- Bezprawnik -
- Prywatność i bezpieczeństwo -
- Wyciek z MyDr uruchomił falę kontroli UODO. Za incydent zapłacą przychodnie, nie dostawca oprogramowania
Wyciek z MyDr uruchomił falę kontroli UODO. Za incydent zapłacą przychodnie, nie dostawca oprogramowania
Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski zapowiedział, że jeszcze przed końcem 2026 roku dodatkowe, zaostrzone kontrole obejmą kolejne placówki sektora ochrony zdrowia. Bezpośrednim powodem jest sierpniowy wyciek z firmy MyDr, dostawcy oprogramowania dla kilkunastu tysięcy gabinetów, który według danych Ministerstwa Cyfryzacji mógł objąć nawet 18,8 mln osób i ponad 12 tys. podmiotów medycznych. Kłopot polega na tym, że kontrola nadchodzi po fakcie, a rachunek za incydent poniosą przede wszystkim same przychodnie, a nie ich dostawca.
Kontrole po wycieku z MyDr, czyli reakcja zamiast prewencji
Urząd zdecydował się na dwa równoległe ruchy. Pierwszy dotyczy samej spółki MyDr: kontrolerzy sprawdzają zastosowane przez nią środki techniczne i organizacyjne oraz przeprowadzoną analizę ryzyka, w tym to, czy zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń. Drugi ruch jest szerszy. Zamiast poprzestać na firmie, w której doszło do naruszenia, Prezes UODO postanowił objąć zintensyfikowanymi kontrolami kolejne podmioty lecznicze, żeby zweryfikować, jak w praktyce chronią dane osób korzystających z ich usług.
Uzasadnienie tej decyzji Urząd ujął wprost. „Zagrożenia w obszarze przetwarzania danych medycznych skutkują koniecznością przeprowadzenia jeszcze w tym roku dodatkowych zintensyfikowanych kontroli w kolejnych podmiotach, w szczególności celem weryfikacji stosowanych przez nie zabezpieczeń” – wskazano w komunikacie UODO.
Warto zauważyć, że nie jest to zupełnie nowy front. Kontrole sektorowe w ochronie zdrowia UODO prowadzi od 2025 roku: rok temu skupiały się na bezpieczeństwie danych, w tym na stosowanym monitoringu wizyjnym. Dopiero skala wycieku MyDr, opisywanego jako największy wyciek danych osobowych w historii Polski, przesądziła o dorzuceniu kolejnej, doraźnej tury sprawdzianów.
Przesunięty plan kontroli sektorowych na 2026 rok
Doładowanie kontroli w jednym sektorze musiało odbyć się kosztem innego. Zaplanowane na ten rok kontrole internetowych platform dostaw, czyli podmiotów pośredniczących w sprzedaży towarów i usług przez aplikacje, zostały przesunięte na pierwszy i drugi kwartał 2027 roku. Bez zmian pozostają natomiast kontrole organów przetwarzających dane w wielkoskalowych systemach unijnych (SIS i VIS), a także podmiotów prowadzących Biuletyn Informacji Publicznej oraz firm marketingowych.
Ta roszada dużo mówi o realiach nadzoru nad danymi. Regulator działa na krótkiej kołdrze: żeby zareagować na jeden poważny incydent, musi odłożyć zaplanowaną wcześniej pracę gdzie indziej. Dla branż, które właśnie zyskały kilka miesięcy oddechu, to dobra wiadomość. Dla pacjentów, których dane wyciekły, kontrole placówek nie cofną jednak tego, co już się stało.
Administrator kontra procesor: dlaczego pacjent pozwie przychodnię, a nie MyDr
Najważniejsza dla poszkodowanych jest konstrukcja odpowiedzialności zapisana w RODO, bo to ona decyduje, do kogo można mieć pretensje. MyDr występuje w całej sprawie jako podmiot przetwarzający, czyli procesor. Administratorem danych pacjenta pozostaje ta placówka lub ten lekarz, który powierzył spółce ich obsługę. W praktyce oznacza to, że formalny ciężar spada na tysiące pojedynczych przychodni i gabinetów, a nie na jednego dostawcę systemu.
Obowiązki placówek po naruszeniu
To administrator, a więc konkretna placówka, ma obowiązek zgłoszenia incydentu z naruszeniem ochrony danych osobowych do UODO oraz powiadomienia pacjentów. Termin na zawiadomienie organu to 72 godziny, liczone od momentu, w którym administrator dowie się o naruszeniu, a nie od chwili, gdy przeczyta o nim w mediach. Komunikat samego dostawcy, że zgłoszenie „nie jest wymagane”, nie zwalnia placówki z własnej oceny ryzyka. Przy rozproszeniu odpowiedzialności na kilkanaście tysięcy podmiotów łatwo przewidzieć, że część z nich tego obowiązku dopełni z opóźnieniem albo wcale.
Odszkodowanie za wyciek danych osobowych
Poszkodowanym pozostaje droga cywilna. Podstawą jest art. 82 RODO, zgodnie z którym każdy, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, może żądać jej naprawienia. Orzecznictwo działa tu na korzyść pacjentów: Trybunał Sprawiedliwości UE uznał już, że sam atak hakerski nie zwalnia administratora z odpowiedzialności za wyciek danych, o ile nie wykaże on, że dochował należytej staranności, a szkodą niemajątkową może być nawet zwykła utrata kontroli nad własnymi informacjami.
Teoria to jednak nie to samo co wysokość realnie zasądzanych kwot. Praktyka spraw o odszkodowanie za wyciek danych osobowych pokazuje, że sądy podchodzą do wyceny krzywdy ostrożnie, a poszkodowany i tak musi wykazać konkretną szkodę. Wyciek danych o stanie zdrowia, w tym z poradni specjalistycznych, jest przy tym trudniejszy do „odkręcenia” niż zwykły wyciek adresów e-mail, bo takich informacji nie da się po prostu zresetować jak hasła.
Co realnie może zrobić poszkodowany pacjent
Zapowiedziane kontrole zadziałają głównie na przyszłość: mają wymusić na sektorze wyższy standard zabezpieczeń i, być może, przełożyć się na sankcje wobec podmiotów, które zaniedbały ochronę. Osobie, której dane już wypłynęły, dają niewiele. Sensowniejsze kroki są bardziej przyziemne. Warto sprawdzić, czy własny numer PESEL trafił do ujawnionej bazy, rozważyć jego zastrzeżenie oraz wprost zapytać swoją przychodnię, czy korzystała z systemu MyDr i czy zgłosiła naruszenie do UODO. Ewentualne roszczenie kieruje się zaś nie do dostawcy oprogramowania, lecz do placówki, która pełni rolę administratora. To wnioski, które z konstrukcji RODO wynikały na długo przed sierpniowym incydentem, tyle że dopiero wyciek na skalę kilkunastu milionów rekordów kazał je odświeżyć.
