Komunikat UODO po wielkim wycieku danych. Dotyczy prawie 19 mln Polaków

W środę wicepremier i minister cyfryzacji Krzysztof Gawkowski przekazał po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa, że w wyniku ataku na MyDr wykradziono bazę liczącą ponad 2 TB danych. Informacje o skradzionych danych mają być dostępne w bazie Bezpieczne Dane, jednak użytkownicy zgłaszają problemy ze stroną.

UODO zaznaczył, że odpowiedzialność za kontakt z osobami dotkniętymi naruszeniem spoczywa na administratorach danych, którzy korzystali z usług spółki MyDr. Urząd przypomniał też, że administrator powinien zgłosić incydent prezesowi UODO bez zbędnej zwłoki.

W komunikacie urząd przypomniał, że "zgodnie z RODO, w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu". Jeśli zgłoszenie trafi do urzędu później, administrator musi dołączyć wyjaśnienie przyczyn opóźnienia.

UODO wskazał również, że przy powiadamianiu osób fizycznych należy m.in. opisać charakter naruszenia oraz podać przybliżoną liczbę osób i wpisów danych objętych incydentem, a także możliwe konsekwencje. Przy ujawnieniu imienia, nazwiska i numeru PESEL może pojawić się ryzyko wyłudzenia pożyczek. Z kolei przy naruszeniu danych o zdrowiu UODO wskazał m.in. możliwość dyskryminacji, ostracyzmu społecznego lub naruszenia dóbr osobistych.

Urząd przypomniał, że na swojej stronie udostępnił poradnik dotyczący ochrony danych wrażliwych i postępowania po wycieku.

"Jednocześnie informujemy, że obowiązek powiadomienia osób, dotkniętych wyciekiem danych, spoczywa na administratorach, którzy korzystali z usług spółki MyDr."

UODO zaleca osobom, które obawiają się wykorzystania swoich danych, przede wszystkim większą ostrożność przy podawaniu informacji przez internet i telefon. Trzeba też uważnie czytać wiadomości SMS i e-maile, by nie paść ofiarą phishingu i nie przekazać dodatkowych danych lub dostępu do bankowości internetowej.

Urząd wskazał też, że jeśli firma lub instytucja przetwarza dane bez podstawy prawnej albo nie wyjaśnia, skąd je ma i w jakim celu je wykorzystuje, najpierw warto zażądać wyjaśnień od tego podmiotu. Kolejnym krokiem może być skarga do prezesa UODO.

W poradniku znalazły się również codzienne zasady bezpieczeństwa. Gdy administrator żąda kopii dowodu osobistego, UODO radzi poprosić o wskazanie podstawy prawnej. Urząd przypomina też, by nie zgadzać się automatycznie na marketing partnerów biznesowych przy zakładaniu kart lojalnościowych, niszczyć dokumenty przed wyrzuceniem oraz przywracać ustawienia fabryczne starych dysków, kart pamięci i pendrive'ów przed ich utylizacją.