Po wycieku danych z systemów firmy MyDr Naczelna Izba Lekarska przygotowała praktyczny przewodnik dla lekarzy i podmiotów leczniczych, w tym gabinetów stomatologicznych. W materiale wyjaśniono, jakie działania powinna podjąć placówka jako administrator danych osobowych oraz wskazano pacjentom, jak ograniczyć ryzyko związane z ujawnieniem ich danych.
Przypomnijmy – w środę 12 sierpnia ministerstwo cyfryzacji poinformowało o wycieku danych z infrastruktury firmy MyDr, dostarczającej oprogramowanie wykorzystywane przez gabinety i placówki medyczne. Incydent objął historyczne dane gabinetów – zarówno lekarskich, jak i stomatologicznych – przechowywane w systemach MyDr. Według informacji, może chodzić o dane choćby 18,8 mln osób i ponad 12 tys. placówek.
Wśród potencjalnie ujawnionych informacji mogą znajdować się m.in. imię i nazwisko, numer PESEL, data urodzenia, dane kontaktowe oraz dane o stanie zdrowia – w tym rozpoznania, recepty, przepisane leki i historia wizyt. Informowaliśmy o tym TUTAJ.
NIL porządkuje działania po wycieku danych
W odpowiedzi na sytuację Naczelna Izba Lekarska przygotowała dokument „Postępowanie po naruszeniu – co powinien zrobić gabinet korzystający z systemu MyDr”. To praktyczny przewodnik skierowany do lekarzy i podmiotów leczniczych występujących w roli administratorów danych osobowych. Można go pobrać TUTAJ.
W opracowaniu, którego stan faktyczny i prawny określono na 12 sierpnia 2026 r. nie opisano technicznego przebiegu cyberataku. Jego celem jest uporządkowanie działań, terminów i obowiązków, które placówka powinna podjąć po uzyskaniu informacji o incydencie. – Przewodnik obejmuje wyłącznie stronę praktyczną: co, w jakiej kolejności i w jakim terminie należy zrobić – można przeczytać w komunikacie NIL.
Jednym z najważniejszych punktów dokumentu jest przypomnienie, iż administratorem danych pacjentów pozostaje gabinet, praktyka lub przychodnia – choćby jeżeli do naruszenia doszło po stronie zewnętrznego dostawcy oprogramowania. Oznacza to, iż obowiązki wobec organu nadzorczego i pacjentów przez cały czas spoczywają na placówce. – Nikt nie wykona ich w jej zastępstwie – wskazała NIL.
Przewodnik podzielono na sześć etapów, które obejmują m.in. uruchomienie procedury i zabezpieczenie dowodów, zabezpieczenie dostępu do systemu, zgłoszenie naruszenia Prezesowi UODO, zawiadomienie pacjentów, działania wobec dostawcy oraz wyciągnięcie wniosków na przyszłość.
Co dokładnie zawiera przewodnik?
Dokument ma przede wszystkim pomóc placówkom sprawnie przejść przez pierwsze godziny i dni po uzyskaniu informacji o naruszeniu. NIL zaleciła m.in. dokładne ustalenie daty i godziny otrzymania informacji od dostawcy, zabezpieczenie korespondencji i dokumentów związanych z usługą, ustalenie, jakie dane placówki mogły znaleźć się w objętym incydentem środowisku, zmianę haseł użytkowników, włączenie uwierzytelniania dwuskładnikowego oraz przegląd uprawnień. W przewodniku zawarto także wskazówki dotyczące wykonania własnej kopii danych oraz zabezpieczenia ewentualnych certyfikatów ZUS-u przechowywanych w systemie.
Istotną część opracowania poświęcono obowiązkom związanym ze zgłoszeniem naruszenia Prezesowi UODO. Dokument wskazuje, iż w przypadku placówek korzystających z systemu w okresie objętym incydentem zgłoszenie jest obowiązkowe, a na jego dokonanie przewidziano 72 godziny od stwierdzenia naruszenia.
Izba podkreśliła przy tym, iż nie należy czekać na ustalenie wszystkich szczegółów przez dostawcę – brakujące informacje mogą zostać uzupełnione później. – Obowiązek zgłoszenia powstaje z chwilą stwierdzenia naruszenia, a nie z chwilą ustalenia jego pełnego zakresu – poinformowano.
Wzory pism, checklista i wskazówki dla pacjentów
Praktyczny charakter materiału podkreślają liczne załączniki. NIL przygotowała m.in. checklistę czynności z terminami, wzór wystąpienia do dostawcy systemu, formularz wpisu do rejestru naruszeń, wzór zawiadomienia pacjenta, komunikat do rejestracji, formularz oceny ryzyka oraz skrypt odpowiedzi dla personelu. Dzięki temu placówka może wykorzystać dokument jako narzędzie porządkujące działania i dokumentowanie kolejnych etapów postępowania.
Przewodnik obejmuje również osobny materiał dla pacjentów. Samorząd zalecił w pierwszej kolejności zastrzeżenie numeru PESEL, następnie sprawdzenie – po udostępnieniu odpowiednich informacji – czy dane znalazły się w wycieku, a także zachowanie szczególnej ostrożności wobec telefonów, SMS-ów i e-maili dotyczących recept, leków, wyników badań czy płatności. Pacjenci powinni również korzystać z uwierzytelniania dwuskładnikowego, zmienić powtarzane hasła i monitorować aktywność finansową. – Największe ryzyko pojawia się nie w chwili wycieku, ale w kolejnych tygodniach i miesiącach – napisano, wskazując na możliwość wykorzystania szczegółowych danych medycznych do przygotowania wiarygodnych prób oszustwa.
Izba zaznaczyła jednocześnie, iż opracowanie ma charakter pomocniczy i nie zastępuje wewnętrznych procedur placówki ani indywidualnej oceny ryzyka. Za ocenę naruszenia, decyzję o zgłoszeniu go organowi nadzorczemu oraz sposób i termin zawiadomienia pacjentów odpowiada każdy administrator danych.
Źródło: https://nil.org.pl/
