13 sierpnia 2026 roku, godzina 16:02. Departament Komunikacji Społecznej Urzędu Ochrony Danych Osobowych publikuje komunikat numer 4540, podpisany przez Łukasza Kuligowskiego. Cztery akapity, ani jednego zdania więcej, niż trzeba. Prezes UODO postanowił przeprowadzić kontrolę w spółce MyDr — podmiocie przetwarzającym dane administrowane przez placówki medyczne, które są jej klientami. Kontrolerzy sprawdzą zastosowane środki techniczne i organizacyjne, ustalą, czy zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń, i zbadają, czy analiza ryzyka uwzględniała możliwe zagrożenia, a jej wyniki zostały zastosowane w praktyce.

Tego samego dnia, kilka godzin wcześniej, rzecznik urzędu potwierdził, że do UODO wpływają już pierwsze zgłoszenia naruszeń. Nie od MyDr. Od przychodni.

To rozróżnienie jest sednem całej sprawy i jednocześnie najczęściej mylonym elementem w komunikacji o incydencie, który dzień wcześniej wicepremier i minister cyfryzacji Krzysztof Gawkowski określił po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa jako wyciek obejmujący blisko dziewiętnaście milionów obywateli i ponad dwa terabajty danych. Premier Donald Tusk nazwał go publicznie „masywną rzeczą". Media piszą o wycieku z MyDr. Prawnie nie ma czegoś takiego jak wyciek z MyDr — jest dwanaście tysięcy odrębnych naruszeń ochrony danych osobowych, każde ze swoim administratorem, swoim zegarem i swoim obowiązkiem zawiadomienia pacjentów. Spółka, która padła ofiarą włamania, nie może wysłać ani jednego z tych zawiadomień w cudzym imieniu.

Napisaliśmy o anatomii samego incydentu tydzień temu, gdy zakres był jeszcze twierdzeniem sprawców. Od tamtej pory potwierdziło go państwo, prokuratura wszczęła dochodzenie, a organ nadzorczy ruszył z kontrolą. Zaczęła się część, o której mówi się najmniej, a która pochłonie najwięcej pracy i wygeneruje najwięcej ryzyka prawnego: dwanaście tysięcy zawiadomień.

Trzy pytania, które UODO zadaje spółce MyDr

Zakres kontroli opisany w komunikacie z 13 sierpnia wygląda na ogólnikowy tylko dla kogoś, kto nie czytał artykułu 32 RODO. W rzeczywistości to precyzyjna, trzypunktowa mapa dowodowa, którą warto potraktować jako gotowy formularz autoaudytu dla każdego dostawcy usług cyfrowych w Polsce.

Punkt pierwszy — zastosowane środki techniczne i organizacyjne — to bezpośrednio artykuł 32 ustęp 1. Organ nie zapyta, czy spółka „dbała o bezpieczeństwo", tylko jakie konkretne mechanizmy działały w dniu zdarzenia i jak ich dobór odnosił się do stanu wiedzy technicznej, kosztu wdrożenia oraz charakteru przetwarzanych danych. Przy danych o stanie zdrowia poprzeczka stoi najwyżej, jak RODO pozwala.

Punkt drugi — czy zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń — to artykuł 32 ustęp 1 litera d, przepis, który w polskich postępowaniach kontrolnych zamienił się w ostatnich dwóch latach w najskuteczniejsze narzędzie organu. Nie wystarczy mieć zabezpieczenie. Trzeba wykazać cykliczny proces jego weryfikacji, z datami, zakresem i wnioskami. Testy penetracyjne sprzed czterech lat, wykonane przed trzema przebudowami architektury, są dowodem obciążającym, nie odciążającym.

