Znów wyciekły dane pacjentów – sprawdź czy to Cię dotyczy!

DCG po prostu niezbyt fachowo skonfigurowało masową wysyłkę SMS-ów i wiadomości zamiast przyjść jedna po drugiej, są zakolejkowane i będą sukcesywnie do Was spływać. Niech lekcją z tego incydentu będzie, że nawet jak zawini podwykonawca, to warto proces informowania ofiar przeprowadzić w sposób przemyślany. Inaczej pojawia się sporo niepotrzebnych emocji.

Nie wiemy, czy wysyłka tej wiadomości to własna inwencja DCG Centrum Medyczne, czy nakaz ze strony UODO. Ale wiadomość stworzona jest tak, że można odnieść wrażenie, iż jej celem było “odhaczenie” obowiązku poinformowania poszkodowanych o incydencie. I niestety tylko tyle, bo SMS nie zawiera żadnych szczegółów co do tego: Jakie konkretnie dane zostały skradzione? I czy u każdego takie same? kim jest “procesor”, czyli podmiot któremu DCG Centrum Medyczne udostępniło dane, które zostały skradzione? Jakie mogą być skutki tego wycieku danych dla poszkodowanych? Jak wysokie wg kliniki jest ryzyko nieuprawnionego użycia danych.

W otrzymanym od DCG Centrum Medyczne oświadczeniu czytamy, że wyciek nastąpił ze środowiska testowego (!) firmy MEDILY, która w latach 2019-2021 dostarczała klinice oprogramowanie AURERO do zarządzania wizytami. Chociaż DCG Centrum Medyczne rozwiązało z MEDILY umowę w dn. 31 stycznia 2021 roku, to okazuje się, że firma MEDILY nie skasowała danych pacjentów, choć powinna była to zrobić jeszcze w 2021 roku . Dane które wykradziono miały być za okres do 2019 roku.

Na podstawie analizy dokumentów od Medily stwierdzamy, że ok. 99,8% wycieku danych dotyczy podstawowych danych osobistych (tj. imię, nazwisko, adres, numer pesel, nr telefonu, adres e-mail, data urodzenia). Zostaliśmy uczuleni przez prezesa Medily sp. z o.o., że dane wyciekły ze środowiska testowego, dlatego wybrane dane mogą nie być prawdziwe, a niektóre numery telefonów przypadkowe i niezgodne z pozostałą częścią danych. Sprawę jako DCG wciąż analizujemy.

Zaprzestanie korzystania z numeru telefonu i e-maila, który został podany klinice, jeśli nie chcecie aby dane z tego wycieku pojawiały się komuś w korelacji z innymi wyciekami z przyszłości, dotyczącymi nowych usług z których skorzystacie posługując się tymi sami identyfikatorami kontaktowymi.