Jak poinformował Urząd Ochrony Danych Osobowych, powiadomienie osób dotkniętych wyciekiem danych spoczywa na administratorach, którzy korzystali z usług spółki MyDr. Oznacza to, że to nie sama firma MyDr - jako dostawca oprogramowania - ma bezpośredni obowiązek informowania pacjentów, lecz poszczególne placówki medyczne, przychodnie i praktyki lekarskie, które z tego systemu korzystały.
UODO podkreślił, że administratorzy powinni działać niezwłocznie. Przypomniał również, że mają oni obowiązek zawiadomić o wycieku prezesa Urzędu Ochrony Danych Osobowych.
72 godziny na zgłoszenie do UODO
Urząd przywołał w swoim komunikacie konkretne przepisy RODO. Zgodnie z nimi, w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu, czyli właśnie UODO.
Jak zaznaczył Urząd, jeśli zgłoszenie trafi do niego po upływie tych 72 godzin, administrator musi dołączyć do niego wyjaśnienie przyczyn opóźnienia.
UODO wyjaśnił także, jakie informacje powinny trafić do osób fizycznych, których dane zostały naruszone. Administrator powinien opisać charakter naruszenia ochrony danych osobowych, w miarę możliwości wskazując kategorie i przybliżoną liczbę osób, których ono dotyczy, a także kategorie i przybliżoną liczbę wpisów danych osobowych objętych naruszeniem.
Zgłoszenia do Urzędu można dokonać za pomocą specjalnego formularza zgłaszania naruszeń ochrony danych osobowych, dostępnego na stronie UODO.
Ogromna skala problemów
Sprawa dotyczy potężnego wycieku. Jak poinformował podczas konferencji po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa wicepremier Krzysztof Gawkowski, w wyniku cyberataku na firmę MyDr – jedną z największych polskich firm zajmujących się prowadzeniem elektronicznej dokumentacji medycznej – wykradziono bazę o rozmiarze ponad 2 TB danych, dotyczącą blisko 19 milionów Polaków.
Gawkowski zapowiedział, że informacje o skradzionych danych będą dostępne w bazie Bezpieczne Dane, a osobom, których dane mogły wyciec, zalecił w pierwszej kolejności zastrzeżenie numeru PESEL.
Poradnik UODO: jak się chronić
Urząd udostępnił na swojej stronie internetowej poradnik dotyczący postępowania w sytuacji wycieku danych wrażliwych. Jak podkreślił UODO, aby zminimalizować ewentualne negatywne konsekwencje, warto zastrzec numer PESEL oraz zachować większą ostrożność przy podawaniu danych przez internet lub telefon – tak, by osoby o nieuczciwych zamiarach nie mogły wykorzystać dodatkowych informacji, które ułatwiłyby im np. kradzież tożsamości.
Urząd zalecił też dokładną analizę komunikatów przychodzących SMS-em czy mailem, by uniknąć ataków phishingowych, których celem może być wyłudzenie dodatkowych danych lub uzyskanie dostępu do systemów bankowości internetowej czy innych usług.
UODO wskazał również, jak postępować w sytuacji, gdy istnieje podejrzenie, że jakaś firma lub instytucja przetwarza nasze dane bez podstawy prawnej, nie informując, skąd je posiada i w jakim celu je wykorzystuje. W pierwszej kolejności należy zwrócić się do tego podmiotu z żądaniem wyjaśnień, a jeśli to nie przyniesie efektu – złożyć skargę do prezesa UODO.
Urząd zwrócił też uwagę na sytuacje, w których administrator domaga się np. kopii dowodu osobistego. W takim przypadku warto poprosić o wskazanie podstawy prawnej, która nakłada na niego obowiązek takiego działania.
Uwaga na "cudzy" marketing i niszczenie dokumentów
UODO przypomniał, że wyrabiając kartę lojalnościową, często udziela się zgód na wykorzystywanie danych w celach marketingowych nie tylko samego administratora, ale i jego partnerów biznesowych. Zgody na tzw. marketing "cudzy" powinny być nieobowiązkowe – powinna istnieć możliwość wyboru, czy taką zgodę się wyraża.
Urząd podkreślił także znaczenie codziennych nawyków związanych z ochroną danych. Przed wyrzuceniem dokumentów do kosza - takich jak faktury, rachunki, zapiski czy naklejki na przesyłkach - należy je zniszczyć w sposób uniemożliwiający odtworzenie zawartych w nich danych osobowych. Podobnie przed utylizacją starych dysków twardych, kart pamięci czy pendrive'ów warto przywrócić ustawienia fabryczne urządzenia, aby usunąć zapisane w nim loginy i hasła do różnych usług i aplikacji.