Punkt trzeci jest najostrzejszy. Kontrolerzy będą ustalać nie tylko, czy analiza ryzyka istniała i czy uwzględniała możliwe zagrożenia, ale też czy jej wyniki zostały zastosowane w praktyce. To pytanie rozstrzyga większość spraw jeszcze przed protokołem. Organizacja, która zidentyfikowała ryzyko, opisała je w rejestrze, przypisała mu wysoki poziom i nie wdrożyła żadnego środka zaradczego, sama sporządziła dokument potwierdzający, że wiedziała i nie zareagowała. Analiza ryzyka w segregatorze jest gorsza niż jej brak, bo dowodzi świadomości. Ten sam mechanizm rozstrzygnął sprawę Fortum i Pika, gdzie kara utrzymała się przed sądem właśnie dlatego, że ryzyko było znane.

Kontrola u procesora, odpowiedzialność u administratora

Prezes UODO kontroluje MyDr. To nie znaczy, że placówki medyczne mogą odetchnąć i zaczekać na wynik.

Artykuł 28 ustęp 1 RODO nakłada na administratora obowiązek korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Odpowiedzialność za wybór dostawcy nie przechodzi na dostawcę. Przychodnia, która podpisała umowę z systemem elektronicznej dokumentacji medycznej, odpowiada za to, na jakiej podstawie uznała, że ten system daje gwarancje — czy zapytała o certyfikat, o wyniki testów, o architekturę przechowywania, o lokalizację kopii zapasowych, czy też podpisała, bo cena była korzystna, a wdrożenie szybkie.

W praktyce rozstrzygnie się to na dowodach z okresu sprzed incydentu. Jeżeli placówka ma w dokumentacji wypełnioną ankietę bezpieczeństwa dostawcy, notatkę z weryfikacji, korespondencję z pytaniami o środki z artykułu 32, jej pozycja jest zupełnie inna niż placówki, która ma wyłącznie podpisaną umowę powierzenia z ogólnikową klauzulą. Dokładnie ten schemat opisaliśmy przy karze dla DPD Polska — organ nie badał tam, czy podwykonawca zawinił, tylko czy administrator sprawował nad nim realny nadzór.

W rozmowach z placówkami wraca ta sama nadzieja: skoro wina leży po stronie dostawcy, to kara też. Nie. Artykuł 82 RODO daje pacjentowi roszczenie odszkodowawcze wobec administratora, a artykuł 83 pozwala organowi ukarać administratora niezależnie od tego, co stanie się z procesorem. Dwa postępowania biegną równolegle i nie znoszą się wzajemnie.

Zawiadomienie z art. 34 to nie komunikat na stronie

Doktor Paweł Litwiński, adwokat i członek Społecznego Zespołu Ekspertów przy Prezesie UODO, wyłożył 13 sierpnia w rozmowie z Polską Agencją Prasową sekwencję, którą każda placówka powinna mieć dziś wydrukowaną i podpisaną przez kierownika.

MyDr jako podmiot przetwarzający ma obowiązek poinformować swoich klientów — placówki medyczne oraz lekarzy prowadzących jednoosobowe gabinety — o naruszeniu. Powinien przy tym przekazać, których pacjentów wyciek dotyczył i jakie konkretnie dane zostały naruszone: numer PESEL, adres, jednostkę chorobową. Dopiero od momentu otrzymania tej informacji placówka ma siedemdziesiąt dwie godziny na zgłoszenie naruszenia do UODO przez formularz dostępny na stronie urzędu. Równolegle administrator ocenia ryzyko dla pacjentów, przy czym — jak podkreśla Litwiński — w przypadku danych o zdrowiu przyjmuje się, że ryzyko jest wysokie. A wysokie ryzyko uruchamia artykuł 34 i obowiązek indywidualnego zawiadomienia każdej osoby, której dane wyciekły.

Tu pojawia się fragment, który w polskich placówkach będzie generował najwięcej błędów. RODO nie wyznacza sztywnego terminu w dniach ani godzinach — mówi „bez zbędnej zwłoki". Nie określa też formy. Placówka może wysłać SMS, e-mail albo list. Czego zrobić nie może: poprzestać na zamieszczeniu informacji na własnej stronie internetowej. Komunikat publiczny przewiduje wprawdzie artykuł 34 ustęp 3 litera c, ale wyłącznie wtedy, gdy zawiadomienie indywidualne wymagałoby niewspółmiernie dużego wysiłku. Przychodnia, która ma w systemie numery telefonów i adresy e-mail swoich pacjentów, bo używa ich rutynowo do przypominania o wizytach, nie przekona organu, że dotarcie do tych samych osób tym samym kanałem jest niewspółmiernym wysiłkiem.

