Wyciek danych z aplikacji medycznej: jak chronić swoje informacje i co zrobić po incydencie?

Informacja o incydencie w aplikacji medycznej może budzić niepokój, zwłaszcza gdy nie wiesz, jakie dane znalazły się w czyichś rękach i czy ktoś może je wykorzystać. Dokumentacja medyczna zawiera informacje, których nie da się zmienić tak jak hasła. Nie oznacza to jednak, że każdy komunikat o problemie z systemem potwierdza kradzież lub publikację twojej historii leczenia.

Najpierw sprawdź, co organizacja rzeczywiście ustaliła. Następnie zabezpiecz konto i zapytaj placówkę, czy zdarzenie dotyczy twoich informacji. Jeśli równocześnie tracisz dostęp do potrzebnej recepty, wyników albo wizyty, wyjaśnij z placówką, jak kontynuować leczenie bez czekania na przywrócenie aplikacji.

Nie każdy incydent oznacza, że dane zostały opublikowane

Incydent bezpieczeństwa, naruszenie ochrony danych osobowych i potwierdzony wyciek nie oznaczają tego samego. Incydent bezpieczeństwa to szersze pojęcie. Może obejmować próbę włamania, awarię lub zdarzenie zakłócające działanie systemu, które nie doprowadziło do naruszenia danych osobowych.

Naruszenie ochrony danych osobowych występuje wtedy, gdy wskutek naruszenia bezpieczeństwa dochodzi do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, ujawnienia danych albo dostępu do nich przez osobę nieuprawnioną. Przyczyną może być zgubiony laptop, błędne ustawienie dostępu do dokumentów lub wysłanie wyniku badania niewłaściwemu pacjentowi. Naruszeniem może być również zaszyfrowanie dokumentacji przez cyberprzestępców, które uniemożliwia korzystanie z niej.

Potwierdzony nieuprawniony dostęp oznacza, że ktoś uzyskał dostęp, którego nie powinien mieć. Nie przesądza jeszcze, że pobrał całą bazę lub opublikował ją w internecie. Z kolei potoczne określenie „wyciek danych medycznych” bywa używane zarówno wobec ujawnienia informacji jednej osobie, jak i wobec udostępnienia tysięcy dokumentów.

W komunikacie szukaj rozróżnienia między tym, co potwierdzono, a tym, co nadal jest badane. Zdanie „nie stwierdzono pobrania danych” nie zawsze oznacza, że organizacja potrafi je wykluczyć. Zapytaj o zakres zdarzenia, okres narażenia danych i działania zabezpieczające, zamiast opierać ocenę sytuacji na alarmującym nagłówku lub anonimowym wpisie.

Dane zdrowotne mogą ujawniać więcej, niż się wydaje

Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych chronionych przez RODO. Obejmują diagnozy, historię leczenia, wyniki badań i informacje o lekach. Nawet pojedyncza recepta lub nazwa poradni może pozwolić wyciągnąć wnioski o twoim stanie zdrowia, choć takie wnioski nie zawsze będą trafne.

Szczególnie dotkliwe może być ujawnienie informacji o zdrowiu psychicznym, seksualnym i reprodukcyjnym. Dokumentacja może zawierać opis terapii, leczenia niepłodności, zakażenia lub doświadczeń przemocy. Dane genetyczne mogą ujawniać informacje dotyczące także biologicznych krewnych, a ich znaczenie nie znika po zmianie numeru telefonu czy adresu.

Ryzyko rośnie, gdy informacje zdrowotne można powiązać z konkretną osobą. Imię i nazwisko, PESEL, adres, numer telefonu lub adres e-mail ułatwiają identyfikację i nawiązanie kontaktu, który wygląda wiarygodnie. Ujawnione hasło może dodatkowo otworzyć dostęp do innych kont, jeśli używasz go w kilku serwisach.

