Bezpośrednio przed kliniką znajduje się miejsce parkingowe dedykowane kobietom w ciąży.
W Femica Clinic jest możliwość płatności kartą płatniczą i kredytową oraz za pomocą usługi BLIK.
Poniżej zamieściliśmy wykaz aktów prawnych, w których mowa jest o prawach pacjenta. Pamiętaj, że przepisy prawa się zmieniają, dlatego upewnij się, że sięgając do treści przepisów, korzystasz z ich aktualnego i pewnego źródła.
Masz prawo wyrażenia zgody na zaproponowane leczenie lub zgłoszenie sprzeciwu. Możesz nie zgodzić się np. na zaproponowany zabieg operacyjny lub badanie. Twoja zgoda lub odmowa powinny zawsze zostać poprzedzone przedstawieniem przez lekarza wyczerpującej i obiektywnej informacji na temat stanu zdrowia oraz proponowanego leczenia, jego skutków, możliwych powikłań i ewentualnych konsekwencji jego zaniechania.
W sytuacji, gdy jesteś nieprzytomny i nie masz możliwości wyrażenia świadomej zgody na leczenie, o prowadzonej terapii nie może zdecydować np. Twoja rodzina, czy też partner życiowy. Jeżeli przed utratą przytomności ustaliłeś wszystkie zagadnienia związane z proponowanym leczeniem, obowiązują one także po jej utracie.
Jeśli jesteś nieprzytomny, a nie było możliwości uzyskania np. zgody na zabieg, o wszelkich czynnościach, które związane są z ratowaniem Twojego życia decyduje lekarz prowadzący. We wszystkich innych przypadkach decyzje podejmuje kurator ustanowiony przez sąd.
W szczególnie uzasadnionych przypadkach lekarz może nie podjąć lub odstąpić od leczenia. Zwłoka w udzieleniu pomocy nie może jednak spowodować niebezpieczeństwa utraty życia, ciężkiego uszkodzenia ciała lub ciężkiego rozstroju Twojego zdrowia. Jeżeli jednak lekarz podejmie taką decyzję, ma obowiązek z odpowiednim wyprzedzeniem uprzedzić Cię o tym fakcie i wskazać lekarza lub placówkę, w której masz realne możliwości uzyskania świadczenia. W praktyce oznacza to np. uzgodnienie przeniesienia do innego szpitala, a nie tylko poinformowanie o możliwości dalszego leczenia we wskazanej placówce.
Dziecko do ukończenia 16 lat może korzystać ze świadczeń tylko za zgodą i w obecności przedstawiciela ustawowego (np. rodzica) lub opiekuna faktycznego. O wszystkich sprawach związanych z leczeniem dziecka decydują wtedy wyłącznie przedstawiciele ustawowi (np. rodzice) lub opiekunowie faktyczni.
Jeśli dziecko ukończyło 16 lat, po otrzymaniu od lekarza wyczerpującej i zrozumiałej informacji o swoim stanie zdrowia, ma prawo wyrazić zgodę na przeprowadzenie badania. Dziecko może się również nie zgodzić na dane świadczenie zdrowotne lub zażądać zaprzestania jego udzielania. Musi wtedy wyrazić oddzielną zgodę na pobyt w szpitalu oraz na wszystkie inne badania i świadczenia medyczne. Zgoda może być ustna, pisemna albo wyrażona poprzez takie zachowanie, które nie budzi wątpliwości, co do podjętej decyzji. Pisemna zgoda jest wymagana w przypadku zabiegu operacyjnego albo zastosowania metody leczenia lub diagnostyki stwarzających podwyższone ryzyko mające wpływ na stan zdrowia lub życia.
Jeśli dziecko ma 16 – 18 lat i nie zgadza się na udzielenie świadczenia zdrowotnego, a jego przedstawiciel ustawowy (np. rodzic) ma odmienne zdanie, decyzję podejmuje sąd opiekuńczy.
Jako pacjent masz prawo do uzyskania jasnej, zrozumiałej i przystępnej odpowiedzi na pytania dotyczące swojego stanu zdrowia i prowadzonego lub planowanego leczenia. Masz też prawo decydować, komu poza Tobą mogą być przekazywane informacje. Osobą upoważnioną może być każda bliska Ci osoba. Nie decyduje o tym ani pokrewieństwo, ani miejsce zamieszkania. Warunkiem niezbędnym jest Twój świadomy wybór i zgoda. Jeżeli nie możesz potwierdzić pisemnie swojej decyzji, np. ze względu na stan zdrowia, możesz np. wskazać osobę gestem i potwierdzić swój wybór skinieniem głowy albo udzielić odpowiedzi na zadane pytanie. Wymagana jest wtedy adnotacja w Twojej dokumentacji medycznej. Osoba upoważniona ma takie prawo także po śmierci pacjenta.
Zakres informacji, które masz prawo otrzymać, jest bardzo szeroki. Masz prawo do pełnej wiedzy o stanie zdrowia. Masz prawo wiedzieć o rozpoznaniu choroby, jej diagnostyce i leczeniu oraz o dających się przewidzieć następstwach terapii albo skutkach jej zaniechania, o wszelkich planowanych zabiegach leczniczych i badaniach oraz o przepisanych lekach, ich działaniu oraz możliwych skutkach ubocznych. Masz prawo żądać informacji o wynikach przeprowadzonego leczenia oraz dalszym rokowaniu. Masz także prawo uzyskać informację o osobach np. uczestniczących w badaniu lub prowadzących leczenie.
Masz prawo prosić o wyjaśnienia tak długo, aż informacja, którą przekazują Ci osoby uprawnione (lekarz, pielęgniarka, położna, rehabilitant), będzie przez Ciebie w pełni zrozumiała, a wszystkie wątpliwości wyjaśnione.
Jeżeli nie chcesz znać szczegółów dotyczących swojego stanu zdrowia, masz prawo do rezygnacji z otrzymywania informacji. Powinieneś wtedy dokładnie wskazać, z których informacji rezygnujesz.
Korzystając z pomocy medycznej masz prawo do tego, żeby w czasie udzielania świadczenia przebywała razem z Tobą bliska Ci osoba. Jeżeli więc sobie tego życzysz, w trakcie wizyty i badania przez lekarza, albo przy drobnych zabiegach może towarzyszyć Ci np. członek rodziny lub bliski przyjaciel. Może się zdarzyć, że ze względu na Twoje bezpieczeństwo zdrowotne lub w przypadku prawdopodobieństwa wystąpienia zagrożenia epidemicznego, lekarz (pielęgniarka, położna, rehabilitant) odmówią obecności osobie bliskiej. W każdym takim przypadku mają obowiązek odnotować odmowę i jej powód w dokumentacji medycznej.
