ALIMED CENTRUM MEDYCZNE ALINA ZAKRZEWSKA
ul. Bernarda Krawczyka 1/1
43-190 Mikołów

Szanowni Państwo,

w związku z incydentem bezpieczeństwa, do którego doszło w infrastrukturze informatycznej firmy MyDr Sp. z o.o., dostawcy systemu elektronicznej dokumentacji medycznej wykorzystywanego przez naszą placówkę, przekazujemy ważne informacje dotyczące naruszenia ochrony danych osobowych części naszych Pacjentów.

Niniejszy komunikat kierujemy w szczególności do osób, których dane mogły zostać objęte incydentem, a z którymi nie było możliwości skontaktowania się indywidualnie za pośrednictwem wiadomości SMS lub poczty elektronicznej.

Co się wydarzyło?

System informatyczny MyDr, będącego podmiotem przetwarzającym dane osobowe na rzecz naszej placówki, padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności danych osobowych.

Zgodnie z informacjami przekazanymi przez MyDr, incydent obejmował ograniczony zakres danych pochodzących zasadniczo sprzed 12 kwietnia 2024 r., z wyjątkiem nielicznych przypadków, w których mógł również dotyczyć danych zawartych w anulowanych skierowaniach na badania medyczne wystawionych po tej dacie.

Pragniemy podkreślić, że samo wystąpienie naruszenia nie oznacza, iż dane zostały faktycznie wykorzystane lub publicznie ujawnione. Z informacji przekazanych przez MyDr wynika, że prowadzony monitoring nie wykazał przypadków wykorzystania ani publicznego udostępnienia danych objętych incydentem. Przeprowadzone analizy wskazują również, że incydent został opanowany i nie stwierdzono dowodów dalszego nieuprawnionego dostępu do systemów.

Jakich danych mogło dotyczyć naruszenie?

W zależności od zakresu dokumentacji poszczególnych Pacjentów naruszenie mogło obejmować:

• imię i nazwisko;
• adres zamieszkania i dane kontaktowe;
• numer PESEL oraz inne dane identyfikacyjne;
• informacje dotyczące stanu zdrowia i dokumentacji medycznej;
• informacje dotyczące ubezpieczenia społecznego;
• dane dotyczące pracodawcy, jeżeli były przetwarzane w systemie.

Nie oznacza to, że wszystkie wymienione kategorie danych dotyczą każdego Pacjenta.

Jakie mogą być potencjalne konsekwencje naruszenia?

Mimo że dotychczasowy monitoring prowadzony przez MyDr nie wykazał przypadków wykorzystania ani publicznego ujawnienia danych, z uwagi na charakter informacji objętych incydentem nie można całkowicie wykluczyć ryzyka ich nieuprawnionego użycia.

Potencjalne zagrożenia mogą obejmować w szczególności:

• próby zaciągnięcia kredytu, pożyczki lub zawarcia innych umów z wykorzystaniem danych identyfikacyjnych;
• próby uzyskania dostępu do danych medycznych w placówkach stosujących identyfikację na podstawie numeru PESEL;
• próby oszustw polegających na podszywaniu się pod instytucje lub osoby posiadające informacje o stanie zdrowia Pacjenta;
• nieuprawnione wykorzystanie informacji medycznych, mogące prowadzić do naruszenia prywatności, dóbr osobistych lub niekorzystnego traktowania.

Jak można dodatkowo chronić swoje dane?

Zalecamy Pacjentom zachowanie ostrożności oraz rozważenie następujących działań:

1. Zastrzeżenie numeru PESEL

Numer PESEL można bezpłatnie zastrzec za pośrednictwem aplikacji mObywatel, przez internet lub osobiście w urzędzie gminy.

Zastrzeżenie numeru PESEL pomaga ograniczyć ryzyko wykorzystania danych do zaciągania nieuprawnionych zobowiązań finansowych. Nie utrudnia korzystania z usług medycznych, realizacji recept ani rejestracji do lekarza.

