Informacja SMS o wycieku danych z MyDr
Informacja SMS o wycieku danych z MyDr. Jak wynika z treści Komunikatu MyDr z dnia 05.09.2026, uruchomiona została funkcjonalność pozwalająca indywidualnym placówkom medycznym, na przesyłanie powiadomień do swoich pacjentów, z informacjami dotyczącymi zdarzenia. MyDr uruchomił bowiem bezpłatne narzędzie do powiadamiania pacjentów oraz przygotował stosowną instrukcję korzystania z niego, wszystko to dostępne jest po zalogowaniu na konto w systemie MyDr EDM.
„Czy ten SMS jest prawdziwy, czy to próba oszustwa?”
Kto jest nadawcą komunikatu, zadają sobie to pytanie osoby, jakie otrzymały SMS, z informacją o tym, iż naruszenie ochrony danych osobowych, jakie wystąpiło w MyDr, obejmuje swoim zakresem ich dane osobowe?
Nie każdy adresat komunikatu, zapoznał się z Komunikatem MyDr, informującym o tym, że stworzył narzędzie do wysyłania tego typu wiadomości, przez konkretne podmioty medyczne, z tego względu wskazanie w polu nadawcy podmiotu o nazwie „Twoje dane”, a w treści wymienienie nazwy konkretnej placówki medycznej, budzi kontrowersje.
Pamiętać należy o tym, iż jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, to administrator danych osobowych, czyli konkretna placówka medyczna, jaka korzystała z systemy MyDr – czyli nie MyDr – bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu.
Zawiadomienie, administratora powinno jasnym i prostym językiem opisywać charakter naruszenia ochrony danych osobowych oraz zawierać przynajmniej informacje i środki, o których mowa w art. 33 ust. 3 lit. b), c) i d).
- 33 ust. 3 lit. b) RODO – czyli, zawierać imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji;
- 33 ust. 3 lit. c) RODO czyli, opisywać możliwe konsekwencje naruszenia ochrony danych osobowych;
- 33 ust. 3 lit. d) RODO czyli, opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.
Jeżeli – i w zakresie, w jakim – informacji nie da się udzielić w tym samym czasie, można je udzielać sukcesywnie bez zbędnej zwłoki
„Czemu dostałem SMS, skoro nawet, nie znam tej placówki medycznej?”
Faktycznie, przyczyn może być kilka, takiej sytuacji. Odstęp czasu, może powodować to, iż informowany pacjent, nie kojarzy swojej np. jednorazowej wizyty w podmiocie leczniczym, która to mogła mieć miejsce w okresie wakacji, czy pobytu poza stałym miejscem zamieszkania.
Ponadto, od czasu wizyty pacjenta w podmiocie medycznym, mógł on zmienić swoją strukturę organizacyjną, w tym nazwę, co jest powodem tego, iż adresat nie kojarzy już nowej nazwy placówki.
Warto pamiętać również o tym, iż dane osoby, jaka otrzymała komunikat o wycieku z MyDr, mogły zostać wprowadzone do tego systemu teleinformatycznego, wykorzystywanego przez informujący podmiot leczniczy, nie jako dane pacjenta, ale jako dane osoby upoważnionej do dostępu do dokumentacji medycznej, bądź jako osoby względem, której wyrażona została zgoda na udzielanie jej informacji na temat stanu zdrowia, udzielonych świadczeń.
„Ja nie dostałem SMS, więc mnie to nie dotyczy, prawda?”
Niestety, ale nie. Pamiętać należy o tym, iż komunikat nie jest wysyłany automatycznie przed system „Twoje Dane” zlecenie wysyłki musi zostać zainicjowane przez konkretny podmiot medyczny, co oznacza, iż istnieje ryzyko, polegające na tym, iż dana konkretna placówka medyczna, nie zdecyduje się na tę formę komunikacji, bądź w ogóle nie podejmie takiej decyzji o przesłaniu powiadomienia.
„Czy to bezpieczne, aby klikać w linki podane w SMS?”.
Zawsze, ale to zawsze, trzeba być ostrożnym przy korzystaniu z gotowych hiperłączy, linków podawanych w treści przesyłanych komunikatów. Ryzyko podszywania się pod istniejącą bezpieczną stronę, może wystąpić. Rekomenduje się zatem dokonanie weryfikacji z wykorzystaniem serwisu bezpiecznedane.gov.pl
„Co powinienem zrobić, jeśli otrzymam SMS, z komunikatem informującym mnie, że wyciek z MyDr, mnie dotyczy?”
Zacząć należy od zastrzeżenia numeru PESEL, można tego dokonać w aplikacji mObywatel, na stronie https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie, w dowolnym urzędzie gminy lub placówce bankowej. Po zastrzeżeniu numeru PESEL, nadal mogą Państwo dokonać rejestracji w podmiocie leczniczym, zrealizować receptę, podjąć środki z bankomatu, zlecić przelew bankowy, wyjechać za granicę, załatwiać sprawy urzędowe.
Rodzice, pamiętajcie jednak o swoich dzieciach, jako osobach niepełnoletnich, które niebawem osiągną pełnoletność, a względem których na dziś – nie ma możliwości – zastrzeżenia, ich numeru pesel, aby przypomnieć im o tej konieczności.
"Skąd mogę uzyskać więcej informacji?".
Tak, jak pisałem na wstępie, to administrator danych osobowych, zobowiązany jest do przekazywania konkretnych informacji do podmiotów danych, których dane objęte zostały naruszeniem ochrony danych osobowych. Tutaj jednak przepisy, określają zakres informacji, jakich obowiązek przekazania występuje.
Osoby, jakie otrzymały SMS z komunikatem, mogą jednak skorzystać z trybu, o jakim mowa w art. 15 ust. 1 RODO, zgodnie z którym to, osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: cele przetwarzania; kategorie odnośnych danych osobowych; informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; informacje o prawie wniesienia skargi do organu nadzorczego; jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle; informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą, a keżeli dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej, osoba, której dane dotyczą, ma prawo zostać poinformowana o odpowiednich zabezpieczeniach, o których mowa w art. 46, związanych z przekazaniem.
Wzór wniosku pacjenta kierowanego do podmiotu medycznego
