Zawiadomienie o naruszeniu ochrony danych osobowych

Zawiadomienie o naruszeniu ochrony danych osobowych

Administrator:
Niepubliczny Zakład Opieki Zdrowotnej Remedis Sp. z o.o.
ul. Plac 18 Stycznia 4
87-100 Toruń

Szanowni Państwo,
działając jako administrator Państwa danych osobowych, na podstawie art. 34 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”), przekazujemy informację o naruszeniu ochrony danych osobowych, które może dotyczyć Państwa danych.

Co się stało?
Z przykrością informujemy, że system naszego podmiotu przetwarzającego, tj. MyDr Sp. z o.o. z siedzibą w Warszawie, padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności Pani/Pana danych osobowych.

Chcielibyśmy podkreślić, że nie oznacza to, że Pani/Pana dane zostały odczytane, wykorzystane lub upublicznione. Mamy zapewnienie ze strony firmy MyDr Sp. z o.o., że wewnętrzne zespoły oraz zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione. Przeprowadzone przez MyDr analizy śledcze potwierdziły, że incydent został opanowany oraz że nie ma dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.

Dotychczasowe ustalenia wskazują, że incydent obejmował ograniczony zakres danych przed 12 kwietnia 2024 r., z wyjątkiem nielicznych przypadków, w których mógł również objąć dane zawarte w anulowanych skierowaniach na badania medyczne wystawione po tej dacie.

Wśród danych objętych incydentem mogły znaleźć się Pani/Pana: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, ubezpieczenia społecznego i (jeśli zostały podane) informacje dotyczące pracodawcy lub inne dane identyfikacyjne.

Jako Administrator Pani/Pana danych osobowych wezwaliśmy firmę MyDr do niezwłocznego przekazania pełnych danych na temat tego naruszenia – szczególnie na temat zakresu, w jakim naruszone zostały dane naszych Pacjentów.

Mimo że prowadzony przez MyDr stały monitoring nie wykazał dotychczas żadnych przypadków wykorzystania ani publicznego ujawnienia danych, nie można wykluczyć, że, ze względu na charakter incydentu, w określonych okolicznościach może on potencjalnie wiązać się z wysokim ryzykiem dla praw lub wolności osób, których dane zostałyby niewłaściwie wykorzystane.
Chcemy pomóc Pani/Panu zachować bezpieczeństwo na wypadek zmiany okoliczności, dlatego przekazujemy informacje o ewentualnych konsekwencjach oraz zalecanych środkach ostrożności, które mogą pomóc w ochronie danych osobowych i ograniczeniu potencjalnych skutków incydentu.

Jakie ewentualne konsekwencje zidentyfikowaliśmy?

Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w połączeniu z imieniem i nazwiskiem oraz danymi kontaktowymi, w określonych sytuacjach, mógłby posłużyć osobom nieuprawnionym do działań niezgodnych z prawem. W szczególności, jeśli dane te zostałyby publicznie ujawnione, mogłyby zostać użyte przez osoby nieuprawnione do:

• zaciągnięcia kredytu, pożyczki lub zawarcia innych umów bez Pani/Pana wiedzy;
• uzyskania dostępu do Pani/Pana danych o zdrowiu w instytucjach medycznych, w których
  uwierzytelnianie osób następuje przy pomocy numeru PESEL;
• podszywania się pod Państwa lub wykorzystania Państwa danych do prób kradzieży tożsamości;
• prób uzyskania dodatkowych informacji poprzez wiadomości SMS, e-mail lub kontakt telefoniczny;
• kierowania do Państwa spersonalizowanych wiadomości phishingowych, wykorzystujących znajomość Państwa danych;
• prób uzyskania dostępu do rachunków bankowych lub innych usług;

Incydent mógł również dotyczyć danych dotyczących zdrowia, których nieuprawnione użycie może naruszać Pani/Pana prawa, w szczególności, gdyby osoby trzecie próbowały wykorzystać te informacje:

•  w sposób niekorzystny dla Pani/Pana powodując naruszenie dóbr osobistych, dyskryminację albo inne negatywne skutki związane z nieuprawnionym ujawnieniem danych dotyczących zdrowia.
• w celu dokonania oszustwa, np. poprzez kontakt z Panią/Panem lub bliskimi w celu zaoferowania alternatywnych metod leczenia zdiagnozowanych u Pani/Pana chorób.