Oszuści mogą wykorzystać takie dane do podszywania się pod pacjenta, wyłudzania pieniędzy albo szantażu. Wiadomość zawierająca prawdziwą datę wizyty i nazwisko lekarza łatwiej uznać za autentyczną. Możliwą konsekwencją jest również naruszenie prywatności bez oszustwa finansowego, na przykład przekazanie informacji o leczeniu osobom z twojego otoczenia.

Rzeczywiste zagrożenie zależy od rodzaju danych, możliwości przypisania ich do ciebie i czasu, przez jaki były dostępne. Znaczenie mają też zabezpieczenia. Prawidłowo zaszyfrowany plik, bez ujawnionego klucza umożliwiającego odczyt, stwarza inne ryzyko niż otwarty dokument z nazwiskiem i rozpoznaniem choroby.

Jak sprawdzić, czy komunikat o wycieku jest wiarygodny

Informację o incydencie sprawdź na oficjalnej stronie aplikacji, dostawcy systemu lub placówki medycznej. Wpisz znany adres samodzielnie albo skorzystaj z wcześniej zapisanej zakładki. Nie przechodź do logowania przez link w SMS-ie lub e-mailu, nawet jeśli wiadomość zawiera prawdziwe informacje o twojej wizycie.

Osoba czyta oficjalne ogłoszenia na tablicy informacyjnej w przychodni. — Oficjalne informacje w placówce mogą pomóc potwierdzić, czy komunikat o incydencie jest wiarygodny. Fot. Felicity Tai / Pexels

Oszuści wykorzystują rzeczywiste incydenty jako pretekst do kolejnych ataków. Mogą podszyć się pod rejestrację, bank lub zespół techniczny i zaproponować „zabezpieczenie konta”. Logo placówki, poprawna polszczyzna i znajomość twojego nazwiska nie potwierdzają tożsamości nadawcy.

Zatrzymaj się, jeśli wiadomość zawiera któryś z tych sygnałów:

presję czasu, na przykład groźbę zablokowania konta w ciągu kilkunastu minut;
prośbę o hasło, kod SMS, kod odzyskiwania konta lub dane karty;
polecenie zatwierdzenia nieoczekiwanego logowania albo operacji bankowej;
żądanie dopłaty za ochronę dokumentacji lub usunięcie danych z internetu;
nietypowy adres nadawcy, literówki w nazwie domeny lub podejrzany załącznik;
prośbę o instalację programu umożliwiającego zdalny dostęp do urządzenia.

Nie przekazuj kodu osobie, która dzwoni lub pisze pod pretekstem pomocy technicznej. Kod może służyć do przejęcia konta, a nie jego zabezpieczenia. Jeśli masz wątpliwości, zadzwoń do placówki na numer znaleziony na jej oficjalnej stronie lub w posiadanych dokumentach. Nie korzystaj z numeru podanego w podejrzanej wiadomości.

Co zrobić po wycieku danych medycznych

Sposób reakcji na wyciek zależy przede wszystkim od ujawnionych informacji. Inaczej reagujesz na udostępnienie numeru telefonu, inaczej na przejęcie konta, a inaczej na kradzież danych karty. Nie czekaj jednak z zabezpieczeniem konta, jeśli widzisz nieznane logowanie lub zmianę danych kontaktowych.

Zachowaj dowody i ustal zakres zdarzenia

Zapisz komunikat administratora i korespondencję z placówką. Zrób zrzuty ekranu podejrzanych wiadomości oraz zanotuj daty, adresy nadawców i wykonane działania. Jeśli to możliwe, zachowaj także oryginalny e-mail, ponieważ zawiera informacje techniczne przydatne przy analizie.

Nie publikuj zrzutów zawierających PESEL, rozpoznanie choroby lub dane innych pacjentów. Jeśli przypadkowo widzisz cudzą dokumentację, nie przeglądaj kolejnych plików i nie próbuj sprawdzać skali problemu samodzielnie. Zgłoś sytuację placówce, opisując, gdzie i kiedy zauważyłeś nieprawidłowość.

