Niepubliczny Zakład Opieki Zdrowotnej OBŁUŻE - OKSYWIE

​​

 

WAŻNY KOMUNIKAT: Informacja o potencjalnym naruszeniu bezpieczeństwa danych pacjentów

​

Szanowni Pacjenci,

Dbając o transparentność oraz bezpieczeństwo Waszych danych osobowych, czujemy się zobowiązani poinformować o incydencie bezpieczeństwa, który miał miejsce u zewnętrznego dostawcy oprogramowania medycznego MedicalData, obsługującego naszą placówkę.

 

Co się stało i kiedy?

Zewnętrzny dostawca systemu medycznego poinformował nas, że w okresie od około godz. 03:00 w dniu 19 sierpnia 2026 r. do około godz. 15:13 w dniu 2 września 2026 r. doszło do nieuprawnionego dostępu do baz danych systemu przez osoby trzecie. Nasza placówka otrzymała pierwsze powiadomienie o sprawie 17 września 2026 r., jednak bez wskazania, czy incydent dotyczy naszej placówki oraz naszych pacjentów.

Na podstawie najnowszych ustaleń przekazanych nam przez dostawcę w dniu 30.10.2026 r. wynika, że dostawca nie jest w stanie precyzyjnie wskazać których placówek i których konkretnie pacjentów dane zostały skopiowane.

​

Kierując się zasadą najwyższej ostrożności i dobrem naszych pacjentów, zakładamy scenariusz, w którym dane osób korzystających z naszych usług w tamtym okresie mogły zostać objęte tym incydentem.

 

Jakie dane mogły ulec naruszeniu?

W bazie danych systemu medycznego przetwarzane były następujące kategorie danych, które mogły stać się obiektem nieuprawnionego dostępu:

• Dane identyfikacyjne i kontaktowe, jak imię i nazwisko, numer PESEL, adres zamieszkania, adres e-mail, numer telefonu;

• Dane dotyczące stanu zdrowia, wizyt, udzielonych świadczeń, recept, rozpoznań i opisów medycznych.

Dostawca oprogramowania poinformował nas, że zgodnie z posiadanymi informacjami z dnia 30.10.2026 r. nie stwierdzono dowodów publikacji, sprzedaży ani wykorzystania danych konkretnych pacjentów. Brak takich dowodów nie stanowi jednak definitywnego wykluczenia ryzyka.

 

Jakie mogą być konsekwencje dla pacjenta?

Potencjalny wyciek numeru PESEL oraz danych osobowych niesie za sobą ryzyko prób kradzieży tożsamości przez oszustów (np. próby wyłudzenia pożyczek, zawarcia umów abonamentowych lub rejestracji kart przedpłaconych). 

 

Jak mogą się Państwo zabezpieczyć? (Rekomendowane kroki)

Aby zminimalizować ryzyko negatywnych skutków tego incydentu, gorąco zalecamy podjęcie następujących działań:

1. Zastrzeżenie numeru PESEL: Można to zrobić bezpłatnie i natychmiast w rządowej aplikacji mObywatel lub na portalu obywatel.gov.pl. Zapobiegnie to np. zaciągnięciu kredytu przez oszusta.

2. Założenie konta w BIK: Aktywacja tzw. „Alertów BIK” na stronie www.bik.pl pozwoli na natychmiastowe otrzymanie powiadomienia SMS/e-mail, jeśli ktoś spróbuje sprawdzić Państwa zdolność kredytową w banku.

3. Zwiększona czujność: Prosimy o zachowanie szczególnej ostrożności przy odbieraniu niespodziewanych wiadomości SMS, e-mail oraz telefonów od osób podających się za pracowników banków, urzędów czy placówek medycznych (ryzyko phishingu).

 

​Co zostało zrobione w związku z incydentem?

Podmiot obsługujący system poinformował nas, że po wykryciu incydentu m.in.:

• usunął wykryte mechanizmy umożliwiające nieautoryzowany dostęp;

• zmienił dane uwierzytelniające oraz wymusił zmianę haseł użytkowników;

• wdrożył uwierzytelnianie wieloskładnikowe;

• wprowadził dodatkowe ograniczenia dostępu sieciowego w tym mechanizmy oparte na dozwolonych adresach IP;

• wdrożył poprawki ograniczające ryzyko nieuprawnionych zapytań i dostępu do plików;

• rozszerzył monitoring zdarzeń;

• zastosował dodatkowe zabezpieczenia przy wystawianiu recept na leki wysokiego ryzyka;

• rozpoczął procedurę wyboru niezależnego wykonawcy testów penetracyjnych i audytu bezpieczeństwa, po których zostanie przeprowadzony retest.

Według informacji przekazanych nam na dzień 30.10.2026 r. nie wykryto dalszej podejrzanej aktywności po dniu 02.09.2026 r., godz. 15,13. Nie stanowi to jednak bezwarunkowego zapewnienia, że żaden incydent nie może nastąpić w przyszłości. 

 

Co zostało przez nas zrobione?

Incydent został zgłoszony do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

Zażądaliśmy od dostawcy oprogramowania podjęcia natychmiastowych działań naprawczych w celu zapobieżenia wystąpienia tego typu zdarzeń w przyszłości.

​

Kontakt

W przypadku pytań dotyczących naruszenia ochrony danych osobowych mogą Państwo skontaktować się

z Inspektorem Ochrony Danych Przychodni Obłuże - Oksywie

Inspektor Danych Przychodni Obłuże - Oksywie: Bartosz Pyka;  e-mail: rodo@obluze.med.pl

​

Pytania dotyczące zdarzenia, prosimy kierować

drogą mailową: alert@obluze.med.pl

drogą korespondencyjną na adres: Przychodnia Obłuże-Oksywie, ul. Sucharskiego 2, 81-157 Gdynia

​

Prosimy o nieprzesyłanie w wiadomościach pełnego numeru PESEL, dokumentacji medycznej ani innych szczegółowych informacji dotyczących zdrowia, jeżeli nie jest to konieczne do udzielenia odpowiedzi.

​​

Z wyrazami szacunku, 

Przychodnia Obłuże - Oksywie