Wyjaśnił, że placówki ochrony zdrowia, które korzystając z aplikacji spółki MyDr powierzyły jej dane swoich pacjentów, zgłaszają naruszenia ochrony danych osobowych. "Skala naruszenia nie jest jak na razie w pełni znana, ale według doniesień medialnych może ona dotyczyć około 12 tys. podmiotów leczniczych. Prezes UODO postanowił więc przeprowadzić kontrolę w spółce MyDr, która jest podmiotem przetwarzającym dane administrowane przez placówki medyczne, będące jej klientami" - dodał Kuligowski.
Zaznaczył, że kontrolerzy sprawdzą zastosowane przez spółkę środki techniczne i organizacyjne. "Będą ustalać również czy te zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń. Przedmiotem kontroli będzie też sprawdzenie czy analiza ryzyka uwzględniała możliwe zagrożenia dla przetwarzanych danych, a jej wyniki zostały zastosowane w praktyce" - wyjaśnił Kuligowski.
W środę Ministerstwo Cyfryzacji potwierdziło informację o cyberataku na firmę MyDr, w wyniku którego wyciekły dane m.in. o lekach i receptach prawie 19 mln Polaków. Wykradziona baza ma ponad 2 TB danych.
– Nie ma w przestrzeni publicznej danych skradzionych w cyberataku. Nie są one wystawione nigdzie na sprzedaż ani nie są elementem żadnej gry. Monitorują to służby – przekazał w czwartek wicepremier, minister cyfryzacji Krzysztof Gawkowski. Ponownie zaapelował też, aby każdy zastrzegł swój PESEL.
Zaznaczył, że trwają prace nad wydobyciem danych osób z firmy przetwarzającej i przeniesieniem ich do systemów państwowych. Podkreślił, że wszelkie informacje na temat wycieków danych można sprawdzić na stronie bezpiecznedane.gov.pl.
Gawkowski podkreślił również, że służby rozpracowują grupę, która stała za cyberatakiem. Dodał, że "dzisiaj nic nie wskazuje na to, że mieliśmy zewnętrzny, czyli spoza granic Polski, element, który w tym wszystkim uczestniczył".
Sprawą zajęła się prokuratura
Prokuratura Okręgowa w Warszawie poinformowała w czwartek, że nadzoruje prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości dochodzenie w sprawie wycieku danych z firmy MyDr. Grozi za to do trzech lat więzienia.
Informacje obejmują dane osobowe pacjentów podmiotów świadczących usługi medyczne będących klientami MyDr – w tym imiona, nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane dotyczące stanu zdrowia, jak treść notatek z wizyt lekarskich czy informacji o wystawionych receptach.
Dochodzenie w tej sprawie CBZC wszczęło w środę, zaś pierwsze czynności w sprawie zostały podjęte z urzędu w poniedziałek.
