Firmy RODO-sępy już żerują na strachu obywateli po wycieku danych medycznych

Minister Cyfryzacji ujawnił nie wyciek danych, lecz potwierdził utratę nad nimi kontroli. Mówimy więc o niekontrolowanym przejęciu danych, które odnoszą się do grupy informacji personalnej o poziomie wrażliwości takim jak: stan zdrowia, jego diagnoza, przyjmowane leki i cała historia zdrowia bądź choroby – mówi dr Jarosław Feliński, prezes zarządu SIODO Stowarzyszenie Inspektorów Danych Osobowych.

Ekspert wszedł na stronę internetową MyDr i zauważył, że instrument do przeglądania elektronicznej dokumentacji medycznej i zapisywania się na wizyty lekarskie jest dobrze ilustrowany, robi wrażenie, aplikacja mobilna przerzuca to, co pacjent chciałby przekazać lekarzom.

Zauważyłem też, że jest "gwarancja bezpieczeństwa Twoich danych", więc uznałem, że podmiot może być poważnym partnerem dla wszystkich klientów. Natomiast kiedy otworzyłem dokument "polityka prywatności" i informacje o ochronie danych, dostrzegłem, że w razie, gdyby nastąpiła sytuacja kolizyjna, mam się kontaktować z firmowym inspektorem ochrony danych – relacjonuje dr Feliński.

Postępowanie obywateli w trzech krokach

Prezes Stowarzyszenia Inspektorów Danych Osobowych proponuje Polakom postępowanie w trzech krokach.

Po pierwsze, każdy obywatel powinien wysłać pismo do firmy myDr na wskazany adres za pośrednictwem poczty elektronicznej iod.mydr@docplanner.com lub poczty tradycyjnej na adres siedziby. W ten sposób będzie mieć wyliczenie w stosunku do artykułu 33 i 34 Rozporządzenia ogólnego (RODO), czyli zawiadomienie, że utracono kontrolę nad danymi, które były zgromadzone i którymi rozporządzano. Po zawiadomieniu obywatelowi zawsze będzie przysługiwało odniesienie do stanu faktycznego – oto firma, swoisty megaoperator, który poprzez swoją platformę wiąże podmioty medyczne – gabinety, kliniki, szpitale, przychodnie, potwierdza, że utraciła kontrolę nad danymi. Odkłada je na serwerach.

Pytanie, gdzie i z jakich serwerów zostały one utracone. Na pewno należy domagać się jasnego przekazu, co się stało, jakie dane, dokąd trafiły – obywatel musi mieć dowód w razie ewentualnego postępowania przed sądem – zaleca dr Feliński.

Po drugie, można zastrzec PESEL przez m.obywatela, choć ta rada jest nieco miękka, bo np. PESEL dr Felińskiego jako prezesa Stowarzyszenia jest powszechnie dostępny w KRS-ie. Jednak zastrzeżenie pokaże, że konkretnego dnia, po zdarzeniu udokumentowanym i potwierdzonym przez Ministerstwo Cyfryzacji obywatel zastrzegł PESEL, wykonał podstawowe działania niekosztowe.

Po trzecie, należy zwrócić uwagę, czy przez najbliższe miesiące, a nawet lata – nie dni ani tygodnie – nie otrzymujemy informacji bądź telefonów zachęcających nie tylko do złożenia fotowoltaiki, ale i od podmiotów, które będą nam chciały sprzedawać suplementy, diety, wizyty, przeglądy zdrowotne itp.

Apeluję o rozsądną ostrożność. Marzyłbym też, aby urzędnicy państwowi objaśnili obywatelom w sposób bardzo jasny i spokojny, konkretny, na co należy zwracać uwagę, czego się obawiać, a czego się nie obawiać. Bo na razie jest stan: coś wybuchło, utracono dane, a obywatel ma się bać – mówi dr Feliński. Jeżeli już wyjaśnili, że zastrzeżenie PESEL daje pewnego rodzaju zabezpieczenie, powinni także konkretnie wyłożyć materię tego zdarzenia z jasnym przesłaniem: proszę się nie obawiać, ale gdyby się cokolwiek zdarzyło, to pierwszy krok kierujemy do Urzędu Ochrony Danych Osobowych – dodaje ekspert.

Jego zdaniem, dopiero wtedy społeczeństwo poczułoby opiekę państwa. A jeżeli nie będzie normalnego przekazu? Już w internecie pojawiły się firmy, które deklarują wsparcie dla osób poszkodowanych za cenę jedynie 199 zł, wypełnienie formularza i wysłanie do Urzędu Ochrony Danych Osobowych.

To jest bezczelne i skandaliczne żerowanie na strachu przez firmy świadczące usługi ochrony danych osobowych. Jeśli z tych 19 milionów obywateli, zaledwie pół miliona będzie chciało skorzystać z tej usługi, to jest obrzydliwie piękny biznes – podsumowuje dr Feliński.

Olbrzymi wyciek danych osobowych

Przypomnijmy, z firmy MyDr zajmującej się prowadzeniem elektronicznej dokumentacji medycznej, której klientami byli lekarze oraz placówki medyczne, wyciekły dane blisko 19 mln Polaków. Wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował, że wykradziona baza ma ponad 2 TB danych. Sprawę monitorują organy ścigania – Centralne Biuro Zwalczania Cyberprzestępczości oraz prokuratura.

Firma MyDr w środę wieczorem (12.08.) wydała komunikat, z którego można dowiedzieć się, że jej partnerzy zajmujący się cyberbezpieczeństwem aktywnie monitorują dark web i potwierdzili, że w momencie publikacji komunikatu nie ma żadnych dowodów, by dane zostały opublikowane lub udostępnione publicznie.

W czwartek, a więc dzień po wycieku danych osobowych z firmy MyDr wiceminister cyfryzacji Michał Gramatyka w programie "Tłit" (wp) tłumaczył, że nie ma powodów do paniki i że powinniśmy zastrzec swój PESEL, bo to jest "abecadło w ogóle bezpieczeństwa internetowego", a samo wejście do mObywatela zajmuje kilka sekund i należy zastrzec numer PESEL, by nikt nie mógł z tego numeru PESEL skorzystać. Zapewnił, że już wiadomo, który plik trafił w ręce cyberprzestępców, a Ministerstwo Cyfryzacji po wdrożeniu wszystkich procedur, które w takich sytuacjach się uruchamiają, te dane będzie stopniowo publikować w systemie stworzonym jeszcze przez poprzedników bezpiecznedanegov.pl. Tam każdy będzie mógł sprawdzić, czy ten atak dotyczy również jego. Zapewnił, że państwo zweryfikowało tę sytuację, została ona przedstawiona na specjalnym zespole.

MyDr w specjalnym komunikacie deklaruje, że udzieli swoim klientom wsparcia w zgłoszeniu incydentu odpowiednim organom ochrony danych osobowych. "Obecnie żadne zgłoszenia ze strony placówek nie są wymagane, a jeśli to się zmieni, przekażemy naszym klientom dalsze informacje bezpośrednio".

Z kolei LUX MED już ostrzega pacjentów przed phishingiem: "Apelujemy o szczególną ostrożność i nieklikanie w podejrzane wiadomości e-mail, SMS-y ani linki".

Wiceminister Krzysztof Gawkowski zapewnił, że służby aktywnie pracują nad rozpracowaniem grupy odpowiedzialnej za atak. Dotychczasowe ustalenia nie wskazują na udział podmiotów spoza Polski.