Wyciek z MyDr. Pacjenci chcą odszkodowań, placówki zgłaszają naruszenia

Jak ustaliła Olga Łozińska z „Dziennika Gazety Prawnej”, Urząd Ochrony Danych Osobowych miał otrzymać ponad 2 tysiące zgłoszeń naruszeń ochrony danych osobowych od placówek medycznych w związku z wyciekiem danych ok. 19 mln Polaków z MyDr.

Przypomnijmy, że firma była podmiotem przetwarzającym dane w imieniu organizacji z sektora ochrony zdrowia, dlatego zgłaszanie naruszenia i informowanie osób leży po stronie placówek jako administratorów danych (zgodnie z art. 33 i 34 RODO).

Na łamach „DGP” podkreślono również, że UODO otrzymał „ponad 50 skarg i sygnałów” od obywateli w związku z incydentem. Dziennik opisał również stanowisko Centrum Doradczego Prawa Medycznego, które zaczęło otrzymywać pisma od poszkodowanych osób.

Wezwania przedsądowe

DGP przytoczyło stanowisko adwokata Macieja Gibińskiego z CDPM, reprezentującego 52 placówki, które korzystały z usług MyDr.

„Około 30 z tych placówek otrzymało wezwania od pacjentów po przekazaniu pacjentom informacji na temat wycieku” – podkreśla Gibiński. Dodał, że po 2 września, czyli dniu wskazania obowiązku informowania o naruszeniu, kancelaria codziennie otrzymuje pisma z żądaniami odszkodowania.

Pisma w większości stanowią przedsądowe wezwania do zapłaty odszkodowania. Kwoty dochodzone przez pacjentów wahają się od kilku do kilkunastu tysięcy złotych.
Maciej Gibiński (Centrum Doradcze Prawa Medycznego) w rozmowie z Olgą Łozińską (Dziennik Gazeta Prawna)

Zakres wycieku

19 sierpnia, tydzień po potwierdzeniu wycieku przez wicepremiera Gawkowskiego, na łamach naszego portalu opublikowano artykuł pt. „Wciąż nie wiesz, czy Twoje dane wyciekły z MyDr. Czas zadawać pytania”.

W tekście Dziennika Gazety Prawnej podkreślono, że pacjenci wciąż nie wiedzą, jakie rodzaje ich danych uległy naruszeniu ochrony.

SMS-y do poszkodowanych często głoszą, że „wyciek danych może obejmować” określone kategorie informacji zamiast wskazać wprost zakres wycieku dla pojedynczej osoby.

MyDr przekazało DGP, że „każda placówka medyczna (…) ma wgląd do listy osób objętych incydentem”. Naczelna Izba Lekarska potwierdziła te informację, lecz nie miała pewności co do szczegółowości informacji przekazywanym placówkom medycznym.

Co dalej?

„O zakresie danych informują pacjentów dotknięte incydentem placówki, natomiast w serwisie bezpiecznedane.gov.pl istnieje jedynie możliwość sprawdzenia czy PESEL użytkownika znalazł się w wycieku” – czytamy na łamach rządowego portalu agregującego wycieki danych Polaków.

Do sprawy wycieku z MyDr oraz cyberbezpieczeństwa w przedsiębiorstwach odniósł się wicepremier Krzysztof Gawkowski w rozmowie z Radiem PiK. „Już przestało mnie obchodzić, że firmy narzekają, że nie mają na to pieniędzy. Zarabiasz? Masz na dywidendy? To płać” – stwierdził mocno minister cyfryzacji.

13 sierpnia Prezes UODO zapowiedział kontrolę w MyDr. „Kontrolerzy UODO sprawdzą zastosowane przez spółkę środki techniczne i organizacyjne. Będą ustalać również czy te zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń. Przedmiotem kontroli będzie też sprawdzenie czy analiza ryzyka uwzględniała możliwe zagrożenia dla przetwarzanych danych, a jej wyniki zostały zastosowane w praktyce” – podkreślono w komunikacie.

Wyciek z MyDr to najpoważniejszy, lecz jednocześnie jeden z wielu incydentów w polskim sektorze ochrony zdrowia w tym roku, co opisywaliśmy na łamach CyberDefence24.

A czy Ty wiesz, jakie Twoje dane wyciekły z MyDr? Daj nam znać w anonimowym formularzu (u dołu linkowanej strony)