Informacje na temat incydentu bezpieczeństwa danych MyDr
Szanowni Państwo, działając na podstawie art. 34 ust. 3 lit. c) RODO, Spectramed sp. z o.o. informuje, iż w związku z cyberatakiem na dostawcę systemu dokumentacji medycznej, MyDr sp. z o.o., doszło do nieuprawnionego dostępu do Państwa danych osobowych, przetwarzanych w systemie MyDr, w Spectramed sp. z o.o. prowadzi Państwa dokumentacja medyczną.
Co się stało?
W dniu 10 sierpnia 2026 r. dostawca naszego systemu dokumentacji medycznej MyDr sp. z o.o., poinformował o cyberataku będącym wynikiem celowego działania przestępczego, w efekcie którego doszło do nieuprawnionego dostępu do danych osobowych pacjentów przetwarzanych w systemie. Natomiast w dniu 3 września 2026 r. otrzymano potwierdzenie, iż naruszenie dotyczyło pacjentów placówki prowadzonej przez Spectramed sp. z o.o..
Jakie dane uległy naruszeniu?
Państwa dane, które mogły zostać naruszone w skutek cyberataku to imię, nazwisko, nr PESEL, dane kontaktowe, seria i numer dowodu osobistego oraz dane dotyczące zdrowia.
Czy coś mi grozi?
Pragniemy wskazać, że na aktualnym etapie nie jest możliwe określenie kręgu osób, który uzyskał dostęp do Państwa danych osobowych.
Jednocześnie w związku z wymogami Prezesa Urzędu Ochrony Danych Osobowych, jesteśmy zmuszeni poinformować, że naruszenie może skutkować:
- wykorzystaniem Państwa danych osobowych (imienia i nazwiska) do kradzieży tożsamości (np. do założenia konta na portalach internetowych),
- próbą podszycia się pod Państwa dane osobowe,
- uzyskania przez osoby trzecie, na szkodę osób, których dane naruszono, kredytów w instytucjach poza bankowych,
- możliwością dyskryminacji lub naruszenia Państwa dóbr osobistych ze względu na stan zdrowia.
Co mogę zrobić? Jakie środki proponuje administrator, by zaradzić naruszeniu?
Proponujemy Państwu:
- uważnie weryfikować korespondencję oraz telefony wpływające do Państwa,
- zastrzeżenie swojego nr PESEL w aplikacji mObywatel lub w swoim urzędzie gminy,
- skorzystanie z ochrony przewidzianej w art. 24 § 1 kodeksu cywilnego (ochrona dóbr osobistych).
Co zrobiła administrator?
Informujemy, że Spectramed sp. z o.o. jest w stałym kontakcie z dostawcą systemu MyDr. MyDr sp. z o.o., jako podmiot przetwarzający, w celu usunięcia skutków incydentu oraz zminimalizowania jego potencjalnych negatywnych konsekwencji podjął następujące działania:
- zgłosił incydent wyspecjalizowanej jednostce Policji, tj. Centralnemu Biuru Zwalczania Cyberprzestępczości (CBZC), i aktywnie z nią współpracuje;
- nawiązał współpracę z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, zespołem CSIRT NASK oraz CSIRT Centrum e- Zdrowia;
- nawiązał współpracę z Prezesem Urzędu Ochrony Danych Osobowych;
- przygotował dodatkowe funkcjonalności w systemie EDM MyDr, które przyśpieszą proces zawiadamiania pacjentów przez administratorów za pomocą maila lub SMS, jeśli takie dane kontaktowe administrator posiada.
Dodatkowo podmiot przetwarzający kontynuuje monitorowanie dostępnych źródeł internetowych w celu zweryfikowania, czy dane przetwarzane w systemie MyDr zostały ujawnione lub upublicznione przez nieuprawnioną osobę trzecią. Według stanu na dzień przekazania informacji o naruszeniu przez podmiot przetwarzający nie stwierdzono, aby dane objęte incydentem zostały opublikowane w Internecie lub w inny sposób publicznie udostępnione.
Potrzebuję więcej informacji. Co mam zrobić?
W przypadku potrzeby uzyskania dalszych wyjaśnień zachęcamy do kontaktu z administratorem danych osobowych pod adresem e-mail: spectramed.poradnia@gmail.com W związku z naruszeniem, które miało miejsce stworzono dedykowany, pojedynczy punkt kontaktowy dla pacjentów: dane@mydr.pl, aby odpowiadać na zadawane pytania dotyczące zakresu naruszenia. Urząd Ochrony Danych Osobowych potwierdził, iż możliwe jest skorzystanie ze wskazanego adresu mailowego MyDr jako punktu kontaktowego.
