Masowa kradzież danych medycznych około 19 milionów pacjentów z systemu MyDr (dostawcy elektronicznej dokumentacji medycznej) polegała na nieuprawnionym dostępie hakerów do bazy danych zawierającej informacje o pacjentach z okresu sprzed kwietnia 2024 roku. Hakerzy przejęli m.in. numery PESEL, dane osobowe, historię wizyt lekarskich, informacje o przyjmowanych lekach (e-recepty) oraz szczegóły diagnoz i przebytych schorzeń.
Skala incydentu jest szczególnie duża dlatego, że MyDr dostarcza oprogramowanie tysiącom placówek medycznych.
Z systemu, z którego wykradziono dane pacjenci nie korzystają bezpośrednio – nie jest to przychodnia ani sieć gabinetów lekarskich. Firma MyDr jest dostawcą oprogramowania dla placówek medycznych. Jej głównym produktem jest MyDr EDM – system służący do prowadzenia Elektronicznej Dokumentacji Medycznej oraz zarządzania pracą gabinetów, przychodni i innych podmiotów ochrony zdrowia.
W świetle przepisów RODO, prawną odpowiedzialność wobec pacjentów za bezpieczeństwo i zgłoszenie naruszenia ponoszą administratorzy danych, czyli poszczególne przychodnie i gabinety lekarskie korzystające z systemu MyDr.
To oni decydują o celach przetwarzania danych pacjentów i odpowiadają za dopełnienie obowiązków RODO. Zgodnie z wytycznymi Urzędu Ochrony Danych Osobowych to na nich spoczywa obowiązek oceny ryzyka, zgłoszenia incydentu do UODO oraz powiadomienia poszkodowanych pacjentów.
Wyciek danych z MyDr bardzo dobrze pokazuje problem, o którym możesz łatwo zapomnieć przy wdrażaniu nowych technologii w swojej placówce.
Nie przestajesz być odpowiedzialny za dane pacjenta albo mieszkańca Twojej placówki tylko dlatego, że przekazałeś je zewnętrznemu dostawcy programu.
Możesz kupić system do prowadzenia dokumentacji. Możesz przenieść dane do chmury – nie oznacza to jednak, że wraz z abonamentem za program przenosisz na dostawcę całą odpowiedzialność za bezpieczeństwo informacji.
Jeżeli korzystasz z zewnętrznego programu, możesz zadawać sobie pytanie – kto odpowiada za dane – ja czy dostawca?
Okazuje się, że obydwa podmioty mają obowiązki, ale oparte o różny zakres odpowiedzialności. Placówka określając cele i sposoby przetwarzania danych swoich pacjentów czy mieszkańców – nawet przekazując ich przetwarzanie – pozostaje administratorem danych. Natomiast zewnętrzna firma przetwarzając te dane w imieniu Twojej placówki – może być podmiotem przetwarzającym. I tak właśnie można opisać relację między placówkami medycznymi a firmą MyDr.
Musisz pamiętać, że jako administrator danych nie możesz wybrać dowolnego podmiotu, który będzie przetwarzał dane Twoich klientów i uznać , że masz „spokój” podpisaniu umowy z partnerem biznesowym. Przepis art. 28 ust. 1 RODO wymaga, żeby administrator korzystał wyłącznie z podmiotów zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.
To oznacza w praktyce, że musisz umieć wyjaśnić, dlaczego uznałeś konkretnego dostawcę oprogramowania za wystarczająco bezpiecznego dla danych, które mu powierzasz.
Jednym z najczęstszych błędów jest uznanie, że posiadanie umowy powierzenia danych klientów/pacjentów placówki, oznacza całkowite przeniesienie odpowiedzialności za dostawcę rozwiązania informatycznego i tym samym „rozwiązanie problemu” ochrony danych osobowych w placówce.
Ale sama umowa nie zapewnia bezpieczeństwa danych Twoich klientów, których przetwarzanie powierzasz.
Przede wszystkim musisz pamiętać, że korzystanie z usług procesora zapewniającego wystarczające gwarancje ma charakter ciągły. Ty, jako administrator powinieneś, w odpowiednich odstępach czasu, ponownie weryfikować te gwarancje. Przy ocenie bezpieczeństwa danych można brać pod uwagę m.in. wiedzę techniczną procesora, jego wiarygodność, zasoby, audyty, certyfikaty oraz dokumentację dotyczącą bezpieczeństwa.
Bardzo dobry przykład opisanego incydentu mamy zaledwie sprzed miesiąca przed kradzieżą danych z MyDr.
W lipcu 2026 r. Prezes UODO upomniał specjalistyczny szpital w Sosnowcu za brak prawidłowej weryfikacji zewnętrznego podmiotu przetwarzającego. Osoba nieuprawniona uzyskała dostęp do poczty elektronicznej szpitala utrzymywanej na serwerach dostawcy, a następnie pobrała jej zawartość obejmującą dane 224 osób.
