Co powinien zrobić lekarz po wycieku danych medycznych? NIL przygotowała poradnik krok po kroku

W środę (12 sierpnia) Ministerstwo Cyfryzacji potwierdziło informację o cyberataku na firmę MyDr, w wyniku którego wyciekły dane m.in. o lekach i receptach prawie 19 milionów Polaków. Wykradziona baza ma ponad 2 TB danych. Sprawę prowadzi Centralne Biuro Zwalczania Cyberprzestępczości. Nadzoruje ją Prokuratura Okręgowa w Warszawie.

Wykradzione informacje obejmują dane osobowe pacjentów podmiotów świadczących usługi medyczne będących klientami MyDr – w tym imiona, nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane dotyczące stanu zdrowia, jak treść notatek z wizyt lekarskich czy informacji o wystawionych receptach.

Centrum e-Zdrowia przekazało, że cyberatak nie spowodował naruszenia bezpieczeństwa centralnych usług e-zdrowia i incydent nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia. Centrum zwiększyło jednak poziom monitoringu i pozostaje w stanie wyższej gotowości. Zaleca też pilne zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel.

Co ma zrobić gabinet czy przychodnia korzystająca z systemu MyDr

Naczelna Izba Lekarska przygotowała przewodnik dla lekarzy i podmiotów leczniczych występujących w roli administratora danych osobowych, w którym wyjaśnia krok po kroku, co należy zrobić po cyberataku na firmę MyDr. Materiał wskazuje kolejność czynności, terminy, zawiera wzory pism i formularze, a także wytyczne dla pacjentów.

Jak zaznacza NIL, administratorem danych pacjentów jest gabinet, praktyka albo przychodnia, a nie dostawca oprogramowania. Naruszenie wystąpiło w infrastrukturze dostawcy, lecz obowiązki wobec organu nadzorczego i wobec pacjentów obciążają placówkę. Nikt nie wykona ich w jej zastępstwie.

Poradnik podzielono na sześć etapów uporządkowanych chronologicznie. Terminy liczone są od dnia stwierdzenia naruszenia.

Materiał w formacie pdf można pobrać na stronie NIL >>>