W sobotę 8 sierpnia do redakcji Zaufanej Trzeciej Strony napisał ktoś, kto twierdził, że ma dane ponad osiemnastu milionów Polek i Polaków pochodzące z systemów medycznych. W poniedziałek 10 sierpnia o godzinie 15:00 spółka MyDr opublikowała na dedykowanej podstronie komunikat o „incydencie związanym z danymi", dotyczącym części jej systemów. O 18:30 Zaufana Trzecia Strona opisała sprawę wraz z materiałem dowodowym przekazanym przez sprawców. O 19:42 podchwycił ją CyberDefence24. Wieczorem głos zabrał wicepremier i minister cyfryzacji Krzysztof Gawkowski, pisząc, że „wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać dostęp" do danych.

We wtorek rano kierowniczka niewielkiej przychodni podstawowej opieki zdrowotnej pod Kaliszem otwiera skrzynkę, znajduje wiadomość od dostawcy oprogramowania z linkiem do listy najczęściej zadawanych pytań i orientuje się, że problem nie jest problemem dostawcy. Jest jej. To ona jest administratorem danych swoich pacjentów, to ona ma siedemdziesiąt dwie godziny i to ona będzie odpowiadać na pytanie, dlaczego nikogo nie zawiadomiła. A o skali incydentu wie dokładnie tyle, ile przeczytała w internecie.

Co wiadomo na pewno, a co jest twierdzeniem sprawców

Rozdzielenie tych dwóch warstw jest w tej sprawie ważniejsze niż zwykle, bo dokładnie na tej granicy przebiega linia odpowiedzialności prawnej. Potwierdzone jest to, że MyDr prowadzi postępowanie wyjaśniające, uruchomiła procedury reagowania, zaangażowała własne zespoły bezpieczeństwa, inżynierii i infrastruktury, współpracuje z zewnętrznymi ekspertami i doradcami prawnymi, powiadomiła organy ścigania oraz skontaktowała się z klientami. Potwierdzone jest również to, że sprawą zajmuje się administracja rządowa, a Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa publicznie uznał dostęp osoby nieuprawnionej za prawdopodobny.

Twierdzeniem sprawców — nie faktem ustalonym — jest liczba 18 814 422 unikatowych numerów PESEL i objętość 2,5 TB pobranych danych. Redakcja, która otrzymała materiały, uczciwie zaznaczyła, że nie ma możliwości zweryfikowania całej bazy, ale też że w tym zakresie, w jakim weryfikacja była możliwa, nie przyłapała rozmówców na żadnej niezgodności. Sprawdzone próbki się zgadzały: prawdziwy PESEL, prawdziwa data urodzenia, prawdziwe numery telefonu jednego z czołowych polityków, zgodny region Narodowego Funduszu Zdrowia. Przy wpisie widniała też recepta na konkretny lek.

MyDr to jeden z większych krajowych dostawców systemu elektronicznej dokumentacji medycznej, od 2023 roku należący do grupy Docplanner. Według danych podawanych przez samą spółkę jej systemy obsługują około trzech milionów wizyt i dwa miliony siedemset tysięcy recept miesięcznie. Nikt nie musi mieć konta w MyDr, żeby jego dane tam trafiły — wystarczy, że wprowadził je lekarz.

To nie jest wyciek jednej firmy, tylko suma tysięcy rejestrów

Liczba osiemnastu milionów robi wrażenie i właśnie dlatego jest myląca. Nie mówimy o bazie jednego podmiotu, który zebrał dane osiemnastu milionów osób na własny rachunek. Mówimy o technicznej sumie rejestrów prowadzonych przez tysiące odrębnych przychodni, gabinetów i centrów medycznych, z których każdy działa jako samodzielny administrator danych w rozumieniu art. 4 pkt 7 RODO, a dostawca oprogramowania jest wobec każdego z nich osobnym podmiotem przetwarzającym z art. 4 pkt 8.

Konsekwencja tej konstrukcji jest niewygodna dla wszystkich stron. Pacjent instynktownie szuka winnego tam, gdzie zaszła awaria, czyli u dostawcy. Prawo kieruje go gdzie indziej — do placówki, w której się leczył, bo to z nią łączy go relacja i to ona zdecydowała, komu powierzyć przetwarzanie. Dostawca odpowiada wobec organu za własne uchybienia z art. 32 RODO i wobec administratora za naruszenie umowy powierzenia, ale nie przejmuje obowiązków, które ustawodawca przypisał administratorowi.

