19 milionów PESEL-i i kolejka do rządowego rejestru wycieków

W sobotę 29 sierpnia 2026 roku o godzinie 8:37 na stronach money.pl pojawiła się informacja, że rządowy portal bezpiecznedane.gov.pl udostępnił wreszcie dane z wycieku firmy MyDr — dostawcy systemu elektronicznej dokumentacji medycznej dla około 12 tysięcy placówek. Zainteresowanie było tak duże, że serwis wprowadził kolejkę. Tomasz Rychter, dyrektor technologiczny w Grupie Zero, opisał na X, że przed dziewiątą rano zajmował w niej miejsce numer 1199. Siedemnaście dni wcześniej, 12 sierpnia, wicepremier i minister cyfryzacji Krzysztof Gawkowski mówił o jednym z największych incydentów w historii Polski i zalecał obywatelom zastrzeżenie numeru PESEL przez aplikację mObywatel. Między tymi dwiema datami rozegrał się epizod, który — paradoksalnie — mówi więcej o obowiązkach administratorów danych niż sam wyciek.

Fib.Code pisał już o technicznych okolicznościach włamania do MyDr i o kontroli, jaką Prezes UODO wszczął wobec spółki. Tym razem inny kąt: co się dzieje, kiedy państwo buduje własną infrastrukturę do zarządzania skutkami wycieku, i czego ta infrastruktura — jej opóźnienia, jej kolejki, jej zastrzeżenia prawne — uczy każdą organizację, która sama kiedyś będzie musiała powiadomić klientów, pacjentów albo mieszkańców o naruszeniu.

Siedemnaście dni między komunikatem a rejestrem

Bezpiecznedane.gov.pl to nie nowy twór. Portal działa od maja 2023 roku, prowadzi go Ministerstwo Cyfryzacji przy wsparciu NASK, a jego zadaniem jest umożliwienie obywatelom sprawdzenia, czy ich dane — PESEL, imię, nazwisko, data urodzenia, opcjonalnie adres e-mail i numer telefonu — znalazły się w którymś z monitorowanych wycieków. Przez większość swojego istnienia serwis aktualizował się rzadko i punktowo: wyciek z firmy ALAB w listopadzie 2023, baza serwisu dla modelek w lutym 2024. MyDr to zupełnie inna skala — 19 milionów rekordów, według deklaracji sprawców, z bazy obejmującej dane pacjentów tysięcy przychodni i gabinetów.

Rząd potwierdził incydent 12 sierpnia. Dane trafiły do wyszukiwarki bezpiecznedane.gov.pl dopiero 29 sierpnia. Siedemnaście dni to w tym kontekście dużo — zwłaszcza że przez ten czas ministerstwo powtarzało, że trwa przenoszenie danych do systemów państwowych, a osoby zaniepokojone stanem swojego numeru PESEL mogły jedynie czekać albo zastrzec go prewencyjnie. Dla organizacji, które same kiedykolwiek znajdą się po drugiej stronie podobnej sytuacji, płynie z tego prosty wniosek: harmonogram własnej reakcji na incydent nie może być uzależniony od tempa, w jakim zadziała jakakolwiek zewnętrzna infrastruktura, nawet państwowa. Artykuł 33 RODO liczy dni od momentu stwierdzenia naruszenia przez administratora, nie od momentu, w którym ktokolwiek inny uporządkuje dane w wygodnym do przeszukania formacie.

Śledztwo, które opóźniło jawność

Część opóźnienia miała, jak można wnioskować z doniesień prasowych, swoje źródło w toczącym się postępowaniu karnym. Prokuratura Okręgowa w Warszawie nadzoruje dochodzenie prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości, a termin publikacji danych w rejestrze weryfikacyjnym był przesuwany właśnie z uwagi na czynności służb. To napięcie — między potrzebą zachowania śladów dowodowych a obowiązkiem informacyjnym wobec osób, których dane wyciekły — nie jest specyfiką jednego dużego incydentu krajowego. Każda organizacja, która zgłasza włamanie na policję albo do CBZC, może usłyszeć podobną prośbę: proszę wstrzymać się z komunikatem, dopóki nie zabezpieczymy materiału.