Obecność innych osób przy udzielaniu świadczenia, np. studentów medycyny, także wymaga Twojej świadomej zgody. Warunkowanie udzielenia świadczenia od udzielenia takiej zgody i jej wymuszanie jest niezgodne z prawem. Jeżeli pacjent jest małoletni, całkowicie ubezwłasnowolniony lub niezdolny do świadomego wyrażenia zgody, wymagana jest zgoda jego przedstawiciela ustawowego lub opiekuna faktycznego.
Ważne! Jeżeli jesteś osobą niesłyszącą lub głuchoniewidomą, masz prawo do swobodnego korzystania z wybranej przez siebie formy komunikowania się. Placówka lecznicza (przychodnia, szpital), z pomocy której korzystasz, ma obowiązek zapewnić Ci możliwość skorzystania z pomocy wybranego tłumacza języka migowego lub tłumacza – przewodnika, na zasadach określonych w ustawie o języku migowym. W celu ułatwienia porozumiewania się masz także prawo do skorzystania z pomocy wybranej przez siebie osoby przybranej (musi mieć skończone 16 lat).
Dokumentacja medyczna prowadzona przez świadczeniodawcę (w przychodni, szpitalu, poradni) jest własnością świadczeniodawcy, jednak masz pełne prawo wglądu w nią. Jeżeli jesteś nieprzytomny, dostęp do dokumentacji ma osoba wcześniej upoważniona przez Ciebie. Osoba upoważniona ma takie prawo także po śmierci pacjenta.
Za udostępnienie dokumentacji medycznej przez sporządzenie jej wyciągu, odpisu, kopii lub wydruku, na informatycznym nośniku danych, przez sporządzenie kopii w formie odwzorowania cyfrowego (skanu), podmiot udzielający świadczeń zdrowotnych może pobierać opłatę. Jej maksymalną wysokość określa ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta.
Udostępnienie dokumentacji do wglądu na miejscu jest bezpłatne, powinno jednak zostać wcześniej uzgodnione.
Podmiot udzielający świadczeń opieki zdrowotnej ma obowiązek prowadzić dokumentację medyczną osób korzystających ze świadczeń zdrowotnych w tym zakładzie oraz zapewnić ochronę danych zawartych w tej dokumentacji.
Dokumentacja medyczna jest udostępniana:
1) do wglądu, w tym także do baz danych w zakresie ochrony zdrowia, w miejscu udzielania świadczeń zdrowotnych;
2) przez sporządzenie jej wyciągu, odpisu, kopii lub wydruku;
3) przez wydanie oryginału za potwierdzeniem odbioru i z zastrzeżeniem zwrotu po wykorzystaniu, na żądanie organów władzy publicznej albo sądów powszechnych;
4) za pośrednictwem środków komunikacji elektronicznej;
5) na informatycznym nośniku danych.
Jeśli za życia Pacjent nie upoważnił nikogo do wglądu w dokumentację medyczną, prawo wglądu przysługuje m.in. spadkobiercom w zakresie prowadzonego postępowania przed wojewódzką komisją do spraw orzekania o zdarzeniach medycznych, zgodnie z ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta.
Zgodnie z art. 13 ogólnego rozporządzenia Parlamentu Europejskiego i Rady (UE) z dnia 27 kwietnia 2016 r. o ochronie danych osobowych informuję, iż:
1) administratorem Pani/Pana danych osobowych jest NZOZ Femica Clinic – Anna Michałowska w Warszawie ul. Jana Nowaka Jeziorańskiego 53C lok. U11, który reprezentuje Anna Michałowska
2) Inspektorem Danych Osobowych jest Anna Michałowska, kontakt z Inspektorem Ochrony Danych w Gabinecie Ginekologicznym możliwy jest pod numerem tel. 882-175-088.
3) Pani/Pana dane osobowe przetwarzane będą do celów Marketingowych związanych z udzieleniem świadczeń zdrowotnych przez podmiot leczniczy na podstawie art. ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.,
4) odbiorcami Pana/Pani danych osobowych będzie NZOZ Femica Clinic – Anna Michałowska w Warszawie ul. Jana Nowaka Jeziorańskiego 53C lok. U11.
5) Pana/Pani dane osobowe przechowywane będą w okresie niezbędnym do realizacji celów przetwarzania tj. 20 lat
6) posiada Pani/ Pan prawo do: żądania od administratora dostępu do danych osobowych, prawo do ich sprostowania, usunięcia lub ograniczenia przetwarzania, prawo do wniesienia sprzeciwu wobec przetwarzania, a także prawo do przenoszenia danych – należy rozstrzygnąć czy nie ma konieczności ograniczeń uprawnień wynikających z innych przepisów prawa,
7) istnieje możliwość wniesienia skargi do organu nadzorczego na tryb i sposób przetwarzania danych osobowych przez administratora, jeśli uzna Pani/ Pan za uzasadnione, że Pani/ Pana dane osobowe są przetwarzane niezgodnie z Rozporządzeniem o ochronie danych osobowych z dnia 27 kwietnia 2016 r.
8) podanie danych osobowych jest obligatoryjne i wynika z mocy przepisu prawa tj. ustawy o działalności leczniczej i ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, a brak podania danych osobowych będzie skutkował możliwością odstąpienia od udzielenia świadczeń, chyba, że inne przepisy stanowią inaczej,
CM Femica – Femica Clinic sp. z o.o. z siedzibą w Warszawie (03-982) przy ul. Jana Nowaka-Jeziorańskiego 53C lok U11 NIP: 1133078243; REGON: 523711928 (dalej: „Placówka”) jako administrator danych osobowych publikuje niniejszy komunikat w celu przekazania pacjentom, ich przedstawicielom ustawowym, opiekunom oraz osobom upoważnionym do uzyskiwania informacji o stanie zdrowia lub dostępu do dokumentacji medycznej możliwie pełnej informacji o incydencie bezpieczeństwa, który wystąpił w środowisku informatycznym MyDr Sp. z o.o. z siedzibą w Warszawie. MyDr jest zewnętrznym dostawcą rozwiązania informatycznego wykorzystywanego przez wiele podmiotów udzielających świadczeń zdrowotnych do obsługi określonych procesów związanych między innymi z prowadzeniem i przechowywaniem dokumentacji medycznej. W odniesieniu do danych powierzonych przez Placówkę spółka ta działała jako podmiot przetwarzający dane na zlecenie Placówki.
Komunikat wynika z realizacji obowiązków prawnych placówki jako administratora danych osobowych. Jego publikacja nie oznacza, że dane każdej osoby, która korzystała z usług Placówki, zostały objęte incydentem, odczytane, wykorzystane, rozpowszechnione albo opublikowane. Nie oznacza również, że sam fakt pozostawania pacjentem Placówki przesądza o obecności danych danej osoby w zbiorze, którego mogło dotyczyć zdarzenie. Zakres incydentu jest oceniany na podstawie informacji przekazanych Placówce przez MyDr oraz ustaleń dokonanych przez tę spółkę przy wsparciu zewnętrznych specjalistów z zakresu cyberbezpieczeństwa i informatyki śledczej.
