Wyciekły dane Twoich pacjentów. Nazwiska, numery PESEL, adresy e-mail, numery telefonów, informacje o stanie zdrowia, wizytach, diagnozach czy stosowanym leczeniu…
Co robisz?
Zgłaszasz sprawę do Prezesa UODO? Informujesz pacjentów? Dzwonisz do dostawcy systemu EDM? A może najpierw czekasz, aż ktoś dokładnie ustali, co właściwie się wydarzyło?
Nie każde naruszenie trzeba zgłaszać Prezesowi UODO. Jeżeli jednak może ono powodować ryzyko dla praw lub wolności osób fizycznych, powstaje obowiązek zgłoszenia. Jeżeli takie ryzyko jest wysokie, wówczas musisz dodatkowo zawiadomić osoby, których dane dotyczą, czyli przede wszystkim pacjentów.
Najgorętsza obecnie sprawa, dotycząca jednego z wiodących systemów do prowadzenia dokumentacji medycznej jest dobrym pretekstem, żeby przypomnieć sobie te zasady.
Wyciek danych pacjentów – co zrobić? 8 kroków.
- Ogranicz skutki incydentu
- Zabezpiecz dowody i informacje o incydencie
- Ustal charakter i zakres naruszenia
- Ustal moment stwierdzenia naruszenia
- Wykonaj ocenę ryzyka naruszenia praw i wolności
- Zgłoś (lub nie) naruszenie do Prezesa UODO
- Zawiadom (lub nie) pacjentów
- Udokumentuj zdarzenie
Krok 1. Ogranicz skutki incydentu.
Pierwszą reakcją placówki nie powinno być automatyczne wypełnienie formularza zgłoszenia do UODO. Najpierw postaraj się zatrzymać naruszenie i ograniczyć jego konsekwencje.
Co to oznacza w praktyce? Wiele zależy od tego o jakim incydencie bezpieczeństwa danych mówimy. Te bowiem mogą być rozmaite…
Jeżeli ktoś przejął konto pracownika, zablokuj konto, zmień hasło i zakończ aktywne sesje. Jeśli zaginęło urządzenie zawierające dane osobowe (np. laptop, tablet, pendrive), sprawdź możliwość jego zdalnego zablokowania albo usunięcia zapisanych na nim danych.
Z kolei jeżeli dokumentacja została wysłana do niewłaściwego odbiorcy, skontaktuj się z nim jak najszybciej. Poproś o trwałe usunięcie wiadomości i – jeżeli jest to możliwe – o potwierdzenie, że dane nie zostały skopiowane ani dalej przekazane.
Jeżeli problem dotyczy systemu informatycznego, zaangażuj osoby odpowiedzialne za IT. skontaktuj się również z dostawcą systemu teleinformatycznego i ustal zakres incydentu oraz to, jakie działania musisz podjąć, by ograniczyć jego skutki.
Generalnie chodzi więc o to, by w pierwszej kolejności zapobiec pogorszeniu sytuacji…
Krok 2. Zabezpiecz dowody
Ograniczając skutki incydentu, nie usuwaj informacji, które pozwolą później ustalić, co się wydarzyło.
Zachowaj między innymi:
- logi systemowe,
- historię logowań,
- korespondencję e-mail,
- zgłoszenia serwisowe,
- zrzuty ekranu,
- informacje o działaniach podjętych bezpośrednio po stwierdzeniu problemu.
Słowem – wszystko, co dotyczy incydentu.
Informacje i dokumenty dotyczące zdarzenia pozwolą Ci przede wszystkim wykonać kolejne działania, o których piszę w dalszej części wpisu
Krok 3. Ustal charakter i zakres naruszenia
Zanim zdecydujesz o zgłoszeniu naruszenia, musisz ustalić jego charakter, zakres oraz możliwe konsekwencje.
Postaraj się odpowiedzieć m.in. na następujące pytania:
- co dokładnie się wydarzyło?
- kiedy doszło do zdarzenia?
- kiedy dowiedziałeś się o zdarzeniu?
- jakich systemów lub dokumentów dotyczy problem?
- jakie dane osobowe zostały objęte incydentem?
- ilu pacjentów lub innych osób dotyczy zdarzenie
- czy osoba nieuprawniona rzeczywiście uzyskała dostęp do danych?
