• Cyberatak na firmę MyDr doprowadził do wycieku wrażliwych danych 19 milionów Polaków z około 12 tysięcy placówek medycznych. Sprawę nadzoruje prokuratura, a państwo przygotowuje system na stronie bezpiecznedane.gov.pl, gdzie każdy będzie mógł sprawdzić swoje zagrożenie
• Placówki medyczne mają prawny obowiązek indywidualnego ostrzeżenia każdego poszkodowanego pacjenta poprzez SMS, e-mail lub list. Przepisy kategorycznie zabraniają poprzestania na zwykłym komunikacie opublikowanym na stronie internetowej przychodni
• Eksperci ostrzegają przed fałszywymi wiadomościami z żądaniem dopłaty do recept oraz próbami szantażu ujawnieniem historii leczenia. Przestępcy mogą wykorzystać skradzione notatki z wizyt, aby precyzyjnie podszywać się pod konkretnych lekarzy i wyłudzać pieniądze
• Podmioty odpowiedzialne za wyciek muszą liczyć się z natychmiastowym zgłoszeniem sprawy do Urzędu Ochrony Danych Osobowych. Za brak należytych zabezpieczeń lub zignorowanie wymogów informacyjnych grożą kary sięgające nawet 20 milionów euro lub 4 procent rocznego obrotu

SMS, e-mail czy list? W ten sposób przychodnia poinformuje o wycieku

W środę Ministerstwo Cyfryzacji (MC) potwierdziło informację o cyberataku na firmę MyDr, w wyniku którego wyciekły dane m.in. o lekach i receptach 19 mln Polaków. Jak przekazał wicepremier i szef resortu Krzysztof Gawkowski, wyciek dotyczył około 12 tys. placówek medycznych, a sprawę analizują służby.

- Zgodnie z RODO firma MyDr jest podmiotem przetwarzającym dane osobowe, w związku z czym musi ona poinformować placówki medyczne i lekarzy prowadzących jednoosobowe gabinety medyczne, dla których przetwarza dane, o wycieku tych danych - tłumaczył w rozmowie z PAP dr Paweł Litwiński, adwokat i członek Społecznego Zespołu Ekspertów przy Prezesie UODO.

Jak mówił, MyDr powinno przekazać poszczególnym placówkom informacje, których pacjentów dotyczył wyciek i jakie konkretnie dane zostały naruszone (np. numer PESEL, adres, jednostka chorobowa itp.).

- Według RODO placówki medyczne i lekarze prowadzący jednoosobowe gabinety, jako administratorzy danych, muszą ocenić, jakie jest ryzyko dla pacjentów związane z wyciekiem. W przypadku danych o zdrowiu uznaje się, że ryzyko jest wysokie - objaśnił dr Litwiński.

Dodał, że placówka medyczna ma następnie 72 godziny na zgłoszenie naruszenia do Urzędu Ochrony Danych Osobowych (UODO), licząc od momentu otrzymania informacji od MyDr. Zgłoszenia dokonuje się poprzez formularz na stronie urzędu.

- Administrator danych osobowych ma też obowiązek powiadomić indywidualnie każdego pacjenta, o tym, że jego dane wyciekły. RODO stanowi, że musi to zrobić "bez zbędnej zwłoki"; nie ma wyznaczonego sztywnego terminu w dniach czy w godzinach - przekazał rozmówca PAP. Forma kontaktu również nie jest określona w przepisach - dodał.

- Placówka medyczna może więc wysłać SMS, e-mail lub list. Nie wystarczy samo zamieszczenie informacji o wycieku na stronie internetowej - podkreślił ekspert. Wskazał, że pacjent musi dowiedzieć się z wiadomości, co się stało, czyli że doszło do wycieku jego danych osobowych; jakie mogą być tego negatywne konsekwencje oraz jak może im przeciwdziałać.

„Proszę dopłacić do recepty”. Tak oszuści mogą wykorzystać skradzione dane

- Moim zdaniem pacjentów dotkniętych tym wyciekiem należy przed wszystkim uwrażliwić, że mogą stać się celem bardzo precyzyjnych ataków, w których cyberprzestępcy będą się podszywać pod daną placówkę czy lekarza. Na przykład osoba, która korzystała z poradni ortopedycznej, może otrzymać fałszywą wiadomość SMS lub e-mail, że należy dopłacić za ostatnią poradę u ortopedy. Albo, że musi dopłacić za refundację leku na receptę, który zażywa - mówił dr Litwiński.

Dodał, że w rzeczywistości wyłudzone w ten sposób pieniądze trafiłyby na konto cyberprzestępców.

- Drugi, bardzo ryzykowny aspekt, to możliwość wykorzystania wrażliwych informacji przeciwko osobom, które objął wyciek. Na przykład szantażowanie ujawnieniem informacji, o tym, że ktoś leczył się psychiatrycznie albo przyjmuje określony rodzaj leków. Należy więc uwrażliwić ofiary wycieku na próby takich działań - ocenił adwokat.

Zwrócił uwagę, że administratorzy danych, przy informowaniu pacjentów o wycieku, mogą skorzystać z poradnika UODO. Dokument zawiera m.in. przykłady prawidłowego postępowania w takich sytuacjach.

20 mln euro kary i śledztwo CBZC. Co dokładnie wpadło w ręce hakerów?

Ekspert przypomniał też, że za zlekceważenie obowiązków informacyjnych placówkom medycznym mogą grozić sankcje od prezesa UODO, czyli upomnienie lub - w skrajnych przypadkach - kara finansowa. - Potencjalna kara grozi również firmie MyDr, jeśli nie poinformuje swoich klientów, czyli placówek medycznych i lekarzy o wycieku lub jeśli okaże się, że nie zabezpieczyła danych osobowych w należyty sposób, choć na tym etapie jest zdecydowanie zbyt wcześnie, żeby cokolwiek tutaj przesądzać. Sankcje mogą sięgać do 4 proc. obrotu za poprzedni rok lub 20 mln euro - wskazał dr Litwiński.

Prokuratura Okręgowa w Warszawie nadzoruje prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości dochodzenie w sprawie wycieku danych z firmy MyDr - poinformował w czwartek rzecznik prok. Piotr Antoni Skiba. Dochodzenie dotyczy uzyskania dostępu do systemu informatycznego MyDr oraz przechowywanych na serwerach spółki informacji przez nieustaloną i nieuprawnioną do tego osobę, która wcześniej przełamała albo ominęła zabezpieczenia, a następnie ujawniła części uzyskanych w ten sposób informacji innym osobom, poprzez przesłanie wycinka danych do serwisu "Zaufana Trzecia Strona". Grozi za to do trzech lat więzienia.

Informacje, które wyciekły, obejmują dane osobowe pacjentów podmiotów świadczących usługi medyczne i będących klientami MyDr - w tym imiona, nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane dotyczące stanu zdrowia, jak treść notatek z wizyt lekarskich czy informacji o wystawionych receptach.

W czwartek wicepremier Gawkowski poinformował, że obecnie w przestrzeni publicznej nie ma danych skradzionych w cyberataku. Nie zostały też wystawione na sprzedaż. Szef MC zaznaczył, że trwają prace nad wydobyciem danych osób z firmy MyDr i przeniesieniem ich do systemów państwowych. Podkreślił, że wszelkie informacje na temat wycieków danych można sprawdzić na stronie bezpiecznedane.gov.pl. Gawkowski podkreślił również, że służby rozpracowują grupę, która stała za cyberatakiem.