Zanim przejdę dalej, muszę podkreślić jedną bardzo ważną rzecz. Poniższy artykuł opiera się na publicznie dostępnych komunikatach, doniesieniach medialnych oraz informacjach opublikowanych przez MyDr i Prezesa UODO. Nie można traktować go jako ostatecznej oceny sytuacji. Każdy administrator danych powinien samodzielnie przeprowadzić analizę ryzyka, ocenić okoliczności zdarzenia oraz podjąć decyzje adekwatne do własnej sytuacji organizacyjnej.
Prezes UODO również przypomniał administratorom o obowiązku dokonania własnej analizy ryzyka naruszenia praw i wolności osób fizycznych.

Bardzo ważne! Działania administratora nie powinny mieć charakteru chaotycznego. Powinny wynikać z przyjętych procedur obsługi incydentów bezpieczeństwa oraz procedur reagowania na naruszenia ochrony danych osobowych.

Moim zdaniem, odpowiedź brzmi: być może tak, ale na obecnym etapie nadal nie mamy pełnej wiedzy o skali zdarzenia.

Naruszenie ochrony danych osobowych wystąpiłoby wtedy, gdy doszło do:
– utraty poufności danych,
– utraty integralności danych,
– utraty dostępności danych.

Z aktualnego komunikatu MyDr (z 12.08.2026) wynika, że mamy do czynienia z przestępczym działaniem skierowanym przeciwko systemowi oraz że część danych mogła zostać objęta incydentem. Jednocześnie spółka wskazuje, że nie potwierdziła jeszcze zakresu ani rodzaju danych, które mogły zostać ujawnione.
To oznacza, że administratorzy nie powinni jeszcze przesądzać o ostatecznych skutkach zdarzenia. Powinni jednak rozpocząć własną analizę ryzyka, ponieważ właśnie tego oczekuje od nich organ nadzorczy.

W typowym modelu korzystania z programów do obsługi EDM podmiot leczniczy będzie administratorem, a dostawca rozwiązania EDM — podmiotem przetwarzającym, ale ostateczna kwalifikacja wymaga analizy konkretnego modelu przetwarzania i umowy

To ważne, bo administrator decyduje o celach i sposobach przetwarzania danych pacjentów. Dostawca systemu informatycznego przetwarza dane w jego imieniu na podstawie umowy powierzenia.

Z tego powodu nawet jeśli źródłem zdarzenia byłby podmiot przetwarzający, obowiązki wynikające z RODO nadal obciążają administratora.
Stąd komunikat Prezesa UODO został skierowany do administratorów korzystających z MyDr.

Pierwszym krokiem byłoby ustalenie zakresu danych znajdujących się w systemie EDM. W praktyce będzie on być bardzo szeroki.

Najczęściej obejmuje:
– imiona i nazwiska,
– numery PESEL,
– adresy zamieszkania,
– numery telefonów,
– adresy e-mail,
– dane przedstawicieli ustawowych dzieci,
– dane personelu medycznego,
– dane użytkowników systemu,
– historię wizyt,
– rozpoznania medyczne,
– wyniki badań,
– skierowania,
– recepty,
– dokumentację hospitalizacji,
– karty informacyjne leczenia,
– opisy badań obrazowych,
– dokumentację rehabilitacyjną,
– orzeczenia lekarskie,
– dane dotyczące niepełnosprawności,
– dane genetyczne (jeśli dotyczy).
Już sam zakres tych informacji powoduje, że analizę należy prowadzić bardzo ostrożnie.

Na obecnym etapie nie znamy pełnej skali zdarzenia. Dlatego administrator powinien przeanalizować również najbardziej niekorzystny scenariusz.
Do takiej analizy przyjąłbym następujące założenia:

1. Możliwy wyciek danych pacjentów i użytkowników systemu
Zakładam wariant maksymalny. Zarówno dane pacjentów, jak i użytkowników mogły zostać objęte incydentem.

2. Potencjalnie bardzo duża liczba osób
W przestrzeni publicznej pojawiają się informacje o bardzo dużej liczbie rekordów. Nawet jeśli ostatecznie okaże się ona niższa, należy uwzględnić możliwość wystąpienia zdarzenia masowego.

3. Bardzo szeroki zakres danych
Zakres danych w tego typu systemach jest bardzo szeroki dodatkowo są tam również dane medyczne należące do najbardziej wrażliwych kategorii informacji.

4. Szczególna sytuacja osób, których dane dotyczą
Pacjenci mogą znajdować się w trudnej sytuacji życiowej, zdrowotnej lub społecznej.

