Twoje dane - Twoja sprawa 2026/2027: co szkoła dostaje i co musi zrobić
czytaj więcej
Jeśli lekarze logują się do dokumentacji Twoich pacjentów spoza przychodni, a każde konto widzi całą bazę, ta decyzja dotyczy też Ciebie. 3 września 2026 r. francuski urząd ochrony danych ukarał prywatny szpital kwotą 500 tys. euro po ataku na elektroniczną dokumentację pacjentów, w którym atakujący dostał się do danych ponad pół miliona osób, i wskazał wprost, co zawiodło.
Opisuję, za co ukarano szpital, jaka kara grozi polskiej placówce, co sprawdzić u siebie i kto zgłasza wyciek danych medycznych, gdy dojdzie do niego u dostawcy oprogramowania.
Spis treści
Zabezpieczenie dokumentacji pacjentów i zawiadomienie osób - kara 500 tys. euro dla szpitala we Francji
Latem 2025 r. atakujący dostał się do elektronicznej dokumentacji pacjentów prywatnego szpitala Hôpital Privé de la Loire. Uzyskał dostęp do danych 524 867 pacjentów, w części także danych o zdrowiu, oraz 202 246 osób wskazanych przez pacjentów jako „osoby zaufane”.
Francuski urząd ochrony danych (CNIL) stwierdził dwa naruszenia RODO, czyli unijnego rozporządzenia o ochronie danych osobowych: niewystarczające zabezpieczenia (art. 32) i brak bezpośredniego zawiadomienia części osób (art. 34). Opis sprawy jest w Biuletynie Urzędu Ochrony Danych Osobowych (UODO) i w komunikacie CNIL.
Logowanie z zewnątrz bez VPN i drugiego składnika
Z dokumentacji korzystali też użytkownicy spoza szpitala, m.in. lekarze niezwiązani z nim bezpośrednio. Logowali się bez VPN (szyfrowanego połączenia z siecią szpitala) i bez uwierzytelniania wieloskładnikowego, czyli bez drugiego składnika, np. kodu z telefonu. Według CNIL te podstawowe środki mogłyby utrudnić atak.
Jedno konto dawało dostęp do wszystkich pacjentów
Uprawnienia nie były ograniczone do zespołu, który leczy danego pacjenta. Dlatego atakujący, posługując się danymi logowania jednego konta, dotarł do danych wszystkich pacjentów szpitala.
Kilka dni pobierania danych bez alarmu
Szpital nie miał mechanizmu, który szybko wykrywa nietypową aktywność w dokumentacji. Atakujący mógł więc przez kilka dni przeglądać ją i pobierać bardzo dużo danych, a nikt tego nie zauważył. CNIL uznał, że brak monitorowania zwiększył skalę naruszenia.
Zawiadomienie osób o wycieku danych pacjentów - art. 34 RODO
Szpital zawiadomił pacjentów, ale nie zawiadomił bezpośrednio 202 246 „osób zaufanych”, choć ich dane też skradziono. Według CNIL te osoby nie dostały informacji potrzebnych, żeby zrozumieć, co się stało, i chronić się przed wykorzystaniem swoich danych.
Art. 34 RODO każe bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności. Jeśli zawiadomienie każdej osoby wymagałoby niewspółmiernie dużego wysiłku, zamiast tego wydaje się publiczny komunikat (art. 34 ust. 3 lit. c), ale pominąć tych osób nie wolno. W przychodni to nie tylko pacjenci, ale też np. osoby upoważnione przez nich do informacji o zdrowiu, jeśli ich dane są w systemie.
Kara za wyciek danych osobowych w Polsce - przychodnia prywatna i publiczna
Polską placówkę obowiązują te same przepisy. Za naruszenia art. 32 i 34 kara wynosi do 10 mln euro, a w przypadku przedsiębiorstwa do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, jeśli ta kwota jest wyższa (art. 83 ust. 4 RODO). Gdy urząd uzna też naruszenie zasady poufności (art. 5 ust. 1 lit. f), granica rośnie do 20 mln euro albo 4% (art. 83 ust. 5).
Inaczej jest w samodzielnym publicznym zakładzie opieki zdrowotnej (SPZOZ). Dla niego ustawa o ochronie danych osobowych ogranicza karę do 100 tys. zł (art. 102 ust. 1). Szpital działający jako spółka podlega już pełnej skali z RODO.
Jak sprawdzić, w której z tych grup jest Twoja placówka, i jak to wygląda w szkołach i bibliotekach, opisujemy we wpisie Kara UODO dla szkoły, szpitala i biblioteki: kto ma limit 100 tys. zł, a kto 10 tys. zł.
