Szanowni Państwo,

z przykrością informujemy, że systemy MyDr Sp. z o.o. z siedzibą w Warszawie — podmiotu przetwarzającego dane osobowe na zlecenie naszej placówki — padły ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności Państwa danych osobowych.

Co się wydarzyło?

Naruszenie poufności danych nie oznacza, że Państwa dane zostały odczytane, wykorzystane lub publicznie udostępnione. Zespoły MyDr oraz zewnętrzni eksperci stale monitorują sytuację i dotychczas nie stwierdzili przypadków wykorzystania ani upublicznienia danych objętych incydentem.

Analizy przeprowadzone przez MyDr potwierdziły, że incydent został opanowany. Nie znaleziono również dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.

Zgodnie z ustaleniami MyDr incydent obejmował ograniczony zakres danych znajdujących się w systemie przed 12 kwietnia 2024 r. W nielicznych przypadkach mógł także dotyczyć danych zawartych w anulowanych skierowaniach na badania medyczne, wystawionych po tej dacie.

Wśród danych objętych incydentem mogły znajdować się:

• imię i nazwisko;
• adres zamieszkania;
• dane kontaktowe;
• numer PESEL;
• dane dotyczące zdrowia;
• dane dotyczące ubezpieczenia społecznego;
• informacje dotyczące pracodawcy — jeżeli zostały podane;
• inne dane identyfikacyjne.

Chociaż monitoring prowadzony przez MyDr nie wykazał dotychczas przypadków wykorzystania ani publicznego ujawnienia danych, ze względu na charakter incydentu nie można całkowicie wykluczyć potencjalnego ryzyka dla praw i wolności osób, których dane zostałyby niewłaściwie wykorzystane. Dlatego przekazujemy informacje o możliwych konsekwencjach oraz środkach ostrożności, które mogą pomóc w ochronie Państwa danych.

Jakie mogą być konsekwencje naruszenia?

Jeżeli numer PESEL zostałby wykorzystany łącznie z imieniem, nazwiskiem i danymi kontaktowymi, osoba nieuprawniona mogłaby próbować:

• zaciągnąć kredyt lub pożyczkę albo zawrzeć inną umowę bez wiedzy osoby, której dane dotyczą;
• uzyskać dostęp do danych dotyczących zdrowia w placówkach medycznych, w których tożsamość pacjenta jest potwierdzana przy użyciu numeru PESEL.

Incydent mógł również dotyczyć danych dotyczących zdrowia. Ich nieuprawnione wykorzystanie mogłoby prowadzić między innymi do:

• naruszenia Państwa praw lub gorszego traktowania, również w środowisku zamieszkania;
• prób oszustwa, na przykład poprzez kontakt z Państwem lub Państwa bliskimi i oferowanie alternatywnych metod leczenia rozpoznanych chorób;
• nakłaniania do skorzystania z usług medycznych, pseudomedycznych lub terapeutycznych przez osoby, które nie powinny znać Państwa historii zdrowotnej.

Podkreślamy, że obecnie nie ma dowodów na wykorzystanie ani publiczne ujawnienie danych. Nie ma zatem podstaw do zakładania, że do takiego wykorzystania doszło. Zalecamy jednak zachowanie ostrożności i czujności.

Jak mogą Państwo zadbać o swoje bezpieczeństwo?

W celu ograniczenia ryzyka związanego z ewentualnym wykorzystaniem numeru PESEL zalecamy jego bezpłatne zastrzeżenie. Można to zrobić:

• w aplikacji mObywatel;
• przez internet w serwisie mObywatel.gov.pl;
• osobiście w urzędzie gminy lub miasta.

 

Instytucje finansowe mają obowiązek sprawdzać, czy numer PESEL jest zastrzeżony, co istotnie ogranicza możliwość wykorzystania danych do nieuprawnionego zaciągania zobowiązań. Zastrzeżenie numeru PESEL nie utrudnia rejestracji u lekarza, realizacji recept ani załatwiania spraw urzędowych.

Mogą Państwo również poinformować inne placówki medyczne, z których usług Państwo korzystają, że osoby trzecie mogą próbować wykorzystać Państwa numer PESEL do przejścia procesu weryfikacji tożsamości.

Ponadto zalecamy:

• zachowanie szczególnej ostrożności wobec kontaktów ze strony nieznanych osób, które posiadają informacje o Państwa stanie zdrowia lub historii leczenia;
• niewyrażanie zgody na usługi medyczne, pseudomedyczne lub terapeutyczne proponowane podczas takich kontaktów bez uprzedniego zweryfikowania ich wiarygodności;
• zgłoszenie sprawy Policji w przypadku podejrzenia, że Państwa dane zostały wykorzystane niezgodnie z prawem. Informacje dotyczące sposobu zgłoszenia przestępstwa znajdują się na stronie: Zgłoś przestępstwo.

Jeżeli zostanie potwierdzone wykorzystanie danych dotyczących zdrowia przez osoby nieuprawnione, mogą Państwo dochodzić ochrony swoich praw na podstawie obowiązujących przepisów, w tym przepisów Kodeksu cywilnego.

Jakie działania zostały podjęte?

MyDr Sp. z o.o.:

1. opanowała i zakończyła incydent oraz wdrożyła dodatkowe środki techniczne i organizacyjne, których celem jest zapobieganie podobnym zdarzeniom w przyszłości;
2. zaangażowała wyspecjalizowaną firmę z zakresu cyberbezpieczeństwa do przeprowadzenia szczegółowej analizy incydentu;
3. zgłosiła incydent Centralnemu Biuru Zwalczania Cyberprzestępczości i współpracuje z Policją;
4. współpracuje z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK oraz CSIRT Centrum e-Zdrowia;
5. współpracuje z Urzędem Ochrony Danych Osobowych;
6. prowadzi stały monitoring systemów w celu wykrywania ewentualnych skutków incydentu i szybkiego reagowania na zagrożenia;
7. monitoruje internet w celu sprawdzenia, czy dane objęte incydentem zostały publicznie udostępnione.

 

Nasza placówka, jako administrator Państwa danych osobowych, po otrzymaniu zawiadomienia od MyDr Sp. z o.o. zgłosiła naruszenie Prezesowi Urzędu Ochrony Danych Osobowych.

Gdzie można uzyskać dodatkowe informacje?

W przypadku pytań dotyczących zakresu incydentu prosimy o kontakt z MyDr Sp. z o.o. pod adresem: dane@mydr.pl.