5. Możliwy wyciek dokumentacji medycznej
Jeżeli incydent objął załączniki znajdujące się w EDM, skutki mogą być szczególnie dotkliwe, co zwiększa ryzyko dla osób, których dane dotyczą.
Przykładowo dokumentacja może ujawniać:
– informacje o chorobie nowotworowej,
– informacje o utracie ciąży,
– informacje o leczeniu niepłodności,
– dane dotyczące zdrowia psychicznego,
– dane dotyczące terapii psychiatrycznej,
– informacje o zakażeniach chorobami zakaźnymi,
– informacje o uzależnieniach,
– dane genetyczne,
– informacje o przemocy domowej odnotowane w dokumentacji medycznej.

6. Dane nie miały charakteru publicznego
Osoby przekazywały je w zaufaniu do podmiotu leczniczego, a nawet jeśli ktoś dzielił się informacjami np. za pośrednictwem internetu, to są to raczej jednostkowe przypadki.

7. Część danych może być nieaktualna
Ten czynnik może nieznacznie ograniczać ryzyko, ale nie eliminuje go. Trzeba uwzględniać, że dane mogą już mieć charakter archiwalny, przez wzgląd na długie okresy retencji danych w podmiotach leczniczych, ale to nadal wyłącznie ułamek, całej, potencjalnej bazy danych.

8. Odbiorca nie jest odbiorcą zaufanym
Jeżeli doszło do działania przestępczego, należy zakładać istnienie nieuprawnionego odbiorcy.

9. Prawdopodobieństwo identyfikacji osoby
Oceniłbym je jako bardzo wysokie. Imię, nazwisko, PESEL oraz informacje medyczne praktycznie uniemożliwiają skuteczną anonimizację.

10. Z jakim naruszeniem mamy do czynienia?
Utrata poufności – to obecnie najbardziej prawdopodobny skutek, mając na względzie doniesienia medialne.

11. Możliwa utrata integralności
Nie można automatycznie wykluczyć modyfikacji danych lub prób manipulacji bazami danych.

12. Czy doszło też do utraty dostępności?
Na obecnym etapie brak informacji wskazujących na występowanie tego skutku.

Jeżeli przyjąć opisane wcześniej założenia jako scenariusz roboczy, to potencjalne konsekwencje zdarzenia należy oceniać jako bardzo poważne. Analizowany przypadek może bowiem dotyczyć dużej liczby osób, obejmować dane identyfikacyjne oraz dane dotyczące zdrowia, a jednocześnie wiązać się z możliwością ich wykorzystania przez nieuprawnione podmioty.

Jednocześnie należy zachować ostrożność przy formułowaniu ostatecznych wniosków. W chwili publikacji tego artykułu nadal nie są publicznie znane pełne okoliczności zdarzenia, rzeczywisty zakres danych objętych incydentem ani osatteczna liczba administratorów, których dane zostały faktycznie dotknięte skutkami zdarzenia.

Z tego względu przedstawiona analiza nie powinna być traktowana jako przesądzenie, że u każdego administratora korzystającego z MyDr doszło już do naruszenia ochrony danych osobowych. Jest to raczej próba oceny potencjalnej wagi zdarzenia przy założeniu, że incydent objął również dane przetwarzane przez danego administratora.

Co istotne, Prezes UODO przypomniał, że administrator powinien najpierw ustalić, czy incydent rzeczywiście obejmował dane powierzone przez niego podmiotowi przetwarzającemu, a następnie samodzielnie ocenić ryzyko naruszenia praw lub wolności osób fizycznych oraz wynikające z tego obowiązki na gruncie art. 33 i 34 RODO.

W praktyce oznacza to, że dziś najważniejsze nie jest udzielenie jednej uniwersalnej odpowiedzi na pytanie, czy należy zgłaszać naruszenie do Prezesa UODO, lecz zebranie informacji pozwalających taką decyzję podjąć. Dopiero po ustaleniu, czy dane konkretnego administratora zostały objęte incydentem oraz jaki był rzeczywisty zakres naruszenia, możliwe będzie prawidłowe określenie dalszych obowiązków wynikających z RODO.

W świetle obecnie dostępnych informacji kluczowym zagadnieniem jest ustalenie, czy incydent objął również dane powierzone przez danego administratora. Prezes UODO przypomniał, że administrator powinien przeprowadzić własną ocenę skutków zdarzenia oraz obowiązków wynikających z art. 33 i 34 RODO po uzyskaniu informacji od podmiotu przetwarzającego dotyczących zakresu incydentu.

Dlatego na obecnym etapie szczególnego znaczenia nabiera ustalenie:
– czy dane administratora znajdowały się w zbiorze objętym incydentem,
– jakie kategorie danych mogły zostać objęte zdarzeniem,
– jaka liczba osób może być dotknięta skutkami incydentu,
– czy doszło do naruszenia poufności, integralności lub dostępności danych,
– jakie działania zabezpieczające zostały wdrożone przez podmiot przetwarzający.

Odpowiedzi na powyższe pytania będą miały zasadnicze znaczenie dla oceny dalszych obowiązków administratora wynikających z RODO.

Administrator nie może biernie czekać na rozwój sytuacji.

