Niniejszy komunikat dotyczy osób, które otrzymały od NZOZ Kindermedica wiadomość e-mail/SMS/WhatsApp o naruszeniu ich danych osobowych w związku z wyciekiem danych w systemie do elektronicznej dokumentacji medycznej MyDr, dostarczanym przez MyDr sp. z o.o.

Administrator danych:

ŁUKASZ PACZWA SPÓŁKA KOMANDYTOWA
ul. Pohulanka 9/169, 03-890 Warszawa
NIP: 5242940761
KRS: 0000972564

Podmiot leczniczy:

NZOZ Kindermedica Specjalistyczna Poradnia Dziecięca
ul. Augustyna Kordeckiego 49
04-330 Warszawa

ZAWIADOMIENIE O NARUSZENIU DANYCH OSOBOWYCH

W związku z naruszeniem danych osobowych pacjentów NZOZ Kindermedica Specjalistyczna Poradnia Dziecięca, do którego doszło w systemie informatycznym służącym w naszym podmiocie leczniczym do umawiania wizyt i prowadzenia dokumentacji medycznej pacjenta pod nazwą MyDr, dostarczanego przez zewnętrzna firmę, tj.: MyDr sp. o.o. z siedzibą w Warszawie, z przykrością informuję, że naruszenie to objęło również Pani/Pana dane osobowe. Dokumentacja medyczna była prowadzona w systemie MyDr, na podstawie umowy powierzenia przetwarzania danych osobowych z jego dostawcą. Niestety, MyDr sp. z o.o. z siedzibą w Warszawie (dostawca systemu informatycznego dla gabinetów lekarskich i podmiotów leczniczych), padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności Pani/Pana danych osobowych. Jednocześnie, zgodnie z zapewnieniami MyDr sp. z o.o. oraz odpowiednich służb na dzień wysłania tego zawiadomienia nie stwierdzono jak dotąd upublicznienia tych danych. Przeprowadzone przez MyDr analizy śledcze potwierdziły, że incydent został opanowany oraz, że nie ma dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.

Z uwagi na fakt, iż ww. incydent może skutkować wysokim ryzykiem naruszenia Pana/Pani praw lub wolności, jesteśmy zobligowani, na podstawie art. 34 rozporządzenia 2016/6791 (RODO), poinformować Pana/Panią o potencjalnych ryzykach wykorzystania Pana/Pani danych osobowych oraz przedstawić odpowiednie środki zaradcze, które może Pan/Pani podjąć w celu ochrony swoich praw, dlatego też prosimy Pana/Panią o uważne zapoznanie się z informacjami przedstawionymi w dalszej części pisma.

Pierwsze informacje o możliwym wycieku danych z systemu MyDr pojawiły się w przestrzeni publicznej już w dniu 12 sierpnia 2026 roku, jednak dopiero teraz otrzymaliśmy informację od dostawcy tego systemu, że rzeczywiście dotyczy to również pacjentów NZOZ Kindermedica Specjalistyczna Poradnia Dziecięca wraz z listą pacjentów, abyśmy mogli wysłać Pani/Panu powiadomienie o tym zdarzeniu konkretnym pacjentom oraz ich opiekunom lub osobom wskazanym przez pacjentów w dokumentacji medycznej jako upoważnionych do informacji o stanie zdrowia i/lub dokumentacji medycznej. Niezwłocznie zatem przystąpiliśmy do informowania pacjentów oraz ich opiekunów lub osób upoważnionych wszelkimi dostępnymi drogami komunikacji. Jednocześnie przesłaliśmy zgłoszenie o naruszeniu danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych. Prezes Urzędu Ochrony Danych Osobowych zapowiedział w swoim komunikacie, że przeprowadzi kontrolę pod kątem zastosowanych środków technicznych i organizacyjnych w MyDr sp. z o.o.

Chcielibyśmy jednocześnie podkreślić, że bezpieczeństwo danych i komfort naszych pacjentów są dla nas najważniejsze. Dokładamy należytej staranności do zgodnego z prawem przetwarzania danych osobowych, niemniej jednak nie mieliśmy wpływu na techniczne przełamanie dotychczas stosowanych przez MyDr zabezpieczeń. Spółka ta zapewniała o najwyższych stosowanych zabezpieczeniach w systemie informatycznym. Jako administrator danych osobowych bierzemy jednak pełną odpowiedzialność za skutki tego incydentu względem osób, których dane osobowe były w tym systemie przetwarzane w naszym podmiocie leczniczym.