RODO nie daje tu automatycznego zwolnienia. Artykuł 34 ustęp 1 nakłada obowiązek zawiadomienia osób, których dane dotyczą, bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności. Motyw 88 preambuły dopuszcza uwzględnienie uzasadnionych interesów egzekwowania prawa przy ustalaniu formy i czasu komunikatu, ale nie znosi samego obowiązku — najwyżej pozwala go odroczyć albo zmodyfikować w porozumieniu z organem ścigania, i to porozumienie powinno być udokumentowane, a nie domniemane. Organizacja, która czeka na sygnał od policji bez żadnego pisemnego potwierdzenia takiej prośby, ryzykuje, że przy kontroli UODO usłyszy dokładnie to samo pytanie, które padło w komunikacie o kontroli MyDr: czy wyniki analizy ryzyka faktycznie zastosowano w praktyce, czy istniały tylko na papierze.

W praktyce oznacza to konkretny nawyk proceduralny, a nie ogólną zasadę ostrożności. Zgłoszenie do policji albo do CBZC powinno kończyć się prośbą o pisemne — choćby mailowe — potwierdzenie, że organ ścigania rzeczywiście wnosi o wstrzymanie komunikatu do osób poszkodowanych, wraz z uzasadnieniem i, jeśli to możliwe, przewidywanym terminem. Bez takiego dokumentu administrator nie ma czym bronić decyzji o milczeniu w dniu, kiedy Prezes UODO zapyta, dlaczego zawiadomienie wysłano dopiero po trzech tygodniach od stwierdzenia naruszenia. Rejestr czynności związanych z naruszeniem, prowadzony na podstawie artykułu 33 ustęp 5 RODO, powinien zawierać nie tylko fakt opóźnienia, ale i jego udokumentowaną przyczynę.

Kolejka jako pierwszy test wydolności

Numer 1199 w kolejce przed dziewiątą rano soboty to nie tylko ciekawostka. To dowód, że portal zaprojektowany do obsługi pojedynczych, rozproszonych w czasie zapytań nie był gotowy na skokowy ruch wywołany jednym newsem ogólnokrajowym. System kolejkowy uruchomił się odruchowo, jako zabezpieczenie przed przeciążeniem, a nie jako zaplanowany element architektury.

Ten sam problem dotyczy każdej organizacji, która przygotowuje własny kanał komunikacji na wypadek incydentu — dedykowaną podstronę, infolinię, formularz kontaktowy dla zgłoszeń. Plan reagowania na incydenty rzadko przewiduje scenariusz, w którym komunikat trafia jednocześnie do wszystkich adresatów i wszyscy oni próbują zweryfikować swoją sytuację w ciągu tej samej godziny. Test wydolności kanału komunikacji powinien być elementem ćwiczeń przed incydentem, a nie odkryciem dokonywanym na żywo, w sobotni poranek, kiedy telefon dzwoni już od kwadransa. ISO 27001:2022 adresuje to pośrednio w załączniku A.5.24 — planowanie zarządzania incydentami powinno obejmować zasoby wystarczające do realnej reakcji, nie tylko procedurę na papierze.

Warto rozłożyć ten problem na trzy warstwy, bo w praktyce mylą się one najczęściej. Warstwa techniczna to przepustowość serwera i formularza — czy strona przetrwa ruch, a nie zwróci błąd pięćset. Warstwa organizacyjna to liczba osób zdolnych odpowiadać na telefony i maile w ciągu pierwszych czterdziestu ośmiu godzin, kiedy napływ zgłoszeń jest największy. Warstwa merytoryczna to gotowość odpowiedzi na pytania, których nikt nie przewidział w scenariuszu ćwiczeniowym — na przykład od dziennikarza, radnego albo prawnika reprezentującego grupę poszkodowanych. Organizacja, która przetestowała tylko pierwszą warstwę, odkryje brakujące dwie dokładnie wtedy, kiedy będzie to najbardziej kosztowne.

Fałszywy bliźniak pod tym samym adresem

Chwile, w których miliony ludzi jednocześnie szukają w internecie tej samej frazy — „sprawdź czy wyciekły twoje dane" — są wymarzonym momentem dla stron podszywających się pod oficjalny serwis. Nie ma na razie potwierdzonych doniesień o takiej kampanii wymierzonej w bezpiecznedane.gov.pl, ale mechanizm jest znany z poprzednich dużych wycieków na świecie: fałszywe domeny z literówką, reklamy w wyszukiwarce prowadzące na stronę zbierającą dokładnie te same dane, które rzekomo miała chronić weryfikacja. Kolejka przed prawdziwym serwisem tylko zwiększa pokusę — część użytkowników, zniecierpliwiona czekaniem, kliknie pierwszy wynik wyszukiwania bez sprawdzenia adresu.