Rekomendowałbym niezwłoczne skierowanie formalnego wniosku do MyDr o przekazanie:
– konkretnej informacji, czy wyciekiem objęte zostały dane obsługiwanych pacjentów,
– daty wykrycia incydentu,
– daty rozpoczęcia incydentu,
– kategorii danych objętych zdarzeniem,
– liczby rekordów,
– liczby osób,
– opisu wektora ataku,
– informacji o skutkach dla poufności,
– informacji o skutkach dla integralności,
– informacji o skutkach dla dostępności,
– podjętych działaniach naprawczych,
– działań minimalizujących ryzyko.
Najlepiej zrobić to oficjalnym kanałem elektronicznym, zachowując profesjonalną formę. W sprawach związanych z naruszeniami czasu zwykle jest bardzo mało.

Warto już dziś przygotować projekt komunikatu dla pacjentów (do wykorzystania na stronie internetowej, w mediach społecznościowych, na tablicy ogłoszeń oraz w rejestracji placówki). Przy tak dużej liczbie osób indywidualne zawiadomienie każdego pacjenta może być logistycznie niemożliwe, dlatego należy zawczasu zaplanować cały proces komunikacyjny.

Co istotne, przygotowanie tego projektu jest niezbędne już na etapie składania zgłoszenia do UODO – formularz zgłoszeniowy wymaga opisu planowanych lub podjętych środków zaradczych, w tym wskazania sposobu i treści planowanej komunikacji z osobami, których dane dotyczą.

To nie oznacza, że komunikat należy publikować natychmiast – gotowy projekt pozwoli jednak zareagować bez zbędnej zwłoki, gdy tylko zajdzie taka potrzeba lub gdy organ nadzorczy nakaże jego wdrożenie.

Przegląd wszystkich kont w EDM
Należy:
– usunąć nieaktywne konta,
– wyłączyć dostęp byłym pracownikom,
– zweryfikować konta kontrahentów,
– ograniczyć ilość kont administratorów,
– wdrożyć zasadę „need to know” – w zakresie uprawnień użytkowników.

Zmiana haseł wszystkich użytkowników
Przy obecnym stanie wiedzy rozsądne jest przyjęcie ostrożnościowego podejścia.
Zmiana haseł powinna objąć wszystkich użytkowników systemu.

Wdrożenie MFA
Uwierzytelnianie wieloskładnikowe powinno objąć:
– administratorów,
– kierownictwo,
– lekarzy,
– pielęgniarki,
– rejestrację,
– systemy współpracujące z EDM (o ile taka funkcjonalnośc występuje).

Przypomnienie zasad bezpieczeństwa
Szczególnie istotne jest przypomnieć personelowi o:
– czym jest phishing,
– czym jest smishing,
– czym jest vishing,
– jak rozpoznać fałszywe wiadomości e-mail,
– jak rozpoznać fałszywe wiadomości SMS,
– obowiązku weryfikacji, czy ktoś nie podszywa się pod instytucje publiczne, czy przedstawiciela MyDR.

Informacja dla pracowników
Personel powinien wiedzieć, że incydent może dotyczyć również danych użytkowników systemu, czyli informacji o nich.

Warto rozważyć:
– zastrzeżenie numeru PESEL,
– zmianę stosowanych haseł (nie tylko w MyDR, szczególnie jeśli ktoś korzysta z identycznych haseł),
– uruchomienie MFA,
– zwiększoną ostrożność wobec kontaktów elektronicznych.

Patrząc wyłącznie na informacje dostępne publicznie dziś, nie widzę jeszcze podstaw do jednoznacznego stwierdzenia pełnej skali naruszenia. Widzę jednak wystarczająco dużo przesłanek, aby administratorzy nie ograniczali się wyłącznie do oczekiwania na kolejne komunikaty.

Jeżeli korzystam z MyDr jako systemu EDM, już teraz rozpocząłbym analizę ryzyka, przygotował dokumentację incydentową, wystąpił do procesora o informacje, oszacował liczbę pacjentów i użytkowników potencjalnie objętych zdarzeniem oraz przeanalizował zasadność zgłoszenia wstępnego do Prezesa UODO (pamiętaj o 72h). To właśnie takie podejście, oparte na procedurach i analizie ryzyka, a nie na emocjach, pozwala administratorowi wykazać należytą staranność w przypadku jednego z najpoważniejszych incydentów bezpieczeństwa ostatnich lat.

Jeżeli potrzebujesz wsparcia przy analizie ryzyka, zgłoszeniu naruszenia lub przygotowaniu komunikacji kryzysowej, wejdź w zakładkę „Kontakt” i napisz do nas wiadomość

#RODO #MyDr #EDM #Cyberbezpieczeństwo #NaruszenieDanych #OchronaDanychOsobowych #PUODO #IncydentBezpieczeństwa #PodmiotLeczniczy #IOD #Compliance #DaneMedyczne