ZAWIADOMIENIE O NARUSZENIU OCHRONY DANYCH OSOBOWYCH

Szanowni Państwo,

informujemy o naruszeniu ochrony danych osobowych, do którego doszło w związku z incydentem bezpieczeństwa w systemie informatycznym naszego podmiotu przetwarzającego – MyDr Sp. z o.o.

Incydent mógł skutkować nieuprawnionym dostępem do danych osobowych części pacjentów korzystających z naszych usług.

W związku z obowiązkiem wynikającym z art. 34 RODO publikujemy szczegółowe zawiadomienie zawierające informacje dotyczące charakteru naruszenia, możliwych konsekwencji oraz środków, które mogą Państwo podjąć w celu ograniczenia potencjalnego ryzyka.

Prosimy osoby, których dane mogły znajdować się w systemie MyDr, o zapoznanie się z pełną treścią zawiadomienia zamieszczoną poniżej.

Co się stało?

MyDr sp. z o.o. z siedzibą w Warszawie (dalej: „MyDr”) świadczy na rzecz Administratora usługi systemu elektronicznej dokumentacji medycznej MyDr EDM i w tym zakresie działa jako podmiot przetwarzający dane osobowe na zlecenie Administratora.

W dniu 19 września 2026 r. Administrator otrzymał od MyDr informację potwierdzającą, że doszło do incydentu bezpieczeństwa skutkującego naruszeniem poufności danych osobowych przetwarzanych przez MyDr na rzecz Administratora.

Zgodnie z informacjami przekazanymi przez MyDr incydent był wynikiem cyberataku. Nieuprawniona osoba trzecia uzyskała dostęp do środowiska informatycznego MyDr i skopiowała z niego zawartość bazy danych przechowywanej w chmurze MyDr, zawierającą dane sprzed 12 kwietnia 2024 r. W bazie tej znajdowały się również dane osobowe przetwarzane na rzecz Administratora.

Oznacza to, że doszło do naruszenia poufności Pani/Pana danych osobowych poprzez uzyskanie do nich dostępu i ich skopiowanie przez osobę nieuprawnioną.

Według informacji przekazanych przez MyDr przeprowadzona przy udziale zewnętrznych ekspertów analiza incydentu potwierdziła, że nieuprawniony dostęp został zakończony, środowisko zostało zabezpieczone, a na dzień przekazania Administratorowi informacji o naruszeniu nie stwierdzono dowodów na dalszy nieuprawniony dostęp do systemów.

Nie stwierdzono również dotychczas dowodów wskazujących, że dane objęte incydentem zostały publicznie udostępnione w Internecie lub wykorzystane w sposób niezgodny z prawem.

Brak stwierdzonego publicznego ujawnienia lub dalszego wykorzystania danych nie zmienia jednak faktu, że doszło do naruszenia ich poufności. Z tego względu przekazujemy Pani/Panu niniejsze zawiadomienie oraz informacje o środkach ostrożności, które mogą ograniczyć potencjalne negatywne konsekwencje naruszenia.

Jakich danych może dotyczyć naruszenie?

W zależności od zakresu danych znajdujących się w systemie MyDr EDM naruszenie mogło obejmować następujące Pani/Pana dane osobowe:

• imię i nazwisko;
• adres zamieszkania;
• dane kontaktowe, w tym numer telefonu lub adres poczty elektronicznej, jeżeli zostały podane;
• numer PESEL;
• dane dotyczące zdrowia i udzielonych świadczeń zdrowotnych znajdujące się w dokumentacji medycznej;
• dane dotyczące ubezpieczenia społecznego, jeżeli zostały podane;
• informacje dotyczące pracodawcy, jeżeli zostały podane;
• inne dane umożliwiające identyfikację znajdujące się w dokumentacji prowadzonej w systemie MyDr EDM.

Jeżeli w dokumentacji pacjenta znajdowały się dane jego przedstawiciela ustawowego lub osoby upoważnionej do dostępu do dokumentacji medycznej, naruszenie mogło również obejmować dane tych osób, w szczególności imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL oraz informację dotyczącą stopnia pokrewieństwa lub rodzaju relacji z pacjentem – stosownie do zakresu informacji zapisanych w systemie.

Zakres danych objętych naruszeniem może być różny w odniesieniu do poszczególnych osób i zależy od danych, które znajdowały się w systemie MyDr EDM.

Jakie mogą być konsekwencje naruszenia?

Ze względu na charakter danych objętych naruszeniem istnieje ryzyko ich wykorzystania przez osoby nieuprawnione.

W przypadku danych identyfikacyjnych, w szczególności numeru PESEL w połączeniu z imieniem, nazwiskiem, adresem lub innymi danymi, możliwe konsekwencje mogą obejmować między innymi:

• próbę podszywania się pod Panią/Pana;
• próbę wykorzystania danych do wyłudzenia kredytu, pożyczki lub zawarcia innej umowy bez Pani/Pana wiedzy;
• próby uzyskania dostępu do innych informacji dotyczących Pani/Pana;
• wykorzystanie danych do przygotowania wiarygodnie wyglądających wiadomości, rozmów telefonicznych lub innych prób oszustwa;
• próby uzyskania dostępu do danych dotyczących zdrowia w podmiotach, w których identyfikacja lub uwierzytelnienie pacjenta odbywa się z wykorzystaniem numeru PESEL.

Naruszenie może również obejmować dane dotyczące zdrowia, które należą do szczególnych kategorii danych osobowych. Ich nieuprawnione wykorzystanie może prowadzić w szczególności do naruszenia prywatności, ujawnienia informacji o stanie zdrowia osobom nieuprawnionym, wykorzystania tych informacji w sposób niekorzystny dla osoby, której dotyczą, lub wykorzystania wiedzy o stanie zdrowia do prób oszustwa.

