Szanowni Państwo,

informujemy, że MyDr sp. z o.o., dostawca systemu elektronicznej dokumentacji medycznej MyDrEDM, z którego korzysta Hygge Clinic, poinformował o incydencie bezpieczeństwa dotyczącym danych osobowych przetwarzanych w tym systemie.

Zgodnie z informacjami przekazanymi przez MyDr, nieuprawniona osoba trzecia uzyskała dostęp do środowiska informatycznego MyDr, w wyniku czego doszło do nieuprawnionego skopiowania danych przetwarzanych w systemie MyDrEDM.

Według wyników analizy przeprowadzonej przez MyDr przy wsparciu ekspertów z zakresu analizy forensic, zbiór objęty incydentem zawierał dane znajdujące się w dokumentacji sprzed 12 kwietnia 2024 r., a w odniesieniu do ograniczonej liczby osób również dane zawarte w anulowanych skierowaniach po tej dacie.

Data 12 kwietnia 2024 r. określa zakres czasowy danych znajdujących się w zbiorze objętym incydentem – nie jest datą samego nieuprawnionego dostępu.

Kogo dotyczy incydent?

Incydent nie dotyczy wszystkich Pacjentów Hygge Clinic.

Na podstawie informacji przekazanych przez MyDr ustalono osoby, których dane zostały objęte naruszeniem. Osoby, dla których posiadamy elektroniczne dane kontaktowe, zostały indywidualnie powiadomione za pośrednictwem wiadomości e-mail lub SMS. W pozostałych przypadkach zawiadomienia przekazywane są z wykorzystaniem dostępnych danych kontaktowych.

Zakres naruszenia różni się w zależności od konkretnej osoby i może dotyczyć:

• Pacjentów, których dokumentacja medyczna została objęta incydentem;

• Pacjentów, których dokumentacja zawierała również dane przedstawiciela ustawowego albo osoby upoważnionej do wglądu do dokumentacji medycznej;

• osób, których dane zostały objęte incydentem w związku z anulowanymi skierowaniami.

Osoby, których dane zostały objęte naruszeniem, otrzymały lub otrzymują indywidualną informację dostosowaną do zakresu danych dotyczącego ich sytuacji.

Jakie dane mogły zostać objęte incydentem?

Zakres danych zależy od informacji znajdujących się w systemie w odniesieniu do konkretnej osoby.

W przypadku Pacjentów dane mogły obejmować w szczególności:

imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, dane dotyczące ubezpieczenia społecznego – jeżeli zostały podane – informacje dotyczące pracodawcy oraz inne dane umożliwiające identyfikację.

W przypadku części dokumentacji naruszenie mogło również obejmować dane przedstawicieli ustawowych Pacjentów lub osób upoważnionych do wglądu do dokumentacji medycznej, w tym imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL oraz informację o stopniu pokrewieństwa lub rodzaju relacji z Pacjentem – zależnie od zakresu danych znajdujących się w systemie.

Nie oznacza to, że wszystkie wskazane powyżej kategorie danych zostały objęte incydentem w odniesieniu do każdej osoby.

Jakie mogą być konsekwencje naruszenia?

Nieuprawnione pozyskanie danych osobowych może wiązać się w szczególności z ryzykiem:

• podszywania się pod osobę, której dane dotyczą;

• prób wyłudzenia danych, środków finansowych lub zawarcia zobowiązań z wykorzystaniem danych osobowych;

• prób wykorzystania numeru PESEL lub innych danych identyfikacyjnych;

• otrzymywania wiadomości phishingowych, podejrzanych wiadomości SMS lub telefonów;

• utraty kontroli nad własnymi danymi osobowymi;

• naruszenia poufności informacji dotyczących zdrowia;

• nieuprawnionego wykorzystania informacji znajdujących się w dokumentacji medycznej.

Ryzyka te mają charakter potencjalny i nie oznaczają, że w odniesieniu do konkretnej osoby doszło lub dojdzie do faktycznego wykorzystania jej danych.

Jakie informacje przekazał MyDr o aktualnym stanie bezpieczeństwa?

MyDr poinformował, że system MyDrEDM został zabezpieczony, incydent został opanowany, a przeprowadzona analiza nie wykazała dalszego nieuprawnionego dostępu do systemów.

Według informacji MyDr na dzień przekazania końcowego komunikatu nie wykryto również dowodów na publiczne ujawnienie danych objętych incydentem.

