Dostawca systemu dokumentacji medycznej, z którego korzystała nasza placówka — MyDr Sp. z o.o. z siedzibą w Warszawie — padł ofiarą cyberataku. Nieuprawniona osoba trzecia skopiowała zawartość bazy danych przechowywanej w chmurze MyDr. Naruszenie objęło dane sprzed 12 kwietnia 2024 r., a w nielicznych przypadkach także dane zawarte w anulowanych skierowaniach wystawionych po tej dacie.
Czy to dotyczy Państwa? Incydent obejmuje dokumentację medyczną prowadzoną w naszym gabinecie przy ul. Nałęczowskiej 18A/U7 w Lublinie — to tam do 2024 roku korzystaliśmy z systemu MyDr EDM. Obecnie przyjmujemy pod adresem ul. Nałęczowska 67/U2.
Osoby, których dane znalazły się w zbiorze objętym incydentem, powiadamiamy indywidualnie — SMS-em, e-mailem albo listem, w zależności od danych kontaktowych, którymi dysponujemy. Jeśli nie otrzymali Państwo od nas indywidualnego powiadomienia, Państwa dane najprawdopodobniej nie znalazły się w zbiorze objętym incydentem.
Jakie dane mogły zostać ujawnione
Pacjenci: imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, dane dotyczące ubezpieczenia społecznego oraz — jeśli zostały podane — informacje o pracodawcy i inne dane identyfikacyjne.
Przedstawiciele ustawowi i osoby upoważnione do dostępu do dokumentacji medycznej: imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL oraz informacja o stopniu pokrewieństwa lub rodzaju relacji z pacjentem.
Możliwe konsekwencje
Wśród ujawnionych danych mógł znajdować się numer PESEL. W połączeniu z imieniem, nazwiskiem i danymi kontaktowymi mógłby on w określonych sytuacjach posłużyć osobom nieuprawnionym do:
- zaciągnięcia kredytu, pożyczki lub zawarcia innych umów bez wiedzy danej osoby,
- uzyskania dostępu do danych o zdrowiu w placówkach, w których uwierzytelnianie odbywa się przy pomocy numeru PESEL.
Naruszenie mogło objąć również dane dotyczące zdrowia. Ich nieuprawnione wykorzystanie mogłoby prowadzić do gorszego traktowania osoby w jej środowisku albo do prób oszustwa — na przykład przez kontakt z pacjentem lub jego bliskimi z ofertą „alternatywnych” metod leczenia zdiagnozowanych chorób.
Prowadzony przez MyDr monitoring nie wykazał dotychczas żadnego przypadku wykorzystania ani publicznego ujawnienia tych danych.
Co można zrobić
Zastrzec numer PESEL
Bezpłatnie, w aplikacji mObywatel, na stronie mObywatel.gov.pl lub osobiście w urzędzie gminy albo miasta. Instytucje finansowe mają obowiązek sprawdzać przy zawieraniu umów, czy PESEL jest zastrzeżony. Zastrzeżenie nie blokuje rejestracji u lekarza, realizacji recepty ani spraw urzędowych.
gov.pl — zastrzeż swój numer PESEL
Zachować czujność
Wobec nieoczekiwanych kontaktów od osób, które nie powinny znać Państwa historii leczenia, a które proponują usługi medyczne, pseudomedyczne lub terapeutyczne.
Zgłosić sprawę na Policję
Jeśli pojawi się podejrzenie, że dane zostały wykorzystane niezgodnie z prawem.
gov.pl — zgłoś przestępstwo
Działania, które zostały podjęte
MyDr Sp. z o.o. opanował i zamknął incydent, wdrożył dodatkowe środki techniczne i organizacyjne, zaangażował zewnętrzną firmę zajmującą się cyberbezpieczeństwem, zgłosił sprawę Centralnemu Biuru Zwalczania Cyberprzestępczości Policji oraz współpracuje z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK, CSIRT Centrum e-Zdrowia i Urzędem Ochrony Danych Osobowych. Prowadzony jest stały monitoring internetu pod kątem ewentualnego upublicznienia danych.
Nasza placówka, jako administrator danych, zgłosiła naruszenie Prezesowi Urzędu Ochrony Danych Osobowych i zawiadamia osoby, których dane dotyczą.
Kontakt
Pytania o zakres incydentu:
dane@mydr.pl — dedykowany punkt kontaktowy uzgodniony z Urzędem Ochrony Danych Osobowych.
Odpowiedzi na najczęstsze pytania: pacjent.mydr.pl
Sprawy dotyczące Państwa danych w naszej placówce i realizacja praw z RODO:
Centrum Medyczne Hope Clinic, ul. Nałęczowska 67/U2, Lublin, tel. 788 931 883
Sebastian Szklener, Kierownik placówki