19 milionów Polaków nie powinno spać spokojnie po gigantycznym wycieku danych medycznych z systemu prywatnej firmy MyDr. W niepowołane ręce trafiły diagnozy, recepty, harmonogramy wizyt, dane osobowe, adresy, numery PESEL. Jest się czego bać.
Sprawą zajęły się odpowiednie służby oraz Ministerstwo Cyfryzacji, powołując m.in. Połączone Centrum Operacyjne Cyberbezpieczeństwa.
Pierwszą informację z ostrzeżeniem o wycieku danych z jednej z miejscowych przychodni Kostrzynianin otrzymał 8 września, czyli po miesiącu od wycieku, który miał miejsce w pierwszej połowie sierpnia 2026 roku. Po kilku dniach nadeszły kolejne informacje, tym razem dotyczące placówek ochrony zdrowia w Gorzowie Wielkopolskim i Pułtusku. Mężczyzna postanowił działać.
Odszkodowanie od MyDr. Poczucie zagrożenia
Zgodnie z zaleceniami ministra cyfryzacji mężczyzna zastrzegł swój PESEL, ale to nie wszystko. Domaga się odszkodowania i zadośćuczynienia od firmy MyDr, która jest dostawcą systemu do prowadzenia m.in. elektronicznej dokumentacji medycznej dla indywidualnych praktyk lekarskich, jak i przychodni czy centrów medycznych. – Za poczucie zagrożenia i utratę kontroli nad moim danymi domagam się niezwłocznej wypłaty 30 tys. zł – powiedział na łamach dziennika „Fakt”.
– Wezwanie do zapłaty wysłałem listem poleconym 14 września, firma ma 14 dni od doręczenia na jego rozpatrzenie. Jeśli odmówią mi wypłaty, skieruję sprawę do sądu — zapowiedział. Chce także uzyskać wyjaśnienia dotyczące tego, jakie konkretnie informacje zostały ujawnione i na jakim etapie znajdują się działania wyjaśniające.
„Skoro pacjenci powierzyli placówkom medycznym swoje najważniejsze dane osobowe i zdrowotne, to ich ochrona powinna być absolutnym priorytetem. Cóż, zostaliśmy pokrzywdzeni” – uważa Kostrzynianin.
Informacje o zdrowiu – obowiązuje tajemnica lekarska. Możliwy szantaż
Prezes Urzędu Ochrony Danych Osobowych (UODO) stoi na stanowisku, że każdy z nas ma prawo zachować informacje o swoim zdrowiu dla siebie. Są one również chronione tajemnicą lekarską i jest ku temu powód.
Dane medyczne mają ogromną wartość ekonomiczną dla firm ubezpieczeniowych i marketingowych, które marzą, żeby je wykorzystać do oferowania określonych produktów na podstawie stanu zdrowia indywidualnej osoby.
Politycy, osoby publiczne lub bogate mogą paść ofiarą szantażu ze strony hakerów, ponieważ niektóre schorzenia są w Polsce wciąż stygmatyzowane społecznie.
Prawo do odszkodowania jest. Straty materialne i niematerialne
Według obowiązujących przepisów firma MyDr ma obowiązek poinformować administratorów (przychodnie i szpitale), których pacjentów i jakich kategorii danych dotyczy wyciek. Od momentu uzyskania takiej wiedzy administrator ma 72 godziny na zgłoszenie naruszenia ochrony danych osobowych do UODO.
RODO nie przewiduje przy tym mechanizmu zgłoszenia zbiorowego.
Trybunał Sprawiedliwości Unii Europejskiej już uznał, że sama obawa przed wykorzystaniem danych może stanowić szkodę niemajątkową, dlatego na podstawie art. 82 RODO każda osoba, której dane naruszono, ma prawo dochodzić odszkodowania za straty materialne i niematerialne. – Są to indywidualne decyzje pokrzywdzonych i postępowania toczone przed sądami cywilnymi – wyjaśnił Mirosław Wróblewski, prezes UODO.