Dodatkowe kontrole w podmiotach medycznych 

W medialnych doniesieniach o wycieku danych osobowych z firmy MyDr wyciek numerów PESEL często stawia się na równi z ujawnieniem danych wrażliwych, w szczególności dotyczących zdrowia pacjentów placówek medycznych. Wśród środków zabezpieczających proponowanych przez media oraz specjalistów zabierających głos w sprawie cyberataku najczęściej wymienia się zastrzeżenie numeru PESEL, nierzadko odsuwając na dalszy plan znaczenie danych o zdrowiu. Warto zauważyć, że dostęp do numeru PESEL nie jest w naszym społeczeństwie w żaden sposób ograniczony. Można go znaleźć choćby w elektronicznych księgach wieczystych, nie mówiąc o KRS, w którym wystarczy być członkiem zarządu spółki kapitałowej, fundacji lub stowarzyszenia, aby numer PESEL był łatwo dostępny i publicznie wyświetlany w sieci.

Prawdą jest oczywiście, że jeśli instytucja finansowa udzieli pożyczki lub kredytu mimo zastrzeżenia numeru PESEL, skutki finansowe ponosi ona sama. Z tego powodu, a także dzięki rosnącej świadomości w zakresie cyberbezpieczeństwa, w 2026 roku nie da się uzyskać kredytu, pożyczki ani odroczonej płatności wyłącznie na podstawie imienia, nazwiska i numeru PESEL ze szkodą dla osoby, której te dane dotyczą. Tym bardziej cieszy mnie podejście Prezesa UODO Mirosława Wróblewskiego, który w komunikacie o dodatkowych kontrolach w podmiotach ochrony zdrowia wskazał wyciek danych dotyczących zdrowia jako powód ich zintensyfikowania.

Nie możemy oczywiście patrzeć na ryzyko przez pryzmat ogółu. Większość z Państwa zapewne zgodzi się ze mną, że wyciek danych o zdrowiu nie wywołałby u Państwa żadnego stresu, a przynajmniej u mnie tak by było 🙂 Są jednak w naszym społeczeństwie choroby wstydliwe lub takie, których upublicznienie mogłoby negatywnie wpłynąć na sytuację rodzinną osoby, której dane dotyczą, a nawet na interesy finansowe akcjonariuszy, gdy zły stan zdrowia prezesa spółki akcyjnej zostanie podany do wiadomości publicznej.

Moim zdaniem właśnie dlatego dane dotyczące zdrowia powinny być objęte szczególnymi środkami ochrony. Ochrona ta musi obejmować ogół danych pacjentów, ponieważ to, czy dana informacja jest wstydliwa albo mogłaby prowadzić do ostracyzmu wobec osoby, której dotyczy, to kwestia tak indywidualna, że placówka medyczna nie byłaby w stanie wyodrębnić takich przypadków nawet za pomocą szeroko zakrojonego profilowania.

Z dobrych wiadomości mogę dodać, że jako praktyk często przeprowadzam audyty w branży medycznej i widzę rosnącą świadomość w zakresie ochrony danych osobowych. Największego ryzyka dopatrywałbym się obecnie w atakach typu ransomware lub phishingu wymierzonych bezpośrednio w osoby, których dane dotyczą.