Kroki od 1 do 5 warto zrobić od razu. Krok 6 zrobisz, gdy placówki odpowiedzą. Kroki od 7 do 10 zależą od Twojej decyzji i możesz rozłożyć je w czasie.
1Nie działaj pod presją
Informacja o wycieku sama w sobie bywa pretekstem dla oszustów. Jeżeli ktoś dzwoni lub pisze, powołuje się na Twoje leczenie i czegoś od Ciebie chce (danych, kodu, przelewu, „weryfikacji”), rozłącz się. Nie potwierdzaj żadnych danych. Nie podawaj przez telefon numeru PESEL, haseł ani kodów z SMS-ów nikomu, kto zadzwonił do Ciebie sam. Podejrzany SMS możesz bezpłatnie przesłać do CERT Polska na numer 8080.
2Sprawdź, czy Twój PESEL jest w wycieku
Wejdź na bezpiecznedane.gov.pl i zaloguj się przez mObywatel, bank, e-dowód lub profil zaufany. Serwis powie Ci tylko, czy numer PESEL znalazł się w wycieku. Nie powie, czy jakieś inne dane o Tobie wyciekły. Wyłącznie placówka wie, jakie dane o Tobie gromadziła, chociaż też może nie wiedzieć, co z nich wyciekło.
Co się stało według dostawcy systemu, przeczytasz w informatorze MyDr dla pacjentów: pacjent.mydr.pl. Spółka pisze tam, że nie może sama sprawdzić Twojego numeru PESEL ani przekazać tej informacji telefonicznie lub mailowo.
3Zastrzeż PESEL i zabezpiecz konta
Zastrzeżenie PESEL zrobisz w aplikacji mObywatel, w serwisie mobywatel.gov.pl albo w dowolnym urzędzie gminy (instrukcja na gov.pl). Od 1 czerwca 2024 r. banki i firmy pożyczkowe muszą sprawdzić zastrzeżenie przed udzieleniem kredytu lub pożyczki, więc trudniej będzie wziąć kredyt na Twoje dane. Zastrzeżenie nie blokuje wizyty u lekarza, realizacji recepty ani spraw w urzędzie. Gdy będziesz potrzebować kredytu, cofniesz je w kilka minut.
Włącz weryfikację dwuetapową w poczcie, banku i mObywatelu.
4Ustal, które placówki miały Twoje dane w MyDr
Przejrzyj skrzynkę pocztową i SMS-y. Szukaj wiadomości od przychodni i gabinetów, w których w nadawcy lub stopce pojawia się MyDr albo drWidget. Zwróć uwagę na daty: według MyDr wyciekła kopia bazy danych z 12 kwietnia 2024 r., więc liczą się wizyty sprzed tego dnia.
5Zapytaj wszystkie placówki, czy korzystały z MyDr
Wyślij krótki mail przesiewowy do każdej przychodni i każdego gabinetu, w których leczysz się teraz lub leczono Cię przed kwietniem 2024 r. Także do tych, od których nie masz żadnego zawiadomienia. Wzór maila przesiewowego.
6Zażądaj kopii swoich danych tam, gdzie był MyDr
To najważniejsze pismo w całym poradniku. Wyślij je do każdej placówki, która przysłała Ci zawiadomienie o naruszeniu albo odpisała, że korzystała z MyDr.
Serwis bezpiecznedane.gov.pl pokazuje tylko, czy w wycieku jest Twój numer PESEL. Jeżeli jest, to znaczy, że wyciekł co najmniej PESEL, a nie tylko PESEL. Co jeszcze było w systemie (rozpoznania, leki, treść wywiadu lekarskiego), dowiesz się dopiero z kopii danych od placówki.
Masz do niej prawo (art. 15 ust. 3 RODO). Pierwsza kopia jest bezpłatna, także kopia danych z dokumentacji medycznej. Placówka ma miesiąc na odpowiedź. Bez tej wiedzy trudno ocenić, co Ci grozi, i trudno wykazać krzywdę, jeśli zdecydujesz się dochodzić zadośćuczynienia.
7Zbierz i zabezpiecz dowody
Zachowaj w jednym miejscu:
- zawiadomienia o naruszeniu (całe maile, razem ze stopką),
- stare wiadomości od placówek ze stopką MyDr lub drWidget,
- odpowiedzi placówek,
- kopię dokumentacji medycznej (tylko dla siebie, nie wysyłaj jej nikomu bez potrzeby),
- notatki z datami Twoich działań (zastrzeżenie PESEL, podejrzane telefony).
Zrób zrzut ekranu wyniku z bezpiecznedane.gov.pl z widoczną datą.
8Zdecyduj, czy dochodzisz zadośćuczynienia
Masz prawo żądać pieniędzy za krzywdę, jaką wyrządził Ci wyciek (art. 82 RODO). Droga zaczyna się od wezwania do zapłaty, a może skończyć w sądzie. Nie dajemy tu wzoru wezwania: kwota i opis krzywdy mają później znaczenie w sądzie, a źle udokumentowana szkoda grozi przegraną. Zalecamy ostrożność i konsultację z adwokatem lub radcą prawnym. Co warto wcześniej zebrać, opisujemy w dziale o zadośćuczynieniu.
9Złóż skargę do UODO
Skarga jest bezpłatna. UODO nie da Ci pieniędzy, ale może stwierdzić naruszenia, nakazać ich usunięcie i nałożyć karę. Jego ustalenia mogą Ci pomóc w sądzie.
10Złóż zawiadomienie do prokuratury z wnioskiem o ściganie
Postępowanie karne już trwa, ale część przestępstw (nieuprawniony dostęp do informacji) jest ścigana tylko na wniosek pokrzywdzonego. Twój wniosek sprawia, że czyn popełniony na Twoją szkodę zostanie objęty postępowaniem, a Ty uzyskasz status pokrzywdzonego.
Jedna zasada dla wszystkich pism
Nie wpisuj do pism rozpoznań ani nazw leków i nie załączaj dokumentacji medycznej. Wystarczy opis kategorii danych. Szczegóły pokażesz sądowi albo prokuratorowi, kiedy będzie to potrzebne.