Uwaga. choćby 18,8 mln Polaków może być dotkniętych wyciekiem danych. Część osób może dochodzić odszkodowania

Cyberatak na systemy firmy MyDr może dotyczyć choćby 18,8 mln osób i ponad 12 tys. placówek medycznych. Wśród danych objętych incydentem mogły znaleźć się numery PESEL, dane kontaktowe, informacje o zdrowiu, ubezpieczeniu społecznym, a w niektórych przypadkach także inne dane identyfikacyjne. Pacjenci zaczynają otrzymywać wiadomości od placówek medycznych. Co ważne, prawo dopuszcza dochodzenie odszkodowania nie tylko wtedy, gdy oszust rzeczywiście wykorzystał dane. Znaczenie może mieć także realna, uzasadniona obawa przed ich użyciem.

Fot. Warszawa w Pigułce

Skala incydentu jest ogromna.

Ministerstwo Cyfryzacji potwierdziło 12 sierpnia, iż w systemach firmy MyDr doszło do nieuprawnionego dostępu do historycznych danych przechowywanych do kwietnia 2024 roku. Według rządu zdarzenie może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych.

MyDr dostarcza oprogramowanie lekarzom, gabinetom i innym podmiotom ochrony zdrowia.

Dlatego wiele osób może choćby nie kojarzyć nazwy firmy, mimo iż ich dane mogły znaleźć się w jej systemach. Wystarczyło, iż systemu używała konkretna przychodnia albo gabinet, z którego pacjent korzystał.

Jakie dane mogły zostać objęte incydentem?

Z informacji przekazywanych pacjentom przez placówki medyczne wynika, iż naruszenie mogło obejmować m.in.:

• imię i nazwisko,
• adres zamieszkania,
• dane kontaktowe,
• numer PESEL,
• dane dotyczące zdrowia,
• dane dotyczące ubezpieczenia społecznego,
• a w niektórych przypadkach również informacje o pracodawcy lub inne dane identyfikacyjne.

To właśnie charakter tych danych sprawia, iż sprawa jest szczególnie poważna.

Prezes UODO rozpoczął kontrolę w MyDr i wskazał wprost, iż incydent obejmuje także dane o stanie zdrowia pacjentów, które należą do szczególnych kategorii danych osobowych i podlegają podwyższonej ochronie.

Pacjenci dostają SMS-y i e-maile

Placówki medyczne zaczęły informować swoich pacjentów o naruszeniu.

Nie zawsze wiadomość musi przyjść bezpośrednio od MyDr. Co do zasady to poszczególne przychodnie i gabinety są administratorami danych pacjentów, a MyDr działało jako podmiot przetwarzający.

Jeżeli administrator oceni, iż naruszenie może powodować wysokie ryzyko dla praw lub wolności konkretnej osoby, powinien ją o tym zawiadomić.

Uwaga na fałszywe wiadomości

Ta sytuacja może również zostać wykorzystana przez oszustów.

Nie każdy SMS czy e-mail powołujący się na incydent MyDr musi być autentyczny.

Jeżeli wiadomość zawiera link do logowania, prośbę o podanie hasła, danych karty, kodu SMS albo innych poufnych informacji, nie należy korzystać z przesłanego odnośnika.

Bezpieczniej samodzielnie wejść na oficjalną stronę placówki albo zadzwonić pod znany wcześniej numer.

Do czego mogą zostać wykorzystane dane?

Sam PESEL nie daje dostępu do rachunku bankowego.

Problem zaczyna się jednak wtedy, gdy numer PESEL zostanie połączony z prawdziwym imieniem, nazwiskiem, numerem telefonu, adresem czy informacjami o leczeniu.

Taki zestaw danych może ułatwić:

• podszywanie się pod konkretną osobę,
• przygotowanie bardzo wiarygodnego phishingu,
• próby wyłudzenia kolejnych danych,
• zawieranie niektórych umów na cudze dane,
• próby zaciągania kredytów lub pożyczek.

Ministerstwo Zdrowia po incydencie zaleciło m.in. zastrzeżenie numeru PESEL, stosowanie silnych i unikalnych haseł, MFA oraz ostrożność wobec podejrzanych wiadomości i telefonów.

Zastrzeżenie PESEL to podstawa

Jednym z najważniejszych działań ochronnych jest zastrzeżenie numeru PESEL.

Można zrobić to w aplikacji mObywatel, w serwisie internetowym albo osobiście w urzędzie gminy.

Od 1 czerwca 2024 roku określone instytucje mają obowiązek sprawdzać Rejestr Zastrzeżeń Numerów PESEL przed wykonaniem niektórych czynności, m.in. przed zawarciem umowy kredytu lub pożyczki.