Nie oznacza to, że wskazane skutki wystąpią. Raz jeszcze chcemy podkreślić, że warto zachować ostrożność i czujność, jednak na obecnym etapie prowadzony przez MyDr monitoring nie wykazał żadnych przypadków wykorzystania ani publicznego ujawnienia danych.
Jednak ze względu na charakter danych rekomendujemy podjęcie przedstawionych poniżej środków ostrożności.

Jakie działania może Pan/Pani podjąć?

W związku z naruszeniem, kierując się również zaleceniami Prezesa Urzędu Ochrony Danych Osobowych oraz Ministerstwa Cyfryzacji publikowanymi w związku z incydentem dotyczącym MyDr i ochroną przed skutkami wycieków danych, rekomendujemy w szczególności:

1. Zastrzeżenie numeru PESEL
Jeżeli Państwa numer PESEL został objęty naruszeniem, rekomendujemy jego zastrzeżenie.
Zastrzeżenia można dokonać bezpłatnie:

• • • w aplikacji mObywatel – w usłudze „Zastrzeż PESEL”;
    • elektronicznie za pośrednictwem serwisu Gov.pl;
    • osobiście w dowolnym urzędzie gminy.

Zastrzeżenie PESEL utrudnia wykorzystanie Państwa danych m.in. do zaciągania kredytów i pożyczek przez osoby nieuprawnione. Instytucje finansowe są obecnie zobligowane weryfikować przy zawieraniu umów, czy PESEL jest zastrzeżony, co ogranicza ryzyko użycia danych do nieuprawnionego zaciągania zobowiązań na szkodę innych osób.

Ministerstwo Cyfryzacji rekomenduje, aby numer PESEL był co do zasady zastrzeżony, a zastrzeżenie było czasowo cofane jedynie wtedy, gdy jest to konieczne, np. w związku z zawarciem określonej umowy wymagającej weryfikacji numeru PESEL.

Zastrzeżenie PESEL nie blokuje jednak możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w urzędzie – więcej informacji pod linkiem:
https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie;

Można poinformować inne placówki medyczne, w których świadczone są dla Pani/Pana usługi, iż osoby trzecie mogą chcieć wykorzystać Pani/Pana PESEL w celu przejścia procesu autoryzacji w tych jednostkach.

2. Sprawdzenie historii wykorzystania numeru PESEL
W aplikacji mObywatel można sprawdzić historię zastrzeżeń numeru PESEL oraz informacje o podmiotach, które weryfikowały status Państwa numeru PESEL. Rekomendujemy okresowe kontrolowanie tych informacji.

3. Zachowanie szczególnej ostrożności wobec wiadomości i połączeń telefonicznych
Prosimy zachować szczególną ostrożność wobec:

• wiadomości SMS i e-mail zawierających linki lub załączniki;
• telefonów od osób podających się za pracowników przychodni, banku, urzędu, Policji lub innych instytucji;
• próśb o podanie haseł, kodów SMS, kodów BLIK, numerów kart płatniczych lub danych logowania;
• wiadomości nawiązujących do Państwa stanu zdrowia, wizyty lekarskiej, recepty albo innych informacji, które mogły być objęte naruszeniem.

Znajomość przez rozmówcę Państwa imienia, nazwiska, numeru PESEL lub informacji dotyczących zdrowia nie oznacza, że osoba kontaktująca się z Państwem jest przedstawicielem naszej Placówki albo innej zaufanej instytucji.
Nasza Placówka nie będzie w związku z niniejszym naruszeniem prosić Państwa o przekazywanie hasła, kodu BLIK, kodu SMS ani danych umożliwiających dostęp do rachunku bankowego.

4. Monitorowanie rachunków i korespondencji
Rekomendujemy zwracanie szczególnej uwagi na:

• nieznane transakcje na rachunkach bankowych;
• informacje o zawarciu umowy, której Państwo nie zawierali;
• korespondencję dotyczącą kredytów, pożyczek lub usług, o które Państwo nie wnioskowali;
• nietypowe informacje dotyczące zmian w usługach telekomunikacyjnych lub bankowych.

W przypadku stwierdzenia podejrzanej aktywności należy niezwłocznie skontaktować się z właściwym bankiem, operatorem lub inną instytucją.