Zabezpiecz konto oraz powiązany adres e-mail

Jeśli hasło mogło zostać ujawnione lub na koncie widzisz podejrzaną aktywność, zmień je przez oficjalną aplikację albo stronę. Jeśli używasz tego samego hasła w innych serwisach, zmień je również tam. Zabezpiecz zwłaszcza pocztę elektroniczną, ponieważ często służy do resetowania haseł do pozostałych usług.

Ustaw nowe, unikalne hasło, najlepiej wygenerowane przez menedżer haseł.
Włącz uwierzytelnianie wieloskładnikowe, jeśli usługa je udostępnia.
Wyloguj nieznane sesje lub wszystkie pozostałe urządzenia, jeśli masz taką możliwość.
Sprawdź numer telefonu, adres e-mail i metody odzyskiwania konta.
Przejrzyj historię aktywności, wizyt i zmian danych, jeśli jest dostępna.

Jeżeli nie możesz się zalogować, skontaktuj się z obsługą przez niezależnie sprawdzony kanał. Poproś o zabezpieczenie konta i wyjaśnienie, jak odzyskać dostęp. Sama zmiana hasła nie usuwa kopii dokumentacji, którą ktoś wcześniej pobrał.

Reaguj odpowiednio do ujawnionych danych

Jeśli ujawniono dane karty, dane logowania do banku lub zauważasz nieznane transakcje, niezwłocznie skontaktuj się z bankiem. Skorzystaj z numeru podanego w oficjalnej aplikacji lub na karcie. Powiedz, jakie informacje mogły trafić do osób nieuprawnionych i czy zatwierdziłeś jakąś operację.

Przy ujawnieniu numeru PESEL lub podejrzeniu kradzieży tożsamości rozważ jego zastrzeżenie. Możesz to zrobić w aplikacji mObywatel, przez oficjalną usługę na gov.pl lub w urzędzie gminy. Zastrzeżenie PESEL ogranicza określone możliwości wykorzystania twojej tożsamości, ale nie blokuje wszystkich oszustw i nie usuwa ujawnionych danych.

Nie odpowiadaj na żądania dopłaty, przesłania kodu ani instalacji programu. Jeśli przekazałeś pieniądze lub ktoś cię szantażuje, zachowaj dowody i zgłoś sprawę Policji lub prokuraturze. Podejrzaną wiadomość możesz równolegle przekazać do CERT Polska.

Jak ograniczyć ryzyko w codziennym korzystaniu z aplikacji

Chroń także swoje konto w aplikacji medycznej. Używaj osobnego hasła i przechowuj je w menedżerze haseł. Nie udostępniaj danych logowania bliskim; jeśli chcesz umożliwić komuś dostęp, sprawdź, czy usługa oferuje upoważnienie lub osobny dostęp dla opiekuna.

Aktualizuj aplikację i system operacyjny telefonu. Pobieraj oprogramowanie z oficjalnego sklepu właściwego dla twojego urządzenia, a nie z pliku przesłanego w wiadomości. Jeśli aplikacja nie jest już wspierana lub wymaga nietypowej instalacji, zapytaj dostawcę o bezpieczny sposób korzystania z usługi.

Sprawdź uprawnienia aplikacji w ustawieniach telefonu. Dostęp do aparatu może być potrzebny do przesłania zdjęcia dokumentu, ale nie każda aplikacja medyczna potrzebuje kontaktów czy stałej lokalizacji. Ogranicz uprawnienia, które nie służą funkcjom, z których korzystasz.

Ustaw blokadę ekranu i ukryj treść powiadomień na zablokowanym telefonie. Nazwa leku lub poradni widoczna na ekranie może ujawnić informacje osobie stojącej obok. Sprawdź również, gdzie zapisują się pobrane wyniki i czy trafiają do współdzielonego folderu lub chmury dostępnej innym osobom.