W praktyce oznacza to sytuację, którą opisywaliśmy już przy okazji wycieku z systemu rezerwacyjnego Hotres: obowiązek istnieje, ma jednego bardzo konkretnego adresata i tysiąc egzemplarzy. Różnica polega na tym, że tam chodziło o rezerwacje noclegów, a tu o dokumentację medyczną.

Zegar tyka osobno w każdej przychodni

Art. 33 ust. 1 RODO daje administratorowi siedemdziesiąt dwie godziny na zgłoszenie naruszenia organowi nadzorczemu — liczone nie od zdarzenia, lecz od stwierdzenia naruszenia. Art. 33 ust. 2 nakłada na podmiot przetwarzający obowiązek zgłoszenia naruszenia administratorowi bez zbędnej zwłoki. Te dwa przepisy tworzą łańcuch, w którym punkt zapłonu dla przychodni to moment, w którym otrzymała ona wiarygodną informację od dostawcy albo powzięła ją z innego źródła i miała rozsądną możliwość jej wstępnej weryfikacji.

Motyw 87 preambuły oraz wytyczne Europejskiej Rady Ochrony Danych nr 9/2022 rozstrzygają wątpliwość, którą w poniedziałek wieczorem miała pewnie połowa polskich menedżerów placówek: czy trzeba zgłaszać coś, czego się jeszcze nie zna. Trzeba. Stwierdzenie naruszenia nie wymaga ustalenia jego pełnego zakresu, wymaga rozsądnego stopnia pewności, że doszło do zdarzenia bezpieczeństwa dotykającego danych osobowych. Art. 33 ust. 4 pozwala udzielać informacji sukcesywnie, w miarę ich pozyskiwania, i to jest właściwa ścieżka — nie oczekiwanie na komunikat, który wyjaśni wszystko.

Najgorszym z możliwych wyborów jest wybór trzeci: zaczekać, aż dostawca poda ostateczne liczby, a potem zgłosić wszystko naraz z opóźnieniem tygodniowym. Organ oceniając sprawę zobaczy datę pierwszej publikacji prasowej, datę maila od dostawcy i datę zgłoszenia, a różnica między nimi będzie jedyną liczbą, której nikt nie będzie kwestionował.

Osobnego rozstrzygnięcia wymaga sytuacja, w której placówka o incydencie dowiaduje się z prasy, a nie od dostawcy. Formalnie doniesienie medialne nie jest jeszcze stwierdzeniem naruszenia, bo administrator ma prawo do krótkiego, proporcjonalnego okresu weryfikacji. Ten okres liczy się jednak w godzinach, nie w dniach, i musi być czymś wypełniony — mailem do dostawcy z żądaniem stanowiska, notatką z rozmowy telefonicznej, wpisem w rejestrze wewnętrznym. Wtedy data pierwszej publikacji przestaje być dowodem bezczynności, a staje się początkiem udokumentowanego procesu. Rejestr naruszeń z art. 33 ust. 5 prowadzi się także dla zdarzeń, których ostatecznie nie zgłoszono — z uzasadnieniem decyzji.

Recepta nie jest „podstawową daną osobową"

W komunikatach kryzysowych powtarza się formuła o „podstawowych danych osobowych" — imieniu, nazwisku, adresie, numerze PESEL. W kontekście medycznym ta formuła jest nie tylko nieprecyzyjna, ale prawnie ryzykowna. Informacja o tym, że konkretna osoba była pacjentem konkretnej poradni, sama w sobie stanowi daną dotyczącą zdrowia w rozumieniu art. 4 pkt 15 i podlega art. 9 ust. 1 RODO. Nazwa poradni bywa diagnozą. Nazwa leku bywa diagnozą precyzyjniejszą niż zapis w dokumentacji.