MyDr poinformowała o cyberataku wymierzonym w środowisko informatyczne pozostające pod jej kontrolą. Z przekazanych Placówce informacji wynika, że osoba trzecia mogła uzyskać nieuprawniony dostęp do części tego środowiska, w którym znajdowały się dane o charakterze historycznym. Zdarzenie mogło obejmować kopię zapasową bazy danych odzwierciedlającą stan systemu na dzień 12 kwietnia 2024 r. W odniesieniu do ograniczonej liczby osób incydent mógł również objąć określone dane zawarte w anulowanych skierowaniach na badania medyczne wystawionych po tej dacie. Oznaczenie daty kopii zapasowej nie jest datą wizyty, diagnozy ani powstania każdego pojedynczego dokumentu, lecz określa moment, na który utrwalony był stan danych w danym zasobie technicznym.
Możliwość objęcia danych incydentem nie jest równoznaczna z ustaleniem, że każda informacja znajdująca się w środowisku MyDr została przez osobę nieuprawnioną odszukana, odczytana, przeanalizowana lub w jakikolwiek sposób użyta. Według informacji przekazanych przez MyDr dotychczasowy monitoring nie wykazał przypadków publicznego udostępnienia danych ani ich bezprawnego wykorzystania, a analiza śledcza wskazuje, że incydent został opanowany i nie ma dowodów na trwający, dalszy nieuprawniony dostęp do systemów. Informacje te pozostają istotnym elementem oceny zdarzenia, choć ze względu na naturę cyberincydentów nie pozwalają całkowicie wykluczyć potencjalnych następstw w przyszłości.
Incydent miał charakter zewnętrznego cyberataku skierowanego przeciwko systemom MyDr. Zdarzenie wystąpiło w infrastrukturze wykorzystywanej i obsługiwanej przez dostawcę systemu.
W ujęciu technicznym incydent dotyczył poufności danych, a więc jednej z trzech podstawowych właściwości bezpieczeństwa informacji, obok integralności i dostępności. Naruszenie poufności oznacza sytuację, w której do danych mogła uzyskać dostęp osoba nieuprawniona. Nie jest ono tożsame z naruszeniem integralności, czyli zmianą, zniekształceniem lub usunięciem danych, ani z naruszeniem dostępności, czyli czasową lub trwałą niemożnością korzystania z danych przez osoby do tego uprawnione. Na podstawie obecnie dostępnych informacji zasadniczy charakter zdarzenia wiąże się z możliwością nieuprawnionego dostępu do określonego zasobu historycznego. Nie przekazano Placówce informacji wskazujących, że dokumentacja pacjentów została w następstwie incydentu zmieniona, że wprowadzono do niej nieprawdziwe wpisy albo że zdarzenie wpłynęło na treść udzielonych świadczeń zdrowotnych.
Kopia zapasowa jest technicznym odwzorowaniem danych utworzonym w celu zapewnienia możliwości ich odtworzenia w razie awarii, błędu lub innego zdarzenia. Może zawierać informacje zgromadzone w różnych momentach przed datą jej utworzenia. Jeżeli dany rekord znajdował się w kopii, oznacza to jedynie, że został w niej technicznie utrwalony. Nie przesądza to, czy osoba atakująca zapoznała się właśnie z tym rekordem ani czy potrafiła powiązać go z konkretną osobą. Z tego względu właściwe jest rozróżnienie pomiędzy potwierdzonym wystąpieniem cyberataku i potencjalnym objęciem zasobu incydentem a niepotwierdzonym odczytaniem, wykorzystaniem lub upublicznieniem poszczególnych danych.
Zasadnicza część informacji, których mógł dotyczyć incydent, ma charakter historyczny. Zgodnie z ustaleniami przekazanymi przez MyDr chodzi o dane obecne w systemie przed 12 kwietnia 2024 r. lub znajdujące się w kopii zapasowej obrazującej stan bazy na ten dzień. Oznacza to, że data 12 kwietnia 2024 r. wyznacza co do zasady techniczną granicę badanego zasobu, a nie moment wystąpienia samego cyberataku. Informacje wprowadzone do systemu wyłącznie po tej dacie co do zasady nie powinny znajdować się w tej kopii.
Wyjątek może dotyczyć nielicznych przypadków anulowanych skierowań na badania medyczne wystawionych po 12 kwietnia 2024 r. Dane zapisane w takich skierowaniach mogły znaleźć się w odrębnym zakresie technicznym objętym analizą. Samo wystawienie skierowania a następnie anulowanie skierowania po tej dacie nie przesądza jednak, że znajdowało się w zasobie, którego dotyczył incydent, ani że ktokolwiek nieuprawniony zapoznał się z jego treścią. Każdy z tych elementów wymaga odrębnego ustalenia.
W zależności od zawartości poszczególnych rekordów incydent mógł potencjalnie dotyczyć pacjentów, których dane były przetwarzane w środowisku MyDr w okresie objętym analizą. Mógł również obejmować dane przedstawicieli ustawowych pacjentów, w szczególności rodziców lub opiekunów prawnych, oraz osób wskazanych przez pacjentów jako uprawnione do uzyskiwania informacji o stanie zdrowia lub dostępu do dokumentacji medycznej. W przypadku niektórych dokumentów w systemie mogły znajdować się również informacje o osobie bliskiej, opiekunie albo osobie wskazanej jako kontaktowa. Zakres tych informacji zależał od tego, jakie dane zostały faktycznie przekazane Placówce i zapisane w systemie w związku z udzielaniem świadczeń.
Nie każda z wymienionych kategorii osób występowała w każdym rekordzie. Dokumentacja dorosłego pacjenta, który nie wskazał przedstawiciela ani osoby upoważnionej, mogła nie zawierać żadnych danych innych osób. Z kolei przy pacjencie małoletnim lub osobie działającej przez przedstawiciela ustawowego mogły znajdować się dane niezbędne do wykazania umocowania, zapewnienia kontaktu lub realizacji praw pacjenta. Publiczny charakter niniejszego komunikatu sprawia, że opisujemy wszystkie potencjalne grupy łącznie, aby nie ujawniać, do której z nich należy konkretna osoba i aby nie wymagać od odbiorców przekazywania dodatkowych danych tylko w celu zapoznania się z podstawową informacją o zdarzeniu.
Zakres danych mógł różnić się zależnie od konkretnego pacjenta, rodzaju udzielanego świadczenia, treści dokumentacji oraz informacji faktycznie wprowadzonych do systemu. W przypadku pacjentów mogły to być dane identyfikacyjne, w szczególności imię i nazwisko, numer PESEL lub inne oznaczenie pozwalające potwierdzić tożsamość, data urodzenia, płeć oraz dane zawarte w dokumentach służących identyfikacji. Potencjalny zakres mógł obejmować również adres zamieszkania albo korespondencyjny, numer telefonu, adres poczty elektronicznej oraz inne dane kontaktowe.
