Dochodzi do wycieku danych z systemów MyDr, dostawcy Elektronicznej Dokumentacji Medycznej dla placówek medycznych, i dotyka blisko 19 milionów Polaków. Pacjenci nie wiedzą, co konkretnie mogło zostać wykradzione ani upublicznione. Takiej wiedzy nie mają też poradnie i gabinety. Informacje, które miały być jedną z najważniejszych w medycynie cyfrowej, trafiają na listy mailowe i do skrzynek, które rzadko wiedzą, co robić dalej.
W praktyce oznacza to chaos. Pacjent nie wie, czy jego dane zostały naruszone, jakie to mogło mieć konsekwencje i czy trzeba podejmować specjalne kroki. Zamiast spokojnego procesu informacyjnego mamy lawinę maili, które przychodzą z każdej strony. Prawnicy mówią o ryzyku, a sami lekarze i kliniki czują się przytłoczeni.
"Bombardowanie lekarzy i klinik e-mailami prowadzi do chaosu". To zdanie nie pochodzi z opowieści bajkowej, lecz z ust ekspertki zajmującej się ochroną danych. Brak jasnych komunikatów, brak spójnych wytycznych i szybkie żądania odszkodowań tworzą mieszankę, która potrafi sparaliżować nawet najlepiej zorganizowany ośrodek medyczny.
Skala zagrożenia i to, co to znaczy dla pacjentów
Gdy mówimy o blisko 19 milionach osób, mówimy o realnym ryzyku. Dane mogą obejmować imię i nazwisko, numer PESEL, dane kontaktowe, a także informacje o stanie zdrowia. Do tej pory placówki i poradnie nie mają pewności, które dane dokładnie zostały udostępnione lub wykradzione. Ten brak pewności generuje pytania, na które nie ma łatwych odpowiedzi. Wyobraź sobie sytuację, w której twoje dane medyczne zaczynają krążyć w sieci bez twojej zgody. Nie chodzi tylko o to, że ktoś zna twoje imię i nazwisko. To także możliwość fałszywych kontaktów, wyłudzania informacji, a w skrajnym wypadku kradzieży tożsamości.
Skala jest tak duża, że dotyczy także placówek medycznych, które same nie wiedzą, co mogło wyciec. Zjawisko to wymusza na nich szybkie, klarowne komunikaty i powiadamianie pacjentów.
Jak placówki i prawnicy reagują na chaos komunikacyjny
W praktyce obserwujemy dwa bieguny. Z jednej strony próby zorganizowania informacji, z drugiej strony bombardowanie komunikatów, które zaczynają sumować się w chaos. Lekarze i kliniki dostają setki e-maili od pacjentów, którzy oczekują wyjaśnień, a z drugiej strony pojawiają się wiadomości o żądaniach odszkodowań. W wielu przypadkach nie ma jasnych wytycznych, jak weryfikować autentyczność żądań i jak komunikować o incydencie w sposób, który nie wprowadza pacjentów w błąd.
W praktyce to oznacza, że każda placówka musi przygotować jednorodny przekaz informacyjny, który dotrze do pacjentów w sposób skodyfikowany i łatwy do zrozumienia. W przeciwnym razie ryzyko, że ktoś zostanie oszukany lub że pacjent straci zaufanie do systemu ochrony zdrowia, rośnie.
Ryzyko dla pacjentów i praktyczne kroki ochrony
Najważniejsze to świadomość. Jeśli masz podejrzenie, że twoje dane mogły zostać naruszone, nie zwlekaj. Zrób trzy rzeczy: po pierwsze, przeglądaj korespondencję z placówki i sprawdzaj, czy to, co otrzymujesz, pochodzi z wiarygodnego źródła. Po drugie, monitoruj swoją tożsamość i kredyty – w Polsce dostępne są biura informacji gospodarczej, które pozwalają na ustawienie alertów. Po trzecie, nie klikaj w podejrzane linki i nie odpowiadaj na maile proszące o dodatkowe dane. W razie wątpliwości skontaktuj się z placówką bezpośrednio telefonicznie lub przez oficjalną stronę.
Doświadczenie pokazuje, że wiele naruszeń zaczyna się od prostego e maila z linkiem prowadzącym do fałszywej strony. Prawidłowa odpowiedź brzmi: nie klikaj, nie podawaj danych w odpowiedzi na e mail, skontaktuj się z kliniką, która wysłała pierwszą informację. Policzenie, ile razy ktoś próbował skontaktować się z tobą i w jaki sposób, pomaga później w roszczeniach, jeśli takie się pojawią.
Kwestie prawne i rola ochrony danych
RODO nakłada na administratorów obowiązek powiadomienia organu ochrony danych i osób, których dane dotyczą, w terminie 72 godzin od stwierdzenia naruszenia. To wyzwanie dla wielu placówek. Brak jasnych procesów i niskie przygotowanie osobistego zespołu ds ochrony danych potrafią wydłużyć ten proces i utrudnić dotarcie do pacjentów. Jednym z efektów jest konieczność sporządzenia szczegółowych komunikatów o charakterze informacyjnym i instrukcjach postępowania, które pozwalają ograniczyć szkody.
Innymi słowy, to nie tylko problem techniczny. To także test organizacyjny: czy potrafisz zebrać dane kontaktowe do swoich pacjentów, czy potrafisz przekazać im rzetelną informację w sposób, który nie wprowadza paniki. To w tej chwili najważniejszy element całej układanki.
Co robić, jeśli padło żądanie odszkodowania
Jeżeli ktoś żąda odszkodowania, nie traktuj tego jako prosty nagłówek. Sprawdź autentyczność prośby, skontaktuj się z placówką i skonsultuj z prawnikiem specjalizującym się w ochronie danych. Nie płac, nie wysyłaj danych w odpowiedzi na e mail – to klasyczny schemat oszustwa. Cel jest prosty: wyłudzyć pieniądze lub dodatkowe dane. W praktyce działanie takie często kończy się utratą zaufania i poważnymi konsekwencjami.
Pacjenci powinni pamiętać, że żądanie odszkodowania nie musi pochodzić od placówki. Czasem może to być próba wyłudzenia, która udaje instytucję publiczną lub prywatną. Dlatego najważniejszym krokiem jest weryfikacja źródła – kontakt z oficjalnym numerem placówki i sprawdzenie, czy informacja pochodzi z zaufanego źródła.
Bombardowanie lekarzy i klinik e mailami prowadzi do chaosu
Źródło: prawniczka zajmująca się ochroną danych, cytowana w rozmowach z mediami. Jej uwagi podkreślają, że bez spójnych wytycznych każdy incydent rozlewa się na tysiące e maili, które nie prowadzą do rozwiązania sytuacji.