- czy dane zostały pobrane, skopiowane lub opublikowane?
- czy naruszenie nadal trwa?
- jakie działania podjęto w celu ograniczenia jego skutków?
W działalności medycznej szczególne znaczenie ma oczywiście charakter danych.
Inaczej będziemy oceniać ujawnienie samego adresu e-mail, a inaczej sytuację, w której osoba nieuprawniona otrzymała imię i nazwisko pacjenta, numer PESEL, numer telefonu oraz szczegółowe informacje o jego diagnozie i leczeniu.
Dane dotyczące zdrowia należą przecież do szczególnych kategorii danych osobowych.
Dlatego zakres informacji jest jednym z podstawowych elementów późniejszej analizy ryzyka naruszenia praw lub wolności.
Co zrobić, jeżeli wyciek nastąpił u dostawcy programu medycznego?
Incydent u dostawcy systemu nie zwalnia placówki z jej własnych obowiązków jako administratora danych.
To szczególnie ważne, ponieważ współczesne placówki medyczne korzystają często z usług zewnętrznych. System EDM, rejestracja online, hosting, backup, poczta elektroniczna, CRM, call center – w każdym z tych przypadków dane mogą być przetwarzane przez zewnętrznego dostawcę.
Sprawa wycieku danych pacjentów z systemu MyDr dobitnie pokazuje, że korzystanie z zewnętrznego dostawcy systemu teleinformatycznego do prowadzenia dokumentacji medycznej nie zwalnia placówki medycznej z odpowiedzialności za bezpieczeństwo danych.
Pamiętaj, że to Twoja placówka jest administratorem danych pacjentów. Co za tym idzie – to ona musi dokonać analizy pod kątem ryzyka naruszenia praw lub wolności osób fizycznych i zdecydować, czy istnieje obowiązek zgłoszenia naruszenia Prezesowi UODO oraz zawiadomienia pacjentów.
Art. 33 ust. 1 RODO
W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu (…) chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.
Dostawca systemu teleinformatycznego (np. właśnie MyDr) nie jest administratorem, lecz tzw. podmiotem przetwarzającym. Przetwarza on dane pacjentów Twojej placówki w Twoim imieniu, na podstawie zawartej z Twoją placówką umowy.
Art. 33 ust. 2 RODO
Podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki zgłasza je administratorowi.
Jak widzisz dostawca systemu ma prawny obowiązek poinformowania Twojej placówki, jako administratora, o stwierdzonym naruszeniu bez zbędnej zwłoki i przekazać jej informacje niezbędne do wykonania jej obowiązków związanych z naruszeniem.
Dostawca nie może zatem ograniczyć się do informacji:
„Mieliśmy incydent. Pracujemy nad rozwiązaniem problemu”.
Potrzebujesz konkretów. Musisz wiedzieć, czy incydent objął dane Twojej placówki? Jeżeli tak – to jakie dane? Ilu pacjentów? Z jakiego okresu? Czy doszło tylko do uzyskania dostępu, czy również pobrania danych? Czy były one zaszyfrowane? Jak długo osoba nieuprawniona mogła mieć do nich dostęp? Jakie środki zaradcze zastosowano? Itd.
Bez tych informacji nie będziesz w stanie prawidłowo wykonać obowiązków administratora. Dlatego też nie odpuszczaj i wymagaj od swojego dostawcy systemu udzielenia pełnych, wyczerpujących informacji o naruszeniu.
Naruszenie danych w systemie MyDr
Dobrym przykładem problemu po stronie zewnętrznego dostawcy jest sprawa dotycząca jednego z najpopularniejszych systemów do prowadzenia dokumentacji medycznej, zwłaszcza w sektorze prywatnym, czyli MyDr.
W dniu 12 sierpnia 2026 roku Prezes UODO opublikował komunikat skierowany do administratorów korzystających z usług MyDr. Prezes UUODO przypomniał, że administratorzy powinni przeprowadzić ocenę ryzyka naruszenia praw lub wolności osób fizycznych. Na podstawie tej analizy masz obowiązek ustalić, czy konieczne jest zgłoszenie naruszenia oraz zawiadomienie osób, których ono dotyczy.
Krok 4. Ustal moment stwierdzenia naruszenia
Moment stwierdzenia naruszenia ma kluczowe znaczenie dla terminu 72 godzin.
