwis „Bezpieczne Dane” pewnie się zawiesi, lecz niedostępność potrwa zapewne maksymalnie kilkadziesiąt godzin.

„Policja blokuje Gawkowskiego ws. danych z MyDr” – stwierdza wprost OKO.press.

W niektórych przekazach medialnych pojawia się informacja, że „Bezpieczne Dane” obejmują wyłącznie dane opublikowane w sieci (zazwyczaj darknecie). Praktyka pokazuje, że jest inaczej – w przypadku wycieku z abfoto.pl czytamy:

”W grudniu 2025 roku doszło do włamania do systemów obsługujących sklep internetowy abfoto.pl, należący do firmy Ab Foto Sp. z o.o., w wyniku którego osoba nieuprawniona uzyskała dostęp do bazy danych klientów. Na podstawie dostępnych informacji ustalono, że wykradziona baza danych nie została na ten moment nigdzie opublikowana. Incydent objął ponad 100 000 klientów sklepu” – stwierdzono na rządowym portalu, wskazując, że dane mogą posłużyć m.in. do ataków socjotechnicznych czy wyłudzeń.

Co dalej?

Nie widzę lepszego zbioru do szantażu niż dane medyczne, dlatego jestem zwolennikiem niezwłocznego dodania danych do „Bezpiecznych Danych”. Oczywiście jeżeli ktoś ma ich kopię, poza cyberprzestępcą. I trzymając się żmudnej ścieżki pozyskiwania ich od obiektów – jak w końcu dostaną konkrety.

Jeżeli dane finalnie nie zostaną dodane do rządowego portalu, należy rozliczyć każdego, kto o tym zapewniał. Obecnie nie sposób wskazać winnego, bo nie znamy szczegółów działania służb i zaatakowanej spółki.

Jako podsumowanie pragnę przytoczyć fragment artykułu Adama Haertle, który już 10 sierpnia (dwa dni przed potwierdzeniem wycieku przez MC) przekazał następujące stanowisko, dotyczące (nie)możliwości sprawdzenia, czy nasze dane wyciekły:

”Tu mamy złą informację – nie da się i jest spore ryzyko, że będzie to niemożliwe (lub bardzo utrudnione). Problem polega na tym, że MyDr jest jedynie „podmiotem przetwarzającym” zgodnie z RODO, a administratorem danych są placówki ochrony zdrowia, których są tysiące. Z prawnego punktu widzenia MyDr nie ma prawa przekazać danych ofiar incydentu np. zespołowi CERT Polska. by umieścić je w serwisie bezpiecznedane.gov.pl. No chyba że rząd coś wymyśli :)” – czytamy na łamach Z3S.

Jeśli brak publikacji danych w „Bezpiecznych Danych” oparty jest o jakiekolwiek polityczne naciski – choć obecnie nic na to nie wskazuje – będzie to tragedią nie tylko tych polityków, ale też dla podstawowego dostępu do informacji przez obywateli.

Jeśli nie można poinformować o wycieku danych z logicznego i racjonalnego powodu – np. nieistniejącej bazy danych – zasługujemy na taką informację. Obecnie wiemy, że nic nie wiemy i nie wiemy, kiedy się dowiemy – a szkoda, bo powinniśmy się dowiedzieć, kiedy będziemy mogli się dowiedzieć, że dowiemy się, że nasze dane były skradzione. No nie wiem.

Poniższy artykuł to opinia autora i nie zawsze musi odzwierciedlać stanowisko całej redakcji.