Wyciek danych z MyDr. Możesz już sprawdzić, czy twoje dane są bezpieczne

Wyciek danych z firmy MyDr może dotyczyć nawet 19 mln osób. Rząd uruchomił możliwość bezpłatnego sprawdzenia, czy numer PESEL znalazł się w bazie objętej incydentem. Osoby, których dane zostały ujawnione, powinny również zadbać o ich dodatkowe zabezpieczenie.

Wyciek danych z systemu firmy MyDr to jeden z poważniejszych incydentów związanych z bezpieczeństwem danych osobowych w Polsce. Z systemów spółki korzystało około 12 tys. placówek medycznych. Według przekazanych informacji incydent może dotyczyć danych nawet 19 mln osób.

Dane z sierpniowego wycieku zostały dodane do rządowego serwisu bezpiecznedane.gov.pl. Za jego pomocą można sprawdzić, czy numer PESEL znalazł się w bazie związanej z incydentem.

Sprawdzenie danych jest bezpłatne. Należy wejść na stronę bezpiecznedane.gov.pl i wybrać opcję „Sprawdź dane”, a następnie zalogować się do usługi.

Do wyboru są m.in.:

• aplikacja mObywatel,
• bankowość elektroniczna,
• profil zaufany,
• e-dowód.

Po zalogowaniu użytkownik może sprawdzić sekcję dotyczącą monitorowanych danych. Serwis pozwala również monitorować inne informacje, m.in. numery telefonów, adresy e-mail oraz loginy.

W przypadku pozytywnego wyniku wyszukiwarka potwierdza, że numer PESEL znalazł się w bazie objętej określonym incydentem. Nie oznacza to jednak, że portal pokaże pełny zakres danych, które mogły zostać przejęte. Informacji na temat konkretnych danych pacjenta powinien udzielić administrator, czyli w wielu przypadkach placówka medyczna korzystająca z systemu MyDr.

Zainteresowanie usługą jest duże. Rządowy serwis informował o kolejce osób oczekujących na możliwość sprawdzenia swoich danych.

MyDr dostarczało rozwiązania informatyczne wykorzystywane między innymi do prowadzenia elektronicznej dokumentacji medycznej. Skala incydentu jest więc szczególnie istotna ze względu na charakter informacji znajdujących się w systemach.

Jednocześnie samo potwierdzenie obecności numeru PESEL w bazie nie oznacza, że wszystkie dane konkretnej osoby zostały wykradzione. Zakres informacji może być różny. O tym, jakie dane dotyczą danego pacjenta, powinien poinformować administrator.

Według informacji przekazanych przez rząd przełamanie zabezpieczeń firmy MyDr zostało potwierdzone. Służby nie stwierdziły jednak dotychczas, aby całość pozyskanych danych została publicznie udostępniona.

Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie.

Jednym z najważniejszych działań jest zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie przez aplikację mObywatel, internetową usługę państwową lub w urzędzie gminy.

Zastrzeżony PESEL ma chronić między innymi przed wykorzystaniem danych do zaciągnięcia kredytu lub pożyczki. Banki, SKOK-i, firmy pożyczkowe, notariusze i operatorzy telekomunikacyjni w określonych sytuacjach mają obowiązek sprawdzić status numeru PESEL.

Warto także:

• zmienić hasła, które mogły być zagrożone,
• stosować różne, silne hasła do poszczególnych kont,
• włączyć uwierzytelnianie dwuetapowe,
• uruchomić powiadomienia o operacjach bankowych,
• zachować podejrzane SMS-y, e-maile i wiadomości,
• zwracać uwagę na nietypowe telefony i próby wyłudzenia informacji.

Szczególna ostrożność jest wskazana w przypadku wiadomości dotyczących banków, kont internetowych, płatności czy konieczności „potwierdzenia danych”. Informacje pochodzące z wycieku mogą zostać wykorzystane przez oszustów w atakach phishingowych.

Samo znalezienie numeru PESEL w bazie nie oznacza automatycznego prawa do wypłaty pieniędzy. Możliwość dochodzenia rekompensaty wynika z art. 82 RODO, ale konieczne jest wykazanie nie tylko naruszenia przepisów, lecz także poniesionej szkody i związku między naruszeniem a tą szkodą.

Szkoda może mieć charakter majątkowy lub niemajątkowy. W określonych sytuacjach znaczenie może mieć również uzasadniona obawa przed wykorzystaniem danych, utrata kontroli nad informacjami czy związany z tym stres. Każda sprawa jest jednak oceniana indywidualnie.

Nie ma więc jednej, ustalonej kwoty odszkodowania za wyciek danych. Kwoty pojawiające się w niektórych wyrokach, np. 1,5 tys. zł, nie stanowią automatycznej stawki należnej każdej osobie, której dane znalazły się w wycieku.

Jeżeli dane zostały wykorzystane do wyłudzenia pieniędzy, kredytu, szantażu lub innego przestępstwa, poszkodowany może dochodzić także naprawienia konkretnej szkody majątkowej.

Odpowiedzialność nie musi automatycznie spoczywać wyłącznie na firmie MyDr. W zależności od okoliczności może dotyczyć administratora danych, podmiotu przetwarzającego albo obu tych podmiotów.

Dlatego przed skierowaniem roszczenia ważne jest ustalenie, która placówka była administratorem danych pacjenta i jaki był podział obowiązków pomiędzy nią a dostawcą systemu.

Osoba, która chce dochodzić odszkodowania, powinna zachować dokumentację dotyczącą incydentu. Przydatne mogą być:

• wynik sprawdzenia danych w serwisie bezpiecznedane.gov.pl,
• zawiadomienie od placówki medycznej,
• informacje dotyczące zakresu wycieku,
• podejrzane wiadomości i próby wyłudzenia,
• historię operacji bankowych,
• alerty kredytowe,
• potwierdzenia zgłoszeń na policję lub do banku,
• dokumenty potwierdzające poniesione koszty,
• dowody innych rzeczywistych konsekwencji wycieku.

W pierwszej kolejności roszczenie można skierować bezpośrednio do odpowiedzialnego podmiotu. Jeżeli nie zostanie uznane, pozostaje możliwość dochodzenia swoich praw przed sądem cywilnym.

Incydentem zainteresował się również Urząd Ochrony Danych Osobowych. Kontrola ma dotyczyć między innymi zastosowanych przez spółkę środków technicznych i organizacyjnych oraz przeprowadzonej analizy ryzyka.

Ważne jest przy tym rozróżnienie dwóch kwestii. Skarga do UODO nie jest tym samym co pozew o odszkodowanie. Urząd może badać, czy przepisy o ochronie danych były przestrzegane, a także stosować przewidziane prawem środki. Nie wypłaca jednak odszkodowania poszkodowanemu.

Jeżeli osoba chce uzyskać pieniądze za poniesioną szkodę, musi dochodzić roszczenia od odpowiedzialnego podmiotu.