Dariusz Standerski wyjaśnił, że gabinety i przychodnie, które przekazywały dane pacjentów do MyDr, realizują obecnie obowiązek informowania ich o incydencie.
- Wszystkie gabinety oraz przychodnie, które są administratorami danych, czyli które przyjmowały pacjentów, a później przekazywały ich dane do firmy MyDr, w tej chwili realizują swój obowiązek informowania pacjentów o tym, że ich dane były przedmiotem incydentu w firmie MyDr - powiedział.
Jak tłumaczył, część placówek nie dysponuje bezpośrednimi danymi kontaktowymi pacjentów. Ich adresy e-mail i numery telefonów zostały wcześniej przekazane firmie MyDr.
- W związku z tym docierają do nas informacje, że takie SMS-y są wysyłane przez firmę MyDr czy przez inne firmy obsługujące te gabinety - przekazał Standerski.
Standerski: SMS-y nie powinny zawierać linków
Przedstawiciel resortu cyfryzacji podkreślił, że wiadomości informujące o incydencie nie powinny zawierać odnośników do stron internetowych.
- Trzeba powiedzieć jasno: takie SMS-y nie powinny zawierać linków w żadnej formie. Nie było to konsultowane z Ministerstwem Cyfryzacji. Według naszej wiedzy nie było również konsultowane z prezesem Urzędu Ochrony Danych Osobowych - powiedział.
Standerski zaapelował, by nie otwierać linków otrzymanych z nieznanych numerów. Osoby, które znalazły swoje dane w portalu Bezpieczne Dane, powinny skontaktować się bezpośrednio z placówką medyczną.
- Jeżeli weszliśmy na portal Bezpieczne Dane i znaleźliśmy tam informację, że nasze dane znajdują się wśród tych, które były przedmiotem incydentu w firmie MyDr, to zwracajmy się bezpośrednio do przychodni lub gabinetu, w którym jesteśmy pacjentem, bo to tam jest administrator naszych danych. Nie klikamy w linki od nieznanych numerów - podkreślił.
Cyberatak na przychodnie na Ursynowie
Standerski odniósł się również do pytania o kolejny incydent dotyczący placówek medycznych na warszawskim Ursynowie. Jak powiedział, informacje o naruszeniach powinny trafiać do prezesa Urzędu Ochrony Danych Osobowych.
- Wszystkie incydenty, zgodnie z prawem w zakresie ochrony danych osobowych, powinny być zgłaszane w ciągu odpowiednio 48, 72 godzin do prezesa Urzędu Ochrony Danych Osobowych. O każdym incydencie powinna tam być informacja w tym zakresie - mówił.
Dodał, że informacje o incydentach i potencjalnych zagrożeniach obsługuje również CERT NASK. - Oczywiście CERT NASK na bieżąco obsługuje wszystkie, nie tylko incydenty, ale również informacje o potencjalnych problemach. Również tę sprawę obsługuje, jeżeli tylko została zgłoszona - podsumował Standerski.