Jak takie kary wyglądają przy małych podmiotach, pokazuje wpis Kary za naruszenie RODO w Polsce: 4 sprawy małych podmiotów. Jedna z nich to 32 tys. zł dla przychodni, której lekarz woził dokumentację pacjentów na wizyty domowe.
Niezależnie od formy, ustawa o prawach pacjenta wprost nakłada na każdy podmiot udzielający świadczeń zdrowotnych, także praktykę lekarską, obowiązek zapewnienia ochrony danych w dokumentacji medycznej (art. 24 ust. 1).
Co sprawdzić w przychodni - lista na podstawie decyzji CNIL
Cztery pytania wynikają wprost z decyzji CNIL:
- phonelink_lock
Logowanie z zewnątrz
Czy lekarze i inni użytkownicy spoza placówki logują się z drugim składnikiem, np. kodem z telefonu?
- group
Zakres uprawnień
Czy konto widzi tylko pacjentów, którymi dana osoba się zajmuje, a nie całą bazę?
- notifications_active
Alarm
Czy system ostrzega, gdy ktoś przegląda albo pobiera nietypowo dużo kart pacjentów?
- contact_mail
Kogo zawiadomić
Czy wiesz, jakie osoby poza pacjentami mają dane w systemie i jak się z nimi skontaktować?
Wyciek u dostawcy oprogramowania - obowiązek zgłoszenia przychodni
Przychodnia jest administratorem danych swoich pacjentów, także gdy do wycieku dojdzie u firmy, która obsługuje jej system. W sprawie MyDr UODO przypominał, że placówki korzystające z usług tego podmiotu przetwarzającego również muszą zgłosić naruszenie. Do końca sierpnia takich zgłoszeń wpłynęło około tysiąca.
Według biuletynu cyberatak na MyDr dotyczy, jak podaje sam podmiot przetwarzający, blisko 19 mln pacjentów, a urząd kontroluje tę firmę (podsumowanie lipca i sierpnia). O Medyc urząd pisze, że według doniesień medialnych atak mógł objąć dane nawet 5 mln osób, i zapowiada kontrolę u dostawcy oraz dodatkowe kontrole w ochronie zdrowia (podsumowanie września). Przyczyn tych wycieków ani wyników kontroli urząd dotąd nie podał.
Ten sam obowiązek ma każda firma, której dane przetwarza zewnętrzny program, nie tylko przychodnia. Jeśli wyciek był w programie do faktur, a Twoi klienci to głównie firmy, przeczytaj, kiedy potrzebne jest zgłoszenie naruszenia do UODO po wycieku z programu do faktur, a kiedy wystarczy wpis do rejestru naruszeń.
Najczęstsze pytania o wyciek danych medycznych
Co zrobić po wycieku danych medycznych?+
Ocenić ryzyko i zgłosić naruszenie do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w 72 godziny od jego stwierdzenia, chyba że ryzyko dla pacjentów jest mało prawdopodobne (art. 33 ust. 1 RODO). Przy wysokim ryzyku trzeba też zawiadomić pacjentów (art. 34).
Kto zgłasza wyciek u dostawcy oprogramowania do UODO?+
Przychodnia, bo jest administratorem danych swoich pacjentów, także gdy do wycieku doszło u dostawcy. Dostawca musi jej zgłosić naruszenie bez zbędnej zwłoki (art. 33 ust. 2 RODO) i pomóc w jego obsłudze (art. 28 ust. 3 lit. f), więc sprawdź, czy umowa powierzenia to opisuje.
Jaka kara grozi za wyciek danych pacjentów?+
Za brak zabezpieczeń i niezawiadomienie osób (art. 32 i 34) do 10 mln euro albo do 2% obrotu, a jeśli organ uzna też naruszenie zasady poufności, do 20 mln euro albo 4%. Placówce działającej jako SPZOZ najwyżej 100 tys. zł, spółce, także gminnej, według pełnej skali.
Czy uwierzytelnianie dwuskładnikowe jest obowiązkowe?+
RODO nie wymienia go z nazwy. Każe stosować zabezpieczenia odpowiednie do ryzyka (art. 32), a przy dostępie z zewnątrz do danych o zdrowiu CNIL uznał jego brak za uchybienie.
Bezpieczeństwo danych pacjentów - od czego zacząć
Zacznij od listy kont z dostępem z zewnątrz i sprawdź, co każde z nich widzi. O mniej oczywistym wycieku danych o zdrowiu, przez kod reklamowy na stronie, piszę we wpisie Piksel Facebooka na stronie gabinetu - dane o zdrowiu, zgoda, usunięcie, test, a o ludzkiej stronie zabezpieczeń we wpisie Szkolenie RODO dla pracowników: częstotliwość, treść i skuteczność.
Jeśli chcesz, żeby ktoś sprawdził to za Ciebie, zajrzyj do usługi audyt bezpieczeństwa systemów IT.
