Skip to content

RODO

Informacja dotycząca incydentu bezpieczeństwa w systemie MyDr

Szanowni Państwo,

informujemy, że otrzymaliśmy informację dotyczącą incydentu bezpieczeństwa, do którego doszło w systemach firmy MyDr Sp. z o.o., będącej dostawcą oprogramowania wykorzystywanego przez placówki medyczne.

Incydent miał charakter cyberataku i polegał na uzyskaniu przez osoby nieuprawnione dostępu do części danych przechowywanych w infrastrukturze firmy MyDr.

Zgodnie z informacjami przekazanymi naszej Placówce, incydent objął również dane związane z pacjentami korzystającymi z naszych świadczeń.

Jakich danych może dotyczyć incydent?

Zakres danych może być różny w odniesieniu do poszczególnych osób. W zależności od informacji przechowywanych w systemie MyDr mógł obejmować w szczególności:

  • dane identyfikacyjne pacjenta,

  • numer PESEL,

  • dane kontaktowe,

  • informacje związane z udzielonymi świadczeniami zdrowotnymi,

  • informacje dotyczące wizyt,

  • informacje dotyczące wystawionych recept lub stosowanych leków,

  • inne informacje dotyczące zdrowia znajdujące się w systemie.

Nie oznacza to, że wszystkie powyższe kategorie danych dotyczą każdej osoby.

Możliwe konsekwencje naruszenia

Uzyskanie nieuprawnionego dostępu do danych może wiązać się między innymi z ryzykiem:

  • prób podszywania się pod osobę, której dane dotyczą,

  • wykorzystania danych do prób wyłudzenia informacji lub środków finansowych,

  • kierowania spersonalizowanych wiadomości phishingowych, SMS-ów lub wykonywania fałszywych połączeń telefonicznych,

  • naruszenia prywatności w związku z ujawnieniem informacji dotyczących zdrowia.

Co należy zrobić?

Zalecamy zachowanie szczególnej ostrożności oraz:

  1. rozważenie zastrzeżenia numeru PESEL, np. za pośrednictwem aplikacji mObywatel lub w urzędzie gminy,

  2. zachowanie ostrożności wobec wiadomości SMS, wiadomości e-mail oraz rozmów telefonicznych, w których ktoś prosi o podanie danych osobowych, kodów autoryzacyjnych, danych logowania lub informacji bankowych,

  3. nieklikanie w linki znajdujące się w podejrzanych wiadomościach,

  4. stosowanie silnych i unikalnych haseł oraz – tam, gdzie jest to możliwe – uwierzytelniania wieloskładnikowego,

  5. regularne monitorowanie aktywności na swoich kontach internetowych i rachunkach bankowych,

  6. sprawdzenie informacji dotyczących incydentu w rządowym serwisie bezpiecznedane.gov.pl.

Działania podjęte przez Placówkę

Po uzyskaniu informacji o incydencie dokonaliśmy jego analizy, w szczególności pod kątem możliwych konsekwencji dla praw i wolności osób, których dane dotyczą.

Pozostajemy w kontakcie z dostawcą systemu oraz monitorujemy informacje przekazywane przez właściwe instytucje państwowe.

Incydent dotyczący firmy MyDr nie spowodował naruszenia centralnych usług systemu e-zdrowia i nie wpływa na możliwość korzystania ze świadczeń zdrowotnych, recept ani innych usług publicznego systemu ochrony zdrowia.

.

Obowiązek informacyjny

(Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą)

Zgodnie z art. 13 ust. 1 i ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej również „RODO”), informujemy, że:

  1. Administratorem Państwa danych osobowych (ADO) jest:
    PRZYCHODNIA NA LIPOWEJ SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Lipowa 2, 87-720 Ciechocinek
  2. Państwa dane osobowe przetwarzane będą:
  • na podstawie art. 23 i następne ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, oraz
  • w celu udokumentowania Państwa stanu zdrowia oraz udzielonych Pani/Panu świadczeń zdrowotnych, a co za tym idzie odbiorcą Państwa danych osobowych mogą być osoby i podmioty wskazane w art. 26 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz w przepisach ustaw szczególnych,
  1. w przypadku udzielania świadczeń opieki zdrowotnej finansowanych ze środków publicznych Państwa dane osobowe przetwarzane będą:
  • na podstawie art. 2 oraz art. 49 i nast. ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, a w przypadkach, o których mowa w art. 12 i nast. ww. ustawy
  • na podstawie wskazanych przepisów szczególnych, oraz
    w celach weryfikacji Państwa uprawnień do uzyskania świadczeń opieki zdrowotnej finansowanych ze środków publicznych, a także w celach rozliczeniowych Narodowym Funduszem Zdrowia lub innym podmiotem finansującym,
  1. Państwa dane osobowe nie będą przekazywane do państw trzecich/organizacji międzynarodowej, Jeśli nastąpi potrzeba przekazania informacji do państw trzecich lub organizacji międzynarodowych zostaną państwo o takim fakcie poinformowani osobą informacją.
  2. Państwa dane osobowe będą przechowywane przez okresy, o których mowa w art. 29 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz w przepisach ustaw szczególnych (np. Rozporządzenie Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania)
  3. posiadają Państwo prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu przeciwko przetwarzaniu, prawo do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem, z zastrzeżeniem jednak zasad gromadzenia i przetwarzania danych w dokumentacji medycznej, o których mowa w rozdziale 7 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz w przepisach ustaw szczególnych,
  4. W przypadku naruszeń przepisów ochrony danych osobowych ma Pan/Pani prawo wniesienia skargi do organu nadzorczego. Organem nadzorczym jest: PUODO – Prezes Urzędu Ochrony Danych Osobowych
  5. podanie przez Pana/Panią danych osobowych gromadzonych w dokumentacji medycznej jest obowiązkowe do realizacji celów Ochrony Zdrowia
  6. Państwa dane nie podlegają profilowaniu
  7. Państwa dane nie są przetwarzane w sposób zautomatyzowany.