Co ważne, termin ten nie jest liczony od daty incydentu, lecz od „stwierdzenia naruszenia”. Chodzi tu o moment, w którym posiada świadomość incydentu bezpieczeństwa prowadzącego do naruszenia danych osobowych, których jest administratorem.
W przypadku danych zawartych w systemie do prowadzenia dokumentacji medycznej, początkiem 72-godzinnego terminu będzie moment powzięcia informacji od dostawcy systemu, że dane Twoich pacjentów są objęte naruszeniem.
Po otrzymaniu takiej informacji możesz przejść do kolejnego kroku.
Krok 5. Przeprowadź ocenę ryzyka naruszenia praw i wolności
Nie każde naruszenie ochrony danych osobowych trzeba zgłaszać Prezesowi UODO.
Przypomnijmy, co mówi RODO:
W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu (…) chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.
RODO uzależnia zatem obowiązki administratora (czyli w tym przypadku Twojej placówki) od poziomu ryzyka dla praw i wolności osób, których dane dotyczą.
W pewnym uproszczeniu możemy więc wyróżnić trzy sytuacje.
1. Jest mało prawdopodobne, aby naruszenie powodowało ryzyko naruszenia praw lub wolności osoby fizycznej
W takim przypadku nie musisz zgłaszać naruszenia Prezesowi UODO.
Nadal jednak powinieneś je udokumentować.
2. Naruszenie może powodować ryzyko naruszenia praw lub wolności osoby fizycznej
W takim przypadku pojawia się obowiązek zgłoszenia naruszenia Prezesowi UODO.
3. Naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej
Wtedy, co do zasady, nie tylko zgłaszasz naruszenie Prezesowi UODO, ale również zawiadamiasz osoby, których ono dotyczy. Czyli na przykład pacjentów.
No dobrze, ale jak właściwie ocenić to ryzyko?
Niestety nie istnieje prosta tabela, na podstawie której możesz szybko i jednoznacznie ustalić, czy musisz zgłosić naruszenie do Prezesa UODO, czy też nie. Każde zdarzenie trzeba oceniać indywidualnie.
Weź pod uwagę m.in.
- rodzaj naruszonych danych, w tym, czy obejmują one dane dotyczące zdrowia;
- ujawnienie numeru PESEL,
- łatwość identyfikacji konkretnej osoby;
- liczbę osób objętych zdarzeniem;
- osobę lub podmiot, który uzyskał dane;
- możliwość dalszego rozpowszechnienia danych;
- prawdopodobieństwo i wagę możliwych negatywnych konsekwencji.
W przypadku pacjentów konsekwencją może być m.in. kradzież tożsamości, oszustwo, phishing, szkody materialne, ujawnienie informacji o chorobie, naruszenie prywatności, dyskryminacja, stygmatyzacja czy naruszenie dóbr osobistych…
Krok 6. Zgłoszenie naruszenia do Prezesa UODO
Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, Twoja placówka, jako administrator, ma obowiązek zgłoszenia naruszenia Prezesowi UODO.
Nie zgłaszasz więc automatycznie każdego błędnie wysłanego maila, każdej awarii i każdego incydentu.
Najpierw przeprowadzasz analizę.
Jeżeli jednak po jej wykonaniu nie możesz przyjąć, że wystąpienie ryzyka jest mało prawdopodobne, powinieneś dokonać zgłoszenia.
Zgłoszenie powinno zawierać m.in.:
- opis charakteru naruszenia
- możliwie dokładną informację o kategoriach i liczbie osób, których naruszenie dotyczy
- informację o liczbie rekordów objętych zdarzeniem,
- dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego,
- opis możliwych konsekwencji naruszenia
- informacje o środkach podjętych lub proponowanych w celu zaradzenia naruszeniu.
Aktualny formularz zgłoszenia znajdziesz na stronie UODO: Zgłoszenie naruszenia ochrony danych osobowych – UODO.
Pamiętaj, że jeżeli naruszenie wymaga zgłoszenia, musisz zrobić to jak najszybciej, w miarę możliwości nie później niż 72 godziny od jego stwierdzenia. Jeśli nie zdążysz w tym terminie, musisz w zgłoszeniu wyjaśnić przyczynę opóźnmienia.
Krok 7. Zawiadomienie pacjentów o wycieku danych
Pacjentów zawiadamiasz co do zasady wtedy, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności.