Treść też nie jest dowolna. Pacjent musi dowiedzieć się z wiadomości trzech rzeczy: że doszło do wycieku jego danych osobowych, jakie mogą być tego negatywne konsekwencje i jak może im przeciwdziałać. Zawiadomienie ograniczone do pierwszego elementu — a takich w polskich incydentach widzieliśmy dziesiątki — nie wypełnia obowiązku.

Jak napisać SMS, którego pacjent nie weźmie za oszustwo

Jest w tej sprawie paradoks, którego artykuł 34 nie przewidział, a który zdecyduje o tym, czy zawiadomienia w ogóle zadziałają. Dwanaście tysięcy podmiotów medycznych ma w najbliższych tygodniach wysłać do dziewiętnastu milionów Polaków niespodziewane wiadomości SMS i e-mail dotyczące ich danych zdrowotnych. W tym samym czasie ci sami Polacy zostali ostrzeżeni przez media, ministra cyfryzacji i własne przychodnie, że mogą otrzymywać fałszywe wiadomości dotyczące ich danych zdrowotnych.

Prawidłowe zawiadomienie i atak phishingowy będą przez chwilę wyglądały identycznie. Jeżeli placówka nie zaprojektuje komunikatu z tą świadomością, wykona obowiązek prawny i nie osiągnie żadnego celu, bo pacjenci masowo uznają jej wiadomość za oszustwo — albo, co gorsze, przyzwyczają się klikać w linki w wiadomościach o wycieku.

Praktyka, którą stosujemy przy zawiadomieniach masowych, sprowadza się do kilku zasad. Wiadomość nie zawiera żadnego linku — ani pełnego, ani skróconego. Nie prosi o żadne dane, żadne potwierdzenie tożsamości, żadne logowanie i żadną płatność, a wprost zapowiada, że placówka o nic takiego nie poprosi. Wskazuje jeden numer telefonu i jeden adres, które pacjent może samodzielnie zweryfikować na stronie placówki albo w Rejestrze Podmiotów Wykonujących Działalność Leczniczą. Nadawca jest podpisany pełną nazwą podmiotu, tą samą, którą pacjent widzi na skierowaniu, a nie skrótem marketingowym. Ta sama, dosłownie identyczna treść zostaje opublikowana na stronie placówki i w poczekalni — nie zamiast zawiadomienia indywidualnego, lecz jako punkt odniesienia, do którego pacjent może porównać otrzymany SMS.

Personelowi rejestracji trzeba powiedzieć jedno, zanim ruszy wysyłka: przez najbliższe tygodnie telefon będzie dzwonił, bo pacjenci będą weryfikować, czy wiadomość jest prawdziwa. To nie jest obciążenie do zminimalizowania, tylko dowód, że komunikat zadziałał.

Druga fala: „proszę dopłacić do recepty"

Litwiński opisał scenariusze, które w innych krajach realizowały się po wyciekach danych medycznych z opóźnieniem liczonym w tygodniach. Osoba, która korzystała z poradni ortopedycznej, dostaje wiadomość z żądaniem dopłaty za ostatnią poradę u ortopedy. Ktoś inny — informację o konieczności dopłaty do refundacji leku, który faktycznie przyjmuje. Kwoty są niewielkie, właśnie dlatego, że mają nie wzbudzić podejrzeń.

To, co odróżnia tę falę od typowego phishingu, mieści się w jednym słowie: precyzja. Napastnik dysponujący treścią notatek z wizyt i informacją o wystawionych receptach nie musi zgadywać. Wie, do której poradni pacjent chodził, u kogo i po co. Standardowe wskazówki w rodzaju „uważaj na wiadomości od nieznanych nadawców" tracą sens, gdy wiadomość zawiera prawdziwą nazwę przychodni, prawdziwe nazwisko lekarza i prawdziwy lek.