Szczegółowe informacje:
https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie

2. Zachowanie szczególnej ostrożności w kontaktach z nieznanymi osobami

Prosimy zachować czujność wobec podejrzanych wiadomości, telefonów lub ofert usług medycznych i terapeutycznych, zwłaszcza gdy osoba kontaktująca się powołuje się na znajomość Państwa danych osobowych lub informacji dotyczących zdrowia.

3. Ostrożność podczas potwierdzania tożsamości

Warto zachować szczególną ostrożność przy przekazywaniu numeru PESEL i innych danych identyfikacyjnych. Można również poinformować inne placówki medyczne, z których usług Państwo korzystają, o potencjalnym ryzyku wykorzystania numeru PESEL do nieuprawnionej identyfikacji.

4. Reagowanie na podejrzenia wykorzystania danych

W przypadku podejrzenia bezprawnego wykorzystania danych osobowych można zawiadomić Policję. W razie stwierdzenia naruszenia praw lub dóbr osobistych możliwe jest również dochodzenie ochrony prawnej na podstawie właściwych przepisów.

Informacje dotyczące zgłaszania przestępstw:
https://www.gov.pl/web/gov/zglos-przestepstwo

Jakie działania zostały podjęte w związku z incydentem?

Zgodnie z informacjami przekazanymi przez MyDr Sp. z o.o., podmiot ten:

1. Opanował incydent oraz wdrożył dodatkowe zabezpieczenia techniczne i organizacyjne.
2. Zaangażował zewnętrznych ekspertów ds. cyberbezpieczeństwa w celu przeprowadzenia szczegółowej analizy zdarzenia.
3. Zgłosił incydent do Centralnego Biura Zwalczania Cyberprzestępczości Policji.
4. Podjął współpracę z właściwymi instytucjami, w tym Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK oraz Urzędem Ochrony Danych Osobowych.
5. Prowadzi monitoring systemów informatycznych oraz internetu w celu identyfikowania ewentualnych dalszych zagrożeń i przypadków nieuprawnionego ujawnienia danych.

ALIMED CENTRUM MEDYCZNE, jako administrator danych osobowych Pacjentów, po uzyskaniu informacji o naruszeniu od MyDr Sp. z o.o., dokonało zgłoszenia incydentu do Prezesa Urzędu Ochrony Danych Osobowych oraz podjęło działania informacyjne skierowane do osób, których dane zostały objęte naruszeniem.

Pacjenci, dla których dostępne były odpowiednie dane kontaktowe, zostali objęci procesem indywidualnego zawiadamiania za pośrednictwem wiadomości SMS lub poczty elektronicznej.

Niniejszy komunikat stanowi dodatkową formę poinformowania o incydencie, w szczególności osób, do których nie było możliwości skierowania zawiadomień wskazanymi kanałami.

Gdzie można uzyskać dodatkowe informacje?

W przypadku pytań dotyczących zakresu incydentu oraz danych objętych naruszeniem można kontaktować się bezpośrednio z MyDr Sp. z o.o.:

E-mail: dane@mydr.pl

Dodatkowe informacje udostępniono również na stronie: https://pacjent.mydr.pl

W sprawach dotyczących realizacji praw związanych z ochroną danych osobowych przetwarzanych przez naszą placówkę można kontaktować się z ALIMED CENTRUM MEDYCZNE za pośrednictwem rejestracji przychodni.

Zapewniamy Państwa, że ochrona danych osobowych oraz bezpieczeństwo informacji dotyczących zdrowia naszych Pacjentów pozostają dla nas sprawami o szczególnym znaczeniu.

Przepraszamy za zaistniałą sytuację oraz wszelkie niedogodności i obawy, jakie mogła ona wywołać.

ALIMED CENTRUM MEDYCZNE ALINA ZAKRZEWSKA