Ma to bezpośrednie przełożenie na art. 34 RODO, czyli zawiadomienie osób, których dane dotyczą. Próg jest tam wyższy niż przy zgłoszeniu do organu — wymagane jest wysokie ryzyko naruszenia praw lub wolności. Przy zestawie zawierającym PESEL, dane kontaktowe i informację o leczeniu ten próg jest w praktyce przekroczony, i to z dwóch niezależnych powodów jednocześnie: PESEL wraz z danymi identyfikacyjnymi otwiera drogę do kradzieży tożsamości i wyłudzeń kredytowych, a informacja o zdrowiu otwiera drogę do dyskryminacji, szantażu i bardzo skutecznego phishingu.

Ten drugi wektor jest zwykle niedoceniany. Wiadomość, która trafnie podaje nazwę przychodni, datę wizyty i przepisany lek, jest praktycznie nie do odróżnienia od komunikacji rzeczywistej. Przy wycieku z Hotresu oszuści zaczęli pisać do gości hoteli w ciągu kilku dni. W ochronie zdrowia zaufanie odbiorcy jest wyższe, a więc i skuteczność takich prób będzie wyższa.

Od certyfikatu do repozytorium — anatomia wejścia

Według relacji sprawców przekazanej redakcji, wejście zaczęło się od podatności typu XXE, czyli nadużycia zewnętrznych encji XML, przy obsłudze certyfikatów w formacie PKCS#12. To pozwoliło na zdalne wykonanie kodu. Kod dał dostęp do klucza API do GitHuba, klucz do repozytoriów z kodem źródłowym serwisu, a kod źródłowy — do infrastruktury w Amazon Web Services. Sprawcy wymieniają także pełny dostęp do Jiry oraz do HubSpot CRM, a jako dowód pokazali SMS wysłany do pracowników spółki z jej własnego konta w bramce SMSApi.

Ten łańcuch jest wart uwagi, bo ani jeden jego element nie jest egzotyczny. XXE to podatność opisana w OWASP od kilkunastu lat, występująca wszędzie tam, gdzie parser XML domyślnie rozwija encje zewnętrzne, a obsługa kontenerów PKCS#12 to w polskiej ochronie zdrowia funkcja codzienna — na certyfikatach opiera się podpisywanie dokumentacji i komunikacja z systemem P1. Dalej powtarza się schemat, który opisywaliśmy tydzień temu przy ataku na Żabkę: jeden klucz otwiera całą półkę, systemy o pozornie niskiej krytyczności okazują się magazynem poświadczeń, a repozytorium kodu zamienia się w mapę produkcji.

W normie ISO/IEC 27001:2022 odpowiadają temu zabezpieczenia, które łatwo wymienić i trudno utrzymać: A.5.17 dla informacji uwierzytelniających, A.8.9 dla zarządzania konfiguracją, A.8.28 dla bezpiecznego kodowania oraz A.8.16 dla monitorowania. Prawdziwym testem nie jest ich obecność w deklaracji stosowania, tylko odpowiedź na jedno pytanie: ile godzin zajęłaby wam dziś rotacja wszystkich kluczy API znajdujących się w waszych repozytoriach — i czy w ogóle wiecie, ile ich tam jest.

Pięć dni ciszy i to, co o nich mówi art. 28

Sprawcy pokazali zrzut wiadomości, którą według ich relacji wysłali 5 sierpnia do prezesa spółki będącej właścicielem platformy. Komunikat publiczny ukazał się 10 sierpnia o 15:00. Jeżeli obie daty są prawdziwe, między pierwszym sygnałem a poinformowaniem rynku upłynęło pięć dni. Nie przesądzamy, kiedy dokładnie spółka uznała zgłoszenie za wiarygodne — sama odmówiła podania dat na czas trwania postępowania, co jest zrozumiałe. Ale dla administratorów ten odcinek czasu ma znaczenie zupełnie praktyczne, bo w tym oknie nie wiedzieli o niczym, a ich obowiązki już istniały.

Tu wracamy do umowy powierzenia i do art. 28 ust. 3 lit. f RODO, który zobowiązuje przetwarzającego do pomocy administratorowi w wywiązaniu się z obowiązków z art. 32–36. W większości umów, jakie widujemy w placówkach medycznych, przepis ten jest przepisany dosłownie i na tym się kończy. Skutek jest przewidywalny: obowiązek istnieje, ale nie ma terminu, formy, kanału ani osoby.