Dla administratora danych, który sam ogłasza naruszenie, płynie z tego konkretna rekomendacja operacyjna: komunikat do osób poszkodowanych powinien zawierać dokładny, jednoznacznie sformatowany adres oficjalnego kanału weryfikacji, powtórzony kilkukrotnie, i wyraźne ostrzeżenie, że administrator nigdy nie poprosi o hasło, kod z SMS-a ani dane karty płatniczej w takiej wiadomości. To wymaganie mieści się w artykule 28 ustęp 3 litera f RODO, który każe procesorowi pomagać administratorowi w realizacji obowiązków z artykułów 32–36 — a dobrze napisany komunikat o naruszeniu jest właśnie realizacją tego obowiązku, nie tylko grzecznościowym gestem.

„Pozytywny wynik nie znaczy, że jesteś bezpieczny"

Komunikat towarzyszący wyszukiwarce na bezpiecznedane.gov.pl zawiera zastrzeżenie, że nawet brak trafienia w bazie nie oznacza, iż ryzyko nie istnieje, i zaleca stosowanie unikalnych haseł oraz weryfikacji dwuetapowej niezależnie od wyniku. To sformułowanie jest lepsze niż mogłoby się wydawać na pierwszy rzut oka, i warto je potraktować jako wzorzec przy pisaniu własnych zawiadomień o naruszeniu.

Pokusa, żeby napisać w komunikacie „sprawdziliśmy, twoje dane są bezpieczne", jest silna, bo taki komunikat uspokaja odbiorcę i redukuje falę pytań do działu obsługi klienta. Problem w tym, że jest to twierdzenie, którego administrator zwykle nie jest w stanie zweryfikować z pewnością wystarczającą do jego użycia. Baza wycieków, z której korzysta rządowy portal, zawiera tylko te zbiory, które ktoś zdążył zidentyfikować, uporządkować i wprowadzić — dokładnie tak, jak opisano wyżej, z siedemnastodniowym opóźnieniem w tym konkretnym przypadku. Negatywny wynik dzisiaj może stać się pozytywnym jutro, kiedy do bazy trafi kolejna partia danych z tego samego incydentu albo z zupełnie innego źródła. Komunikat, który mówi „nie znaleźliśmy twoich danych w znanych nam wyciekach, ale zalecamy zachowanie czujności", jest prawdziwy przez cały czas swojego istnienia. Komunikat, który obiecuje bezpieczeństwo, przestaje być prawdziwy w chwili, gdy pojawia się nowa informacja — i to administrator odpowiada za rozdźwięk.

Kto zostaje bez kolejki

Weryfikacja w bezpiecznedane.gov.pl wymaga zalogowania profilem zaufanym, aplikacją mObywatel, e-dowodem albo bankowością elektroniczną. Dla większości aktywnych zawodowo Polaków to formalność. Dla części pacjentów placówek objętych wyciekiem — starszych, mniej biegłych cyfrowo, korzystających z opieki zdrowotnej częściej niż przeciętny obywatel — może to być bariera nie do pokonania bez pomocy rodziny albo pracownika urzędu.

To nie jest wyłącznie problem serwisu rządowego. Każda organizacja planująca własny proces zawiadamiania osób po naruszeniu powinna założyć, że część adresatów nie skorzysta z cyfrowego kanału weryfikacji, niezależnie od tego, jak dobrze zaprojektowanego. Artykuł 34 RODO nie precyzuje formy komunikatu, ale w praktyce orzeczniczej i w wytycznych Europejskiej Rady Ochrony Danych przyjmuje się, że powinna ona być dostosowana do realnej możliwości dotarcia do odbiorcy — dla placówki medycznej oznacza to często telefon albo list, obok maila i SMS-a, oraz przygotowanie personelu rejestracji na pytania pacjentów, którzy usłyszeli o wycieku w telewizji, ale nie mają jak samodzielnie zweryfikować, czy dotyczy to akurat ich.

