Cyberatak na ENEL-MED. Naruszenie danych osobowych pacjentów – komunikat z 27 września 2026 r.
Cyberatak na ENEL-MED. Naruszenie danych osobowych pacjentów – komunikat z 27 września 2026 r. Centrum Medyczne ENEL-MED S.A. poinformowało o incydencie bezpieczeństwa, do którego doszło w infrastrukturze informatycznej spółki. Zgodnie z komunikatem z 27 września 2026 r. cyberatak został wykryty 24 września 2026 r. i doprowadził do uzyskania nieuprawnionego dostępu do części danych pacjentów. Według wstępnych ustaleń naruszenie może dotyczyć około 3% całej bazy pacjentów.
Cyberatak na ENEL-MED – co się wydarzyło?
W komunikacie opublikowanym 27 września 2026 r. Centrum Medyczne ENEL-MED S.A. potwierdziło wystąpienie incydentu bezpieczeństwa polegającego na nieuprawnionym dostępie do części infrastruktury informatycznej spółki.
Jak wynika z przekazanych informacji, zdarzenie zostało zidentyfikowane 24 września 2026 r. W jego następstwie uzyskano dostęp do części danych pacjentów.
Spółka wskazała, że:
- naruszenie może dotyczyć około 3% całej bazy pacjentów;
- cyberatak został szybko wykryty i przerwany;
- niezwłocznie wdrożono działania prewencyjne oraz dodatkowe zabezpieczenia;
- od momentu wdrożenia zabezpieczeń nie zaobserwowano nieprawidłowości wskazujących na utrzymywanie się zagrożenia dla systemu.
ENEL-MED zaznaczył jednocześnie, że analiza zdarzenia nadal trwa.
Oznacza to, że przedstawione informacje mają charakter wstępny. Na obecnym etapie komunikat nie zawiera szczegółowego wykazu kategorii danych, które mogły zostać objęte naruszeniem, ani informacji pozwalających określić pełny zakres zdarzenia.
Nie należy zatem utożsamiać wskazanych 3% bazy pacjentów z potwierdzoną liczbą wszystkich osób, których dane zostały ostatecznie naruszone.
Jakie dane pacjentów mogły zostać ujawnione?
Z opublikowanego komunikatu wynika, że nieuprawniony dostęp dotyczył części danych pacjentów Centrum Medycznego ENEL-MED S.A.
Spółka nie przedstawiła jednak szczegółowego wykazu informacji objętych incydentem. Nie wskazano również, czy naruszenie obejmowało dane dotyczące zdrowia, dokumentację medyczną, dane kontaktowe, dane identyfikacyjne czy inne kategorie informacji.
W związku z tym nie ma podstaw, aby na podstawie samego komunikatu przesądzać, jakie konkretnie dane poszczególnych pacjentów zostały objęte incydentem.
Jest to istotne z perspektywy ochrony danych osobowych. W przypadku podmiotów leczniczych przetwarzane informacje mogą obejmować szczególne kategorie danych osobowych, w tym dane dotyczące zdrowia, które wymagają szczególnej ochrony.
Zakres potencjalnych konsekwencji naruszenia zależy między innymi od rodzaju danych, możliwości ich wykorzystania przez osoby nieuprawnione oraz okoliczności konkretnego zdarzenia.
Jakie działania podjął ENEL-MED po wykryciu incydentu?
Zgodnie z komunikatem spółka niezwłocznie po wykryciu cyberataku podjęła szeroko zakrojone działania prewencyjne oraz wdrożyła dodatkowe zabezpieczenia.
ENEL-MED poinformował również, że o incydencie zawiadomiono odpowiednie instytucje odpowiedzialne za bezpieczeństwo i ochronę danych.
Spółka zapowiedziała indywidualny kontakt z każdym pacjentem, którego dane zostały naruszone. Osoby te mają otrzymać niezbędne informacje oraz zalecenia dotyczące dalszego postępowania.
Na dzień publikacji komunikatu analiza zdarzenia pozostaje w toku.
Należy podkreślić, że samo przerwanie cyberataku i wdrożenie dodatkowych zabezpieczeń nie oznacza jeszcze zakończenia wszystkich czynności związanych z ustaleniem zakresu naruszenia, jego skutków oraz ewentualnych konsekwencji dla osób, których dane dotyczą.
Naruszenie danych osobowych w placówce medycznej – obowiązki wynikające z RODO
Incydent w ENEL-MED stanowi przykład zdarzenia, które wymaga analizy nie tylko z perspektywy bezpieczeństwa systemów informatycznych, ale również obowiązków wynikających z przepisów o ochronie danych osobowych.
Zgodnie z art. 4 pkt 12 RODO naruszenie ochrony danych osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.
