Wyciek danych 19 mln Polaków. UODO skontroluje placówki medyczne

Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski zdecydował o rozszerzeniu kontroli w sektorze ochrony zdrowia. Działania mają objąć podmioty przetwarzające szczególnie wrażliwe informacje dotyczące pacjentów.

Urzędnicy przyjrzą się przede wszystkim stosowanym zabezpieczeniom technicznym i organizacyjnym. Sprawdzą również, w jaki sposób placówki oceniają ryzyko związane z gromadzeniem oraz wykorzystywaniem danych medycznych.

UODO zapowiedział kontrole "w zakresie przetwarzania danych dotyczących zdrowia jeszcze w tym roku, w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679 w podmiotach sektora ochrony zdrowia w celu sprawdzenia, w jaki sposób chronią one dane osób korzystających z ich usług".

Jak podkreślono w komunikacie urzędu, skala zagrożeń uzasadnia rozszerzenie działań kontrolnych.

"Zagrożenia w obszarze przetwarzania danych medycznych skutkują koniecznością przeprowadzenia jeszcze w tym roku dodatkowych zintensyfikowanych kontroli w kolejnych podmiotach, w szczególności celem weryfikacji stosowanych przez nie zabezpieczeń" – wskazał UODO.

Decyzja jest następstwem wycieku danych z firmy MyDr, która dostarcza system wykorzystywany m.in. do prowadzenia elektronicznej dokumentacji medycznej. W sierpniu Ministerstwo Cyfryzacji przekazało, że w wyniku cyberataku ujawnione zostały informacje dotyczące 19 mln Polaków, w tym dane o przyjmowanych lekach i wystawionych receptach.

Incydent dotyczy około 12 tys. podmiotów medycznych korzystających z platformy MyDr. Po ujawnieniu zdarzenia prezes UODO zarządził kontrolę w spółce. Obejmuje ona ocenę zastosowanych środków bezpieczeństwa oraz przeprowadzonej przez firmę analizy ryzyka.

Urząd nadal przyjmuje od administratorów zgłoszenia naruszenia ochrony danych związane z tym incydentem.

W związku z sytuacją UODO zmodyfikował plan kontroli sektorowych na 2026 rok. Priorytetem stała się weryfikacja sposobu przetwarzania informacji o zdrowiu pacjentów.

Zaplanowane wcześniej kontrole internetowych platform dostaw zostały przesunięte na pierwszy i drugi kwartał 2027 roku. Miały one dotyczyć przetwarzania danych osobowych podczas świadczenia usług pośrednictwa w sprzedaży towarów i usług za pośrednictwem aplikacji internetowych.

Źródło: PAP