Magdalena Bożko-Miedzwiecka
Dzwonię dziś rano do kilku dużych lubelskich przychodni POZ. Pytam, czy w ramach zawartej umowy przekazywali dane swoich pacjentów do MyDr. Panie w rejestracji nie wiedzą. Są zaniepokojone moim telefonem, choć przecież większy niepokój powinnam czuć ja i inni pacjenci.
Ja już wiem, że moje dane wyciekły. Żadna to wina mojej przychodni, że korzysta z usług firmyMyDr, podobnie jak 12 tysięcy innych placówek medycznych z całego kraju. Właściciele przychodni też są w szoku. Nie bardzo wiedzą co robić, bo z firmą MyDr nie ma kontaktu. Trudno się dziwić, że MyDr nie zawraca sobie głowy swoimi klientami (to sarkazm), skoro skala wycieku przerosła wszystko, z czym do tej pory mieliśmy do czynienia i teraz to już sprawa bezpieczeństwa państwa.
Minister cyfryzacji Krzysztof Gawkowski nazywa to„niebywałym i bardzo dużym incydentem w zakresie bezpieczeństwa polskiej infosfery” i podaje dwie dobre informacje. Pierwsza: to nie atak obcych służb wywiadowczych. Druga: dane nie są dostępne do sprzedaży w darknecie.
Mnie to nie uspokaja. Po pierwsze: jeśli za wyciekiem stoją pospolici przestępcy (albo jeden sprytny haker) to bardzo źle świadczy o naszych systemach bezpieczeństwa. Po drugie: dane są w rękach przestępców i w każdej chwili mogą zostać użyte. Kiedy, w jaki sposób i do jakich celów – tego nie wiemy.
W ogóle wiemy bardzo mało. Tyle, ile w środę 12 sierpnia przekazał nam minister cyfryzacji: Z firmy My Dr doszło do wycieku danych ponad 19 milionów Polaków z 12 tysiącach placówek ochrony zdrowia w całej Polsce. Wykradzione dane dotyczą naszych wizyt lekarskich, chorób i leków. Oczywiście są też numery PESEL.
Służby rządowe mają dla nas dwie rady: na stronie BezpieczneDane.gov.pl sprawdź czy twoje dane wyciekły. Druga rada: zastrzeż swój numer PESEL. W środę i w czwartek rano strona, do której odsyłają nas służby nie działała: Przerwa techniczna. Co do numeru PESEL: starsi ludzie zazwyczaj nie mają profili zaufanych w interncie i nie zrobią tego w trzy sekundy, jak podpowiada minister.
W ogóle tego nie zrobią, bo nie mają pojęcia, że sprawa ich dotyczy. Nigdy nie słyszeli o MyDr, a w swojej przychodni – co potwierdzają moje telefony – niczego się nie dowiedzą.
I tu przechodzimy do sedna. To placówki medyczne mają obowiązek poinformować o wycieku danych swoich pacjentów.
Wynika to wprost z art. 34 ust. 1 i 2 w zw. z art. 33 ust. 3 rozporządzenia 2016/679 RODO:
Gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu.
Taki komunikat znajdziemy na stronie Naczelnej Izby Lekarskiej. Prosty i oczywisty przekaz zawarty jest już w tytule komunikatu: „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym”.
Co z tego jest czystą teorią, czyli fikcją, a co okaże się dobrą praktyką dowiemy się bardzo szybko. Dziś albo jutro. To może być dla wszystkich trudna, oby nie bolesna lekcja.
Komentarze