Przykładem może być kontakt osoby nieuprawnionej z Panią/Panem lub Pani/Pana bliskimi z powołaniem się na informacje dotyczące stanu zdrowia w celu wzbudzenia zaufania, wyłudzenia dodatkowych informacji, pieniędzy albo zaoferowania usług medycznych, pseudomedycznych lub terapeutycznych.

Na dzień sporządzenia niniejszego zawiadomienia, zgodnie z informacjami przekazanymi przez MyDr, nie stwierdzono dowodów na publiczne ujawnienie ani niewłaściwe wykorzystanie danych objętych incydentem. Ze względu na charakter naruszenia zalecamy jednak zachowanie zwiększonej ostrożności oraz zastosowanie opisanych poniżej środków ochronnych.

Co może Pani/Pan zrobić?

1. Zastrzeżenie numeru PESEL

Jeżeli naruszenie obejmowało Pani/Pana numer PESEL, rekomendujemy rozważenie jego bezpłatnego zastrzeżenia.

Numer PESEL można zastrzec:

• w aplikacji mObywatel;
• w serwisie internetowym mObywatel;
• osobiście w urzędzie gminy lub miasta.

Zastrzeżenie numeru PESEL ogranicza możliwość wykorzystania go między innymi do zaciągnięcia określonych zobowiązań finansowych przez osobę podszywającą się pod właściciela numeru.

Zastrzeżenie numeru PESEL nie uniemożliwia korzystania ze świadczeń zdrowotnych, realizacji recept ani załatwiania typowych spraw urzędowych.

Informacje dotyczące zastrzegania numeru PESEL dostępne są w oficjalnym serwisie administracji publicznej gov.pl w usłudze „Zastrzeż swój numer PESEL lub cofnij zastrzeżenie”.

2. Zachowanie ostrożności wobec prób oszustwa

Prosimy zachować szczególną ostrożność wobec:

• wiadomości SMS i e-mail pochodzących od nieznanych nadawców;
• telefonów, podczas których rozmówca prosi o podanie danych osobowych, danych logowania, kodów autoryzacyjnych lub informacji finansowych;
• wiadomości zawierających linki prowadzące do stron wymagających logowania lub podania danych;
• kontaktów od osób powołujących się na informacje dotyczące Pani/Pana stanu zdrowia, jeśli nie jest Pani/Pan w stanie potwierdzić ich tożsamości i uprawnienia do posiadania takich informacji;
• ofert usług medycznych, pseudomedycznych lub terapeutycznych nawiązujących do Pani/Pana historii leczenia lub stanu zdrowia.

Sama znajomość przez rozmówcę Pani/Pana danych osobowych lub informacji dotyczących zdrowia nie powinna być traktowana jako wystarczające potwierdzenie jego tożsamości.

3. Reagowanie na podejrzenie wykorzystania danych

W przypadku podejrzenia, że Pani/Pana dane zostały wykorzystane do popełnienia przestępstwa lub próby jego popełnienia, można zawiadomić Policję lub prokuraturę.

W przypadku podejrzanych wiadomości elektronicznych lub prób wyłudzenia danych należy również zachować otrzymane wiadomości i inne informacje mogące stanowić dowód zdarzenia.

Jakie działania zostały podjęte w związku z incydentem?

Zgodnie z informacjami przekazanymi Administratorowi MyDr:

1. opanował incydent i zakończył nieuprawniony dostęp do środowiska;
2. zabezpieczył środowisko informatyczne oraz wdrożył dodatkowe środki techniczne i organizacyjne mające ograniczyć ryzyko podobnych zdarzeń w przyszłości;
3. zaangażował wyspecjalizowany podmiot z zakresu cyberbezpieczeństwa do przeprowadzenia szczegółowej analizy incydentu;
4. zgłosił incydent Centralnemu Biuru Zwalczania Cyberprzestępczości i współpracuje z właściwymi organami;
5. podjął współpracę m.in. z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK, CSIRT Centrum e-Zdrowia oraz Urzędem Ochrony Danych Osobowych;
6. prowadzi monitoring systemów w celu wykrywania ewentualnych dalszych skutków incydentu;
7. prowadzi monitoring Internetu w celu ustalenia, czy dane objęte naruszeniem zostały publicznie udostępnione.

Administrator, po otrzymaniu od MyDr informacji potwierdzającej naruszenie danych przetwarzanych na jego rzecz, przeprowadził ocenę zdarzenia oraz dokonał zgłoszenia naruszenia ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych zgodnie z art. 33 RODO.

Niniejsze zawiadomienie przekazujemy w wykonaniu obowiązku wynikającego z art. 34 RODO, mając na celu umożliwienie Pani/Panu podjęcia odpowiednich działań ograniczających potencjalne negatywne konsekwencje naruszenia.

Gdzie można uzyskać dodatkowe informacje?

W sprawach dotyczących przetwarzania Pani/Pana danych osobowych przez Administratora, niniejszego zawiadomienia oraz praw przysługujących Pani/Panu na podstawie przepisów o ochronie danych osobowych można skontaktować się z:

Administratorem danych: ANGIOMEDIC Ośrodek Diagnostyki i Terapii, ul. Ujastek 3, 31-752 Kraków

W sprawach dotyczących technicznych okoliczności incydentu MyDr uruchomił również punkt kontaktowy dla osób, których dane dotyczą:

MyDr sp. z o.o.
e-mail: dane@mydr.pl