Informacja o naruszeniu ochrony danych osobowych w systemie MyDr

Szanowni Państwo,

W poniższym komunikacie, nasza przychodnia (tj. Mariusz Wojak MAMED), jako administrator Państwa danych osobowych informuje o naruszeniu ochrony danych osobowych, do którego doszło w systemach informatycznych MyDr Sp. z o.o. z siedzibą w Warszawie.

MyDr jest dostawcą oprogramowania medycznego wykorzystywanego również przez naszą placówkę oraz działa w tym zakresie jako podmiot przetwarzający dane osobowe na nasze zlecenie. O incydencie zostaliśmy poinformowani przez MyDr Sp. z o.o. Zgodnie z przekazanymi nam informacjami systemy MyDr padły ofiarą cyberataku, w wyniku którego nieuprawniona osoba trzecia uzyskała dostęp do danych przetwarzanych w środowisku MyDr. Incydent spowodował naruszenie poufności danych osobowych.

Incydent mógł dotyczyć części pacjentów naszej placówki oraz innych osób, których dane były przetwarzane w systemie MyDr w związku ze świadczeniem przez nas usług medycznych.

Chcielibyśmy jednocześnie podkreślić, że na obecnym etapie nie stwierdzono, aby dane objęte incydentem zostały wykorzystane w sposób niezgodny z prawem lub publicznie ujawnione. Zespoły MyDr oraz zewnętrzni eksperci stale monitorują sytuację i dotychczas nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione. Przeprowadzone przez MyDr analizy potwierdziły również, że incydent został opanowany oraz że nie ma dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.

Według informacji przekazanych przez MyDr nieuprawniona osoba uzyskała dostęp do kopii zapasowej bazy danych według stanu na 12 kwietnia 2024 r. Ponadto, w ograniczonej liczbie przypadków, incydent mógł obejmować również dane zawarte w anulowanych skierowaniach na badania medyczne wystawionych po tej dacie. Tak zostało to również opisane w dokumentacji incydentu.

Jakich danych może dotyczyć incydent?

Zakres danych różni się w zależności od konkretnej osoby. Wśród danych objętych incydentem mogły znaleźć się w szczególności: imię i nazwisko, data urodzenia, adres zamieszkania lub pobytu, dane kontaktowe (np. adres e-mail,numer telefonu), numer PESEL, dane dotyczące zdrowia i udzielanych świadczeń medycznych, dane dotyczące ubezpieczenia społecznego, informacje dotyczące pracodawcy, jeżeli zostały podane, inne dane identyfikacyjne, w odniesieniu do przedstawicieli ustawowych lub osób upoważnionych do dokumentacji medycznej – także dane dotyczące ich relacji z pacjentem, w odniesieniu do personelu medycznego – również dane związane z wykonywaniem zawodu, jeżeli były przetwarzane w systemie.
Nie oznacza to, że w przypadku każdej osoby naruszenie obejmowało wszystkie wymienione wyżej kategorie danych.

Jakie mogą być konsekwencje naruszenia?

Mimo że prowadzony przez MyDr monitoring nie wykazał dotychczas przypadków wykorzystania ani publicznego ujawnienia danych, ze względu na charakter danych objętych incydentem nie można wykluczyć wystąpienia negatywnych konsekwencji dla osób, których dane dotyczą. W szczególności w przypadku osób, których dane obejmowały numer PESEL lub dane dotyczące zdrowia, ryzyko może być podwyższone.

Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w połączeniu z imieniem i nazwiskiem oraz innymi danymi identyfikującymi, w określonych sytuacjach mógłby zostać wykorzystany przez osoby nieuprawnione w szczególności do:

• zaciągnięcia kredytu, pożyczki lub zawarcia innych umów bez wiedzy osoby, której dane dotyczą;
• prób podszywania się pod osobę, której dane dotyczą;
• wykorzystania danych w celu przeprowadzenia prób oszustwa lub wyłudzenia;
• uzyskania dostępu do danych dotyczących zdrowia w podmiotach, w których proces identyfikacji lub uwierzytelnienia wykorzystuje numer PESEL.

Incydent mógł również dotyczyć danych dotyczących zdrowia. Ich nieuprawnione wykorzystanie może w szczególności prowadzić do:

• naruszenia prywatności osoby, której dane dotyczą;
• wykorzystania informacji o stanie zdrowia w sposób dla niej niekorzystny;
• gorszego traktowania lub dyskryminacji;
• prób oszustwa wykorzystujących wiedzę o stanie zdrowia, np. poprzez kontakt z osobą, której dane dotyczą, lub jej bliskimi i oferowanie usług medycznych, pseudomedycznych albo terapeutycznych;
• naruszenia poufności informacji objętych szczególną ochroną ze względu na ich medyczny charakter.

Na obecnym etapie nie stwierdzono przypadków wykorzystania ani publicznego ujawnienia danych. Ze względu jednak na charakter incydentu zalecamy zachowanie zwiększonej ostrożności oraz skorzystanie – w odpowiednim zakresie – z opisanych poniżej środków ochronnych.

