UODO reaguje na wyciek danych w DCG Centrum Medyczne
Prezes Urzędu Ochrony Danych Osobowych bacznie obserwuje rozwój sytuacji dotyczącej incydentu związanego z wyciekiem danych pacjentów z wrocławskiej placówki DCG Centrum Medyczne. W związku z zaistniałym naruszeniem, organ nadzorczy planuje podjąć odpowiednie kroki w granicach swoich kompetencji, wynikających z ogólnego rozporządzenia o ochronie danych osobowych oraz z obowiązujących przepisów krajowych.
W tym tekście (3)
Pierwszy krok — kontakt z administratorem
Warto przypomnieć, że osoby, których dane osobowe zostały naruszone, powinny niezwłocznie skontaktować się z administratorem tych danych, czyli podmiotem odpowiedzialnym za ich przetwarzanie. Celem takiego kontaktu jest uzyskanie informacji o zakresie naruszenia, w tym o rodzaju danych, które mogły zostać ujawnione osobom nieuprawnionym lub skradzione.
Administrator danych, stwierdzając naruszenie ochrony danych osobowych, które niesie za sobą wysokie ryzyko dla praw i wolności osób fizycznych (np. ryzyko kradzieży tożsamości, strat finansowych, czy naruszenia tajemnic chronionych prawnie), ma obowiązek poinformować o tym fakcie poszkodowane osoby. Obowiązek ten nasila się, gdy wyciek dotyczy szczególnych kategorii danych osobowych, takich jak numer PESEL czy informacje dotyczące stanu zdrowia.
Informowanie osób dotkniętych naruszeniem o zaistniałym ryzyku, np. kradzieży tożsamości, jest kluczowe. Posiadając wiedzę o naruszeniu i potencjalnych zagrożeniach, mogą one podjąć niezbędne kroki w celu zabezpieczenia się przed dalszymi niebezpieczeństwami.
Jak się chronić?
Do takich środków zabezpieczających może należeć zarejestrowanie się w systemach informacji kredytowej i gospodarczej, co umożliwi monitorowanie własnej aktywności kredytowej. Ponadto, zaleca się zachowanie szczególnej ostrożności przy udostępnianiu danych osobowych przez Internet lub telefon. Dzięki temu można uniknąć sytuacji, w której osoby o nieuczciwych intencjach zdobędą dodatkowe informacje, ułatwiające im przeprowadzenie np. kradzieży tożsamości.
O które zdarzenie chodzi?
DCG Centrum Medyczne (dawniej Dolnośląskie Centrum Ginekologii i Zdrowia Rodziny) poinformowało o wycieku danych pacjentów spowodowanym nieautoryzowanym przechowywaniem przez procesora po zakończeniu umowy, a następnie kradzieżą danych przez hakerów i ich ujawnieniem na forum cyberprzestępczym.
Wyciek dotyczy danych osobowych, w tym imienia, nazwiska, płci, daty urodzenia, PESEL, adresu zamieszkania, e-maila i numeru telefonu.
Nie wyklucza się, że ujawnione mogły zostać również dane medyczne, w tym informacje o leczeniu i diagnostyce. Centrum zgłosiło przestępstwo do organów ścigania, a link z danymi został usunięty.
Ujawnione dane obejmują informacje do 2019 roku, w tym dane osobowe, informacje o wizytach, stan zdrowia oraz dane użytkowników i pracowników, ale nie zawierają dokumentów załączanych w systemie. Opublikowane pliki zostały usunięte z sieci.