Wg informacji otrzymanych od MyDr sp. z o.o. incydent obejmował dane osobowe sprzed 12 kwietnia 2024 r., a w sporadycznych przypadkach także dane późniejsze (wyłącznie w przypadku anulowanych e-skierowań). Wśród danych objętych incydentem mogły znaleźć się Pani/Pana: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia zawarte w elektronicznej dokumentacji medycznej, dane dotyczące ubezpieczenia społecznego, i (jeśli zostały podane) informacje dotyczące pracodawcy (np. jeśli zostało wystawione zwolnienie chorobowe), lub inne dane identyfikacyjne znajdujące się w systemie informatycznym. Poza danymi osobowymi pacjenta, w niektórych przypadkach mogły się znajdować również dane osobowe jego opiekuna prawnego i/lub osoby upoważnionej przez pacjenta do dostępu do informacji o stanie zdrowia lub dokumentacji medycznej. W takiej sytuacji naruszenie obejmuje imię i nazwisko opiekuna prawnego i/lub osoby upoważnionej, datę urodzenia i/lub numer PESEL opiekuna prawnego i/lub osoby upoważnionej, a także dane kontaktowe, jak adres e-mail i/lub numer telefonu (jeśli te dane osobowe zostały podane przez pacjenta).

Jakie działania zostały już podjęte przez MyDr?

Aby ograniczyć negatywne skutki wykrytego ataku MyDr Sp. z o.o., podjął następujące działania:

niezwłocznie opanował i zakończył incydent, a także wdrożył dodatkowe, ukierunkowane środki techniczne i organizacyjne mające na celu zapobieganie podobnym incydentom w przyszłości,
zaangażował wyspecjalizowaną firmę z zakresu cyberbezpieczeństwa w celu przeprowadzenia szczegółowej analizy incydentu,
zgłosił incydent wyspecjalizowanej jednostce Policji - Centralnemu Biuru Zwalczania Cyberprzestępczości Policji i ściśle z nią współpracuje;
współpracuje z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK i CSIRT Centrum e-Zdrowia; współpracuje z Urzędem Ochrony Danych Osobowych,
kontynuuje monitoring systemów w celu wykrycia ewentualnych skutków incydentu i niezwłocznego reagowania na pojawiające się zagrożenia,
prowadzi stały monitoring Internetu w celu wykrycia, czy dane, których dotyczy incydent, zostały upublicznione.

Jakie działania podjął administrator danych osobowych?

Niezależnie od działań podjętych przez MyDr sp z o.o. niezwłocznie po otrzymaniu informacji o możliwym wycieku danych z sytemu MyDr zmieniliśmy dane uwierzytelniające w systemie, kontynuujemy stosowanie uwierzytelniania dwuskładnikowego i polityk bezpieczeństwa informacji, w tym silnej polityki haseł. Wystąpiliśmy także z wezwaniem o udzielenie więcej informacji na temat zdarzenia do podmiotu przetwarzającego - MyDr sp. z o.o. Na podstawie posiadanych informacji dokonaliśmy oceny skutków tego naruszenia dla osób, których dane dotyczą, a następnie zgłosiliśmy naruszenie do Prezesa Urzędu Ochrony Danych Osobowych.

Jakie skutki może mieć dla Pani/Pana naruszenie tych danych?

Mimo że prowadzony przez MyDr stały monitoring nie wykazał dotychczas żadnych przypadków wykorzystania ani publicznego ujawnienia danych, nie można wykluczyć, że, ze względu na charakter incydentu, w określonych okolicznościach może on potencjalnie wiązać się z wysokim ryzykiem dla praw lub wolności osób, których dane zostałyby niewłaściwie wykorzystane. Dlatego przekazujemy Pani/Panu informacje o ewentualnych konsekwencjach oraz zalecanych środkach ostrożności, które mogą pomóc w ochronie danych osobowych i ograniczeniu potencjalnych skutków tego incydentu.

Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w połączeniu z imieniem i nazwiskiem oraz danymi kontaktowymi, w określonych sytuacjach, może posłużyć osobom nieuprawnionym do działań niezgodnych z prawem. W szczególności, jeśli dane te zostałyby publicznie ujawnione, mogłyby zostać użyte przez osoby nieuprawnione do:

zaciągnięcia kredytu, pożyczki lub zawarcia innych umów w Pani/Pana imieniu, bez Pani/Pana wiedzy,
uzyskania dostępu do Pani/Pana danych dotyczących zdrowia w innych instytucjach lub podmiotach medycznych, w których uwierzytelnianie osób następuje przy pomocy numeru PESEL,
utrata kontroli nad własnymi danymi osobowymi,
kradzież i/lub fałszowanie tożsamości.