Drugi scenariusz jest gorszy i placówki powinny się z nim zmierzyć w komunikacji, zamiast go przemilczeć. Wrażliwe informacje o leczeniu — psychiatrycznym, uzależnień, chorób zakaźnych, leczeniu niepłodności — nadają się do szantażu wobec konkretnej osoby. Nie chodzi o publikację bazy, tylko o pojedynczą wiadomość do pojedynczego człowieka, który zapłaci, żeby coś nie wyszło na jaw. Zawiadomienie z artykułu 34, które o tym ryzyku milczy, nie spełnia wymogu wskazania możliwych konsekwencji.

W części o przeciwdziałaniu warto podać pacjentowi trzy rzeczy konkretne: żeby zastrzegł numer PESEL w aplikacji mObywatel albo w urzędzie gminy, żeby nie realizował żadnych dopłat na podstawie SMS-a ani e-maila, oraz żeby sprawdzał informacje o wyciekach na rządowej stronie bezpiecznedane.gov.pl, którą minister cyfryzacji wskazał jako oficjalny punkt weryfikacji. Wicepremier Gawkowski poinformował 13 sierpnia, że skradzione dane nie znajdują się obecnie w przestrzeni publicznej ani nie zostały wystawione na sprzedaż — to dobra wiadomość na dziś i żadna gwarancja na jutro.

Zegar startuje od maila dostawcy, nie od włamania

Siedemdziesiąt dwie godziny z artykułu 33 ustęp 1 liczy się od stwierdzenia naruszenia przez administratora. Dla przychodni oznacza to moment, w którym MyDr przekaże jej informację, że dotyczy jej ono i w jakim zakresie. To jedyny parametr w całym łańcuchu, na który administrator nie ma żadnego wpływu w chwili incydentu — a więc jedyny, który trzeba było uregulować wcześniej, w umowie.

Placówka, która ma w umowie powierzenia zapis „podmiot przetwarzający poinformuje administratora bez zbędnej zwłoki", w praktyce nie ma niczego. Nie wie, czy dowie się po dwóch dniach, czy po dwóch tygodniach, a jej własny zegar zacznie biec dopiero wtedy. Placówka, która ma zapis „w terminie 24 godzin od stwierdzenia naruszenia, wraz z listą osób, których dane dotyczą, oraz kategorii danych objętych naruszeniem", ma umowne roszczenie i konkretną datę do wykazania przed organem.

Osobna sprawa to sytuacja, w której administrator wie już o incydencie z mediów, ale nie dostał jeszcze informacji od procesora — a to dokładnie stan, w jakim od 12 sierpnia znajduje się większość klientów MyDr. Motyw 87 preambuły RODO i wytyczne Europejskiej Rady Ochrony Danych numer 9/2022 nie pozostawiają tu miejsca na komfortowe oczekiwanie: administrator, który powziął wiarygodną wiadomość o możliwym naruszeniu, ma obowiązek niezwłocznie ustalić stan faktyczny. Godziny, nie dni.

Wyjściem z sytuacji, w której zegar biegnie, a wiedzy brakuje, jest artykuł 33 ustęp 4 — zgłoszenie etapowe. Wolno zgłosić naruszenie z informacjami, którymi się dysponuje, i uzupełniać je sukcesywnie, w miarę ustaleń. Wolno napisać, że liczba osób jest szacunkowa i zostanie doprecyzowana po otrzymaniu danych od podmiotu przetwarzającego. Nie wolno natomiast nie zgłosić niczego, tłumacząc się brakiem danych. Warto też pamiętać o ustępie 5: rejestr naruszeń prowadzi się także dla zdarzeń, których ostatecznie się nie zgłosiło, wraz z uzasadnieniem tej decyzji.

