TECHNOLOGIE

Cyberatak na MyDr: 19 mln PESEL-ów w rękach hakerów – rząd gotów zmienić prawo

Analiza

W lipcu tego roku świat mediów zdominował wyciek danych z systemu MyDr, dostawcy oprogramowania dla placówek ochrony zdrowia. Według potwierdzonych przez rząd informacji, cyberatak dotknął prawie 19 milionów Polaków, ujawniając nie tylko numery PESEL, ale także dane zdrowotne, adresy e-mail i numery telefonów. Skala incydentu jest bezprecedensowa – system MyDr obsługuje około 12 tysięcy podmiotów medycznych, realizując miesięcznie 3 miliony wizyt i wystawiając 2,7 miliona recept. Co więcej, wyciek z MyDr nie jest izolowanym przypadkiem. Aktualne tło wydarzeń pokazuje, że podobne zagrożenia narastają w sektorze zdrowia, gdzie firmy przetwarzające dane na masową skalę stają się atrakcyjnymi celami dla cyberprzestępców. Według wyciekłych wyników badań z ALAB, przeprowadzonych na próbce tysięcy Polaków, którzy oddali krew do analiz, widać wzrost niepokoju społecznego związany z bezpieczeństwem danych osobowych. Badania te, choć nie bezpośrednio powiązane z incydentem MyDr, potwierdzają rosnącą świadomość zagrożeń w obszarze ochrony informacji. Rząd, pod naciskiem opinii publicznej, przygotowuje zmiany prawne, które mają zwiększyć odpowiedzialność firm przetwarzających dane, nawet jeśli nie są ich formalnymi administratorami. Wiceminister cyfryzacji Dariusz Standerski zapowiedział, że nowelizacja przepisów zostanie przedstawiona w najbliższym tygodniu, jednak brak dotychczasowych szczegółów budzi obawy o skuteczność tych działań. Mechanizm działania systemu MyDr opiera się na modelu, w którym placówki medyczne są administratorami danych, a firma pełni rolę przetwarzającego. To właśnie ta szara strefa prawna staje się teraz przedmiotem krytyki. Według RODO, firmy przetwarzające dane również ponoszą odpowiedzialność za ich zabezpieczenie, jednak brak jasnych kryteriów dotyczących skalowych operatorów stwarza lukę, którą chce zamknąć rząd. Warto zauważyć, że podobne przypadki wycieków danych w sektorze medycznym zdarzały się wcześniej, jednak nigdy nie dotknęły takiej liczby obywateli. Przykładowo, w 2023 roku ujawniono incydenty związane z nieprawidłowym przetwarzaniem danych w szpitalach, ale ich skalę i konsekwencje trudno porównać do obecnej sytuacji. Dziś, w dobie cyfryzacji, dane zdrowotne stały się jednymi z najcenniejszych i najbardziej wrażliwych informacji, co czyni je idealnym celem dla cyberprzestępców.

Kontekst i Tło

Skutki wycieku danych z MyDr mogą być daleko idące i dotknąć zarówno jednostki, jak i cały sektor ochrony zdrowia. Dla milionów Polaków zagrożenie polega nie tylko na ryzyku kradzieży tożsamości, ale także na możliwości wykorzystania danych zdrowotnych w celach szantażu lub celów marketingowych. W dłuższej perspektywie incydent ten może podważyć zaufanie społeczeństwa do systemu ochrony zdrowia, co może prowadzić do obniżenia frekwencji w placówkach medycznych lub opóźnień w diagnostyce ze względu na obawy przed ujawnieniem danych. Rynkowo, sektor IT i ochrony danych może doświadczyć wzrostu popytu na usługi zabezpieczeń cyfrowych, jednak firmy przetwarzające dane na masową skalę mogą stać się bardziej ostrożne w wyborze dostawców, co może ograniczyć innowacyjność w tym sektorze. Zmiany prawne zapowiadane przez rząd mogą wprowadzić większą przejrzystość, ale ich skuteczność zależy od jasności definicji obowiązków i wprowadzenia realnych sankcji. W kontekście międzynarodowym, Polska może stać się przykładem dla innych krajów w kwestii regulacji bezpieczeństwa danych w sektorze medycznym, jednak brak konkretnych szczegółów nowelizacji budzi wątpliwości, czy zmiany będą wystarczające. Dla samej firmy MyDr konsekwencje mogą być dotkliwe – obok potencjalnych kar administracyjnych, ryzyko utraty zaufania klientów i partnerów biznesowych może prowadzić do spadku rynku. Wreszcie, incydent ten może przyspieszyć dyskusję nad centralizacją systemów medycznych, co jednak wiązałoby się z nowymi wyzwaniami w zakresie prywatności i bezpieczeństwa.

Komentarz Redakcji

To nie jest już tylko kwestia wycieku danych – to kryzys zaufania do całego systemu ochrony zdrowia. Rząd grozi paluszkiem, ale czy wystarczy? Bez jasnych przepisów i realnych sankcji dla firm przetwarzających dane na masową skalę, kolejne incydenty mogą być tylko kwestią czasu. Polacy zasługują na więcej niż obietnice i pośpiech.