Atak hakerski na systemy firmy MyDr, w wyniku którego zagrożonych zostało około 19 milionów Polaków, to wydarzenie, które na lata zdefiniuje podejście Urzędu Ochrony Danych Osobowych (UODO) do egzekwowania przepisów.
Dla właścicieli firm, dyrektorów i Inspektorów Ochrony Danych (IOD) to wyraźny sygnał ostrzegawczy. Jeśli Twoja firma korzysta z zewnętrznych dostawców oprogramowania (SaaS, chmura, systemy CRM), ten artykuł wyjaśnia, dlaczego bezpieczeństwo Twoich danych może zależeć od podmiotu, nad którym nie masz bezpośredniej kontroli – i dlaczego prawem jesteś za to obarczony odpowiedzialnością.
Stan faktyczny: Skala incydentu i rodzaj skradzionych danych
Zgodnie z informacjami potwierdzonymi przez Ministerstwo Cyfryzacji, atak wymierzony był w systemy firmy MyDr, która dostarcza oprogramowanie do zarządzania wizytami i obsługi przychodni dla około 12 tysięcy placówek ochrony zdrowia w Polsce.
W ręce cyberprzestępców mogły trafić wysoce wrażliwe dane, w tym numery PESEL, historia przepisywanych leków czy szczegóły wizyt medycznych. Eksperci ds. cyberbezpieczeństwa alarmują, że sama skala liczbowa to tylko wierzchołek góry lodowej. Największe zagrożenie stanowi potencjał tych danych do przeprowadzania wysoce sprofesjonalizowanych ataków socjotechnicznych (tzw. spear-phishing).
Pułapka prawna RODO: MyDr to „podmiot przetwarzający”. Kto ponosi odpowiedzialność?
To kluczowy mechanizm, który często umyka przedsiębiorcom. Zgodnie z RODO, firma MyDr pełni w tym łańcuchu rolę podmiotu przetwarzającego (data processor). Natomiast administratorami danych (data controllers) są poszczególne przychodnie, szpitale, ale także firmy z innych branż, które powierzyły jej dane swoich klientów lub pracowników.
Dlaczego to ma znaczenie? Ponieważ obowiązek powiadomienia osób, których dane mogły zostać objęte wyciekiem, spoczywa na administratorach korzystających z usług MyDr. Oznacza to, że tysiące podmiotów – w tym lokalne przychodnie w Olsztynie, biura rachunkowe na Warmii i Mazurach czy firmy z branży TSL outsourcujące systemy IT – muszą:
- Niezwłocznie ocenić ryzyko naruszenia praw i wolności swoich klientów.
- Zgłosić incydent do Prezesa UODO w ciągu 72 godzin od momentu powzięcia o nim wiadomości (Art. 33 RODO).
- Powiadomić bezpośrednio osoby, których dane wyciekły, jeśli ryzyko dla ich praw i wolności jest wysokie (Art. 34 RODO).
Wielu administratorów błędnie zakłada, że skoro awaria leży po stronie dostawcy IT, to odpowiedzialność prawna również spada wyłącznie na niego. Stanowiska UODO są w tej kwestii jednoznaczne: Administrator ponosi odpowiedzialność za właściwy dobór podmiotu przetwarzającego i nadzór nad nim (Art. 28 RODO).
Konsekwencje prawne i finansowe: Efekt domino
Historyczny wyciek danych otwiera drogę do poważnych konsekwencji dla całego łańcucha powierzenia:
- Kary administracyjne UODO: Sankcje mogą zostać nałożone na podmiot przetwarzający za niewdrożenie odpowiednich środków technicznych (Art. 32 RODO), ale także na administratorów, jeśli organ wykaże, że nie zweryfikowali oni wiarygodności dostawcy lub nie posiadają procedur reagowania na incydenty.
- Roszczenia cywilne: Osoby, których dane wyciekły, mają prawo dochodzić zadośćuczynienia za doznaną krzywdę (np. stres związany z ryzykiem kradzieży tożsamości medycznej) od administratora danych, z którym mają bezpośrednią relację prawną.
- Utrata reputacji: Dla lokalnych firm z Olsztyna, Elbląga czy Ełku, utrata zaufania społeczności po informacjach o wycieku danych pacjentów lub klientów oznacza natychmiastowy odpływ do konkurencji.
Zagrożenie „drugiej fali”: Dlaczego dane medyczne to złoto dla hakerów?
Z punktu widzenia cyberbezpieczeństwa, wyciek z MyDr to podręcznikowy przykład dostarczenia przestępcom skutecznego narzędzia. Wyobraź sobie wiadomość e-mail lub SMS rzekomo od Twojej przychodni: “Szanowny Panie, w wyniku aktualizacji systemu wymagana jest dopłata 15 zł do recepty. Prosimy o weryfikację danych (PESEL) pod linkiem”.
Gdy taka wiadomość zawiera prawdziwe imię, nazwisko, nazwę placówki i informację o ostatniej wizycie, wskaźnik skuteczności wyłudzenia rośnie wykładniczo. To nie jest masowy spam, to celowany atak inżynierii społecznej.
Jak Cyberpolex pomaga firmom uniknąć scenariusza MyDr?
W Kancelarii Cyberpolex traktujemy RODO jako nierozerwalny element architektury bezpieczeństwa IT. Rozumiemy, że w erze chmury i SaaS granice Twojej firmy kończą się tam, gdzie zaczynają się serwery Twoich dostawców. Pomagamy firmom z Olsztyna i całej Polski zamknąć tę lukę:
- Profesjonalne wsparcie IOD: Zapewniamy sprawowanie funkcji Inspektora Ochrony Danych, który nie tylko nadzoruje zgodność procesów, ale aktywnie weryfikuje, czy Twoi dostawcy IT spełniają wymogi Art. 28 RODO.
- Weryfikacja techniczna i prawna: Przeprowadzamy kompleksowy audyt cyberbezpieczeństwa, który łączy przegląd umów powierzenia przetwarzania (DPA) z oceną realnych zabezpieczeń technicznych (szyfrowanie, backupy, polityki dostępu).
- Budowa świadomości w zespole: Opracowujemy i wdrażamy praktyczne szkolenia RODO, które uczą personel rozpoznawania zaawansowanych ataków phishingowych, stanowiących główną „drugą falę” po wyciekach danych.
Nie czekaj, aż incydent dotknie Twojej firmy
Wyciek w MyDr dobitnie pokazuje, że w cyberbezpieczeństwie i ochronie danych nie ma „małych” dostawców. Jest tylko odpowiedzialność administratora.
Jeśli chcesz mieć pewność, że Twoja firma jest zabezpieczona nie tylko na papierze, ale także w rzeczywistych procesach i umowach z partnerami IT, skontaktuj się z nami. Zweryfikujemy, czy Twoja infrastruktura prawna i techniczna przetrwa próbę czasu.
Kancelaria Cyberpolex
Kamil Kołodziejczak, radca prawny
(+48) 665 805 912
kontakt@cyberpolex.pl
cyberpolex.pl
ul. Stare Miasto 29/32 lok. 3, 10-026 Olsztyn
