Po wykryciu poważnego cyberataku na systemy firmy MyDr, Urząd Ochrony Danych Osobowych przypomniał o kluczowych obowiązkach prawnym dla podmiotów przetwarzających dane medyczne. Spółka MyDr, będąca jednym z największych dostawców oprogramowania do elektronicznej dokumentacji medycznej w Polsce, padła ofiarą ataku, w wyniku którego nieuprawnione osoby uzyskały dostęp do bazy danych zawierającej informacje o blisko 19 mln obywateli.
O skali zdarzenia poinformował minister cyfryzacji Krzysztof Gawkowski po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa. Zhakowana baza danych, o rozmiarze przekraczającym dwa terabajty, ma zostać udostępniona w serwisie Bezpieczne Dane. W reakcji na ten incydent Urząd Ochrony Danych Osobowych opublikował oficjalny komunikat, w którym podkreślono obligatoryjne procedury obowiązujące podmioty korzystające z oprogramowania MyDr.
Zgodnie z przepisami RODO, każdorazowe naruszenie ochrony danych osobowych musi zostać zgłoszone odpowiednim organom nadzorczym w ciągu maksymalnie 72 godzin od jego wykrycia. W sytuacji, gdy zgłoszenie opóźnia się, wymagane jest uzasadnienie przyczyn zwłoki. Administratorzy danych mają obowiązek dołączenia szczegółowego opisu charakteru naruszenia, kategorii oraz liczby osób poszkodowanych, a także informacji o rodzaju i ilości wyciekniętych danych.
Urząd przypomina również o konieczności bezpośredniego informowania poszkodowanych obywateli o wycieku ich danych osobowych, co leży w gestii administratorów współpracujących z MyDr. Celem jest zminimalizowanie ryzyka potencjalnych skutków prawnych oraz finansowych dla dotkniętych osób.
Instytucje państwowe zalecają, jako pierwsze działanie ochronne, niezwłoczne zastrzeżenie numeru PESEL przez poszkodowanych obywateli. Wicepremier Gawkowski podkreśla, że jest to kluczowe w zapobieganiu nieuprawnionemu wykorzystaniu tożsamości osób trzecich.
Eksperci ostrzegają również przed zwiększonym ryzykiem ataków phishingowych. Osoby, których dane zostały ujawnione, powinny zachowywać szczególną ostrożność w weryfikacji przychodzących wiadomości SMS oraz e-mail, aby uniknąć wyłudzenia haseł czy dostępu do systemów bankowych.
Urząd Ochrony Danych Osobowych przypomina także o ogólnych zasadach dbania o prywatność, w tym o prawie obywateli do żądania wyjaśnień w przypadku podejrzenia nieprawidłowego przetwarzania ich danych. W sytuacjach takich, jak żądanie kserokopii dowodu osobistego, obywatel ma prawo domagać się przedstawienia podstawy prawnej. Zasada opcjonalności zgód marketingowych również powinna być ściśle przestrzegana, a wszelkie papierowe dokumenty i nośniki cyfrowe z danymi powinny być niszczone przed ich usunięciem. W obliczu tego poważnego wycieku, zarówno instytucje, jak i obywatele muszą zachować czujność i przestrzegać zasad ochrony danych.
Dodaj komentarz