Jakie działania może Pani/Pan podjąć?

Jeżeli incydent mógł obejmować numer PESEL

Rekomendujemy rozważenie zastrzeżenia numeru PESEL. Można zrobić to bezpłatnie:

• w aplikacji mObywatel,
• przez serwis mObywatel.gov.pl,
• osobiście w urzędzie gminy.

Instytucje zobowiązane przepisami prawa mają obowiązek sprawdzania, czy PESEL został zastrzeżony przed dokonaniem określonych czynności, co istotnie ogranicza możliwość wykorzystania danych do nieuprawnionego zaciągnięcia zobowiązania.

Zastrzeżenie numeru PESEL nie uniemożliwia m.in. rejestracji do lekarza, korzystania ze świadczeń zdrowotnych ani realizacji recepty.

Więcej informacji znajduje się na stronie rządowej dotyczącej usługi „Zastrzeż PESEL”.

Warto również zwracać szczególną uwagę na wszelkie próby kontaktu ze strony osób lub podmiotów, które żądają podania dodatkowych danych osobowych, kodów autoryzacyjnych, danych bankowych albo dokonania płatności, powołując się na posiadane informacje o Pani/Panu.

Jeżeli incydent mógł obejmować dane dotyczące zdrowia

Zalecamy zachowanie szczególnej ostrożności wobec kontaktów z nieznanymi osobami, które mogą wykazywać wiedzę na temat stanu zdrowia lub historii leczenia, a jednocześnie:

• proponują usługi medyczne, pseudomedyczne lub terapeutyczne;
• żądają przekazania dodatkowych danych;
• proszą o dokonanie płatności;
• wysyłają linki prowadzące do nieznanych stron internetowych;
• powołują się na lekarza, przychodnię, ubezpieczyciela albo inną instytucję w celu uzyskania dodatkowych informacji.

W razie otrzymania podejrzanej wiadomości lub telefonu rekomendujemy samodzielne skontaktowanie się z daną placówką lub instytucją, wykorzystując jej oficjalne dane kontaktowe, zamiast odpowiadania bezpośrednio na otrzymaną wiadomość.

Bez względu na zakres danych

W przypadku podejrzenia, że Państwa dane zostały wykorzystane niezgodnie z prawem, możliwe jest zgłoszenie sprawy Policji.

W przypadku podejrzanych wiadomości e-mail, SMS lub innych prób wyłudzenia warto także powstrzymać się od klikania w znajdujące się w nich linki i nie przekazywać kodów uwierzytelniających ani danych dostępowych.

Jakie działania zostały już podjęte?

Działania MyDr Sp. z o.o.

Zgodnie z informacjami przekazanymi naszej placówce, MyDr:

1. podjął działania zmierzające do opanowania i zakończenia incydentu oraz ograniczenia dalszego dostępu do systemów;
2. zaangażował zewnętrznych ekspertów z zakresu cyberbezpieczeństwa w celu przeprowadzenia szczegółowej analizy incydentu;
3. wdrożył dodatkowe środki techniczne i organizacyjne mające ograniczyć ryzyko podobnych zdarzeń w przyszłości;
4. zgłosił incydent wyspecjalizowanej jednostce Policji – Centralnemu Biuru Zwalczania Cyberprzestępczości;
5. podjął współpracę z właściwymi instytucjami, w tym CSIRT NASK oraz Centrum e-Zdrowia;
6. wdrożył dodatkowe mechanizmy bezpieczeństwa, w tym dotyczące kontroli dostępu do środowiska informatycznego;
7. prowadzi monitoring systemów i źródeł internetowych, w tym w celu ustalenia, czy dane objęte incydentem zostały publicznie ujawnione.

Według informacji otrzymanych przez nas od MyDr monitoring ten nie wykazał dotychczas publicznego ujawnienia danych objętych incydentem.

Działania naszej placówki jako administratora danych

Po otrzymaniu informacji o naruszeniu nasza placówka:

1. przeanalizowała otrzymane od MyDr informacje dotyczące incydentu;
2. przeprowadziła ocenę ryzyka naruszenia praw i wolności osób, których dane dotyczą;
3. ustaliła, w zakresie dostępnych informacji, kategorie osób i danych mogących być objętych naruszeniem;
4. dokonała zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych;
5. podjęła działania zmierzające do poinformowania osób, w przypadku których stwierdzono możliwość wystąpienia wysokiego ryzyka naruszenia ich praw lub wolności (wysłane indywidualne wiadomości SMS oraz e-mail);

Działania te są kontynuowane, a w przypadku uzyskania nowych, istotnych informacji dotyczących incydentu podejmiemy odpowiednie dalsze czynności w celu dostarczenia naszym pacjentom niezbędnych informacji.

Gdzie można uzyskać dalsze informacje?