Wyciek informacji medycznych może dotyczyć milionów osób. Jakie kroki powinni podjąć pacjenci i administratorzy danych?

Według informacji przekazanych przez Ministerstwo Cyfryzacji incydent związany z systemem MyDr może dotyczyć nawet 19 mln osób. Potencjalnie obejmuje on nie tylko dane identyfikacyjne, ale również informacje związane z udzielaniem świadczeń zdrowotnych, takie jak dane o wizytach, receptach czy historii leczenia.

Ze względu na charakter tych informacji zdarzenie wymaga szczególnej uwagi zarówno ze strony osób, których dane mogą być objęte incydentem, jak i administratorów danych.

Co powinny zrobić osoby, których dane mogły zostać ujawnione?

W pierwszej kolejności warto:

• regularnie sprawdzać w serwisie bezpiecznedane.gov.pl, czy Państwa dane zostały objęte incydentem;
• zastrzec numer PESEL, jeśli nie został wcześniej zastrzeżony;
• monitorować komunikaty dotyczące incydentu oraz zachować czujność wobec otrzymywanej komunikacji telefonicznej i elektronicznej  i wszelkich prób wykorzystania danych do wyłudzeń, w tym sprawdzać alerty bankowe i korespondencję dotyczącą zobowiązań finansowych, których dana osoba nie zaciągała;

Jakie są najważniejsze ryzyka?

W przypadku wycieku danych medycznych zagrożenia wykraczają daleko poza samą kradzież tożsamości.

Najistotniejsze ryzyka to:

• wykorzystanie danych do wyłudzeń finansowych;
• zaawansowane ataki phishingowe i socjotechniczne;
• próby podszywania się pod placówki medyczne, NFZ lub inne instytucje;
• naruszenie prywatności związane z ujawnieniem informacji o stanie zdrowia;
• wykorzystanie połączonych danych osobowych i medycznych do tworzenia szczegółowych profili osób, które mogą następnie służyć do ukierunkowanych oszustw, manipulacji lub innych działań naruszających ich prawa i wolności.

Co powinny zrobić podmioty korzystające z zaatakowanego systemu?

Choć incydent dotyczy dostawcy systemu, to podmioty korzystające z MyDr jako administratorzy danych odpowiadają za realizację obowiązków wynikających z RODO, w tym ocenę skutków naruszenia, jego zgłoszenie do organu nadzorczego i komunikację z osobami, których dane dotyczą.

Należy niezwłocznie:

• ustalić zakres danych objętych incydentem oraz ściśle współpracować z dostawcą systemu w celu określenia charakteru i skali naruszenia oraz wdrożenia działań ograniczających jego skutki;
• przeprowadzić oraz udokumentować ocenę ryzyka dla osób, których dane dotyczą;
• podjąć działania wymagane na gruncie art. 33 i 34 RODO, w tym dokonać zgłoszenia naruszenia Prezesowi UODO oraz poinformować osoby, których dane dotyczą, jeżeli okaże się to wymagane;
• zaangażować Inspektora Ochrony Danych, osoby odpowiedzialne za bezpieczeństwo informacji oraz kierownictwo organizacji.

Na co uważać w najbliższych tygodniach?

Warto pamiętać, że skutki tego rodzaju incydentów mogą ujawniać się przez długi czas po samym wycieku. Dlatego zarówno osoby, których dane mogły zostać objęte naruszeniem, jak i administratorzy danych powinni zachować wzmożoną czujność oraz monitorować rozwój sytuacji.

To zdarzenie przypomina, że cyberbezpieczeństwo w sektorze ochrony zdrowia nie jest wyłącznie kwestią zgodności z przepisami. To realny element ochrony pacjentów i zaufania do systemu ochrony zdrowia.

Specjaliści kancelarii pozostają do dyspozycji w zakresie komentarzy dotyczących incydentu, RODO, ochrony danych osobowych oraz obowiązków administratorów po naruszeniu.