W dokumentacji medycznej mogły znajdować się informacje dotyczące zdrowia, wizyt, rozpoznania, objawów, wyników badań, zaleceń, ordynowanych leków, wystawionych recept, skierowań, przebiegu leczenia lub innych okoliczności związanych z udzielonymi świadczeniami. Zależnie od rodzaju rekordu możliwe było również występowanie danych dotyczących ubezpieczenia społecznego lub uprawnień do świadczeń, danych płatnika, informacji o pracodawcy, jeżeli zostały podane i były potrzebne w danym procesie, oraz innych danych identyfikacyjnych lub organizacyjnych. W przypadku anulowanych skierowań zakres danych dotyczących zdrowia mógł być węższy i wynikać przede wszystkim z treści samego skierowania, oznaczenia badania, rozpoznania lub celu diagnostycznego.
W odniesieniu do przedstawiciela ustawowego, opiekuna albo osoby upoważnionej potencjalny zakres mógł obejmować imię i nazwisko, numer PESEL, adres, numer telefonu, adres e-mail, rodzaj relacji z pacjentem lub stopień pokrewieństwa oraz informację o udzielonym upoważnieniu. Nie oznacza to, że wszystkie wymienione kategorie danych występowały łącznie. Lista przedstawia możliwy zakres wynikający z różnych wariantów dokumentacji, a nie potwierdzony zestaw informacji dotyczących każdej osoby.
Na obecnym etapie nie stwierdzono, aby dane objęte incydentem zostały publicznie udostępnione. Prowadzony według informacji MyDr monitoring Internetu, w tym miejsc, w których mogą pojawiać się informacje pochodzące z cyberataków, nie ujawnił dotychczas publikacji danych. Nie wykryto również potwierdzonych przypadków wykorzystania danych w celu zaciągnięcia zobowiązania, przejęcia konta, uzyskania świadczenia, podszycia się pod pacjenta albo kontaktowania się z pacjentami na podstawie informacji pochodzących właśnie z tego zdarzenia.
Brak stwierdzonych przypadków wykorzystania nie oznacza, że należy całkowicie zignorować incydent. Oznacza jednak, że opisane dalej ryzyka mają charakter możliwy i warunkowy. Ich urzeczywistnienie wymagałoby spełnienia dodatkowych okoliczności, takich jak faktyczne odczytanie danych, możliwość ich powiązania z konkretną osobą, zamiar bezprawnego użycia oraz skuteczne przejście zabezpieczeń stosowanych przez inne podmioty. Jeżeli w przyszłości ujawnione zostaną nowe, potwierdzone okoliczności mające znaczenie dla pacjentów, zakres komunikacji może zostać odpowiednio uzupełniony.
Dane dotyczące zdrowia są w prawie ochrony danych traktowane jako szczególna kategoria danych ze względu na ich osobisty charakter i możliwe następstwa nieuprawnionego ujawnienia. Numer PESEL jest natomiast trwałym identyfikatorem, którego osoba nie może swobodnie zmienić tak jak hasła czy numeru karty. Połączenie danych zdrowotnych, identyfikacyjnych i kontaktowych może w określonych okolicznościach zwiększać wiarygodność prób podszywania się pod daną osobę lub kierowania do niej spersonalizowanych wiadomości. Z tego względu sama możliwość uzyskania dostępu do takiego zestawu informacji wymaga ostrożnej oceny, nawet gdy dotychczas nie wykryto faktycznych szkód.
Przekazanie informacji ma umożliwić każdej osobie podjęcie prostych działań zapobiegawczych odpowiednio do jej sytuacji. Publikacja nie jest stwierdzeniem, że negatywne konsekwencje wystąpią ani że prawdopodobieństwo każdego z opisanych scenariuszy jest jednakowe. Stanowi środek ostrożności i realizację zasady przejrzystości. W komunikacie opisujemy także scenariusze mało prawdopodobne, ponieważ ich znajomość może pomóc w rozpoznaniu nietypowej próby kontaktu lub wyłudzenia.
Gdyby dane identyfikacyjne zostały faktycznie odczytane i wykorzystane przez osobę działającą bezprawnie, mogłyby posłużyć do próby podszycia się pod osobę, której dane dotyczą. Potencjalne scenariusze obejmują próbę złożenia wniosku o pożyczkę lub kredyt, zawarcia umowy na odległość, założenia konta w usłudze internetowej, uzyskania duplikatu karty SIM, wyłudzenia dodatkowych informacji albo przekonania pracownika innej organizacji, że kontaktuje się z właściwą osobą. Skuteczność takich działań zależy jednak od zabezpieczeń stosowanych przez dany podmiot, zakresu danych wymaganych do identyfikacji oraz obowiązkowej weryfikacji zastrzeżenia numeru PESEL przy określonych czynnościach.
Możliwa jest również próba wykorzystania numeru PESEL i podstawowych danych w placówce medycznej, w której proces identyfikacji opiera się na podaniu ograniczonego zestawu informacji. Nie oznacza to, że osoba znająca PESEL automatycznie uzyska dostęp do pełnej dokumentacji medycznej. Podmioty medyczne powinny stosować adekwatne procedury weryfikacji tożsamości i uprawnienia do uzyskania informacji. Ostrożność może być jednak uzasadniona zwłaszcza wtedy, gdy ktoś kontaktuje się telefonicznie i prosi o ujawnienie danych, zmianę numeru telefonu, przesłanie dokumentów albo podanie kodu służącego do autoryzacji.
Innym możliwym następstwem jest kierowanie wiarygodnie brzmiących wiadomości phishingowych. Osoba znająca imię, nazwisko, dane kontaktowe lub nazwę świadczenia może próbować nakłonić odbiorcę do kliknięcia w link, dokonania opłaty, pobrania pliku, podania hasła, kodu SMS lub danych karty. Samo otrzymanie podejrzanej wiadomości nie przesądza, że ma ona związek z incydentem MyDr, ponieważ podobne próby są powszechne i mogą korzystać z danych pochodzących z innych źródeł. Każdą taką wiadomość należy jednak oceniać niezależnie i nie podejmować działań pod presją czasu.
Informacje o zdrowiu mogą ujawniać rozpoznania, przebieg diagnostyki, leki, badania albo sam fakt korzystania z określonego rodzaju świadczeń. Pozyskane i użyte, mogą prowadzić do naruszenia prywatności, poczucia dyskomfortu lub obawy przed oceną przez inne osoby. W szczególnych okolicznościach mogłyby stać się podstawą próby nierównego traktowania, wywierania presji, szantażu albo rozpowszechniania informacji w otoczeniu osoby.