UODO uznał, że problem dotyczył zarówno zabezpieczeń po stronie procesora, jak i obowiązków administratora w zakresie jego wcześniejszej weryfikacji oraz przeprowadzenia właściwej analizy ryzyka. W konsekwencji Prezes UODO nałożył upomnienie na szpital za brak weryfikacji podmiotu przetwarzającego pod kątem zapewnienia wystarczających gwarancji bezpieczeństwa przetwarzania danych osobowych zgodnego z RODO. Administrator został upomniany również za to, że nie przeprowadził właściwej analizy ryzyka przetwarzania danych osobowych za pomocą poczty elektronicznej. Natomiast podmiot przetwarzający został upomniany przez Prezesa UODO za brak właściwego wdrożenia odpowiednich środków zapewniających bezpieczeństwo przetwarzania danych osobowych.
To jest szczególnie istotna lekcja przed wdrożeniem przez Ciebie systemów informatycznych, czy narzędzi AI. Nie wystarczy stwierdzenie, że korzystasz z popularnego i powszechnie stosowanego produktu dużego dostawcy, z którym podpisałeś DPA (Data Processing Agreement) – trzeba jeszcze ustalić, czy konkretny model korzystania z programu jest odpowiedni dla konkretnych danych, które chcesz w nim przetwarzać.
Jakiego rodzaju dane możesz gromadzić i przetwarzać?
W tym miejscu trzeba zrobić ważne rozróżnienie charakterystyczne dla branży senioralnej. Prywatna placówka zapewniająca całodobową opiekę na podstawie art. 67–69 ustawy o pomocy społecznej nie staje się podmiotem leczniczym tylko dlatego, że jej mieszkańcy są osobami starszymi, przewlekle chorymi czy niepełnosprawnymi (o tym pisałam w artykułach w kategorii Medykalizacja domu seniora).
Nie oznacza to jednak, że Twoja placówka nie gromadzi danych szczególnie wrażliwych, czyli informacji o zdrowiu i leczeniu mieszkańca. Wręcz przeciwnie. Przepis art. 68a ustawy o pomocy społecznej nakłada na Twoją placówkę obowiązek prowadzenia szczegółowej dokumentacji mieszkańców obejmującej m.in.:
dane identyfikacyjne, numer PESEL, dane opiekuna prawnego albo kuratora oraz informacje dotyczące stanu zdrowia, w tym orzeczenia, zalecenia lekarskie i informacje o świadczeniach zdrowotnych udzielanych na terenie placówki.
Do tego dochodzi obowiązkowy rejestr zdarzeń nadzwyczajnych z art. 68aa ustawy, zawierający informacje o wypadkach, samouszkodzeniach i obrażeniach mieszkańców. Ustawodawca wprost wymaga przy tym takiego zorganizowania procesu, aby osoby nieupoważnione nie uzyskały dostępu do informacji wrażliwych oraz aby chroniona była poufność tożsamości osoby dokonującej zgłoszenia.
Wniosek z tego jest taki, że prowadząc prywatny dom seniora gromadzisz w systemach placówki bardzo szeroki zestaw informacji:
kto ma demencję, kto przyjmuje i jakie leki, kto upadł, kto korzystał z pomocy lekarza – i jakiej specjalności, kto posiada orzeczenie o niepełnosprawności i kto jest ubezwłasnowolniony.
To nie są dane, które pracownik placówki może bez refleksji wprowadzić do systemu informatycznego, czy narzędzia AI – ustawowy obowiązek gromadzenia przez placówkę określonych informacji nie oznacza automatycznie prawa do ich dalszego wykorzystywania w każdym programie i w każdym celu.
Dane w zakładach opiekuńczo-leczniczych i pielęgnacyjno-opiekuńczych pod jeszcze szerszą ochroną.
ZOL i ZPO są podmiotami leczniczymi, a zatem dane pacjenta znajdują się nie tylko pod ochroną RODO, ale także ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
Zgodnie z przepisami pacjent ma prawo do zachowania w tajemnicy informacji związanych z nim i uzyskanych w związku z wykonywaniem zawodu medycznego. Osoby wykonujące zawód medyczny są obowiązane zachować w tajemnicy w szczególności informacje dotyczące jego stanu zdrowia.
Szczególnie musisz zwrócić uwagę na art. 24 ustawy. Podmiot udzielający świadczeń zdrowotnych ma prowadzić, przechowywać i udostępniać dokumentację medyczną oraz zapewnić ochronę danych w niej zawartych.
Do tego dochodzą jeszcze przepisy ustawy o systemie informacji w ochronie zdrowia oraz rozporządzenia dotyczącego dokumentacji medycznej i sposobu jej przetwarzania, które w 2026 r. było ponownie nowelizowane.
Dlatego krytycznie należy ocenić pomysł: „wkleimy wypis pacjenta do AI i poprosimy o przygotowanie planu opieki”.