Zastrzeżenie PESEL jako tarcza, nie jako lekarstwo

Rekomendacja ministra cyfryzacji, żeby zastrzec numer PESEL przez mObywatel, padła jeszcze przed uruchomieniem wyszukiwarki w bezpiecznedane.gov.pl i była powtarzana konsekwentnie przez cały sierpień. Mechanizm zastrzeżenia, działający od czerwca 2024 roku na podstawie rejestru zastrzeżeń numerów PESEL prowadzonego przez ministra cyfryzacji, blokuje możliwość zaciągnięcia zobowiązania — kredytu, pożyczki, umowy leasingowej — na podstawie samego numeru bez dodatkowej weryfikacji tożsamości. To realna i skuteczna ochrona przed najbardziej kosztownym scenariuszem, czyli kradzieżą tożsamości finansowej.

Warto jednak wyraźnie oddzielić, przed czym zastrzeżenie chroni, a przed czym nie. Nie ukryje faktu, że dana osoba była pacjentką konkretnej przychodni ani jaki rodzaj leczenia otrzymywała — te informacje, jeśli znalazły się w wycieku, pozostają poza zasięgiem tego narzędzia. Nie zabezpiecza przed atakami socjotechnicznymi budowanymi na wrażliwych danych medycznych, w rodzaju wiadomości sugerującej dopłatę do konkretnej recepty albo konsultacji u lekarza, o której ofiara rzeczywiście wie, że miała miejsce. Administrator, który w komunikacie o naruszeniu poprzestaje na rekomendacji „zastrzeż PESEL" i sugeruje, że to wyczerpuje temat, popełnia ten sam błąd nadmiernego uspokajania odbiorcy, o którym mowa wyżej — tyle że w wersji jeszcze bardziej niebezpiecznej, bo dotyczy danych z artykułu 9 RODO, wymagających podwyższonego standardu ostrożności przy każdym elemencie komunikacji.

Rejestr informuje, ale nie zwalnia z niczego

Najważniejsze zdanie w całej sprawie nie pojawiło się w żadnym nagłówku. Komunikat towarzyszący danym na bezpiecznedane.gov.pl określa przekazanie informacji jako działanie prewencyjne, z uwagi na dobro obywateli, w sytuacji gdy służby nie potwierdziły jeszcze upublicznienia danych. To sformułowanie ma konsekwencje prawne, które łatwo przeoczyć w natłoku newsów o kolejkach i awariach.

Rządowy rejestr nie zastępuje obowiązku administratora danych wynikającego z artykułu 34 RODO. To dodatkowy, prewencyjny kanał informacyjny uruchomiony przez państwo w reakcji na skalę incydentu, nie substytut indywidualnego zawiadomienia, które musi wysłać administrator — w tym wypadku poszczególne placówki medyczne, jako podmioty przetwarzające dane swoich pacjentów, wobec których MyDr pełni rolę procesora w rozumieniu artykułu 4 punkt 8 RODO. Umieszczenie danych w rejestrze weryfikacyjnym nie zwalnia dwunastu tysięcy przychodni z obowiązku wysłania własnych, imiennych zawiadomień do pacjentów, których dotyczy naruszenie, zgodnie z ustaleniami, jakie Fib.Code opisywał już przy okazji kontroli UODO wobec MyDr. Rejestr może być narzędziem pomocniczym, punktem odniesienia, elementem dowodowym świadczącym o staranności — ale nie dokumentem zamykającym sprawę.

Dla mniejszych organizacji, które nie mają za sobą aparatu ministerstwa i portalu rządowego, płynie z tego jasna lekcja: jeśli kiedykolwiek dojdzie do własnego naruszenia, żadne zewnętrzne narzędzie — nawet gdyby powstało jutro odpowiedni polski odpowiednik serwisów w rodzaju Have I Been Pwned — nie zastąpi własnego, udokumentowanego procesu zawiadamiania osób, których dane dotyczą. Powoływanie się na fakt, że dane „są w rządowym rejestrze, więc ludzie mogą sprawdzić", nie jest wykonaniem obowiązku z artykułu 34. Jest jedynie gestem, który dobrze wygląda w komunikacie prasowym.

Ta sama zasada działa w drugą stronę przy dokumentowaniu naruszenia na własny użytek. Rejestr z artykułu 33 ustęp 5 RODO, który każdy administrator musi prowadzić niezależnie od tego, czy zgłosił naruszenie do organu nadzorczego, powinien odnotować także fakt skorzystania — albo nieskorzystania — z zewnętrznych kanałów w rodzaju bezpiecznedane.gov.pl, wraz z uzasadnieniem tej decyzji. Kontrolerzy UODO, sądząc po pytaniach zadanych w toku kontroli MyDr, coraz częściej interesują się nie tylko tym, co administrator zrobił, ale i tym, dlaczego zrobił to w taki, a nie inny sposób. Sama checklista bez uzasadnienia poszczególnych wyborów przestaje wystarczać.