Unikaj logowania na wspólnym komputerze, zwłaszcza w pracy lub miejscu publicznym. Jeśli musisz go użyć, nie zapisuj hasła, wyloguj się i usuń pobrane dokumenty. Tryb prywatny przeglądarki nie chroni przed złośliwym oprogramowaniem. Ochrona konta po twojej stronie nie zwalnia organizacji z odpowiedzialności za zabezpieczenie jej systemów.

O co zapytać placówkę korzystającą z objętego incydentem systemu

Placówka i dostawca aplikacji mogą mieć różne zadania związane z przetwarzaniem danych. Podmiot prowadzący dokumentację często jest jej administratorem, a dostawca systemu może przetwarzać ją na jego zlecenie. Nie musisz samodzielnie rozstrzygać tych relacji, aby poprosić o wyjaśnienie, co stało się z twoimi informacjami.

Pacjent rozmawia z pracownikiem rejestracji przy ladzie w przychodni. — Rozmowa z placówką pozwala zapytać, jakie dane objął incydent i kto odpowiada za ich przetwarzanie. Fot. Cedric Fauntleroy / Pexels

Wyślij pytania przez oficjalny kanał kontaktu. Podaj informacje potrzebne do odnalezienia twojego konta, ale nie przesyłaj od razu skanu dowodu ani całej dokumentacji zwykłym e-mailem. Jeśli organizacja musi potwierdzić twoją tożsamość, poproś o bezpieczny sposób weryfikacji.

Czy incydent objął moje dane, czy na razie nie można tego ustalić?
Jakie kategorie informacji były zagrożone i z jakiego okresu pochodzą?
Czy potwierdzono dostęp osób nieuprawnionych, pobranie danych lub ich publikację?
Jak długo trwało zdarzenie i czy wiadomo, kto mógł uzyskać dostęp?
Jakie działania naprawcze podjęto i co powinienem zrobić ze swoim kontem?
Czy dane były zaszyfrowane i czy zabezpieczenie chroniło je w tym konkretnym zdarzeniu?
Czy istnieją kopie zapasowe i czy dokumentacja jest dostępna do dalszego leczenia?
Gdzie mogę uzyskać kolejne informacje i kontakt do osoby zajmującej się ochroną danych?

Zapytaj również, czy zmieniono sposób logowania lub unieważniono wcześniejsze sesje. Samo szyfrowanie nie rozstrzyga sprawy, jeśli napastnik korzystał z przejętego konta mającego dostęp do czytelnych dokumentów. Kopie zapasowe pomagają odtworzyć dokumentację, lecz nie cofają jej ujawnienia.

Poproś o odpowiedź zrozumiałym językiem, z oddzieleniem ustaleń od przypuszczeń. Organizacja może jeszcze nie znać wszystkich szczegółów lub nie móc ujawnić części informacji o zabezpieczeniach. Powinna jednak wyjaśnić, jakie zagrożenie rozpoznano i jakie działania możesz podjąć.

Gdzie zgłosić obawy dotyczące bezpieczeństwa informacji

Zacznij od kontaktu z placówką lub podmiotem zarządzającym aplikacją. Poproś o kontakt do inspektora ochrony danych, jeśli został wyznaczony, albo do zespołu obsługującego takie zgłoszenia. Zachowaj kopię wiadomości oraz odpowiedź, aby móc odtworzyć przebieg sprawy.

Jeśli uważasz, że twoje dane są przetwarzane niezgodnie z przepisami, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Sprawdź instrukcję na uodo.gov.pl i opisz konkretne zdarzenie. Dołącz posiadane komunikaty i korespondencję. Urząd ocenia sprawę w ramach swoich kompetencji, ale nie zastępuje banku ani organów ścigania.

Podejrzaną stronę, wiadomość lub incydent cyberbezpieczeństwa możesz zgłosić do CERT Polska przez formularz na incydent.cert.pl. Podejrzany SMS możesz przekazać na numer 8080. Samo zgłoszenie wiadomości nie zabezpiecza konta, więc równolegle wykonaj działania odpowiednie do tego, co ujawniłeś.