W praktyce oznacza to dodatkową barierę dla oszusta próbującego wykorzystać cudzą tożsamość.

Zastrzeżenie nie blokuje zwykłego leczenia, realizowania recept ani większości codziennych spraw.

Czy można sprawdzić, czy wyciek dotyczył właśnie mnie?

Rząd wcześniej zapowiadał, iż po identyfikacji danych informacje będą przekazywane do serwisu Bezpieczne Dane.

Jednak CBZC 18 sierpnia poinformowało, iż na tamtym etapie nie było zasadne publikowanie numerów PESEL pacjentów obsługiwanych przez system MyDr na stronie bezpiecznedane.gov.pl, ponieważ mogłoby to utrudnić prowadzone działania.

To ważna aktualizacja względem wcześniejszych zapowiedzi.

Dlatego dziś najpewniejszym źródłem informacji pozostaje bezpośredni komunikat od placówki medycznej albo oficjalne komunikaty państwowych instytucji.

Czy za wyciek należy się odszkodowanie?

Tak, ale nie automatycznie.

Art. 82 RODO przewiduje możliwość uzyskania odszkodowania, jeżeli osoba poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów.

W praktyce trzeba wykazać trzy rzeczy:

• doszło do naruszenia RODO,
• wystąpiła szkoda,
• istnieje związek pomiędzy naruszeniem a szkodą.

Samo stwierdzenie, iż dane wyciekły, nie oznacza jeszcze automatycznego prawa do pieniędzy.

Nie trzeba czekać, aż ktoś weźmie kredyt

To najciekawszy element prawny.

Trybunał Sprawiedliwości UE uznał, iż RODO nie przewiduje minimalnego poziomu dotkliwości szkody niemajątkowej.

Co więcej, uzasadniona obawa przed przyszłym niewłaściwym wykorzystaniem danych może sama w sobie stanowić krzywdę, jeżeli rzeczywiście występuje i można ją wykazać.

Oznacza to, iż osoba poszkodowana nie musi czekać, aż ktoś faktycznie zaciągnie pożyczkę na jej dane.

Nie oznacza to jednak, iż sam niepokój wystarczy automatycznie do zasądzenia określonej kwoty.

Ile można dostać?

Tu nie ma żadnego cennika.

RODO nie mówi, iż za ujawnienie PESEL należy się np. 5 tys. zł, a za dane medyczne 10 tys. zł.

Kwota zależy od konkretnej sytuacji i rozmiaru szkody.

Znaczenie może mieć m.in.:

• rodzaj ujawnionych danych,
• utrata kontroli nad nimi,
• realne ryzyko ich wykorzystania,
• konieczność podejmowania dodatkowych działań ochronnych,
• skutki psychiczne,
• faktyczne konsekwencje finansowe.

Inaczej może więc zostać ocenione ujawnienie samego adresu e-mail, a inaczej pakietu obejmującego PESEL, dane kontaktowe i szczegółowe informacje medyczne.

UODO nie wypłaca pieniędzy

To kolejna ważna rzecz.

UODO może prowadzić postępowanie, nakazywać określone działania i nakładać administracyjne kary.

Pieniądze z takiej kary nie trafiają jednak do pacjentów.

Jeżeli ktoś chce otrzymać odszkodowanie na podstawie art. 82 RODO, musi dochodzić roszczenia na drodze sądowej. W Polsce takie sprawy należą do adekwatności sądów okręgowych.

Śledztwo przez cały czas trwa

Sprawą zajmują się służby.

CBZC prowadzi czynności pod nadzorem prokuratury i analizuje skalę zdarzenia oraz sposób działania sprawców.

Równolegle UODO kontroluje zabezpieczenia stosowane przez MyDr, a Centrum e-Zdrowia poinformowało, iż nie ma dowodów na naruszenie centralnych usług e-zdrowia ani certyfikatów P1.

Co powinien zrobić pacjent?

Najważniejsze działania są proste:

zastrzec PESEL, uważać na podejrzane SMS-y i e-maile, nie podawać kodów ani haseł, monitorować konta i reagować na każdą wiadomość od swojej placówki medycznej.

Jeżeli rzeczywiście doszło do naruszenia dotyczącego naszych danych i ponieśliśmy w związku z nim szkodę, można również rozważyć dochodzenie roszczeń.

Najważniejsze jest jednak to, by nie ulec fałszywemu przekonaniu, iż każdemu z 18,8 mln osób automatycznie należy się odszkodowanie. Prawo daje taką możliwość, ale każda sprawa wymaga indywidualnego wykazania szkody i związku z naruszeniem.