UODO skontroluje MyDr po wycieku danych blisko 19 mln Polaków
Wyciek u jednego dostawcy oprogramowania może dotyczyć około 12 tys. placówek medycznych. Każda z nich odpowiada za dane swoich pacjentów jako administrator.
Prezes Urzędu Ochrony Danych Osobowych (UODO) przeprowadzi kontrolę w spółce MyDr, z której wyciekły dane pacjentów. MyDr dostarcza oprogramowanie placówkom medycznym. O kontroli poinformował w czwartek 13 sierpnia zastępca rzecznika urzędu Łukasz Kuligowski. Dzień wcześniej Ministerstwo Cyfryzacji potwierdziło cyberatak, w którym skradziono bazę o rozmiarze ponad 2 TB.
W bazie były imiona, nazwiska, numery PESEL, telefony i adresy e-mail. Były w niej też dane o zdrowiu: notatki z wizyt lekarskich oraz informacje o receptach i lekach. Szacunki liczby poszkodowanych różnią się w zależności od źródła, od 18,8 mln do prawie 19 mln osób. UODO, powołując się na doniesienia medialne, mówi o około 12 tys. podmiotów leczniczych. Urząd zaznacza, że pełna skala naruszenia nie jest jeszcze znana.
Kontrolerzy sprawdzą środki techniczne i organizacyjne, jakie zastosowała spółka, oraz jej analizę ryzyka.
Będą ustalać również czy te zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń.
MyDr jest podmiotem przetwarzającym dane. Administratorem pozostają przychodnie i gabinety, które powierzyły mu dane pacjentów. Serwis Prawo.pl przypomina obowiązki administratora wynikające z RODO (unijnego rozporządzenia o ochronie danych osobowych). Administrator ma 72 godziny na zgłoszenie naruszenia do UODO, licząc od chwili, gdy dowie się o nim od podmiotu przetwarzającego. Przy wysokim ryzyku musi też bez zbędnej zwłoki powiadomić pacjentów. Pacjenci mogą żądać od niego odszkodowania na podstawie art. 82 RODO.
Wicepremier i minister cyfryzacji Krzysztof Gawkowski zapewnił w czwartek, że skradzionych danych nie wystawiono na sprzedaż. Zaapelował o zastrzeżenie numeru PESEL. Informacje o wyciekach są dostępne na stronie bezpiecznedane.gov.pl. Prokuratura Okręgowa w Warszawie nadzoruje dochodzenie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości. Sprawcom grozi do trzech lat więzienia.
Firma, która powierza dane klientów zewnętrznemu dostawcy, nadal ma obowiązki administratora, w tym obowiązek zgłoszenia naruszenia.