Dobra klauzula wygląda inaczej i mieści się w trzech zdaniach. Przetwarzający zawiadamia administratora o naruszeniu w ciągu dwudziestu czterech godzin od jego stwierdzenia, na wskazany adres i telefon, nie czekając na ustalenie zakresu. Zawiadomienie zawiera minimum informacji wymagane przez art. 33 ust. 3 w takim kształcie, w jakim są one dostępne, oraz osobę kontaktową po stronie przetwarzającego. Do czasu zamknięcia sprawy przetwarzający przekazuje aktualizacje nie rzadziej niż raz na dobę. Jeżeli tego nie ma w umowie, w dniu zdarzenia nie da się już tego dopisać.

„Oferta zakupu wyników audytu" i PESEL zamiast hasła

Osobno warto odnotować język, jakim posłużyli się sprawcy. Wiadomość do prezesa zawierała link do dokumentu PDF przedstawiającego całość jako ofertę zakupu wyników audytu bezpieczeństwa. To nie jest niewinny eufemizm ani żart, tylko coraz częstsza próba przebrania wymuszenia w kostium usługi — z założeniem, że decydent, który boi się słowa „okup", łatwiej podpisze fakturę za „audyt". Nazwanie tego po imieniu jest pierwszym zadaniem osoby, która taką wiadomość odbierze, i powinno znaleźć się w procedurze reagowania obok telefonu do prawnika.

Detal, który w tej historii boli najbardziej, dotyczy zabezpieczenia tego dokumentu. Plik chroniony był hasłem, a hasłem — jak sami wskazali sprawcy — był numer PESEL prezesa. Redakcja otworzyła go bez trudu, bo PESEL ma niską entropię: data urodzenia zawęża pole do kilkunastu tysięcy kombinacji, a suma kontrolna eliminuje większość z nich. Dokładnie ta sama arytmetyka działa w drugą stronę i jest powodem, dla którego wyciek numerów PESEL wraz z danymi kontaktowymi jest tak dotkliwy. Numer, którego nie da się zmienić, i który jednocześnie służy w Polsce jako identyfikator, hasło i dowód tożsamości naraz, po ujawnieniu zostaje ujawniony na zawsze.

Nie warto natomiast tracić czasu na zgadywanie, kto stoi za incydentem. Sprawcy komunikują się po angielsku, uśmiechają się po rosyjsku i piszą stylem, który wygląda na celowo spreparowany. Atrybucja jest zadaniem służb, a nie administratora danych — ten ma zupełnie inne rzeczy do zrobienia i bardzo mało czasu.

Marzec 2024: Medily, Aurero i czterdzieści klinik

Ta sytuacja miała już w Polsce próbę generalną, tylko w mniejszej skali. W marcu 2024 roku w spółce Medily, dostawcy oprogramowania Aurero, doszło do incydentu, w wyniku którego na forum w sieci TOR opublikowano dane pacjentów z lat 2019–2021. Wrocławskie DCG Centrum Medyczne dowiedziało się o wszystkim od CERT Polska. Później okazało się, że wyciek objął czterdzieści placówek, a dane pacjentów wrocławskiej kliniki stanowiły niecałe trzydzieści procent całości. Prezes UODO Mirosław Wróblewski zapowiedział podjęcie działań.

Najciekawszy jest jednak nie sam wyciek, lecz jego przyczyna prawna. DCG zakończyło współpracę z dostawcą 31 stycznia 2021 roku. Kopie zapasowe danych powierzonych miały zostać usunięte niezwłocznie po rozwiązaniu umowy i nie zostały usunięte. O tym, że dostawca wciąż je przechowuje, administrator dowiedział się dopiero ze zgłoszenia incydentu — trzy lata później. Wyciekły dane ze środowiska testowego, czyli z miejsca, którego w ogóle nie powinny były zobaczyć.

Art. 28 ust. 3 lit. g RODO nakazuje przetwarzającemu usunąć lub zwrócić dane po zakończeniu świadczenia usług. Zabezpieczenie A.8.10 normy ISO/IEC 27001 mówi to samo językiem technicznym. Oba zapisy dzieli od rzeczywistości jedna czynność, której prawie nikt nie wykonuje: pisemne potwierdzenie usunięcia, z datą, zakresem i podpisem, odebrane w ciągu trzydziestu dni od rozwiązania umowy i wpięte do dokumentacji. Warto sprawdzić, czy w waszej szafie leży taki dokument od każdego dostawcy, z którym rozstaliście się w ostatnich pięciu latach.