Jednoosobowy gabinet odpowiada tak samo jak szpital

W komunikatach o incydencie powtarza się liczba dwunastu tysięcy podmiotów leczniczych. Kryje się za nią bardzo różnorodny zbiór: duże sieci przychodni z działem prawnym i wyznaczonym inspektorem ochrony danych, szpitale powiatowe, ale też lekarze prowadzący jednoosobową praktykę zawodową, dla których cała administracja to oni sami i księgowa na fakturze.

RODO nie zna dla obowiązków z artykułów 33 i 34 żadnego progu wielkości. Lekarz, który przyjmuje w gabinecie trzy razy w tygodniu, jest administratorem danych swoich pacjentów w dokładnie tym samym stopniu co dyrektor szpitala klinicznego, z identycznym terminem siedemdziesięciu dwóch godzin i identycznym obowiązkiem indywidualnego zawiadomienia.

To nie jest teoria. Sprawa kancelarii podatkowej ukaranej w lipcu 2026 roku pokazała, że Prezes UODO nakłada kary na mikropodmioty i że argument o skromnych zasobach nie działa jako okoliczność wyłączająca. Wysokość kary bywa niższa, ale sam fakt naruszenia stwierdza się identycznie. Litwiński przypomniał zresztą, że sankcje wobec podmiotów, które zlekceważą obowiązki informacyjne, sięgają w skrajnych przypadkach dwudziestu milionów euro albo czterech procent rocznego obrotu — i że katalog środków zaczyna się od upomnienia, a nie od kary.

Wniosek dla praktyk jednoosobowych jest prosty: jeżeli nie ma wewnętrznych kompetencji, żeby przeprowadzić ocenę ryzyka, złożyć zgłoszenie i zaprojektować treść zawiadomienia, trzeba je kupić na zewnątrz w tym tygodniu, nie w przyszłym miesiącu.

Dochodzenie CBZC nie zatrzymuje terminów z RODO

14 sierpnia rzecznik Prokuratury Okręgowej w Warszawie, prokurator Piotr Antoni Skiba, poinformował, że jego jednostka nadzoruje prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości dochodzenie w sprawie wycieku. Kwalifikacja dotyczy uzyskania dostępu do systemu informatycznego MyDr i przechowywanych na serwerach informacji przez nieustaloną osobę, która wcześniej przełamała albo ominęła zabezpieczenia, a następnie ujawniła część uzyskanych informacji innym osobom, przesyłając wycinek danych do serwisu Zaufana Trzecia Strona. Zagrożenie ustawowe: do trzech lat pozbawienia wolności.

W praktyce oznacza to dwa tory, które trzeba wyraźnie rozdzielić w komunikacji wewnętrznej, bo bywają mylone przez kierownictwo placówek. Tor karny ustala, kto się włamał, i mierzy się w latach — sprawa ataków na polskie wodociągi, o której pisaliśmy cztery dni temu, toczy się od dwóch lat i została zawieszona, bo podejrzani przebywają poza zasięgiem polskiego wymiaru sprawiedliwości. Tor administracyjny ustala, czy administrator wykonał swoje obowiązki, i mierzy się w godzinach.

Żaden przepis nie zawiesza biegu terminów z artykułu 33 na czas postępowania karnego. Zdanie „czekamy na ustalenia prokuratury" nie jest podstawą prawną do wstrzymania zgłoszenia ani zawiadomienia pacjentów. Jest natomiast, jeśli padnie w protokole kontroli, dowodem na to, że administrator znał okoliczności i świadomie odłożył wykonanie obowiązku.

Trzeci zegar: 3 października i wykaz podmiotów UKSC

Dla większości przychodni, które w tym tygodniu po raz pierwszy od lat otwierają rozporządzenie ogólne o ochronie danych, jest jeszcze jeden termin — i jest bliżej, niż się wydaje.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 roku, obejmuje sektor ochrony zdrowia. Podmioty spełniające kryteria mają czas do 3 października 2026 roku na samoidentyfikację i złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych. Od dziś to czterdzieści sześć dni. Obok progu wielkości ustawa przewiduje kryteria dodatkowe, które w ochronie zdrowia potrafią wciągnąć do wykazu podmiot mniejszy, niż wynikałoby z samego zatrudnienia — na przykład wtedy, gdy jest jedynym świadczeniodawcą określonej usługi w regionie albo gdy zakłócenie jego działania miałoby wpływ na zdrowie publiczne. Mechanizm opisaliśmy szczegółowo w przewodniku po samoidentyfikacji.