Nieuprawniony dostęp do danych pacjentów może zatem stanowić naruszenie ochrony danych osobowych w rozumieniu RODO. W przypadku stwierdzenia naruszenia administrator powinien w szczególności przeanalizować następujące obowiązki:
1. Zgłoszenie naruszenia Prezesowi Urzędu Ochrony Danych Osobowych
Zgodnie z art. 33 RODO administrator zgłasza naruszenie ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
2. Zawiadomienie osób, których dane dotyczą
Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien, zgodnie z art. 34 RODO, bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą.Zawiadomienie powinno być sformułowane jasnym i prostym językiem oraz zawierać informacje pozwalające osobom na zrozumienie charakteru naruszenia i podjęcie odpowiednich działań ochronnych.
3. Udokumentowanie naruszenia
Każde naruszenie ochrony danych osobowych wymaga udokumentowania zgodnie z art. 33 ust. 5 RODO, w tym opisania jego okoliczności, skutków oraz podjętych działań zaradczych. W przypadku cyberataku istotne jest również zabezpieczenie materiału dowodowego, ustalenie zakresu dostępu do danych oraz udokumentowanie działań podejmowanych w celu ograniczenia skutków incydentu. Należy zaznaczyć, że powyższe obowiązki wynikają z RODO i mają zastosowanie do administratorów danych w zależności od okoliczności konkretnego naruszenia. Sam komunikat ENEL-MED nie pozwala na ocenę prawidłowości realizacji wszystkich obowiązków w ramach opisywanego incydentu.
Jakie zalecenia otrzymali pacjenci?
ENEL-MED przypomniał w komunikacie o podstawowych zasadach cyberbezpieczeństwa, wskazując na zalecenia Ministra Cyfryzacji i Centrum e-Zdrowia.
Pacjentom zalecono w szczególności:
- Zastrzeżenie numeru PESEL – między innymi za pośrednictwem aplikacji mObywatel.
- Stosowanie silnych i unikalnych haseł – w szczególności do kont pocztowych, bankowości elektronicznej i usług medycznych.
- Włączenie uwierzytelniania dwuskładnikowego wszędzie tam, gdzie jest ono dostępne.
- Zachowanie ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych, zwłaszcza gdy nadawca nakłania do podania danych, kliknięcia w link lub natychmiastowego podjęcia określonych działań.
W kontekście incydentów dotyczących danych pacjentów szczególne znaczenie ma również weryfikowanie tożsamości osób kontaktujących się telefonicznie lub elektronicznie i podających się za przedstawicieli placówki medycznej.
Osoby nie powinny przekazywać haseł, kodów autoryzacyjnych ani innych danych uwierzytelniających w odpowiedzi na nieoczekiwane wiadomości lub połączenia.
W przypadku otrzymania informacji o naruszeniu danych warto zapoznać się z jej treścią, ustalić, jakich danych dotyczy oraz jakie konkretne działania ochronne zaleca administrator.
Czy placówki ENEL-MED nadal przyjmują pacjentów?
W komunikacie z 27 września 2026 r. ENEL-MED poinformował, że wszystkie placówki funkcjonują standardowo.
Pacjenci mogą nadal korzystać z usług medycznych oraz umawiać wizyty za pośrednictwem aplikacji mobilnej i call center.
Spółka zadeklarowała również, że dołoży należytej staranności, aby ograniczyć niedogodności związane z zaistniałą sytuacją.
Cyberbezpieczeństwo w ochronie zdrowia – wnioski dla podmiotów leczniczych
Incydenty bezpieczeństwa w placówkach medycznych pokazują, że ochrona danych osobowych pacjentów wymaga połączenia rozwiązań organizacyjnych, prawnych i technicznych.
Dane przetwarzane w podmiotach leczniczych mają szczególny charakter, a ich nieuprawnione ujawnienie może prowadzić do poważnych konsekwencji dla pacjentów, w tym prób wyłudzeń, podszywania się pod inne osoby czy wykorzystania informacji w działaniach socjotechnicznych.
Dlatego zarządzający placówkami medycznymi powinni regularnie weryfikować skuteczność wdrożonych zabezpieczeń oraz gotowość organizacji do reagowania na incydenty.
W praktyce szczególne znaczenie mają:
- aktualna analiza ryzyka i ocena skutków potencjalnych naruszeń;
- kontrola dostępu do systemów i dokumentacji medycznej;
- stosowanie uwierzytelniania wieloskładnikowego;
- aktualizowanie oprogramowania oraz monitorowanie infrastruktury informatycznej;
- regularne wykonywanie i testowanie kopii zapasowych;
- szkolenia personelu z zakresu ochrony danych i rozpoznawania prób phishingu;
- opracowanie i regularne testowanie procedur reagowania na incydenty bezpieczeństwa;
- zapewnienie właściwej współpracy pomiędzy administratorem danych, inspektorem ochrony danych oraz osobami odpowiedzialnymi za bezpieczeństwo IT.