Co mówi historia portalu o skali obecnego testu

Zanim doszło do MyDr, bezpiecznedane.gov.pl funkcjonowało w cieniu. Dziennikarze zajmujący się cyberbezpieczeństwem regularnie zwracali uwagę, że serwis aktualizuje się rzadko — czasem raz na pół roku — a jego zawartość ograniczona jest wyłącznie do danych możliwych do automatycznego pozyskania: plików tekstowych, arkuszy, baz danych, dokumentów PDF. Skany dokumentów urzędowych, zdjęcia dowodów osobistych czy faktur — częsty łup w atakach na polskie instytucje — pozostają poza zasięgiem wyszukiwarki, mimo że mogą posłużyć do kradzieży tożsamości równie skutecznie jak sam PESEL w formie tekstowej.

MyDr jest dla tej infrastruktury pierwszym prawdziwym testem obciążeniowym na skalę krajową. Wcześniejsze aktualizacje dotyczyły pojedynczych, stosunkowo niszowych wycieków — kilkadziesiąt tysięcy rekordów z jednego serwisu, nie dziewiętnaście milionów z tysięcy placówek jednocześnie. To, że system w ogóle wytrzymał nawał ruchu, wprowadzając kolejkę zamiast się załamać, można zaliczyć na plus. To, że potrzebował siedemnastu dni na przygotowanie danych tej skali, pokazuje różnicę między infrastrukturą zaprojektowaną do sporadycznej obsługi a infrastrukturą gotową na zdarzenie systemowe. Warto o tym pamiętać, projektując własne procedury reagowania: to, co sprawdza się przy pojedynczym zgłoszeniu, może zawieść przy zdarzeniu obejmującym tysiące osób jednocześnie, jeśli nikt wcześniej nie przetestował go pod pełnym obciążeniem.

Trzeci zegar biegnie niezależnie od kolejek

W tle całej sprawy MyDr tyka kalendarz, o którym Fib.Code przypomina w każdym niemal artykule ostatnich miesięcy, bo dotyczy praktycznie każdej organizacji w Polsce działającej w sektorach objętych nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Trzeciego października 2026 roku mija termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych — dla placówek ochrony zdrowia, ale też dla dostawców usług cyfrowych na ich rzecz, kategoria, w której MyDr się mieści. Podmiot, który do tego dnia nie dokona samoidentyfikacji i nie zgłosi się do rejestru, naraża swojego kierownika na odpowiedzialność osobistą wprowadzoną nowelizacją z 3 kwietnia 2026 roku, sięgającą do trzystu procent wynagrodzenia.

Ten zegar nie ma nic wspólnego z kolejką do bezpiecznedane.gov.pl ani z tempem prac CBZC. Biegnie niezależnie, a jego bieg nie zatrzymuje się, dopóki podmiot nie złoży wniosku o rejestrację. Dla organizacji śledzących sprawę MyDr z boku, jako ciekawostkę technologiczną, warto przypomnieć, że jest to również moment na sprawdzenie własnego statusu w rozumieniu UKSC — bo obowiązki zgłoszeniowe do CSIRT w razie własnego incydentu, z terminami dwudziestu czterech i siedemdziesięciu dwóch godzin oraz raportem końcowym w ciągu miesiąca, dotyczą każdego podmiotu wpisanego do wykazu, nie tylko dostawców systemów medycznych.

Co z tego wynika dla samorządu i mniejszej firmy

Żaden urząd gminy ani spółka komunalna nie zbuduje własnego odpowiednika bezpiecznedane.gov.pl, i nie taki jest cel tego artykułu. Chodzi o coś innego — o to, żeby lekcje z uruchomienia rządowej infrastruktury przełożyć na skromniejszy, ale realny plan reagowania na incydenty w organizacji, która nigdy nie stanie się bohaterem ogólnokrajowych nagłówków, ale prędzej czy później zderzy się z własnym naruszeniem ochrony danych.

