Wyciek danych medycznych w systemie MyDr: Co powinni zrobić pacjenci?

O masowym cyberataku na spółkę MyDr, będącą jednym z największych w Polsce dostawców oprogramowania do elektronicznej dokumentacji medycznej, poinformował wicepremier i minister cyfryzacji Krzysztof Gawkowski. Podczas konferencji po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa przekazano, że w ręce nieuprawnionych osób trafiła baza danych o rozmiarze przekraczającym 2 terabajty, zawierająca informacje o blisko 19 mln obywateli. Informacje o wycieku mają zostać udostępnione w serwisie Bezpieczne Dane.

Spółka MyDr w oficjalnych komunikatach ograniczyła się do stwierdzenia, że sytuację analizuje i współpracuje z służbami, a wykradzione dane pochodzą z 2024 roku oraz lat wcześniejszych.

W jej systemach przetwarzano m.in. imiona i nazwiska, numery PESEL i telefonów, numery recept, informacje o przepisanych lekach i wizytach u lekarza, a potencjalnie także o schorzeniach. Nie wiadomo jednak, czy każdy z 19 mln rekordów zawierał pełen zestaw takich danych, ponieważ o zawartości wycieku poinformowali na razie jedynie sprawcy włamania. MyDr miała prawo przetwarzać te informacje, ponieważ skorzystało z niej 12 tysięcy placówek medycznych, czyli ponad połowa w Polsce. Prawo rozdziela role precyzyjnie, czyniąc administratorem danych placówki medyczne, podczas gdy firmy technologiczne mają je jedynie przetwarzać.

Odpowiedzialność administratorów i wymogi RODO

Urząd Ochrony Danych Osobowych podkreślił, że zgodnie z przepisami RODO, w przypadku naruszenia ochrony danych, administrator ma obowiązek zgłosić ten fakt organowi nadzorczemu bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia incydentu. Zgłoszenie przesyłane do UODO przy użyciu specjalnego formularza powinno zawierać szczegółowy opis charakteru naruszenia, w tym kategorie oraz szacowaną liczbę osób i wpisów, których dotyczy problem. W przypadku przekroczenia wskazanego terminu, administrator jest zobowiązany dołączyć wyjaśnienie przyczyn opóźnienia.

Oprócz procedur zgłoszeniowych, organ nadzorczy zaznaczył, że obowiązek bezpośredniego poinformowania osób fizycznych, których dane uległy ujawnieniu, spoczywa w całości na administratorach korzystających z usług spółki MyDr. Celem tych działań jest zminimalizowanie ryzyka wystąpienia negatywnych konsekwencji, takich jak kradzież tożsamości. Formalna ochrona danych rozmija się jednak z doświadczeniem obywatela, ponieważ w praktyce większość pacjentów nie wie, jakie firmy ani skąd posiadają ich dane, co utrudnia egzekwowanie praw wynikających z RODO.

Perspektywa ekspertów na systemowe błędy państwa

Krzysztof Kaliński, audytor i specjalista ds. cyberbezpieczeństwa z Uniwersytetu Civitas, zauważył, że trudność w identyfikacji podmiot przechowujących nasze informacje podważa sens części praw gwarantowanych przez RODO. Z kolei Michał Jarski, dyrektor firmy Forcepoint, uważa, że państwo powinno precyzyjnie wyznaczać standardy i jednoznacznie określać, jak systemy mają się komunikować oraz jakie są minimalne wymagania bezpieczeństwa.

Pytanie, na które państwo powinno odpowiedzieć, dotyczy tego, czy zauważyło moment, w którym prywatny dostawca oprogramowania zaczął obsługiwać połowę placówek w kraju, stając się elementem infrastruktury krytycznej. Państwo musi ustalić, dlaczego włamanie było możliwe, wskazać odpowiedzialnych i doprowadzić do ich ukarania, a politycy powinni pamiętać, że zapewnienia o naprawieniu błędu w obliczu największego wycieku danych nie wystarczą.

Jak zabezpieczyć się przed skutkami wycieku?

Minister cyfryzacji Krzysztof Gawkowski zaapelował do obywateli, wskazując na konieczność szybkiego działania słowami: „W pierwszej kolejności należy zastrzec PESEL”. UODO zaleca również zachowanie szczególnej ostrożności podczas podawania danych w internecie oraz przez telefon, aby uniknąć działań oszustów próbujących uzyskać dodatkowe informacje ułatwiające kradzież tożsamości.

Eksperci ostrzegają przed wzmożonym ryzykiem ataków typu phishing, w których przestępcy podszywają się pod bank, urząd czy przychodnię, próbując wyłudzić dostęp do systemów bankowych lub kolejnych informacji. Osoby dotknięte wyciekiem powinny skrupulatnie weryfikować przychodzące wiadomości SMS oraz e-mail, a także włączyć powiadomienia o logowaniach do banku, używać unikalnych haseł, uwierzytelniania dwuskładnikowego oraz powiadomień o próbach weryfikacji zdolności kredytowej.

Dobre praktyki w ochronie prywatności i bezpieczeństwa

Urząd Ochrony Danych Osobowych przypomniał również ogólne zasady dbania o prywatność. W przypadku podejrzenia, że podmiot przetwarza dane bez podstawy prawnej, obywatele mają prawo żądać wyjaśnień, a następnie złożyć skargę do prezesa UODO. Urząd przypomina, by domagać się podstawy prawnej w sytuacjach takich jak żądanie kopii dowodu osobistego, a także zwracać uwagę na dobrowolność zgód marketingowych na rzecz partnerów biznesowych przy wyrabianiu kart lojalnościowych.

Przed wyrzuceniem dokumentów zawierających dane osobowe, takich jak faktury czy naklejki adresowe na przesyłkach, należy je zniszczyć w sposób uniemożliwiający odtworzenie informacji. Przed utylizacją starych nośników danych, w tym dysków twardych, pendrive’ów czy kart pamięci, powinno się przywrócić ustawienia fabryczne urządzeń w celu usunięcia zapisanych haseł i loginów.