Gdzie w tym wszystkim jest NIS-2

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 roku, a termin na samoidentyfikację i złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych upływa 3 października 2026 roku. Ochrona zdrowia jest w niej sektorem kluczowym, ale kwalifikacja zależy od wielkości podmiotu — duży szpital wpada w reżim ustawy niemal automatycznie, a przychodnia POZ zatrudniająca dwanaście osób najczęściej nie. Dostawcy usług zarządzanych w zakresie technologii informacyjno-komunikacyjnych figurują w wykazie osobno, w ramach infrastruktury cyfrowej.

Z tego wynika asymetria, którą trzeba zrozumieć, zanim zacznie się cytować przepisy. Podmiot spoza wykazu nie ma obowiązków z ustawy, ale nadal ma pełne obowiązki z RODO. Podmiot w wykazie ma dwa zegary naraz: siedemdziesiąt dwie godziny na zgłoszenie naruszenia ochrony danych do Prezesa UODO oraz oddzielną, szybszą ścieżkę zgłoszenia incydentu poważnego do właściwego zespołu CSIRT, z wczesnym ostrzeżeniem w ciągu dwudziestu czterech godzin, zgłoszeniem właściwym w ciągu siedemdziesięciu dwóch i raportem końcowym w ciągu miesiąca. To dwa różne postępowania, dwa różne formularze i dwa różne kryteria, choć zdarzenie jest jedno.

Ustawa nakłada też obowiązek zapewnienia bezpieczeństwa łańcucha dostaw, zawężony przez polskiego ustawodawcę do dostawców produktów, usług i procesów ICT. Dostawca systemu do prowadzenia dokumentacji medycznej mieści się w tej definicji bez cienia wątpliwości. Nie chodzi przy tym o audytowanie każdego podwykonawcy, tylko o coś prostszego i rzadziej robionego: o umiejętność odpowiedzenia w piętnaście minut na pytanie, którzy dostawcy mają dostęp do danych pacjentów, na jakiej podstawie i jak was powiadomią, gdy u nich coś się stanie.

Termin 3 października 2026 roku bywa przy okazji takich zdarzeń przypominany jak formalność do odhaczenia, a jest czymś więcej. Wpis do wykazu nie jest nagrodą ani karą — jest deklaracją, że podmiot rozumie, w jakim reżimie działa. Zdarzenie u dostawcy jest dobrym momentem, żeby tę deklarację przemyśleć, bo wielu menedżerów placówek dopiero teraz sprawdzi, czy próg wielkości ich dotyczy. Warto przy tym pamiętać o kryteriach dodatkowych: podmiot niespełniający progu wielkości może i tak zostać objęty ustawą, jeżeli jest jedynym w regionie dostawcą określonej usługi albo zakłócenie jego działalności miałoby istotny wpływ na zdrowie publiczne. Dla wielu szpitali powiatowych i sieci przychodni to nie jest przypadek teoretyczny.

Skala problemu w liczbach, które warto zapamiętać

Sektorowy Zespół Cyberbezpieczeństwa CSIRT Centrum e-Zdrowia zarejestrował 1028 zdarzeń w 2024 roku i 1441 w roku 2025. Sam rok 2026 dostarczył serii, której nikt nie potrzebował: marcowe ataki na Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie i na Bonifraterskie Centrum Medyczne, lipcowy atak ransomware na spółkę PaKK-MED prowadzącą cztery placówki podstawowej opieki zdrowotnej w Trzebiatowie oraz w powiecie kołobrzeskim, a teraz incydent u dostawcy oprogramowania obsługującego tysiące gabinetów.

Warto zapamiętać jedno zdanie rzecznika szczecińskiego szpitala, wypowiedziane trzy tygodnie po ataku: placówka nie prowadziła wówczas rejestracji do poradni specjalistycznych poza pacjentami z kartą DILO, część lekarzy nie mogła wystawiać recept ani zwolnień, a szpital nie miał dostępu do znacznej części danych medycznych swoich pacjentów. Konfiguracja ponad tysiąca komputerów zajęła tygodnie. To jest realny koszt incydentu w ochronie zdrowia i nie mierzy się go wysokością kary.