5. Działania w przypadku podejrzenia kradzieży tożsamości
Jeżeli stwierdzą Państwo, że doszło do faktycznego wykorzystania Państwa danych przez osobę nieuprawnioną, należy niezwłocznie podjąć odpowiednie działania, w szczególności:

• zawiadomić Policję;
• skontaktować się z bankiem lub inną instytucją, której dotyczy nieuprawniona operacja;
• rozważyć zgłoszenie nieuprawnionego wykorzystania danych i unieważnienie dowodu osobistego, zgodnie z procedurami dostępnymi w aplikacji mObywatel, na Gov.pl lub w urzędzie gminy.
• warto zachować szczególną ostrożność wobec wszelkich kontaktów z nieznanymi osobami, które nie miały prawa znać historii Pani/Pana zdrowia, a które proponują Pani/Panu skorzystanie z oferowanych przez nie usług medycznych, pseudomedycznych lub terapeutycznych.

Bez względu na zakres danych osobowych, w przypadku podejrzenia, że zostały one wykorzystane niezgodnie z prawem, można zgłosić to na Policję. Informacje o sposobie zgłoszenia znajdują się pod adresem: https://www.gov.pl/web/gov/zglosprzestepstwo

Jakie działania zostały już podjęte?
System medyczny EDM MyDr jest aplikacją chmurową, Administrator Danych Osobowych nie zarządza infrastrukturą ani zabezpieczeniami serwerów, gdzie gromadzone są dane naszych Pacjentów. Powierzyliśmy te dane do przetwarzania firmie MyDr Sp. z o.o., który pełni wobec nas rolę podmiotu przetwarzającego.
Aby wypełnić obowiązki ciążące na Administratorze, podjęliśmy następujące działania:

1. Zgłosiliśmy naruszenie w ochronie danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych.
2. Wezwaliśmy firmę MyDr do przekazania pełnych informacji na temat zakresu danych, które uległy naruszeniu.
3. Przesłaliśmy i umieściliśmy publicznie komunikaty dla naszych Pacjentów.
4. Pozostajemy w kontakcie z MyDr w celu uzyskiwania dalszych informacji dotyczących incydentu i zastosowanych zabezpieczeń.
5. Dokonujemy przeglądu stosowanych rozwiązań oraz środków technicznych i organizacyjnych związanych z przetwarzaniem danych przez naszych dostawców.
6. Podjęliśmy działania mające na celu ograniczenie ryzyka wystąpienia negatywnych konsekwencji dla naszych pacjentów.
7. W przypadku uzyskania nowych, istotnych informacji dotyczących zakresu zdarzenia lub bezpieczeństwa Państwa danych podejmiemy odpowiednie dalsze działania.

Aby ograniczyć negatywne skutki wykrytego ataku MyDr Sp. z o.o., podjął następujące działania:

1. Niezwłocznie opanował i zakończył incydent, a także wdrożył dodatkowe, ukierunkowane środki techniczne i organizacyjne mające na celu zapobieganie podobnym incydentom w przyszłości.
2. Zaangażował wyspecjalizowaną firmę z zakresu cyberbezpieczeństwa w celu przeprowadzenia szczegółowej analizy incydentu.
3. Zgłosił incydent wyspecjalizowanej jednostce Policji – Centralnemu Biuru Zwalczania Cyberprzestępczości Policji i ściśle z nią współpracuje.
4. Współpracuje z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK i CSIRT Centrum e-Zdrowia oraz z Urzędem Ochrony Danych Osobowych.
5. Kontynuuje monitoring systemów w celu wykrycia ewentualnych skutków incydentu i niezwłocznego reagowania na pojawiające się zagrożenia;
6. Prowadzi stały monitoring internetu w celu wykrycia, czy dane, których dotyczy incydent, zostały upublicznione.

Gdzie można uzyskać dalsze informacje?
W przypadku dodatkowych pytań dotyczących zakresu incydentu prosimy o bezpośredni kontakt z MyDr Sp. z o.o. pod adresem dane@mydr.pl

Jeżeli mają Państwo pytania dotyczące przetwarzania Państwa danych osobowych, prosimy o kontakt z naszym Inspektorem Ochrony Danych:
Inspektor Ochrony Danych: iod@e-aps.pl

lub z Administratorem:
NZOZ Remedis sp. z o.o.
Plac 18 Stycznia 4
pro@remedis.pl

Rozumiemy, że informacja o naruszeniu może budzić Państwa niepokój. Dlatego zachęcamy do zastosowania wskazanych powyżej środków ostrożności, w szczególności do zastrzeżenia numeru PESEL, jeżeli został on objęty naruszeniem.

Z poważaniem
Zarząd NZOZ REMEDIS Sp. z o.o.