Naruszenie ochrony danych osobowych w systemie MyDr EDM

Zgodnie z informacjami przekazanymi nam przez MyDr, nieuprawniona osoba trzecia uzyskała dostęp do środowiska MyDr i skopiowała zawartość bazy danych przechowywanej w chmurze, zawierającej dane sprzed 12 kwietnia 2024 r., a w przypadku ograniczonej liczby osób również dane osobowe zawarte w anulowanych skierowaniach.

MyDr poinformowało jednocześnie, że incydent został opanowany, system został zabezpieczony i nie ma dowodów na dalszy nieuprawniony dostęp. Według informacji przekazanych naszej placówce na dzień sporządzenia zawiadomienia nie stwierdzono również dowodów na publiczne ujawnienie danych objętych incydentem.

Jakich danych może dotyczyć naruszenie?

W odniesieniu do pacjentów naszej placówki objętych incydentem naruszenie może dotyczyć – w zależności od zakresu danych zapisanych w systemie – takich informacji jak:

• imię i nazwisko,
• adres zamieszkania,
• dane kontaktowe,
• numer PESEL,
• dane dotyczące zdrowia,
• dane dotyczące ubezpieczenia społecznego, jeżeli zostały podane,
• informacje dotyczące pracodawcy,
• inne dane umożliwiające identyfikację.

Zakres danych może być różny dla poszczególnych osób. Powyższe wyliczenie nie oznacza, że w przypadku każdego pacjenta naruszenie obejmuje wszystkie wskazane kategorie danych.

Jakie mogą być konsekwencje naruszenia?

Ze względu na charakter danych objętych incydentem istnieje ryzyko ich bezprawnego wykorzystania.

W szczególności dane identyfikacyjne, w tym numer PESEL w połączeniu z innymi danymi, mogą potencjalnie zostać wykorzystane m.in. do prób podszywania się pod inną osobę, zawarcia umowy lub uzyskania pożyczki albo kredytu bez jej wiedzy, a także do prób uzyskania dostępu do informacji dotyczących zdrowia w miejscach, w których do weryfikacji tożsamości wykorzystywany jest numer PESEL.

W przypadku danych dotyczących zdrowia ich nieuprawnione wykorzystanie może również prowadzić do naruszenia prywatności, prób oszustwa lub wykorzystania posiadanych informacji do uwiarygodnienia kontaktu z pacjentem lub jego bliskimi.

Co mogą Państwo zrobić?

W związku z incydentem zalecamy zachowanie szczególnej ostrożności.

W szczególności warto:

• zastrzec numer PESEL, jeżeli Państwa numer PESEL był objęty naruszeniem – można to zrobić m.in. za pośrednictwem aplikacji mObywatel lub serwisu gov.pl;
• zachować ostrożność wobec telefonów, wiadomości SMS i e-mail, których nadawcy powołują się na znajomość Państwa danych osobowych lub informacji dotyczących zdrowia;
• nie przekazywać dodatkowych danych osobowych, haseł, kodów autoryzacyjnych ani danych bankowych osobom, których tożsamości nie można zweryfikować;
• zwracać szczególną uwagę na próby wyłudzenia pieniędzy lub zawarcia zobowiązań z wykorzystaniem Państwa danych;
• w przypadku podejrzenia wykorzystania danych niezwłocznie skontaktować się z właściwą instytucją, np. bankiem lub organami ścigania.

Jakie działania zostały podjęte?

Zgodnie z przekazanymi nam informacjami MyDr zabezpieczyło system i wdrożyło dodatkowe środki techniczne i organizacyjne. Do zbadania incydentu zaangażowano również specjalistyczną firmę z zakresu cyberbezpieczeństwa.

MyDr poinformowało o incydencie właściwe instytucje i współpracuje m.in. z organami odpowiedzialnymi za cyberbezpieczeństwo oraz Urzędem Ochrony Danych Osobowych. Prowadzony jest również monitoring pod kątem ewentualnego publicznego ujawnienia danych.

Nasza placówka, jako administrator danych osobowych, podjęła działania wymagane przepisami dotyczącymi ochrony danych osobowych, w tym dokonała oceny naruszenia i jego potencjalnych konsekwencji dla osób, których dane dotyczą.

Gdzie uzyskać dodatkowe informacje?

MyDr uruchomiło dedykowany punkt kontaktowy dla osób, których dane dotyczą:

dane@mydr.pl

Przepraszamy za zaistniałą sytuację i związane z nią niedogodności.