W przypadku wystąpienia incydentu kluczowe jest szybkie ograniczenie zagrożenia, zabezpieczenie dowodów, ustalenie zakresu naruszenia oraz prawidłowe przeprowadzenie oceny ryzyka dla osób, których dane dotyczą.
Procedura oceny ryzyka dla w przypadku danych zaszyfrowanych, publicznie dostępnych, przy "zaufanym odbiorcy" oraz przy zaradzeniu incydentowi.
Potrzebujesz wsparcia oddzwonimy ...
Zgodnie z art. 13 RODO Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1) [dalej „RODO”] informuje się co następuje. Administratorem Danych Osobowych [dalej ADO] jest: Przedsiębiorstwo Wielobranżowe Aleksandra Kubik ul. Obrońców Westerplatte 13 lok 37, 42-200 Częstochowa, NIP: 9491984104, REGON: 368912262, Adres kontaktowy email: biuro@prostetorodo.pl Numer telefonu kontaktowego: 694494240.
Pana/Pani dane osobowe udostępnione za pośrednictwem „Formularza na stronie WWW” przetwarzane będą w celu: przesyłania informacji handlowych dotyczących produktów, usług, promocji i wydarzeń związanych z działalnością ADO, w tym marketingu bezpośredniego, na podstawie art. 6 ust. 1 lit. a) RODO w związku z art. 398 Ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej [Dz.U. z 2024r., poz. 1221] adekwatnie do dokonanego wyboru za pośrednictwem rozmów telefonicznych lub wiadomości SMS/MMS, korespondencji elektronicznej, ewentualnego dochodzenia roszczeń i obrony przed ewentualnymi roszczeniami, na podstawie art. 6 ust. 1 lit. f) RODO –przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez ADO. Podanie przez Pana/Panią danych osobowych Pana/Pani dotyczących jest dobrowolne, aczkolwiek ich nie podanie skutkuje brakiem możliwości realizacji celów przetwarzania, o jakich mowa w niniejszym dokumencie.
Pani/Pana dane osobowe będą udostępniane uprawnionym na podstawie przepisów prawa podmiotom i organom publicznym adekwatnie do charakteru sprawy w szczególności: zewnętrznej kancelarii prawnej oraz podmiotom, z którymi ADO zawarł umowy powierzenia przetwarzania danych osobowych, które są podmiotami działającymi na zlecenie i w jego imieniu, w szczególności są nimi: podmiot zewnętrzny świadczący usług IT, podmiot zewnętrzny świadczący usługi hostingowe. Pani/Pana dane przetwarzać będziemy, dopóki istnieć będzie potrzeba realizacji celu, w jakim zostały pozyskane, z zastrzeżeniem jednak, iż w przypadku kiedy przetwarzanie danych realizowane jest na podstawie art. 6 ust. 1 lit a) RODO ma Pani/Pan prawo w dowolnym momencie wycofać wyrażoną zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. W celu wycofania zgody prosimy o przesłanie emial: biuro @ prostetorodo.pl można także stosowne oświadczenie przekazać na adres siedziby ADO.
Ma Pani/Pan prawo do: żądania od ADO dostępu do danych osobowych Pani/Pana dotyczących, żądania od ADO sprostowania danych osobowych Pani/Pana dotyczących, żądania od ADO usunięcia danych osobowych Pani/Pana dotyczących, żądania od ADO ograniczenia przetwarzania danych osobowych Pani/Pana dotyczących, wniesienia sprzeciwu wobec przetwarzania danych osobowych Pani/Pana dotyczących, żądania od ADO przeniesienia danych osobowych Pani/Pana dotyczących, cofnięcia zgody w dowolnym momencie bez konsekwencji dla przetwarzania, którego dokonano przed jej cofnięciem, jeśli dane zbierane są na podstawie zgody. Zakres każdego z tych praw oraz sytuacje, z których można z nich skorzystać, wynikają z przepisów RODO. Z praw tych może Pan/Pani skorzystać składając wniosek u ADO. Ma Pani/Pan prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO. W związku z przetwarzaniem Pani/Pana danych nie będzie Pani/Pan podlegać decyzjom, które opierać się będą wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu. Pani/Pana dane nie są przekazywane poza Europejski Obszar Gospodarczy.
Dokumentacja SZBI / KSC dla podmiotu medycznego
Odpowiedzialność kierownika na gruncie Ustawy KSC
Materiały wykorzystanie do opracowania
Wybierz interesujący tematycznie dział Sklepu RODO
Grafika utworzona z wykorzystaniem narzędzi sztucznointeligentnych. Tekst opracowania powstał w oparciu o wskazane materiały źródłowe a zredagowany został z wykorzystaniem narzędzi sztucznointeligentnych.