Dane o zdrowiu mogą również zwiększyć wiarygodność oszustwa socjotechnicznego. Osoba trzecia mogłaby przykładowo powoływać się na rzekomą diagnozę, badanie, receptę lub terapię i proponować odpłatne usługi medyczne, pseudomedyczne albo alternatywne metody leczenia. Może też podszywać się pod placówkę, lekarza, laboratorium, aptekę, ubezpieczyciela lub instytucję publiczną. Placówka nie będzie w nieoczekiwanej wiadomości prosić o podanie hasła, pełnych danych karty płatniczej ani kodu autoryzacyjnego. W razie wątpliwości należy przerwać rozmowę i samodzielnie skontaktować się z właściwym podmiotem, korzystając z numeru telefonu lub adresu opublikowanego na jego oficjalnej stronie.
W odniesieniu do osób upoważnionych lub przedstawicieli ustawowych możliwą konsekwencją jest ujawnienie samego faktu relacji z pacjentem albo zakresu umocowania. Osoby te powinny zachować taką samą ostrożność przy nieoczekiwanych kontaktach dotyczących zdrowia pacjenta.
Zgodnie z informacjami przekazanymi Placówce MyDr podjęła działania w celu opanowania i zakończenia incydentu oraz zastosowała dodatkowe, ukierunkowane środki techniczne i organizacyjne służące ograniczeniu ryzyka podobnych zdarzeń. Do analizy zaangażowano wyspecjalizowaną firmę z zakresu cyberbezpieczeństwa, której zadaniem było przeprowadzenie czynności z obszaru informatyki śledczej, ustalenie sposobu i zakresu oddziaływania zdarzenia oraz wsparcie działań naprawczych. MyDr kontynuuje monitorowanie systemów w celu wykrycia ewentualnych skutków incydentu i niezwłocznego reagowania na nowe okoliczności.
MyDr poinformowała również o zgłoszeniu zdarzenia wyspecjalizowanej jednostce Policji, tj. Centralnemu Biuru Zwalczania Cyberprzestępczości, i o współpracy z organami oraz instytucjami właściwymi dla cyberbezpieczeństwa i ochrony zdrowia. Według przekazanych informacji współpraca obejmuje Ministerstwo Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK, CSIRT Centrum e-Zdrowia oraz Urząd Ochrony Danych Osobowych. Prowadzony jest także monitoring Internetu służący ustaleniu, czy informacje objęte incydentem zostały publicznie udostępnione. Do chwili przygotowania niniejszego komunikatu MyDr nie przekazała informacji o wykryciu takiej publikacji ani potwierdzonego bezprawnego wykorzystania danych.
Szczegółowe informacje techniczne o zabezpieczeniach nie są publikowane w zakresie, w jakim mogłoby to utrudniać prowadzenie postępowania, ujawniać sposób działania systemów lub tworzyć dodatkowe ryzyko bezpieczeństwa.
Po otrzymaniu informacji od MyDr Placówka przeanalizowała zdarzenie z perspektywy danych, za które odpowiada jako administrator. Obejmowało to w szczególności ustalenie relacji z dostawcą, kategorii osób i danych, możliwych następstw dla praw lub wolności osób fizycznych, dostępnych środków ograniczających ryzyko oraz zakresu informacji, które powinny zostać przekazane. Placówka pozostaje w kontakcie z MyDr i uwzględnia kolejne potwierdzone ustalenia przekazywane przez dostawcę.
Placówka dokonała zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych. Jest to przewidziany w RODO mechanizm umożliwiający organowi uzyskanie informacji o zdarzeniu oraz ocenę działań podejmowanych w związku z nim. Placówka dokumentuje incydent, jego okoliczności, ocenę ryzyka oraz podejmowane czynności, zgodnie z zasadą rozliczalności.
Placówka weryfikuje także adekwatność dalszych środków organizacyjnych dotyczących korzystania z usług dostawców, komunikacji z pacjentami oraz obsługi ewentualnych zapytań. Placówka weryfikuje także adekwatność dalszych środków organizacyjnych dotyczących korzystania z usług zewnętrznych dostawców, komunikacji z pacjentami oraz obsługi ewentualnych pytań i zgłoszeń związanych z incydentem. Niezależnie od działań naprawczych podejmowanych przez MyDr, zaistniała sytuacja istotnie podważyła zaufanie Placówki do dotychczasowego dostawcy systemu informatycznego, w szczególności w zakresie zapewnienia odpowiedniego poziomu bezpieczeństwa powierzonych danych oraz terminowego przekazywania kompletnych i precyzyjnych informacji o zdarzeniach mogących wpływać na prawa pacjentów.
Z tego względu Placówka zamierza zakończyć korzystanie z usług MyDr i rozpoczęła działania zmierzające do wyboru innego rozwiązania informatycznego. Zmiana dostawcy zostanie przeprowadzona w sposób kontrolowany, z zachowaniem ciągłości udzielania świadczeń zdrowotnych, dostępności dokumentacji medycznej oraz wymaganego poziomu ochrony danych osobowych. Proces ten będzie obejmował w szczególności ocenę bezpieczeństwa nowego rozwiązania, weryfikację warunków powierzenia przetwarzania danych, bezpieczne przeniesienie niezbędnych informacji oraz odpowiednie zakończenie współpracy z dotychczasowym dostawcą. Placówka podejmie również działania mające zapewnić, aby zmiana systemu nie powodowała utrudnień dla pacjentów ani ograniczenia dostępu do świadczeń lub dokumentacji medycznej.
Podstawowym działaniem ograniczającym ryzyko nieuprawnionego wykorzystania numeru PESEL jest jego bezpłatne zastrzeżenie w Rejestrze Zastrzeżeń Numerów PESEL. Można tego dokonać przez usługę elektroniczną dostępną w serwisie mObywatel.gov.pl, w aplikacji mObywatel albo osobiście w dowolnym urzędzie gminy. Zastrzeżenie może zostać później cofnięte bezterminowo lub czasowo, zależnie od potrzeb. Informacje o procedurze są dostępne pod adresem https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie.
Od 1 czerwca 2024 r. określone instytucje, w tym banki, spółdzielcze kasy oszczędnościowo-kredytowe i instytucje pożyczkowe, są zobowiązane w przewidzianych prawem sytuacjach sprawdzić, czy numer PESEL jest zastrzeżony. Zastrzeżenie utrudnia dokonanie określonych czynności z wykorzystaniem cudzej tożsamości. Nie blokuje ono zwykłego korzystania ze świadczeń zdrowotnych, rejestracji do lekarza, realizacji recepty, załatwiania spraw urzędowych, posługiwania się dokumentem tożsamości ani wykonywania standardowych przelewów. W razie potrzeby zawarcia umowy wymagającej braku zastrzeżenia można je czasowo cofnąć, a następnie ponownie zastrzec numer.