Brak wykrytych przypadków dalszego dostępu lub publicznego ujawnienia danych nie oznacza jednak, że można całkowicie wykluczyć ryzyko ich późniejszego bezprawnego wykorzystania.

Co powinni zrobić Pacjenci objęci incydentem?

Osobom, których dane zostały objęte incydentem, rekomendujemy przede wszystkim:

• zastrzeżenie numeru PESEL, jeżeli nie zostało ono jeszcze dokonane;

• zachowanie szczególnej ostrożności wobec wiadomości e-mail, SMS oraz telefonów pochodzących od nieznanych osób;

• nieprzekazywanie osobom trzecim haseł, kodów jednorazowych, danych logowania ani pełnego numeru PESEL;

• ostrożność wobec wiadomości zawierających linki lub żądania pilnego przekazania danych albo dokonania płatności;

• dokładne weryfikowanie prób zawierania umów lub zaciągania zobowiązań z wykorzystaniem danych osobowych;

• zwracanie szczególnej uwagi na każdą nietypową aktywność mogącą wskazywać na wykorzystanie danych bez wiedzy osoby, której dane dotyczą.

Jakie działania podjęła Hygge Medconcept sp. z o.o.?

Po uzyskaniu informacji o incydencie Hygge Medconcept sp. z o.o., jako administrator danych osobowych swoich Pacjentów, podjęła działania mające na celu ustalenie zakresu zdarzenia oraz ograniczenie jego możliwych konsekwencji.

W szczególności:

• naruszenie zostało zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych, a po otrzymaniu dalszych szczegółowych informacji od MyDr zgłoszenie zostało uzupełnione;

• o zdarzeniu powiadomiono również CERT;

• przeprowadzono ocenę ryzyka dla praw i wolności osób objętych naruszeniem;

• rozpoczęto i przeprowadzono indywidualne zawiadamianie osób, których dane zostały wskazane przez MyDr jako objęte incydentem;

• podjęto działania mające na celu dalszą weryfikację bezpieczeństwa przetwarzania danych przez podmiot przetwarzający.

Hygge Medconcept sp. z o.o. pozostaje administratorem danych osobowych Pacjentów i realizuje obowiązki wynikające z RODO niezależnie od działań podejmowanych przez MyDr.

Jakie działania podjął MyDr?

Zgodnie z informacjami przekazanymi przez MyDr, dostawca m.in.:

• opanował i zamknął incydent;

• wdrożył dodatkowe, ukierunkowane środki techniczne i organizacyjne mające przeciwdziałać podobnym zdarzeniom;

• zaangażował specjalistyczną firmę z zakresu cyberbezpieczeństwa do przeprowadzenia szczegółowej analizy;

• zgłosił zdarzenie Centralnemu Biuru Zwalczania Cyberprzestępczości;

• podjął współpracę m.in. z właściwymi instytucjami odpowiedzialnymi za cyberbezpieczeństwo i ochronę danych;

• prowadzi monitoring systemów oraz Internetu pod kątem ewentualnego ujawnienia danych.

Powyższe informacje przedstawiamy zgodnie z komunikatem przekazanym przez MyDr.

Dodatkowe informacje przygotowane przez MyDr

MyDr przygotował stronę zawierającą odpowiedzi na najczęściej zadawane pytania związane z incydentem:

https://pacjent.mydr.pl

MyDr wskazał również dedykowany adres e-mail dla osób fizycznych, których dane dotyczą, przeznaczony do pytań związanych z zakresem incydentu: [email protected]

Materiały MyDr mają charakter uzupełniający. W sprawach dotyczących Państwa danych osobowych oraz wykonywania praw wynikających z RODO Hygge Medconcept sp. z o.o. pozostaje administratorem danych osobowych.

Kontakt z Hygge Clinic

W przypadku pytań dotyczących działań podejmowanych przez Hygge Clinic, Państwa danych osobowych lub realizacji praw przysługujących na podstawie RODO prosimy o kontakt:

Hygge Medconcept sp. z o.o.
prowadząca podmiot leczniczy Hygge Clinic

e-mail: [email protected]

Osoby, które otrzymały od nas indywidualne zawiadomienie e-mail, SMS lub korespondencję, prosimy w pierwszej kolejności o zapoznanie się z jego treścią, ponieważ zawiera ono informacje odnoszące się do zakresu naruszenia właściwego dla danej osoby.

Hygge Medconcept sp. z o.o.
prowadząca podmiot leczniczy Hygge Clinic