UODO: powiadomienie osób o wycieku ich danych spoczywa na administratorach korzystających z MyDr
Wicepremier, minister cyfryzacji Krzysztof Gawkowski poinformował w środę, że doszło do wycieku danych blisko 19 mln Polaków. Na konferencji po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa, w związku z cyberatakiem na firmę MyDr, jedną z największych polskich firm zajmujących się prowadzeniem elektronicznej dokumentacji medycznej, wicepremier poinformował, że wykradziona baza ma ponad 2 TB danych. Informacje o skradzionych danych będą dostępne w bazie Bezpieczne Dane. - W pierwszej kolejności należy zastrzec PESEL - podkreślił Gawkowski.
Urząd Ochrony Danych Osobowych podkreślił w środę, że „zgodnie z RODO, w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu”. „Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia” – napisał UODO w komunikacie.
Wyjaśnił, że w przypadku osób fizycznych w powiadamianiu powinno się „opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których one dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie”. Informacje, o których mowa powyżej, można przekazać do Urzędu przy pomocy formularza zgłaszania naruszeń ochrony danych osobowych, który dostępny jest pod adresem https://uodo.gov.pl/pl/501/2278.
Urząd Ochrony Danych Osobowych udostępnił na swojej stronie internetowej także poradnik - jak się zachowywać, aby nie utracić swoich danych wrażliwych. Wskazuje tam również jakie podejmować kroki w sytuacji wycieku danych.
„Powiadomienia osób, dotkniętych wyciekiem danych, spoczywa na administratorach, którzy korzystali z usług spółki MyDr” - zwrócił uwagę Urząd. „Aby zminimalizować ewentualne negatywne konsekwencje wykorzystania danych powinno się np. zastrzec swój nr PESEL oraz zachować większą ostrożność podczas podawania danych przez internet lub telefon, aby np. osoby o nieuczciwych zamiarach nie uzyskały np. dodatkowych danych, które ułatwią im np. tzw. kradzież tożsamości” - wskazał UODO.
Ponadto, należy dokładnie analizować kierowane do siebie komunikaty, zawarte np. w wiadomościach SMS, e-mail, aby uniknąć np. ataku phishingowego, którego celem może być wyłudzenie właśnie dodatkowych danych czy uzyskanie dostępu do internetowych systemów bankowych bądź innych usług, z których korzystasz - dodał UODO.
W przypadku, kiedy istnieje przypuszczenie, że firma czy instytucja przetwarza nasze dane bez podstawy prawnej, nie informuje skąd je posiada i w jakim celu je przetwarza, wówczas w pierwszej kolejności powinno się zwróć się do tego podmiotu z żądaniem wyjaśnień. Następnym krokiem może być skarg złożona do prezesa UODO.
UODO zwrócił uwagę na sytuację, w której administrator domaga się kopii np. dowodu osobistego. „Poproś, aby wskazał podstawę prawną, która nakłada na niego obowiązek takiego działania” - zaleca UODO.
Urząd zwrócił uwagę, że „wyrabiając kartę lojalnościową często udziela się zgód na wykorzystywanie danych w celach marketingowych nie tylko administratora, ale i jego partnerów biznesowych”. „Zgody na marketing »cudzy« powinny być nieobowiązkowe, powinna być pozostawiona możliwość wyboru co do tego, czy taką zgodę wyrazisz” - przypomniał Urząd.
Podkreślił też, że przed wyrzuceniem dokumentów do kosza – należy je zniszczyć (np. faktury, rachunki), zapiski, naklejki na opakowaniach od korespondencji czy po dostarczonych towarach, w sposób uniemożliwiający odtworzenie zawartych w nich danych osobowych.
Przed utylizacją czy starych dysków twardych, kartach pamięci, pendrive’ach czy innych nośnikach powinno się przywrócić ustawienia fabryczne urządzenia, aby nie było w nim zapamiętanych loginów i haseł do różnych usług i aplikacji. (PAP)
mgw/ agz/
Polska, Warszawa