Warto okresowo sprawdzać historię rachunków bankowych, korespondencję z instytucji finansowych oraz informacje o nieznanych zapytaniach kredytowych lub umowach. Jeżeli osoba posiada konta w systemach informacji kredytowej, może rozważyć włączenie dostępnych powiadomień o zapytaniach dotyczących jej danych. Należy przy tym korzystać wyłącznie z oficjalnych stron i aplikacji, ponieważ sam temat incydentu może być wykorzystywany do tworzenia fałszywych serwisów oferujących rzekome sprawdzenie danych.
Należy zachować ostrożność wobec nieoczekiwanych telefonów, wiadomości SMS, e-maili i komunikatów w serwisach społecznościowych, zwłaszcza gdy nadawca powołuje się na pilną konieczność dopłaty, potwierdzenia recepty, odebrania wyniku, przedłużenia ubezpieczenia, zmiany terminu wizyty albo zabezpieczenia danych. Nie należy klikać w linki ani otwierać załączników przed zweryfikowaniem nadawcy. Adres strony warto wpisać samodzielnie w przeglądarce, a numer telefonu znaleźć niezależnie na oficjalnej stronie danej instytucji.
Nie należy przekazywać haseł, kodów jednorazowych, kodów BLIK, numerów PIN, pełnych danych karty płatniczej ani danych logowania do bankowości. Pracownik banku, Placówki, MyDr, Policji lub urzędu nie powinien żądać zainstalowania aplikacji umożliwiającej zdalny dostęp do telefonu czy komputera. Presja czasu, groźba utraty pieniędzy lub dostępu do świadczenia oraz żądanie zachowania rozmowy w tajemnicy są typowymi sygnałami próby oszustwa.
Jeżeli wiadomość odwołuje się do rzeczywistej informacji medycznej, nadal nie należy zakładać, że pochodzi od uprawnionego podmiotu. Znajomość fragmentu informacji może służyć do uwiarygodnienia kontaktu. Najbezpieczniej zakończyć rozmowę, odczekać chwilę i samodzielnie skontaktować się z Placówką lub innym podmiotem przez znany kanał. Warto także ostrzec bliskich, zwłaszcza osoby starsze lub wymagające wsparcia, że oszust może próbować kontaktować się również z członkami rodziny i powoływać się na rzekomą potrzebę zapłaty za leczenie.
W przypadku zauważenia nieznanego zapytania kredytowego, próby przejęcia numeru telefonu, podejrzanej zmiany danych kontaktowych, nieautoryzowanej transakcji albo kontaktu wskazującego na znajomość informacji o zdrowiu należy zachować treść wiadomości, adres nadawcy, numer telefonu, zrzuty ekranu i inne dowody. Nie należy prowadzić negocjacji z osobą podejrzaną ani przesyłać jej kolejnych dokumentów. W zależności od sytuacji należy skontaktować się z bankiem, operatorem telekomunikacyjnym, podmiotem medycznym lub inną organizacją, której dotyczy próba działania.
Podejrzenie popełnienia przestępstwa można zgłosić Policji lub prokuraturze. Informacje o sposobie złożenia zawiadomienia są dostępne na stronie https://www.gov.pl/web/gov/zglos-przestepstwo. W sytuacji trwającego oszustwa finansowego należy niezwłocznie skontaktować się z bankiem. Podejrzane wiadomości, strony i domeny można również zgłaszać właściwym zespołom reagowania na incydenty, zgodnie z aktualnymi instrukcjami publikowanymi przez NASK i administrację publiczną.
Jeżeli podejrzenie dotyczy próby uzyskania dokumentacji medycznej lub informacji o zdrowiu, warto powiadomić daną placówkę, aby mogła zweryfikować historię udostępnień i zastosować dodatkowe środki identyfikacji. Można także poinformować inne placówki, w których świadczone są usługi, że osoba trzecia może próbować posłużyć się numerem PESEL w procesie autoryzacji. Nie jest to obowiązek pacjenta, lecz dostępny środek ostrożności.
Osobom, których dane są przetwarzane, przysługują prawa określone w RODO, w szczególności prawo dostępu do danych i uzyskania ich kopii, prawo sprostowania danych nieprawidłowych, prawo uzupełnienia danych niekompletnych oraz, w przypadkach przewidzianych prawem, prawo ograniczenia przetwarzania, usunięcia danych lub wniesienia sprzeciwu. Zakres zastosowania poszczególnych praw zależy od podstawy i celu przetwarzania. W szczególności prawo do usunięcia danych nie uchyla ustawowych obowiązków prowadzenia i przechowywania dokumentacji medycznej przez okres określony prawem.
Każda osoba ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, jeżeli uważa, że przetwarzanie jej danych narusza RODO. Informacje o sposobie złożenia skargi są dostępne na stronie https://uodo.gov.pl.
Ochrony można dochodzić także na podstawie przepisów Kodeksu cywilnego dotyczących dóbr osobistych, w szczególności prywatności, czci i tajemnicy komunikowania się, oraz ogólnych zasad odpowiedzialności odszkodowawczej. Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta chroni prawo pacjenta do tajemnicy informacji z nim związanych oraz prawo do dokumentacji medycznej. W razie rzeczywistego bezprawnego wykorzystania danych zastosowanie mogą mieć także przepisy karne dotyczące między innymi bezprawnego uzyskania informacji, podszywania się pod inną osobę, oszustwa i oszustwa komputerowego. Ocena konkretnego przypadku zawsze zależy od rzeczywistego przebiegu zdarzeń i zgromadzonych dowodów.
Placówka prowadzi i przechowuje dokumentację medyczną przede wszystkim w wykonaniu obowiązków prawnych związanych z udzielaniem świadczeń zdrowotnych. W rozumieniu RODO podstawą przetwarzania zwykłych danych osobowych jest w szczególności art. 6 ust. 1 lit. c RODO, czyli niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze, a zależnie od statusu i zadań Placówki również art. 6 ust. 1 lit. e RODO, gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym. W odniesieniu do danych dotyczących zdrowia podstawowe znaczenie ma art. 9 ust. 2 lit. h RODO, pozwalający na przetwarzanie niezbędne do celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej lub leczenia oraz zarządzania systemami i usługami opieki zdrowotnej, z uwzględnieniem warunków określonych w art. 9 ust. 3 RODO. W przypadkach związanych z interesem publicznym w dziedzinie zdrowia publicznego znaczenie może mieć również art. 9 ust. 2 lit. i RODO.
Obowiązki dotyczące dokumentacji wynikają w szczególności z art. 23-30b ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. Ustawa określa prawo pacjenta do dokumentacji, obowiązek jej prowadzenia, zasady udostępniania osobom uprawnionym i okresy przechowywania. Prawo do tajemnicy informacji związanych z pacjentem wynika z art. 13 i 14 tej ustawy. Szczegółowe zasady określa rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania, w aktualnym brzmieniu. Do dokumentów elektronicznych i wymiany informacji w ochronie zdrowia mogą mieć zastosowanie również przepisy ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia oraz akty wykonawcze dotyczące elektronicznej dokumentacji medycznej.