Pięć elementów warto sprawdzić już teraz, zanim dojdzie do zdarzenia: czy organizacja ma przygotowany szablon zawiadomienia zgodny z artykułem 34 RODO, który nie obiecuje więcej, niż da się zweryfikować; czy kanał komunikacji z osobami poszkodowanymi — strona, infolinia, adres mailowy — wytrzyma nagły wzrost ruchu, a nie tylko pojedyncze zgłoszenia; czy istnieje procedura współpracy z organami ścigania, która dokumentuje każdą prośbę o wstrzymanie komunikatu, zamiast opierać się na ustnym porozumieniu; czy uwzględniono grupę odbiorców bez dostępu do kanałów cyfrowych; i czy ktokolwiek w organizacji wie, jaki jest jej status względem wykazu podmiotów kluczowych i ważnych po nowelizacji UKSC. Żadne z tych pytań nie wymaga budżetu porównywalnego z projektem rządowym. Wymaga jedynie, żeby ktoś zadał je przed incydentem, a nie w trakcie.

Ośrodek pomocy społecznej, który przechowuje wywiady środowiskowe i informacje o sytuacji rodzinnej mieszkańców, albo spółka wodociągowa gromadząca dane właścicieli nieruchomości i historię płatności, znajdują się w dokładnie tej samej pozycji co dwunastotysięczna sieć przychodni korzystających z MyDr — z tą różnicą, że nie mogą liczyć na rządowy portal weryfikacyjny obsługujący ich sektor ani na uwagę mediów ogólnokrajowych, która wymusza tempo reakcji. Mniejsza skala nie oznacza mniejszej odpowiedzialności prawnej; oznacza tylko, że nikt z zewnątrz nie przypomni o terminach za administratora. To on musi pamiętać sam, najlepiej zanim będzie musiał.

Dlaczego z Fib.Code

Fib.Code od miesięcy śledzi sprawę MyDr krok po kroku — od pierwszego komunikatu o włamaniu, przez wszczęcie kontroli przez Prezesa UODO, po dzisiejsze uruchomienie rządowego rejestru weryfikacyjnego. Ta ciągłość nie jest przypadkiem. Rozumienie pełnego cyklu życia dużego naruszenia — od wykrycia, przez zgłoszenie, po komunikację z osobami poszkodowanymi i konsekwencje regulacyjne — pozwala budować procedury, które sprawdzają się nie tylko w teorii audytu, ale w realnym, chaotycznym momencie, kiedy telefon dzwoni, a termin z artykułu 33 RODO już biegnie.

Nasze podejście opiera się na trzech zasadach. Po pierwsze, każdą procedurę reagowania na incydent testujemy pod kątem realnego obciążenia, nie tylko zgodności formalnej z checklistą. Po drugie, każdy szablon komunikatu do osób poszkodowanych przechodzi przez pytanie „czy to zdanie da się obronić za miesiąc, kiedy pojawią się nowe fakty" — dokładnie ta sama logika, która stoi za ostrożnym sformułowaniem na bezpiecznedane.gov.pl. Po trzecie, każdy klient wychodzi od nas ze świadomością własnego statusu wobec wykazu podmiotów kluczowych i ważnych, bo termin 3 października 2026 roku nie czeka na nikogo.

Efektem naszej pracy nie jest kolejny dokument w segregatorze, tylko działający plan reagowania na incydent — z gotowymi szablonami zawiadomień, sprawdzoną wydolnością kanałów komunikacji i jasnym podziałem ról, zanim jeszcze cokolwiek się wydarzy.

Co zrobić w tym tygodniu

Zanim tydzień się skończy, warto zrobić trzy rzeczy. Pierwsza: sprawdzić, czy organizacja ma choćby roboczą wersję zawiadomienia z artykułu 34 RODO, gotową do wypełnienia konkretnymi faktami, a nie pisaną od zera w środku kryzysu. Druga: zapytać osobę odpowiedzialną za IT lub bezpieczeństwo, czy strona internetowa i skrzynka kontaktowa organizacji przetrwałyby dzień z ruchem stukrotnie wyższym niż zwykle. Trzecia: ustalić, czy ktoś w organizacji wie, w jakim terminie i na jakich zasadach należy złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych — a jeśli nie wie nikt, umówić na to spotkanie, zanim zrobi to za nas kalendarz.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: Wyciek u MyDr — dostawca dokumentacji medycznej i dane pacjentów, Kontrola UODO w MyDr i zawiadomienia pacjentów przez 12 tysięcy placówek, Samoidentyfikacja NIS-2 — wpis do wykazu cyberbezpieczeństwa — trzy teksty, które razem pokazują pełny obraz obowiązków po dużym naruszeniu.