Wyciek danych z portalu MyDr – ponad 50 skarg pacjentów do UODO

Do 17 września wpłynęło od obywateli do Prezesa Urzędu Ochrony Danych Osobowych ponad 50 skarg oraz sygnałów związanych z wyciekiem informacji z portalu MyDr – ustalił „Dziennik Gazeta Prawna”.

Około 30 placówek medycznych dostało wezwania od pacjentów

Osoby, których dane wyciekły, wysyłają do przychodni przedsądowe wezwania do zapłaty odszkodowania. Takie pisma trafiają również do Centrum Doradczego Prawa Medycznego, które reprezentuje 52 placówki medyczne współpracujące z MyDr.

– Około 30 z tych placówek otrzymało wezwania od pacjentów po przekazaniu pacjentom informacji na temat wycieku – mówi Maciej Gibiński, adwokat z CDPM, wskazując, że po 2 września, kiedy oficjalnie wskazano obowiązek powiadomienia pacjentów o wycieku danych, nie ma dnia, aby kancelaria nie otrzymała pism kierowanych przez pacjentów z żądaniem wypłaty odszkodowania w związku z wyciekiem danych.

Gibiński dodaje, że kwoty dochodzone przez pacjentów wahają się od kilku do kilkunastu tysięcy. W mniejszym zakresie wnioski odnoszą się do wskazania polisy w celu dochodzenia roszczenia od ubezpieczyciela.

„DGP” podaje, że do UODO zgłaszają się również same placówki, które czują się pokrzywdzone wyciekiem, do którego doszło w połowie sierpnia.

Liczne zgłoszenia od administratorów danych 

UODO w odpowiedzi na pytanie gazety poinformował, że otrzymuje dużo zgłoszeń naruszeń ochrony danych od administratorów, którzy korzystali z usług MyDr jako podmiotu przetwarzającego.

– Na dzień 17 września liczba potwierdzonych zgłoszeń naruszeń przekroczyła 2000. Jednak ciągle do UODO trafiają nowe, więc ta liczba cały czas rośnie – wyjaśnia rzecznik UODO Karol Witowski.

Biuro prasowe MyDr zapewnia, że „każda placówka medyczna ma wgląd – za pośrednictwem specjalnego narzędzia w systemie MyDr – do listy osób objętych incydentem i jest proszona o zweryfikowanie, które konkretnie kategorie danych dotyczą jej pacjentów, co jest kluczowe dla dokonania przez placówkę – jako administratora danych – własnej oceny sytuacji”.

Rzecznik Naczelnej Izby Lekarskiej Piotr Pistuła w rozmowie z „DGP” potwierdza, że NIL otrzymuje od lekarzy informacje o udostępnianiu przez MyDr listy pacjentów, których dane były objęte wyciekiem. MyDr umożliwił także korzystanie z narzędzia, które ma pozwolić podmiotom medycznym na wysłanie informacji o naruszeniu bezpieczeństwa danych za pomocą SMS-ów lub e-maili.

Sytuacja bez zmian

Gazeta zwraca uwagę, że pacjenci nadal nie wiedzą, jakie dokładnie dane wyciekły. Są dwa główne powody takiego stanu rzeczy. Po pierwsze państwo nie ma podstawy prawnej do informowania o wyciekach danych z prywatnych podmiotów, bo nie jest ich administratorem. Wąskim gardłem w powiadamianiu pacjentów jest również przekazywanie informacji o skali wycieku między MyDr a placówkami. Te ostatnie pełnią funkcję administratora danych i to właśnie one powinny informować o naruszeniu ochrony danych i jego zakresie. Z kolei MyDr, zgodnie z RODO, jako podmiot przetwarzający ma obowiązek przekazania administratorom wszystkich informacji, które są im potrzebne, żeby mogły one ocenić ryzyko, jakie się wiąże z naruszeniem – wyjaśnia gazeta.

UODO zapowiada, że chce objąć kontorolą w tym roku kolejne podmioty działające w sektorze ochrony zdrowia i sprawdzić, w jaki sposób chronione są dane osób korzystających z ich usług.

Co po ataku na MyDr? ►– Platforma P1 i dane publiczne są bezpieczne – wiceminister Tomasz Maciejewski poinformował, że incydent w spółce MyDr nie naruszył centralnego systemu e-zdrowia, a wszystkie usługi publiczne działały bez zakłóceń.

Przeczytaj także: „Zmiany w prawie po wycieku danych medycznych z MyDr. Ministerstwo przedstawia „Cyber Piątkę” i „Wyciek danych z MyDr – czy twoje dane są bezpieczne”.