Ujawnienie danych wrażliwych dotyczących stanu zdrowia pacjenta oraz Pani/Pana pełna identyfikacja pozwala na uznanie, że wystąpiło również wysokie ryzyko naruszenia praw lub wolności w związku z ujawnieniem danych objętych poufnością. Potencjalne konsekwencje naruszenia danych dla osoby, której dane dotyczą to również utrata poufności danych osobowych chronionych tajemnicą zawodową.

W związku z naruszeniem poufności takiego zestawu danych jak imię, nazwisko, adres oraz dane dotyczące zdrowia, może dojść także do dyskryminacji, ostracyzmu społecznego oraz naruszenia dóbr osobistych osób, których incydent dotyczy. W szczególności, gdyby osoby trzecie próbowały

wykorzystać te informacje:

w sposób niekorzystny dla Pani/Pana, w tym prowadzący do naruszenia Pani/Pana praw lub do gorszego traktowania w środowisku zamieszkania lub miejscu pracy,
w celu dokonania oszustwa, np. poprzez kontakt z Panią/Panem lub bliskimi w celu zaoferowania alternatywnych metod leczenia zdiagnozowanych u Pani/Pana chorób.

Jakie działania może Pan/Pani podjąć, aby się zabezpieczyć przed skutkami tego naruszenia?

Możliwe jest zastosowanie przez Panią/Pana następujących środków ostrożności:

Zastrzeżenie numeru PESEL na wszelki wypadek w celu przeciwdziałania wyłudzeniom finansowym przez osoby trzecie. Można to zrobić bezpłatnie przez aplikację mObywatel, na stronie mObywatel.gov lub udając się do dowolnego urzędu miasta lub gminy. Instytucje finansowe są obecnie zobligowane weryfikować przy zawieraniu umów, czy PESEL jest zastrzeżony, co ogranicza ryzyko użycia danych do nieuprawnionego zaciągania zobowiązań na szkodę innych osób. Zastrzeżenie PESEL nie blokuje jednak możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w urzędzie. Cofnięcie zastrzeżenia numeru PESEL jest możliwe w każdej chwili. Więcej informacji znajdzie Pan/Pani pod linkiem: https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie,
Założenie konta w portalu BIK w celu zastrzeżenia kredytowego i monitorowania zadłużenia w BIK (Biuro Informacji Kredytowej),
Zachowanie czujności w kontaktach z nieznanymi osobami, w tym możliwymi osobami podszywającymi się pod instytucje lub inne podmioty medyczne w celu wyłudzenia większej ilości informacji na podstawie danych, które zostały ujawnione osobie trzeciej (np. PESEL, stan zdrowia), a także w przypadku usług lub umów, których Pani/Pan nie zamawiał(a), ani nigdy nie był(a) stroną,
Zwrócenie uwagi na podejrzane wiadomości SMS lub e-mail, aby uniknąć np. ataku phishingowego, którego celem może być wyłudzenie danych czy uzyskanie dostępu do internetowych systemów bankowych bądź innych usług, z których Pani/Pan korzysta,
Poinformowanie innych placówek medycznych, w których świadczone są dla Pani/Pana usługi, iż osoby trzecie mogą chcieć wykorzystać Pani/Pana PESEL w celu przejścia procesu autoryzacji w tych jednostkach,
Zachowanie szczególnej ostrożności wobec wszelkich kontaktów z nieznanymi osobami, które nie miały prawa znać historii Pani/Pana zdrowia, a które proponują Pani/Panu skorzystanie z oferowanych przez nie usług medycznych, pseudomedycznych lub terapeutycznych,
W przypadku podejrzenia, że Pani/Pana dane osobowe zostały wykorzystane niezgodnie z prawem, można zgłosić to na Policję. Informacje o sposobie zgłoszenia znajdują się pod adresem: https://www.gov.pl/web/gov/zglos-przestepstwo.

Jednocześnie, w związku z nieuprawnionym ujawnieniem takiego zestawu danych jak imię, nazwisko, adres oraz dane dotyczące zdrowia, może Pani/Pan zastosować także takie środki zaradcze jak użycie środków ochrony dóbr osobistych wskazanych w kodeksie cywilnym oraz kodeksie postępowania cywilnego. W sytuacjach silnego stresu lub niepokoju w związku z tym zdarzeniem można skorzystać ze wsparcia psychologicznego.

Gdzie może Pani/Pan otrzymać informację na temat tego zdarzenia?

Dane kontaktowe w celu uzyskania informacji na temat tego zdarzenia lub na temat Pani/Pana indywidualnej sytuacji:

Łukasz Paczwa, e-mail: rodo@kindermedica.pl
Dostawca systemu MyDr sp. z o.o., e-mail: dane@mydr.pl

Z poważaniem

Łukasz Paczwa