Konsekwencja praktyczna jest taka, że podmiot wpisany do wykazu ma przy incydencie nie jeden zegar, lecz dwa. Obok siedemdziesięciu dwóch godzin na zgłoszenie do UODO biegnie dwadzieścia cztery godziny na wczesne ostrzeżenie do właściwego CSIRT-u, siedemdziesiąt dwie godziny na zgłoszenie incydentu poważnego i miesiąc na raport końcowy. Zgłoszenia idą innym kanałem, do innego organu i według innych kryteriów oceny. Do tego dochodzi zmiana, o której kierownicy podmiotów leczniczych dowiadują się zwykle najpóźniej: po 3 kwietnia odpowiedzialność za wykonanie obowiązków ustawowych jest odpowiedzialnością osobistą kierownika, a kara może sięgnąć trzystu procent jego wynagrodzenia.

Incydent w MyDr będzie dla wielu placówek pierwszym testem obu tych ścieżek naraz. Trudno wyobrazić sobie gorszy moment na odkrycie, że nikt w organizacji nie wie, kto zgłasza i dokąd.

Umowa powierzenia przepisana na godziny i listy

Kiedy opadnie kurz, zostanie jedna rzecz do naprawienia w każdej placówce medycznej w Polsce, niezależnie od tego, czy korzystała z MyDr, czy z któregokolwiek z kilkunastu konkurencyjnych systemów: umowa powierzenia przetwarzania.

Artykuł 28 ustęp 3 litera f zobowiązuje procesora do pomocy administratorowi w wywiązaniu się z obowiązków z artykułów 32–36. Ta klauzula bywa przepisywana z rozporządzenia słowo w słowo i w takiej postaci nie daje administratorowi nic, czego by nie miał z ustawy. Wartość powstaje dopiero wtedy, gdy zostanie przełożona na parametry.

Trzy z nich są nienegocjowalne. Pierwszy: termin powiadomienia administratora wyrażony w godzinach od stwierdzenia naruszenia przez procesora, nie zwrotem „bez zbędnej zwłoki". Drugi: obowiązek przekazania wraz z powiadomieniem listy osób, których dane dotyczą, oraz kategorii danych objętych naruszeniem — bez tego administrator fizycznie nie jest w stanie wykonać artykułu 34, choćby bardzo chciał. Trzeci: wskazanie imiennego punktu kontaktowego po stronie procesora, czynnego również poza godzinami pracy biura, bo incydenty rzadko wybierają wtorkowe przedpołudnie.

Do tego dochodzą dwie klauzule, które w polskich umowach z dostawcami oprogramowania medycznego bywają wykreślane jako „zbyt uciążliwe", a które mają w tej sprawie znaczenie rozstrzygające. Litera h daje administratorowi prawo do audytu i inspekcji u procesora — i to jest jedyne narzędzie pozwalające sprawdzić przed incydentem to, co UODO sprawdza w MyDr po nim. Litera g nakazuje po zakończeniu świadczenia usług usunięcie albo zwrot danych, wraz z usunięciem kopii; brak pisemnego potwierdzenia wykonania tego obowiązku zdecydował o karze w sprawie klinik korzystających z systemów Medily i Aurero. Ten sam wzorzec zresztą powtarza się poza ochroną zdrowia — w wycieku z systemu rezerwacji Hotres rolę dwunastu tysięcy przychodni odgrywały dwa tysiące obiektów noclegowych, a nieporozumienie co do tego, kto jest administratorem, było identyczne.

