I Co się stało
W systemach firmy MyDr, dostawcy oprogramowania do dokumentacji medycznej, z którego korzysta także nasza klinika, doszło do ataku i wycieku danych. Sprawa dotyczy około 19 milionów osób w całej Polsce i może dotyczyć również części naszych pacjentów.
Nie będziemy niczego umniejszać. Ta strona zbiera w jednym miejscu wszystko, co wiemy, co zrobiliśmy i co warto zrobić.
10 sierpnia MyDr poinformował nas o incydencie w swoich systemach. 12 sierpnia potwierdziło go Ministerstwo Cyfryzacji. Atak nie dotyczył systemów naszej kliniki: nasza strona, portal rezerwacji i wewnętrzne narzędzia działają normalnie i nie zostały naruszone. Dane naszych pacjentów były jednak przetwarzane u tego dostawcy, więc odpowiadamy za nie my i to my informujemy Cię o sytuacji.
II Czy to dotyczy Ciebie
Według dostawcy wyciek obejmuje dane historyczne, do kwietnia 2024 roku.
- Jeżeli korzystałaś lub korzystałeś z naszej opieki przed kwietniem 2024 r., przyjmujemy ostrożnie, że Twoje dane mogły zostać objęte naruszeniem.
- Jeżeli trafiłaś lub trafiłeś do nas później, według obecnych informacji Twoich danych to nie dotyczy.
Czekamy na wykaz osób od dostawcy. Gdy go otrzymamy, skontaktujemy się osobno z każdą osobą, której dane zostały objęte, z dokładnym zakresem.
Wyciek może obejmować: imię i nazwisko, numer PESEL, datę urodzenia, dane kontaktowe, oddział NFZ oraz informacje o receptach i wizytach.
Jest jeszcze jedno, o czym piszemy wprost. Jesteśmy kliniką zajmującą się ADHD, więc sama obecność w naszej bazie mówi coś o Twoim zdrowiu. Rozumiemy, że to może być najbardziej niepokojąca część tej sytuacji. Na dziś nie ma żadnych sygnałów, by dane z wycieku zostały opublikowane. Monitorują to służby państwowe, a my śledzimy każdy komunikat.
III Jedna rzecz, którą warto zrobić dziś
Zastrzeż numer PESEL. Zajmuje to kilka minut w aplikacji mObywatel, w banku, na poczcie albo w urzędzie gminy. Zastrzeżenie blokuje wzięcie kredytu czy pożyczki na Twoje dane, założenie rachunku i wydanie duplikatu karty SIM.
Zastrzeżenie nie utrudnia leczenia. Nadal umówisz wizytę, odbierzesz receptę i zrealizujesz ją w aptece.
IV Na co uważać w najbliższych tygodniach
Największe ryzyko to nie sam wyciek, lecz to, co oszuści próbują z nim zrobić. Osoby, które mają takie dane, potrafią dzwonić i pisać bardzo wiarygodnie, bo znają imię, PESEL, czasem nazwę leku albo datę wizyty.
- Nie podawaj przez telefon numeru PESEL, haseł, kodów z SMS ani danych karty. Nikomu, także osobom podającym się za nas, aptekę, NFZ czy bank.
- Nie klikaj w linki w wiadomościach o receptach, wynikach badań, dopłatach czy "weryfikacji danych".
- Numer na wyświetlaczu telefonu może być sfałszowany. W razie wątpliwości rozłącz się i zadzwoń do nas na numer z tej strony.
- Próbę oszustwa możesz bezpłatnie zgłosić do CERT Polska (incydent.cert.pl) albo przesłać podejrzany SMS na numer 8080.
My nigdy nie prosimy o PESEL, hasło ani dane karty w mailu czy SMS. Nie wysyłamy też linków do stron wymagających logowania.
V Co zrobiliśmy
- Zgłosiliśmy naruszenie Prezesowi Urzędu Ochrony Danych Osobowych w ustawowym terminie.
- Wezwaliśmy dostawcę do przekazania pełnych informacji, w tym wykazu osób, których dane objęto.
- Zmieniliśmy dane dostępowe do systemu, włączyliśmy dodatkowe zabezpieczenia logowania i zweryfikowaliśmy uprawnienia personelu.
- Wykonaliśmy własną kopię dokumentacji medycznej poza systemem dostawcy.
- Przeszkoliliśmy rejestrację, w tym wprowadziliśmy dodatkową weryfikację tożsamości przy kontakcie telefonicznym. Prosimy o wyrozumiałość, jeżeli zadamy Ci jedno pytanie więcej niż zwykle: robimy to, bo numer PESEL przestał wystarczać jako potwierdzenie tożsamości.
Decyzję o dalszej współpracy z dostawcą podejmiemy po otrzymaniu od niego pełnych wyjaśnień.
VI Najczęstsze pytania
Czy moja dokumentacja z terapii wyciekła?
Nie wiemy jeszcze, jakie dokładnie dane i czyje zostały objęte. Publicznie potwierdzone kategorie to dane identyfikacyjne, kontaktowe oraz informacje o receptach i wizytach. Gdy otrzymamy wykaz od dostawcy, poinformujemy Cię o zakresie dotyczącym właśnie Ciebie.
Czy mogę bezpiecznie umówić wizytę?
Tak. Nasze systemy nie zostały naruszone i działają normalnie, a zastrzeżenie numeru PESEL niczego w leczeniu nie zmienia.
Czy mogę usunąć swoje dane z systemu?
Dokumentacja medyczna podlega ustawowym okresom przechowywania i nie może zostać usunięta na żądanie. Możesz natomiast złożyć wniosek dotyczący pozostałego zakresu przetwarzania: napisz na rodo@klinika-adhd.pl.
Skąd mam wiedzieć, że wiadomość jest naprawdę od Was?
Nie prosimy w niej o żadne dane ani hasła i nie zawiera linku do logowania. W razie jakichkolwiek wątpliwości zadzwoń do rejestracji.
Co mi przysługuje?
Masz prawo dowiedzieć się od nas, jakiego zakresu danych dotyczy naruszenie, prawo dostępu do swoich danych, prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych oraz prawo dochodzenia odszkodowania przed sądem.
VII Kontakt
W sprawach ochrony danych: rodo@klinika-adhd.pl (inspektor ochrony danych: Mariusz Duszczyk).
Rejestracja: dane kontaktowe znajdziesz na stronie kontakt.
Odpowiemy na każde pytanie, także takie, na które odpowiedź brzmi "jeszcze nie wiemy".
Przepraszamy, że musisz się tym zajmować. Zaufanie, którym nas obdarzasz, obejmuje także Twoje dane i traktujemy to poważnie.
Tomasz Giziński, Prezes Zarządu
Kliniki ADHD Sp. z o.o.