Polska policja zabezpiecza i analizuje dane osobowe milionów obywateli, które mogły zostać przejęte podczas cyberataku na systemy platformy MyDr — jednego z dostawców oprogramowania dla placówek medycznych. Wiceminister cyfryzacji Dariusz Standerski zapewnił we wtorek, w programie Fakty po Faktach, że według informacji posiadanych przez służby skradzione dane nie zostały dotychczas upublicznione ani nie krążą w zasobach sieci, w tym na portalach wykorzystywanych przez środowiska przestępcze.
— Co najważniejsze, te dane nie krążą po sieci — podkreślił Standerski, zaznaczając jednocześnie, że służby nadal weryfikują deklaracje włamywaczy i precyzyjnie ustalają rzeczywisty zakres wycieku.
Numery PESEL, recepty i notatki lekarskie w rękach przestępców
Wiceminister ujawnił, że przedmiotem ataku stały się dane szczególnie wrażliwe: numery PESEL, informacje dotyczące wystawionych recept oraz notatki sporządzone podczas wizyt lekarskich. To połączenie danych identyfikacyjnych i medycznych tworzy wyjątkowo niebezpieczny zasób, który w rękach przestępców mógłby posłużyć zarówno do wyłudzeń finansowych, jak i do szantażu czy kradzieży tożsamości.
NASK oraz właściwe służby prowadzą aktywny monitoring sieci — w tym przestrzeni, gdzie zwyczajowo handluje się wykradzionymi bazami danych. Na ten moment nie stwierdzono, by skradzione informacje zostały gdziekolwiek ujawnione.
Dwanaście tysięcy podmiotów jako administratorzy danych
Atak na systemy MyDr obnażył strukturalną słabość modelu, w którym prywatny dostawca technologii przechowuje dane należące do tysięcy formalnie odrębnych administratorów. Z zaatakowanych systemów korzystało bowiem około dwunastu tysięcy podmiotów — przychodni, gabinetów lekarskich i innych placówek — które zgodnie z obowiązującym prawem pozostawały odpowiedzialne za powierzone im dane pacjentów, choć w praktyce informacje te znajdowały się w infrastrukturze zewnętrznego usługodawcy.
Ten rozdźwięk między formalną odpowiedzialnością a faktycznym władaniem nad danymi tworzy lukę prawną, którą obecne przepisy — wprowadzone jeszcze kilka lat temu — wypełniają w sposób niewystarczający. Właśnie tę lukę zamierza teraz zlikwidować Ministerstwo Cyfryzacji.
Pilne zmiany legislacyjne już w przyszłym tygodniu
Resort cyfryzacji zapowiedział, że już w przyszłym tygodniu przedstawi konkretne propozycje ustawowe. Projektowane przepisy mają objąć swoim zakresem podmioty masowo przetwarzające dane osobowe — niezależnie od tego, czy pełnią one rolę formalnych administratorów, czy jedynie podmiotów przetwarzających w rozumieniu RODO. Chodzi o nałożenie na nie nowych, wymiernych obowiązków w zakresie bezpieczeństwa informacji oraz zaostrzenie odpowiedzialności w razie ich naruszenia.
Jak zaznaczył Standerski, nowe regulacje mają objąć właśnie te firmy, które dziś — ze względu na swoją rolę technicznego pośrednika — skutecznie wymykają się dotychczasowym rozwiązaniom prawnym. Skala incydentu z MyDr pokazuje dobitnie, że ochrona danych obywateli nie może opierać się wyłącznie na deklaracjach prywatnych przedsiębiorców; wymaga solidnych, egzekwowalnych ram prawnych.