Kary też jednak bywają. Prezes UODO nałożył 66 500 zł na Uniwersytecki Dziecięcy Szpital Kliniczny imienia Ludwika Zamenhofa w Białymstoku za niewdrożenie odpowiednich środków technicznych i organizacyjnych po incydencie, który zablokował część zasobów placówki. Kwota nie powala, ale uzasadnienie tak: organ ukarał nie za to, że doszło do ataku, lecz za to, jak placówka była do niego przygotowana.

Dlaczego z Fib.Code przy incydencie u dostawcy

Pracujemy jako inspektorzy ochrony danych i pełnomocnicy do spraw bezpieczeństwa informacji w podmiotach, w których jednego dnia trzeba napisać zgłoszenie do organu, a drugiego wytłumaczyć zarządowi, dlaczego umowa sprzed czterech lat nie chroni przed niczym. Prowadzimy audyty zgodności z RODO, wdrożenia i audyty ISO/IEC 27001 oraz ISO 22301, przygotowujemy podmioty do reżimu znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Sektor medyczny znamy od strony dokumentacji, systemu P1 i realiów gabinetu, w którym rejestratorka ma pięć minut na pacjenta.

Trzymamy się trzech zasad. Po pierwsze, dokument, którego nie da się użyć w dniu zdarzenia, nie jest dokumentem — jest kosztem. Po drugie, obowiązek bez terminu, adresata i kanału to obowiązek pozorny, i tak samo ocenia go organ. Po trzecie, zgodność mierzy się dowodami, a nie deklaracjami: potwierdzeniem usunięcia danych, logiem z rotacji kluczy, protokołem z testu odtworzenia kopii.

Efektem współpracy nie jest segregator. Jest nim rejestr systemów zewnętrznych przetwarzających dane pacjentów, komplet klauzul z art. 28 z realnymi terminami, gotowe do wypełnienia szablony zgłoszenia do Prezesa UODO i zawiadomienia pacjentów oraz przećwiczona ścieżka decyzyjna, w której wiadomo, kto podpisuje i o której godzinie.

Co zrobić w tym tygodniu z dostawcą dokumentacji medycznej

Zwołajcie jedno spotkanie na czterdzieści pięć minut, w składzie: kierownik placówki, inspektor ochrony danych, osoba odpowiedzialna za informatykę. Odpowiedzcie na pięć pytań i zapiszcie odpowiedzi z datą. Pierwsze — czy nasz system dokumentacji medycznej należy do dostawcy dotkniętego incydentem, a jeśli tak, o której godzinie i jakim kanałem dostaliśmy od niego informację. Drugie — czy uruchomiliśmy siedemdziesięciodwugodzinny bieg terminu z art. 33 i kto pilnuje zegara. Trzecie — czy nasza umowa powierzenia zawiera konkretny termin powiadomienia nas o naruszeniu, czy tylko formułę „bez zbędnej zwłoki".

Czwarte pytanie dotyczy przeszłości: od ilu dostawców, z którymi rozstaliśmy się w ostatnich pięciu latach, mamy pisemne potwierdzenie usunięcia danych. Piąte dotyczy jutra: czy mamy przygotowaną treść zawiadomienia pacjentów w rozumieniu art. 34 RODO, napisaną prostym językiem, i czy wiemy, jak fizycznie dotrzeć do osób, których adresów e-mail nie mamy. Jeżeli na cztery z tych pięciu pytań odpowiedź brzmi „trzeba sprawdzić", to jest właśnie wynik audytu i nie potrzebujecie żadnego innego.

Nie czekajcie na komunikat, który wyjaśni wszystko. On przyjdzie za tydzień albo za miesiąc, a wasze terminy biegną od dzisiaj.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: wyciek z Hotresu i granica między administratorem a procesorem, kara UODO dla DPD i anatomia umowy powierzenia, atak na Żabkę, czyli jeden klucz do osiemdziesięciu dziewięciu repozytoriów oraz kontrola sektorowa UODO w podmiotach leczniczych — cztery odsłony tego samego problemu: dane są u kogoś innego, a odpowiedzialność zostaje u was.