Korzystanie przez Placówkę z usług wyspecjalizowanego dostawcy systemu informatycznego jest dopuszczalne pod warunkiem spełnienia wymagań art. 28 RODO. Przepis ten pozwala administratorowi powierzyć przetwarzanie podmiotowi zapewniającemu wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych oraz wymaga uregulowania przetwarzania umową lub innym instrumentem prawnym. Podmiot przetwarzający powinien działać na udokumentowane polecenie administratora, zapewnić poufność osób upoważnionych, stosować wymagane zabezpieczenia, wspierać administratora w wykonywaniu obowiązków oraz poinformować go o naruszeniu bez zbędnej zwłoki. Samo powierzenie danych zewnętrznemu dostawcy nie zmienia tego, że Placówka pozostaje administratorem danych w zakresie celów i sposobów ich przetwarzania związanych z udzielaniem świadczeń, natomiast dostawca odpowiada za obowiązki przypisane mu przez RODO i umowę.
Zasada integralności i poufności wynika z art. 5 ust. 1 lit. f RODO, a zasada rozliczalności z art. 5 ust. 2 RODO. Administrator ma, zgodnie z art. 24 RODO, wdrażać odpowiednie środki techniczne i organizacyjne oraz być w stanie wykazać zgodność przetwarzania z prawem. Art. 25 RODO wprowadza ochronę danych w fazie projektowania i domyślną ochronę danych, a art. 32 RODO wymaga poziomu bezpieczeństwa odpowiadającego ryzyku. Przy doborze środków bierze się pod uwagę stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz prawdopodobieństwo i wagę ryzyka dla osób fizycznych. Przepis wskazuje między innymi na poufność, integralność, dostępność i odporność systemów, zdolność odtworzenia dostępności danych, regularne testowanie zabezpieczeń oraz, zależnie od adekwatności, pseudonimizację i szyfrowanie.
Definicję naruszenia ochrony danych osobowych zawiera art. 4 pkt 12 RODO. Jest nim naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. W tym przypadku zasadnicze znaczenie ma możliwość nieuprawnionego dostępu, a więc potencjalne naruszenie poufności. Definicja nie wymaga, aby przed zgłoszeniem wykazano faktyczne wyrządzenie szkody lub publiczną publikację danych.
Art. 33 ust. 1 RODO nakazuje administratorowi zgłosić naruszenie właściwemu organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Art. 33 ust. 2 RODO nakłada na podmiot przetwarzający obowiązek zgłoszenia naruszenia administratorowi bez zbędnej zwłoki. Art. 33 ust. 3 określa minimalną treść zgłoszenia, a art. 33 ust. 5 wymaga dokumentowania wszystkich naruszeń, ich okoliczności, skutków i podjętych działań. Informacje mogą być przekazywane organowi etapami, jeżeli nie da się ich dostarczyć jednocześnie.
Art. 34 ust. 1 RODO przewiduje zawiadomienie osoby, której dane dotyczą, bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności. Zgodnie z art. 34 ust. 2 zawiadomienie powinno jasnym i prostym językiem opisywać charakter naruszenia oraz zawierać co najmniej dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, opis możliwych konsekwencji, a także opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu i ograniczenia jego ewentualnych negatywnych skutków. Odpowiednie elementy wynikają przez odesłanie z art. 33 ust. 3 lit. b-d RODO. Niniejszy komunikat przedstawia te informacje z uwzględnieniem aktualnego stanu wiedzy i rozróżnienia pomiędzy okolicznościami potwierdzonymi a tymi, do których jedynie mogło dojść.
Art. 12 ust. 1 RODO wymaga, aby komunikacja na podstawie art. 34 była zwięzła, przejrzysta, zrozumiała, łatwo dostępna oraz sformułowana jasnym i prostym językiem. Obszerność niniejszego komunikatu wynika z zamiaru wyjaśnienia różnic pomiędzy cyberatakiem, potencjalnym dostępem, możliwym objęciem danych i niepotwierdzonym wykorzystaniem, a także z potrzeby opisania różnych kategorii osób i rekordów w jednym materiale. Najistotniejsze informacje zostały powtórzone w kilku miejscach, aby można było zrozumieć je także bez lektury technicznych i prawnych części dokumentu.
RODO dopuszcza także komunikację publiczną. Zgodnie z art. 34 ust. 3 lit. c, jeżeli indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, administrator może wydać publiczny komunikat lub zastosować podobny środek zapewniający równie skuteczne poinformowanie osób. Publikacja niniejszego komunikatu na stronie internetowej ma zapewnić powszechną dostępność informacji, niezależnie od zakresu innych stosowanych kanałów i bez konieczności ujawniania w samym komunikacie, kto konkretnie korzystał ze świadczeń Placówki. Podstawę działań komunikacyjnych i ochronnych wzmacniają zasady rzetelności, przejrzystości, minimalizacji danych, ograniczenia przechowywania oraz integralności i poufności określone w art. 5 RODO, a także motywy 39, 49, 75, 78, 83, 85, 86 i 87 RODO, wyjaśniające znaczenie bezpieczeństwa sieci, analizy ryzyka oraz szybkiego informowania o naruszeniach.
Możliwość zastrzeżenia numeru PESEL wynika z rozdziału 3a ustawy z dnia 24 września 2010 r. o ewidencji ludności. Rejestr służy zapobieganiu negatywnym konsekwencjom nieuprawnionego wykorzystania danych osobowych, a art. 23e przewiduje nieodpłatne zastrzeżenie i cofnięcie zastrzeżenia numeru przez osobę pełnoletnią. Obowiązki sprawdzania zastrzeżenia przed określonymi czynnościami wynikają z przepisów szczególnych, w tym Prawa bankowego, ustawy o spółdzielczych kasach oszczędnościowo-kredytowych, ustawy o kredycie konsumenckim, Prawa telekomunikacji elektronicznej oraz Prawa o notariacie, w brzmieniu nadanym między innymi ustawą z dnia 7 lipca 2023 r. o zmianie niektórych ustaw w celu ograniczania niektórych skutków kradzieży tożsamości.
