Interpelacja nr 19319

Ujawniony cyberatak na systemy firmy MyDr stworzył poważne zagrożenie dla bezpieczeństwa i prywatności milionów Polaków. Według dostępnych informacji wyciek może dotyczyć blisko 19 mln osób oraz obejmować numery PESEL, dane o lekach, receptach, wizytach lekarskich i stanie zdrowia pacjentów.

Z rozwiązań tej firmy korzystało około 12 tys. podmiotów medycznych, dlatego rzeczywiste skutki incydentu mogą mieć bezprecedensową skalę. Prezes Urzędu Ochrony Danych Osobowych rozpoczął kontrolę zabezpieczeń technicznych i organizacyjnych stosowanych przez spółkę, jednak dokładny zakres naruszenia nadal nie został ustalony. Skradzione informacje mogą zostać wykorzystane do tworzenia fałszywych dokumentów, kradzieży tożsamości oraz prowadzenia wiarygodnych prób wyłudzeń przez telefon, wiadomości SMS i pocztę elektroniczną.

Zastrzeżenie numeru PESEL ogranicza możliwość zaciągnięcia zobowiązania finansowego na cudze dane, ale nie chroni obywateli przed wszystkimi skutkami ujawnienia poufnych informacji medycznych. Tak poważny incydent rodzi uzasadnione pytania o skuteczność nadzoru państwa nad podmiotami przechowującymi dane wrażliwe oraz o przygotowanie administracji rządowej do reagowania na cyberataki.

1. Kiedy Ministerstwo Cyfryzacji po raz pierwszy otrzymało informację o możliwości wycieku danych z systemów MyDr i jakie działania podjęło w pierwszych godzinach po jej uzyskaniu?
2. Ilu obywateli faktycznie dotyczy naruszenie, jakie dokładnie kategorie danych zostały przejęte oraz kiedy każda z poszkodowanych osób zostanie o tym bezpośrednio poinformowana?
3. Czy przed cyberatakiem przeprowadzano kontrole lub audyty bezpieczeństwa systemów MyDr, a jeżeli tak, jakie były ich wyniki i czy stwierdzone nieprawidłowości zostały usunięte?
4. Jakie konkretne formy bezpłatnej ochrony, poza możliwością zastrzeżenia numeru PESEL, rząd zapewni osobom zagrożonym kradzieżą tożsamości, oszustwami finansowymi i szantażem z wykorzystaniem danych medycznych?
5. Kto poniesie odpowiedzialność za ewentualne zaniedbania oraz w jakim terminie ministerstwo przedstawi plan zmian prawnych i organizacyjnych, które mają zapobiec podobnym wyciekom w przyszłości?