Oszustwo, kradzież tożsamości lub szantaż zgłoś Policji albo prokuraturze. Jeśli incydent utrudnia leczenie, równolegle skontaktuj się z rejestracją lub zespołem medycznym. Ustal alternatywny sposób uzyskania dokumentacji, potwierdzenia wizyty lub kontynuowania terapii.

Jakie obowiązki ma organizacja po naruszeniu

Administrator danych powinien ustalić, co się wydarzyło, ograniczyć skutki naruszenia i ocenić ryzyko dla osób, których dane dotyczą. Powinien też udokumentować naruszenie, jego skutki oraz podjęte działania. Ocena obejmuje między innymi możliwość oszustwa, naruszenia prywatności lub utraty dostępu do informacji potrzebnych do opieki.

RODO przewiduje zgłoszenie naruszenia organowi nadzorczemu bez zbędnej zwłoki i, w miarę możliwości, nie później niż w ciągu 72 godzin od jego stwierdzenia. Wyjątek dotyczy sytuacji, gdy jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw lub wolności osób. Termin nie biegnie automatycznie od publikacji doniesienia w mediach, a zgłoszenie po 72 godzinach wymaga wyjaśnienia opóźnienia.

Informowanie pacjentów to osobny obowiązek. Gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności, administrator powinien zawiadomić osoby bez zbędnej zwłoki. Informacja ma być zrozumiała i opisywać charakter naruszenia, możliwe konsekwencje, podjęte środki oraz kontakt umożliwiający uzyskanie wyjaśnień.

RODO przewiduje wyjątki od indywidualnego zawiadamiania, na przykład gdy skuteczne zabezpieczenia uniemożliwiają odczytanie danych osobom nieuprawnionym. W określonych okolicznościach zamiast indywidualnych wiadomości stosuje się publiczny komunikat lub podobny sposób informowania. Dlatego zgłoszenie do UODO nie zawsze oznacza, że każdy pacjent otrzyma osobny e-mail.

Informacja o incydencie sama w sobie nie przesądza o naruszeniu prawa ani odpowiedzialności konkretnej osoby. To wymaga ustalenia okoliczności, zastosowanych zabezpieczeń i reakcji organizacji. Brak pełnych ustaleń na początku nie zwalnia jednak administratora z obowiązków, które już powstały.

Jak rozpoznać, że sytuacja wymaga pilnej reakcji

Reaguj od razu na powiadomienie o nieznanym logowaniu, zmianie hasła lub zmianie numeru telefonu do odzyskiwania konta. Otwórz oficjalną aplikację niezależnie od otrzymanej wiadomości i sprawdź aktywność. Jeśli potwierdzisz nieprawidłowość, zabezpiecz konto lub poproś obsługę o jego zablokowanie.

Pilnej reakcji wymaga także wiadomość wykorzystująca szczegóły leczenia do wymuszenia pieniędzy, danych albo kliknięcia w link. Nie negocjuj pod presją i nie zakładaj, że zapłata doprowadzi do usunięcia dokumentów. Zachowaj dowody, zgłoś szantaż organom ścigania i powiadom administratora o wykorzystaniu informacji.

Niezwłocznie skontaktuj się z placówką, jeśli zniknęła recepta, zmieniono termin wizyty lub pojawiły się wpisy, których nie rozpoznajesz. Poproś o sprawdzenie dokumentacji i wyjaśnienie, czy zmiany mogą wpłynąć na leczenie. Nie zmieniaj samodzielnie dawek ani nie odstawiaj leków na podstawie podejrzanych wpisów.

Przy bezpośrednim zagrożeniu zdrowia lub życia dzwoń pod 112 albo 999. Nagła duszność, objawy udaru czy utrata przytomności wymagają pomocy medycznej niezależnie od działania aplikacji. Nie czekaj na odzyskanie konta lub zakończenie analizy incydentu.

Najczęstsze pytania o wyciek danych medycznych

Czy wyciek danych medycznych zawsze oznacza, że ktoś przeczytał moją dokumentację?