Prawo do wniesienia skargi do organu nadzorczego wynika z art. 77 RODO, a prawo do skutecznego środka ochrony prawnej przed sądem z art. 79 RODO. Art. 82 RODO reguluje prawo do odszkodowania za szkodę majątkową lub niemajątkową spowodowaną naruszeniem rozporządzenia oraz zasady odpowiedzialności administratora i podmiotu przetwarzającego. Zastosowanie mogą znaleźć także art. 23, 24, 415 i 448 Kodeksu cywilnego, zależnie od rodzaju naruszonego dobra, bezprawności, winy, szkody lub krzywdy i związku przyczynowego. W zakresie praw pacjenta znaczenie mają art. 4 oraz art. 13, 14 i 23-30a ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
W przypadku celowego bezprawnego działania osoby trzeciej kwalifikacja prawna może zależeć od ustalonego sposobu działania. Potencjalnie znaczenie mogą mieć przepisy Kodeksu karnego dotyczące bezprawnego uzyskania informacji, wpływania na dane informatyczne lub zakłócania systemu, podszywania się pod inną osobę, oszustwa, oszustwa komputerowego, gróźb lub szantażu. Właściwa kwalifikacja należy do organów ścigania i sądu.
Pytania dotyczące technicznych okoliczności incydentu w środowisku MyDr, zakresu analiz prowadzonych przez dostawcę, monitoringu Internetu oraz informacji przechowywanych w systemie MyDr można kierować do dedykowanego punktu kontaktowego MyDr pod adresem dane@mydr.pl. Dodatkowe informacje udostępniane przez MyDr są dostępne na stronie https://pacjent.mydr.pl. Kierowanie pytań technicznych bezpośrednio do dostawcy pozwala uzyskać informacje od podmiotu prowadzącego analizę środowiska, w którym wystąpiło zdarzenie.
Placówka może aktualizować informację, jeżeli otrzyma nowe, potwierdzone ustalenia, które w istotny sposób zmienią ocenę zakresu incydentu, możliwych konsekwencji lub zalecanych środków ostrożności.
Praktyka Lekarska – Anna Michałowska z siedzibą w Warszawie (03-982) przy ul. Jana Nowaka-Jeziorańskiego 53C lok U11 jako administrator danych osobowych, z przykrością informuje o naruszeniu poufności danych przetwarzanych w systemie dostarczanym przez MyDr Sp. z o.o., będącą podmiotem przetwarzającym dane na rzecz naszej placówki.
Co się stało?
Z przykrością informujemy, że system naszego podmiotu przetwarzającego, tj. MyDr Sp. z o.o. z siedzibą w Warszawie, padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności Pani/Pana danych osobowych.
Chcielibyśmy podkreślić, że nie oznacza to, że Pani/Pana dane zostały odczytane, wykorzystane lub upublicznione. Zespoły MyDr oraz zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione. Przeprowadzone przez MyDr analizy śledcze potwierdziły, że incydent został opanowany oraz że nie ma dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.
Ustalenia dokonane przez MyDr przy wsparciu ekspertów zajmujących się analizą śledczą wskazują, że incydent obejmował ograniczony zakres danych przed 12 kwietnia 2024 r., z wyjątkiem nielicznych przypadków, w których mógł również objąć dane zawarte w anulowanych skierowaniach na badania medyczne wystawione po tej dacie.
Ustalenia dokonane przez MyDr przy wsparciu ekspertów zajmujących się analizą śledczą wskazują, że incydent obejmował również ograniczony zakres danych zawartych w anulowanych skierowaniach na badania medyczne.
Wśród danych objętych incydentem mogły znaleźć się Pani/Pana: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, ubezpieczenia społecznego, i (jeśli zostały podane) informacje dotyczące pracodawcy, lub inne dane identyfikacyjne.
Zakres danych objętych incydentem mógł również zawierać dane Pani/Pana przedstawiciela ustawowego lub osoby upoważnionej do dostępu do dokumentacji medycznej. W zależności od zakresu informacji przekazanych przez tę osobę może to dotyczyć takich danych jak: imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL oraz informacja o stopniu pokrewieństwa lub rodzaju relacji z pacjentem.
W przypadku anulowanych skierowań wśród danych objętych incydentem mogły znaleźć się Pani/Pana: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL oraz ograniczony zakres danych dotyczących zdrowia zawartych w anulowanych skierowaniach. Jeżeli posiada Pani/Pan przedstawiciela ustawowego, informacje zawarte w skierowaniach mogą również obejmować jego imię i nazwisko, adres zamieszkania oraz dane kontaktowe.
Mimo że prowadzony przez MyDr stały monitoring nie wykazał dotychczas żadnych przypadków wykorzystania ani publicznego ujawnienia danych, nie można wykluczyć, że, ze względu na charakter incydentu, w określonych okolicznościach może on potencjalnie wiązać się z wysokim ryzykiem dla praw lub wolności osób, których dane zostałyby niewłaściwie wykorzystane. Chcemy pomóc Pani/Panu zachować bezpieczeństwo na wypadek zmiany okoliczności, dlatego przekazujemy informacje o ewentualnych konsekwencjach oraz zalecanych środkach ostrożności, które mogą pomóc w ochronie danych osobowych i ograniczeniu potencjalnych skutków incydentu.
Jakie ewentualne konsekwencje zidentyfikowaliśmy?
Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w połączeniu z imieniem i nazwiskiem oraz danymi kontaktowymi, w określonych sytuacjach, mógłby posłużyć osobom nieuprawnionym do działań niezgodnych z prawem. W szczególności, jeśli dane te zostałyby publicznie ujawnione, mogłyby zostać użyte przez osoby nieuprawnione do:
Incydent mógł również dotyczyć danych dotyczących zdrowia, których nieuprawnione użycie może naruszać Pani/Pana prawa, w szczególności, gdyby osoby trzecie próbowały wykorzystać te informacje:
Raz jeszcze chcemy podkreślić, że warto zachować ostrożność i czujność, jednak na obecnym etapie prowadzony przez MyDr monitoring nie wykazał żadnych przypadków wykorzystania ani publicznego ujawnienia danych. Nie ma zatem powodów do niepokoju.
Jakie działania może Pan/Pani podjąć?
W przypadku numeru PESEL:
W przypadku danych dotyczących zdrowia:
Bez względu na zakres danych osobowych, w przypadku podejrzenia, że zostały one wykorzystane niezgodnie z prawem, można zgłosić to na Policję.
Informacje o sposobie zgłoszenia znajdują się pod adresem: https://www.gov.pl/web/gov/zglos-przestepstwo.
Podkreślamy ponownie, że prowadzony przez MyDr monitoring nie wykazał dotychczas żadnych przypadków wykorzystania ani publicznego ujawnienia danych.
Jakie działania zostały już podjęte?
Aby ograniczyć negatywne skutki wykrytego ataku MyDr Sp. z o.o., podjął następujące działania:
Nasza placówka – jako administrator Pani/Pana danych osobowych, po otrzymaniu zawiadomienia o naruszeniu od MyDr Sp. z o.o., dokonała zgłoszenia tego naruszenia do Prezesa Urzędu Ochrony Danych Osobowych.
Gdzie można uzyskać dalsze informacje?
W przypadku dodatkowych pytań dotyczących zakresu incydentu prosimy o kontakt dane@mydr.pl.
Z poważaniem
Anna Michałowska – Prezes Zarządu