Pacjentów musisz więc zawiadomić o naruszeniu jedynie wówczas, gdy ryzyko naruszenia ich praw i wolności jest „wysokie”. Nie da się ukryć, że wyciek danych zawartych w dokumentacji medycznych najczęściej będzie generować tego rodzaju ryzyko.
Zawiadomienie musisz przekazać jak najszybciej, bez zbędnej zwłoki.
Pacjent musi mieć bowiem szansę na podjęcie działań pozwalających ograniczyć potencjalne konsekwencje naruszenia, czyli np. zastrzec numer PESEL,
Pamiętaj też, że pacjent musi rozumieć, co właściwie się wydarzyło. Dlatego zawiadomienie powinno być napisane „normalnym” językiem.
Wyjaśnij w nim m.in.:
- co się wydarzyło;
- jakich danych dotyczy naruszenie;
- jakie mogą być jego konsekwencje dla pacjenta;
- co zrobiła placówka, żeby ograniczyć ryzyko skutków dla pacjenta;
- co może zrobić sam pacjent;
- z kim można skontaktować się po dodatkowe informacje.
Pacjent musi więc otrzymać jasny komunmikat:
Po pierwsze – „Co się stało i w jaki sposób mi to zagraża?”
Po drugie – „Co powinienem teraz zrobić?”
Pamiętaj, że RODO przewiduje szczególne sytuacje, w których mimo wysokiego ryzyka indywidualne zawiadomienie może nie być konieczne – przykładowo, gdy zastosowane środki techniczne, takie jak skuteczne szyfrowanie, powodują, że dane są niezrozumiałe dla osoby nieuprawnionej, albo gdy późniejsze działania skutecznie wyeliminowały wysokie ryzyko.
Krok 8. Udokumentuj zdarzenie
Każde naruszenie powinno zostać udokumentowane, również wtedy, gdy po analizie uznałeś, że nie wymaga ono zgłoszenia Prezesowi UODO.
To jeden z elementów, o którym bardzo łatwo zapomnieć, a jest to kluczowe nie tylko z punktu widzenie potencjalnych kontroli UODO, ale np. w przypadku roszczeń pacjentów z tytułu naruszenia ochrony danych osobowych. Dokumentację sporządzasz więc przede wszystkim dla własnego bezpieczeństwa.
Dokumentacja konkretnego naruszenia powinna więc obejmować w szczególności:
- opis zdarzenia;
- datę i sposób jego wykrycia;
- zakres danych;
- kategorie i liczbę osób objętych zdarzeniem;
- ocenę ryzyka naruszenia praw i wolności;
- udokumentowanie działań ograniczających skutki naruszenia;
- udokumentowanie działań zaradczych;
- decyzję o zgłoszeniu lub braku zgłoszenia do UODO wraz z uzasadnieniem;
- decyzję dotyczącą zawiadomienia osób, których dane dotyczą;
- korespondencję z dostawcami i innymi osobami uczestniczącymi w obsłudze incydentu;
- rejestr naruszeń.
Wyciek danych pacjentów – podsumowanie
Jeżeli w Twojej placówce dojdzie do naruszenia danych pacjentów, działaj szybko, ale nie chaotycznie.
Najpierw postaraj się zatrzymać zdarzenie i ograniczyć jego konsekwencje.
Zabezpiecz dowody.
Ustal fakty.
Sprawdź, kiedy placówka uzyskała wystarczającą wiedzę, żeby stwierdzić naruszenie.
Następnie przeprowadź analizę ryzyka naruszenia praw i wolności osób fizycznych i zdecyduj, czy istnieje obowiązek zgłoszenia do Prezesa UODO.
Jeżeli występuje wysokie ryzyko dla pacjentów, oceń również konieczność ich bezpośredniego zawiadomienia.
I niezależnie od ostatecznej decyzji – wszystko dokładnie udokumentuj.
Potrzebujesz pomocy po naruszeniu danych?
Jeżeli w Twojej placówce doszło do naruszenia i nie masz pewności, czy trzeba zgłosić je do UODO albo zawiadomić pacjentów, mogę pomóc Ci przeanalizować zdarzenie, ocenić ryzyko i przygotować niezbędną dokumentację.
{ 0 komentarze… dodaj teraz swój }