Nie, informacja o incydencie nie zawsze potwierdza odczytanie lub skopiowanie dokumentacji. Naruszenie może dotyczyć również utraty danych, ich zmiany albo czasowej niedostępności. Sprawdź, czy administrator potwierdził nieuprawniony dostęp, czy dopiero ustala zakres zdarzenia i możliwości odczytu informacji.

Co zrobić, jeśli po informacji o incydencie dostałem podejrzany SMS lub e-mail?

Nie klikaj linków, nie otwieraj załączników i nie podawaj haseł ani kodów. Sprawdź informację w oficjalnej aplikacji lub skontaktuj się z placówką przez niezależnie znaleziony numer. Wiadomość możesz zgłosić do CERT Polska. Jeśli już przekazałeś dane logowania lub pieniądze, równolegle zabezpiecz konto i skontaktuj się z właściwym dostawcą usługi lub bankiem.

Czy powinienem zmienić hasło do aplikacji medycznej?

Tak, jeśli mogło zostać ujawnione, używasz go także w innych serwisach lub widzisz podejrzaną aktywność. Zmień je przez oficjalną stronę albo aplikację, a nie przez link z wiadomości. Ustaw różne hasła w usługach, w których wcześniej się powtarzały, i włącz dodatkowe uwierzytelnianie, jeśli jest dostępne.

Czy mogę zgłosić wyciek danych do UODO?

Tak, możesz złożyć skargę do Prezesa UODO, jeśli uważasz, że przetwarzanie twoich danych narusza przepisy. Zgromadź komunikaty, korespondencję i opis zdarzenia, a sposób złożenia skargi sprawdź na uodo.gov.pl. Skarga nie zastępuje pilnego kontaktu z placówką, zabezpieczenia konta ani zgłoszenia przestępstwa.

Jakie informacje placówka powinna mi przekazać po incydencie?

Jeśli ma obowiązek cię zawiadomić, powinna zrozumiale opisać charakter naruszenia, możliwe konsekwencje, podjęte środki i podać kontakt do osoby udzielającej informacji. Poproś także o wyjaśnienie, jakie kategorie twoich danych objęło zdarzenie i co możesz zrobić, aby ograniczyć skutki. Część szczegółów może być jeszcze ustalana, ale odpowiedź powinna wyraźnie oddzielać informacje potwierdzone od nieznanych.

Czy brak indywidualnego powiadomienia oznacza, że moje dane są bezpieczne?

Nie, brak wiadomości sam w sobie nie potwierdza bezpieczeństwa danych ani ich ujawnienia. Sposób informowania zależy od ustaleń administratora, oceny ryzyka i zasad wynikających z RODO. Sprawdź oficjalne komunikaty i zapytaj placówkę wprost, czy incydent objął twoje informacje.

Jeśli korzystasz z aplikacji objętej incydentem, sprawdź komunikaty dostawcy i placówki. Zabezpiecz konto oraz ustal z administratorem, czy zdarzenie dotyczy twoich danych. Nie przekazuj hasła, kodu ani pieniędzy pod pretekstem ochrony dokumentacji. Jeśli potrzebujesz znaleźć placówkę do dalszego leczenia, sprawdź termin na NFZ w pomocnikmedyczny.pl.

Zastrzeżenie: Treści publikowane w serwisie PomocnikMedyczny.pl mają wyłącznie charakter informacyjno-edukacyjny i nie stanowią porady medycznej w rozumieniu art. 2 ust. 1 pkt 10 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej. Artykuły nie zastępują konsultacji z lekarzem, farmaceutą ani innym wykwalifikowanym pracownikiem ochrony zdrowia. W przypadku wątpliwości dotyczących stanu zdrowia, objawów lub stosowanych leków należy skontaktować się z lekarzem lub innym uprawnionym specjalistą. Nie należy opóźniać wizyty lekarskiej ani rezygnować z profesjonalnej pomocy medycznej na podstawie informacji znalezionych w serwisie.