12/08/2026
Gdy można zarabiać na danych, są „know-how dostawcy”. Gdy dochodzi do wycieku, odpowiedzialność wraca do placówki.
Cyberatak na systemy MyDR powinien rozpocząć znacznie szerszą dyskusję niż tylko ta dotycząca zabezpieczeń.
Według publicznie dostępnych informacji incydent może dotyczyć blisko 19 milionów osób, około 12 tysięcy placówek i ponad 2 TB danych. Wśród nich mogą znajdować się numery PESEL oraz informacje o receptach, wizytach, historii chorób, danych lekarzy w tym kalendarze wizyt i ich zarobki.
UODO wskazuje, że obowiązek powiadomienia osób dotkniętych wyciekiem spoczywa na administratorach korzystających z usług MyDr, czyli w praktyce... na placówkach medycznych.
Formalnie wszystko się zgadza.
Pozostaje jednak pytanie:
Kto faktycznie kontroluje dane i może na nich zarabiać, a kto zostaje z odpowiedzialnością, gdy dochodzi do naruszenia?
Od lat projektuję systemy teleinformatyczne i tworzę integracje z rozwiązaniami różnych dostawców, również w branży medycznej i kiedy placówka chce połączyć swój system z zewnętrznym rozwiązaniem, udostępnić dane wybranemu integratorowi, zautomatyzować obsługę pacjentów albo uruchomić tańsze przypomnienia SMS, często napotyka zamknięte API, ograniczenia techniczne i argument o „know-how dostawcy”.
Usłyszałem nawet kiedyś od jednego z dostawców wprost, że dane klientów "służą do zarabiania, dlatego nie udostępni ich integratorowi, który mógłby stworzyć rozwiązanie konkurencyjne cenowo."
Placówka nie ma realnej kontroli nad danymi przetwarzanymi w ramach jej działalności, ale kiedy dochodzi do poważnego naruszenia, sytuacja nagle się odwraca. Ma poinformować pacjentów, odpowiedzieć na ich pytania i ponieść konsekwencje prawne i wizerunkowe.
Nie twierdzę, że można stworzyć system całkowicie odporny na cyberatak. Incydent może dotknąć zarówno małego integratora i największego dostawcę na rynku. Wielkość firmy nie stanowi gwarancji bezpieczeństwa.
Placówka powinna jednak mieć prawo do:
• dostępu do danych przetwarzanych w jej imieniu,
• pełnego eksportu w użytecznym formacie,
• korzystania z udokumentowanego i bezpiecznego API,
• wskazania własnego integratora,
• natychmiastowej informacji o incydencie,
• jasnego określenia odpowiedzialności każdej ze stron.
Dlatego mam publiczne pytanie do UODO i Ministerstwo Zdrowia
Czy placówka może ponosić pełną odpowiedzialność za dane, jeżeli dostawca systemu ogranicza jej możliwość faktycznego dysponowania nimi, ich eksportowania i udostępniania wybranemu integratorowi?
Czy nie nadszedł czas, aby wprowadzić dla systemów EDM/HIS obowiązkowe standardy interoperacyjności?
Nie może być tak, że kiedy na danych można zarabiać, są one „know-how dostawcy”, ale kiedy dochodzi do wycieku, stają się wyłącznie problemem placówki i jej pacjentów.
https://www.rp.pl/spoleczenstwo/art44984991-wyciekly-dane-19-milionow-polakow-rzad-odsyla-do-strony-ktora-nie-dziala
Po ujawnieniu incydentu dotyczącego platformy MyDr osoby obawiające się, że ich dane znalazły się w przejętej bazie, mają możliwość sprawdzenia tego za pośredni