W badanym w lipcu 2026 r. incydencie Rzecznik Praw Pacjenta stwierdził, że „z uwagi na zakres przetwarzanych danych osobowych każdy podmiot leczniczy może stać się celem ataku cyberprzestępców. Sam fakt wystąpienia takiego ataku nie przesądza automatycznie o naruszeniu praw pacjenta. Podmioty lecznicze mają jednak obowiązek odpowiedniego zabezpieczenia danych medycznych pacjentów i stosowania odpowiednich, aktualnych i rekomendowanych mechanizmów zabezpieczających dostęp do elementów systemów teleinformatycznych. Działanie bez należytej staranności w tym zakresie może już naruszać zbiorowe prawa pacjentów”.
Czy każdy wyciek oznacza naruszenie RODO?
Tutaj również należy zaprzeczyć – nie każdy wyciek danych oznacza naruszenie przepisów. Trybunał Sprawiedliwości UE w wyroku z 14 grudnia 2023 r., C-340/21 Natsionalna agentsia za prihodite, stwierdził, że sam fakt uzyskania przez osobę trzecią nieuprawnionego dostępu do danych nie wystarcza jeszcze do uznania, że zastosowane przez administratora zabezpieczenia były nieodpowiednie.
RODO nie wymaga bowiem stworzenia systemu, którego absolutnie nigdy nie można przełamać. Wymaga za to zastosowania zabezpieczeń adekwatnych do ryzyka. Ich prawidłowość ocenia się w każdym konkretnym przypadku – z uwzględnieniem charakteru danych, sposobu przetwarzania i istniejących ryzyk.
Zwróć jednak uwagę na drugą, bardzo ważna część tego wyroku – w sporze o odszkodowanie za naruszenie danych, to administrator musi wykazać, że zastosowane przez niego środki bezpieczeństwa były odpowiednie do istniejącego ryzyka. W praktyce oznacza to tyle, że skoro prowadzisz, zarządzasz placówką leczniczą, która administruje danymi szczególnie wrażliwymi – Twoja ocena ryzyka cyberataku i wycieku danych powinna być także szczególnie wnikliwa i ostrożna – tak jak i wybór operatora systemu informatycznego.
Jakie pytania powinieneś zadać dostawcy systemu?
Zanim zdecydujesz się na współpracę z konkretnym dostawcą systemu informatycznego, do którego mają trafiać dane i dokumentacja Twoich klientów/pacjentów – zadaj kilka pytań:
- Jaką rolę wobec danych ma dostawca – procesora czy odrębnego administratora?
- W jakim celu może wykorzystywać przekazane dane?
- Gdzie dane są przechowywane i czy są przekazywane poza EOG?
- Czy i jakich podprocesorów wykorzystuje dostawca?
- Jak długo dane pozostają w systemie i czy można je usunąć?
- Jak dostawca zabezpiecza dane dotyczące zdrowia – czy szyfruje je, kontroluje dostęp i regularnie testuje zabezpieczenia?
- Jak szybko dowiesz się o incydencie i jakie informacje dostawca ma obowiązek Ci przekazać?
- Czy masz możliwość kontroli albo otrzymania dokumentów pozwalających zweryfikować bezpieczeństwo?
Jaka jest najważniejsza lekcja z MyDrgate?
Nie chodzi o to, że powinieneś zaprzestać korzystania z nowych technologii. Nowoczesne systemy informatyczne mogą bardzo ułatwiać pracę Tobie i Twoim pracownikom. Także narzędzia AI mogą np. pomagać w porządkowaniu informacji, pracy administracyjnej czy analizowaniu dużej liczby danych. Musisz jednak wiedzieć w jaki sposób system jest zabezpieczony, kto kontroluje wprowadzane do niego dane i czy i na jakich zasadach informacje są dalej przekazywane.
Jeżeli masz pytania dotyczące korzystania z systemów informatycznych i narzędzi AI – chętnie Ci pomogę. Skontaktuj się ze mną!
Edyta Konopczyńska
radca prawny
Tel. 571 390 721
e-mail: radca@kancelariakonopczynska.pl
Zdjęcie: cottonbro studio, Sora Shimazaki
***
Jak sporządzić Regulamin placówki opieki senioralnej?
Umowa na świadczenie usług opiekuńczych i bytowych, jaką zawierasz z klientem, to nie jedyny dokument, który powinieneś przygotować. Równie istotny jest regulamin Twojej placówki oraz inne dokumenty, stanowiące zazwyczaj załączniki do umowy.
Regulamin ma zazwyczaj większą „pojemność”, niż umowa i możesz tutaj bardziej szczegółowo opisać zakres usług, jakie świadczysz, sposób funkcjonowania domu seniora, zasady, jakie obowiązują w Twojej placówce [Czytaj dalej…]
{ 0 komentarze… dodaj teraz swój }