UODO zmienia priorytety po cyberataku na MyDr

Urząd Ochrony Danych Osobowych zwiększa nadzór nad sektorem medycznym. Prezes UODO Mirosław Wróblewski zdecydował, że jeszcze przed końcem 2026 r. kontrolerzy pojawią się w kolejnych podmiotach ochrony zdrowia. Mają sprawdzić, czy dane pacjentów – zwłaszcza te o stanie zdrowia – są zabezpieczane adekwatnie do ryzyka.

W związku ze wspomnianym cyberatakiem, a także wieloma innymi przypadkami naruszeń, Prezes UODO zdecydował, że potrzebne jest przeprowadzenie kontroli na szerszą skalę w zakresie przetwarzania danych dotyczących zdrowia jeszcze w tym roku.
Komunikat Prezesa UODO

Impulsem miał być sierpniowy „największy wyciek danych osobowych w historii Polski”, czyli cyberatak na MyDr – dostawcę oprogramowania dla kilkunastu tysięcy gabinetów i placówek medycznych. Naruszenie objęło ponad 18 mln osób, a dane pochodziły nie tylko z podstawowej opieki zdrowotnej, ale i specjalistycznych poradni (m.in. psychiatrycznych).

UODO rozszerza kontrole

Jak mówi komunikat, kontrola samego MyDr już trwa. UODO bada „zastosowane środki techniczne i organizacyjne oraz analiza ryzyka przeprowadzona przez spółkę”. Urząd chce ustalić, czy rozwiązania chroniące dane były regularnie sprawdzane pod kątem nowych zagrożeń.

Same kontrole sektora zdrowia (głównie pod kątem monitoringu wizyjnego) również są już prowadzone – od 2025 r. Po incydencie UODO chce je jedynie rozszerzyć o odporność zabezpieczeń dokumentacji i informacji medycznych.

Zmiana planu kontroli

W związku ze zmianą harmonogramu, UODO zapowiada przesunięcie kontroli internetowych platform dostaw na I i II kwartał 2027 r.

Bez zmian pozostają działania wobec podmiotów prowadzących BIP, firm marketingowych i instytucji przetwarzających dane w wielkoskalowych systemach UE.