Wyciek danych MyDr. Nowe powiadomienia i ostrzeżenie przed linkami w SMS-ach

Wrześniowe powiadomienia: proces nadal trwa

CROMED informuje, że indywidualne zawiadamianie osób wskazanych przez MyDr rozpoczął 7 września. Specjalistyczne Centrum Rehabilitacji w Otwocku w aktualizacji z 9 września opisało wysyłkę e-maili i SMS-ów oraz dalsze ustalanie, do kogo trzeba skierować list. Placówka sprawdza także nieskuteczne doręczenia wiadomości. Są to informacje o działaniach konkretnych placówek, a nie potwierdzenie zakończenia powiadomień w całym kraju. Późniejsze otrzymanie zawiadomienia samo w sobie nie oznacza kolejnego włamania: może dotyczyć wcześniej ujawnionego incydentu. [1, 2]

Jakie dane objął incydent?

Według informacji MyDr przytoczonych przez CROMED skopiowano m.in. kopię zapasową bazy datowaną na 12 kwietnia 2024 r. W ograniczonej liczbie przypadków zdarzenie mogło objąć także dane z anulowanych e-skierowań wystawionych później. Wskazane kategorie obejmują dane identyfikacyjne i kontaktowe, PESEL oraz informacje o zdrowiu i leczeniu. Zakres zależy jednak od konkretnej osoby; nie można zakładać, że u każdego pacjenta przejęto wszystkie te informacje. [2] Ministerstwo Cyfryzacji 12 sierpnia wskazało, że incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek. Jest to wstępny szacunek z tamtego komunikatu, a nie ostateczne ustalenie zakresu dokumentacji każdej osoby. [5]

SMS-y z linkami: ostrzeżenie resortu i odpowiedź MyDr

9 września wiceminister cyfryzacji Dariusz Standerski zaapelował, aby nie klikać w linki przesyłane w SMS-ach dotyczących incydentu. Według relacji TVN24 podkreślił, że wiadomości z odnośnikami nie były konsultowane z ministerstwem, a według jego wiedzy również z UODO. [3] MyDr przedstawił inne stanowisko w odpowiedzi dla Next.gazeta.pl: to placówki decydują o wysyłce, a udostępniony im wzór miał być konsultowany z organem nadzorczym w zakresie ryzyk i działań ochronnych. Spółka przekazała, że wzór nie zawiera aktywnych linków, ale placówki mogą edytować wiadomości. Zapowiedziała też wymóg umieszczania nazwy placówki na początku SMS-a. Są to stanowiska stron; dostępne publikacje nie rozstrzygają rozbieżności dotyczącej konsultacji. [4] Autentyczność konkretnej wiadomości warto potwierdzić u swojej przychodni przez znany wcześniej numer telefonu. [7]

Co można sprawdzić w serwisie Bezpieczne Dane?

Na bezpiecznedane.gov.pl można zweryfikować, czy numer PESEL znajduje się w zbiorze związanym z incydentem MyDr. Rządowy serwis informuje zarazem, że służby nie stwierdziły dotąd upublicznienia danych. To stan komunikatu odczytanego 11 września, nie zapewnienie, że danych nie skopiowano lub że ryzyko minęło. Szczegółów dotyczących rodzaju naruszonych danych należy szukać w zawiadomieniu od placówki albo bezpośrednio u niej. Sam wynik sprawdzenia PESEL nie pokazuje zakresu dokumentacji medycznej. [6]

Co pacjent może zrobić teraz?

UODO zaleca działania ograniczające ryzyko wykorzystania danych i ostrożność wobec nieoczekiwanych kontaktów. Numer PESEL można zastrzec w mObywatelu. Zastrzeżenie jest środkiem ochronnym, ale nie usuwa już skopiowanych informacji. Ministerstwo Zdrowia rekomenduje także silne, unikalne hasła i uwierzytelnianie wieloskładnikowe. [7, 9]

• Otwórz serwis bezpiecznedane.gov.pl, wpisując adres samodzielnie w przeglądarce; nie korzystaj z odnośnika w nieoczekiwanym SMS-ie. [3, 6]
• Zachowaj otrzymane zawiadomienie. Jeżeli brakuje nazwy placówki lub zakresu danych, wyjaśnij to przez jej oficjalny kanał kontaktu. [7]
• Nie przekazuj rozmówcy haseł, kodów SMS ani BLIK. Nie publikuj PESEL ani dokumentacji medycznej w komentarzach. [1]

Kontrola UODO i centralne systemy e-zdrowia

UODO 13 sierpnia ogłosił decyzję o kontroli MyDr, obejmującej m.in. ocenę zabezpieczeń i ich regularnego testowania. Sama decyzja o kontroli nie przesądza odpowiedzialności spółki ani konkretnej placówki. [8] Ministerstwo Zdrowia w komunikacie z 12 sierpnia wskazało, że incydent nie naruszył bezpieczeństwa centralnych usług e-zdrowia. Nie należy więc utożsamiać naruszenia u dostawcy oprogramowania z potwierdzonym włamaniem do wszystkich państwowych systemów medycznych. [9] UODO wyjaśnia również, że pacjent nie musi składać indywidualnej skargi wyłącznie po to, aby urząd zbadał incydent MyDr. O informacje o własnych danych należy zwracać się do ich administratora, czyli odpowiedniej placówki. [7]

Czy poszkodowany ma prawo do odszkodowania?

Tak. Art. 82 RODO przewiduje odszkodowanie za szkodę majątkową lub niemajątkową spowodowaną naruszeniem rozporządzenia. Nie musi więc chodzić wyłącznie o utratę pieniędzy. TSUE w sprawie C-300/21 wskazał trzy łączne warunki: naruszenie RODO, rzeczywistą szkodę oraz związek między nimi. Sam wyciek nie oznacza automatycznej wypłaty. [10, 11] W sprawie C-340/21 Trybunał uznał, że uzasadniona w konkretnej sytuacji obawa przed wykorzystaniem danych może stanowić szkodę niemajątkową. Ocena należy do sądu i wymaga uwzględnienia indywidualnych okoliczności. [12] Kara nałożona przez UODO nie jest odszkodowaniem dla pacjenta; roszczeń pieniężnych dochodzi się odrębnie, na drodze cywilnej. Warto zachować zawiadomienie oraz dowody rzeczywiście poniesionych strat lub krzywdy. [13]