Kradzież danych osobowych i medycznych milionów osób w Polsce. Czy trzeba zastrzec PESEL? Co mogą zrobić pacjenci i administratorzy danych?

• Co powinny zrobić osoby, których dane mogły zostać ujawnione?
• Główne ryzyka wycieku danych medycznych
• Co powinny zrobić podmioty korzystające z zaatakowanego systemu?
• Na co uważać w najbliższych tygodniach?

Ze względu na charakter tych informacji zdarzenie wymaga szczególnej uwagi zarówno ze strony osób, których dane mogą być objęte incydentem, jak i administratorów danych.

Co powinny zrobić osoby, których dane mogły zostać ujawnione?

W pierwszej kolejności warto:
- regularnie sprawdzać w serwisie bezpiecznedane.gov.pl, czy Państwa dane zostały objęte incydentem;
- zastrzec numer PESEL, jeśli nie został wcześniej zastrzeżony;
- monitorować komunikaty dotyczące incydentu oraz zachować czujność wobec otrzymywanej komunikacji telefonicznej i elektronicznej i wszelkich prób wykorzystania danych do wyłudzeń, w tym sprawdzać alerty bankowe i korespondencję dotyczącą zobowiązań finansowych, których dana osoba nie zaciągała;

Główne ryzyka wycieku danych medycznych

W przypadku wycieku danych medycznych zagrożenia wykraczają daleko poza samą kradzież tożsamości.

Najistotniejsze ryzyka to:
- wykorzystanie danych do wyłudzeń finansowych;
- zaawansowane ataki phishingowe i socjotechniczne;
- próby podszywania się pod placówki medyczne, NFZ lub inne instytucje;
- naruszenie prywatności związane z ujawnieniem informacji o stanie zdrowia;
- wykorzystanie połączonych danych osobowych i medycznych do tworzenia szczegółowych profili osób, które mogą następnie służyć do ukierunkowanych oszustw, manipulacji lub innych działań naruszających ich prawa i wolności.

Co powinny zrobić podmioty korzystające z zaatakowanego systemu?

Choć incydent dotyczy dostawcy systemu, to podmioty korzystające z MyDr jako administratorzy danych odpowiadają za realizację obowiązków wynikających z RODO, w tym ocenę skutków naruszenia, jego zgłoszenie do organu nadzorczego i komunikację z osobami, których dane dotyczą.

Należy niezwłocznie:
- ustalić zakres danych objętych incydentem oraz ściśle współpracować z dostawcą systemu w celu określenia charakteru i skali naruszenia oraz wdrożenia działań ograniczających jego skutki;
- przeprowadzić oraz udokumentować ocenę ryzyka dla osób, których dane dotyczą;
- podjąć działania wymagane na gruncie art. 33 i 34 RODO, w tym dokonać zgłoszenia naruszenia Prezesowi UODO oraz poinformować osoby, których dane dotyczą, jeżeli okaże się to wymagane;
- zaangażować Inspektora Ochrony Danych, osoby odpowiedzialne za bezpieczeństwo informacji oraz kierownictwo organizacji.

Na co uważać w najbliższych tygodniach?

Warto pamiętać, że skutki tego rodzaju incydentów mogą ujawniać się przez długi czas po samym wycieku. Dlatego zarówno osoby, których dane mogły zostać objęte naruszeniem, jak i administratorzy danych powinni zachować wzmożoną czujność oraz monitorować rozwój sytuacji.

To zdarzenie przypomina, że cyberbezpieczeństwo w sektorze ochrony zdrowia nie jest wyłącznie kwestią zgodności z przepisami. To realny element ochrony pacjentów i zaufania do systemu ochrony zdrowia.

Specjaliści kancelarii pozostają do dyspozycji w zakresie komentarzy dotyczących incydentu, RODO, ochrony danych osobowych oraz obowiązków administratorów po naruszeniu.

Ewelina Ogłozińska, radczyni prawna - SDZLEGAL Schindhelm Kancelaria Prawna Schampera, Dubis, Zając i Wspólnicy sp. j.