Dlaczego z Fib.Code przy zawiadomieniach po wycieku

Fib.Code prowadzi obsługę incydentów ochrony danych i bezpieczeństwa informacji dla podmiotów leczniczych, samorządów, spółek komunalnych i firm prywatnych. Łączymy trzy kompetencje, które w tej sprawie muszą działać razem: prawo ochrony danych z realnym doświadczeniem w postępowaniach przed Prezesem UODO, praktykę bezpieczeństwa informacji zgodną z ISO/IEC 27001 oraz umiejętność napisania komunikatu do pacjenta, który zostanie zrozumiany, a nie skasowany.

Pracujemy według trzech zasad. Pierwsza: zegar przed dokumentem — najpierw ustalamy, kiedy administrator stwierdził naruszenie i ile czasu realnie zostało, potem piszemy. Druga: zgłoszenie etapowe zamiast opóźnionej perfekcji — lepiej zgłosić z artykułu 33 ustęp 4 to, co wiadomo, i uzupełnić, niż spóźnić się z kompletem. Trzecia: zawiadomienie projektowane pod odbiorcę i pod przewidywalny atak następczy, nie pod audytora.

Produktem końcowym jest zamknięty pakiet: ocena ryzyka naruszenia z uzasadnieniem decyzji o zgłoszeniu lub jego braku, wypełniony formularz zgłoszenia do UODO, gotowe treści zawiadomień w trzech kanałach wraz z instrukcją dla rejestracji, wpis do rejestru naruszeń z artykułu 33 ustęp 5 oraz lista poprawek do umowy powierzenia, żeby przy następnym incydencie u dostawcy zegar nie zaczynał się od domysłów.

Co zrobić w tym tygodniu w placówce medycznej

Jedno spotkanie, maksymalnie godzina, kierownik podmiotu, inspektor ochrony danych albo osoba go zastępująca, osoba odpowiedzialna za systemy informatyczne i osoba kierująca rejestracją. Sześć pytań, na każde odpowiedź udokumentowana, nie pamięciowa.

Pierwsze: czy otrzymaliśmy od dostawcy systemu dokumentacji medycznej pisemną informację o naruszeniu, kiedy dokładnie, o której godzinie i czy zawierała listę osób oraz kategorie danych. Drugie: jeśli nie otrzymaliśmy, czy wystąpiliśmy do niego z pisemnym żądaniem i jaki termin wyznaczyliśmy. Trzecie: czy naruszenie zostało zgłoszone do Prezesa UODO, a jeśli tak — czy zgłoszenie jest etapowe i kto odpowiada za jego uzupełnienie. Czwarte: czy mamy gotową treść zawiadomienia dla pacjentów, czy przeszła weryfikację pod kątem podobieństwa do phishingu i czy wiemy, ilu pacjentów obejmie. Piąte: czy rejestracja dostała instrukcję na wypadek telefonów weryfikujących i czy wie, czego pacjentowi nie wolno powiedzieć. Szóste, kierowane wprost do kierownika: czy dopełniliśmy samoidentyfikacji i wniosku o wpis do wykazu podmiotów kluczowych i ważnych przed 3 października, i czy rozumiesz, że po 3 kwietnia to Twoje nazwisko odpowiada za odpowiedź na tamto pytanie.

Jeżeli przy którymkolwiek z nich zapada cisza, to nie jest sygnał do paniki, tylko do zapisania go w kalendarzu na najbliższe czterdzieści osiem godzin. Kontrola w MyDr potrwa miesiące i zakończy się rozstrzygnięciem dotyczącym jednej spółki. Zawiadomienia pacjentów wysyła się teraz i wysyła je dwanaście tysięcy administratorów, z których każdy odpowiada wyłącznie za siebie.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: incydent w MyDr i zegar z art. 33 w każdej przychodni, umowa powierzenia i kara UODO dla DPD, zarządzanie incydentami bezpieczeństwa w praktyce — razem układają się w komplet: co się stało u dostawcy, czego zabrakło w umowie i jak zbudować proces, żeby następnym razem nikt nie szukał odpowiedzi po godzinach.