miejscowość, dnia data
Prezes Urzędu Ochrony Danych Osobowych
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Skarżący / Skarżąca: imię i nazwisko, adres do korespondencji, e-mail
Podmiot, którego dotyczy skarga: MyDr sp. z o.o., ul. Puławska 465, 02-844 Warszawa, KRS 0000704950, podmiot przetwarzający opcjonalnie oraz „Lekseek Polska sp. z o.o.” sp.k., ul. Puławska 465, 02-844 Warszawa, KRS 0000504649, w zakresie, w jakim uczestniczyła w przetwarzaniu
Skarga na naruszenie przepisów o ochronie danych osobowych
Na podstawie art. 77 ust. 1 RODO oraz art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych wnoszę skargę na naruszenie przepisów o ochronie danych osobowych przez podmiot przetwarzający moje dane i wnoszę o:
wszczęcie postępowania i stwierdzenie, że podmiot przetwarzający naruszył art. 5 ust. 1 lit. c, e i f, art. 25 oraz art. 32 RODO, nie wdrażając środków technicznych i organizacyjnych odpowiadających ryzyku przetwarzania danych dotyczących zdrowia na masową skalę, czego następstwem było naruszenie poufności moich danych;
nakazanie dostosowania operacji przetwarzania do przepisów RODO (art. 58 ust. 2 lit. d RODO), w szczególności w zakresie szyfrowania danych, wykrywania nieuprawnionej eksfiltracji i retencji danych historycznych;
nałożenie administracyjnej kary pieniężnej (art. 58 ust. 2 lit. i w zw. z art. 83 RODO);
ocenę treści zawiadomienia o naruszeniu, rozesłanego za pośrednictwem systemu MyDr, pod kątem zgodności z art. 34 ust. 2 RODO;
ustalenie, który podmiot był podmiotem przetwarzającym moje dane, oraz jakie kategorie moich danych zostały objęte naruszeniem, i zobowiązanie go do przekazania mi tej informacji;
opcjonalnie ustalenie, czy podmiot przetwarzający powiadomił wszystkich administratorów, na rzecz których przetwarzał dane (art. 33 ust. 2 RODO), w szczególności nazwa placówki, od której nie otrzymałem / otrzymałam zawiadomienia;
uwzględnienie skargi w postępowaniu kontrolnym prowadzonym wobec MyDr sp. z o.o. oraz zawiadomienie mnie o sposobie jej załatwienia (art. 77 ust. 2 RODO).
Uzasadnienie
I. Moje dane osobowe, w tym dane dotyczące zdrowia, były przetwarzane w systemie MyDr w związku ze świadczeniami udzielonymi mi w okres lub daty wizyt. Objęcie ich naruszeniem potwierdza zawiadomienie z dnia data zawiadomienia. Skargę kieruję wyłącznie przeciwko podmiotowi przetwarzającemu. Prezes UODO może stosować środki naprawcze i nakładać kary bezpośrednio wobec takiego podmiotu (art. 58 ust. 2 i art. 83 RODO).
W systemie przechowywano o mnie: kategorie danych, np. dane identyfikacyjne z numerem PESEL, dane kontaktowe, rozpoznania, informacje o leczeniu, kody e-recept, treść wywiadu lekarskiego. Są to dane szczególnych kategorii (art. 9 ust. 1 RODO).
Obowiązek zapewnienia bezpieczeństwa (art. 32 RODO) spoczywa wprost na podmiocie przetwarzającym. Możliwość pobrania z systemu danych kilkunastu milionów osób wskazuje, że zabezpieczenia nie odpowiadały ryzyku. Wnoszę o zbadanie, czy dane były szyfrowane w spoczynku, czy wdrożono mechanizmy wykrywania masowego pobierania danych, czy zabezpieczenia były regularnie testowane oraz na jakiej podstawie przechowywano dane historyczne sprzed 12 kwietnia 2024 r.
Zawiadomienie, które otrzymałem / otrzymałam, nie wskazuje daty naruszenia ani konkretnych kategorii moich danych (posługuje się listą danych, które „mogły” zostać objęte incydentem), nie zawiera danych inspektora ochrony danych ani innego punktu kontaktowego administratora i jednocześnie przyznaje możliwość wysokiego ryzyka oraz zapewnia, że nie ma powodów do niepokoju. Zawiadomienie wysłano za pośrednictwem narzędzia podmiotu przetwarzającego.
V. Stopka zawiadomienia wskazuje firmę „MyDr Sp. z o.o.” z numerami KRS 0000504649 i NIP 9512379214, które według KRS należą do „Lekseek Polska sp. z o.o.” sp.k. MyDr sp. z o.o. ma numer KRS 0000704950. Nie mogę ustalić, który podmiot przetwarzał moje dane. Wnoszę o ustalenie tej okoliczności.
- opcjonalnie W dniu data wizyty korzystałem / korzystałam ze świadczeń w nazwa placówki, która korzystała z systemu MyDr, co potwierdza np. wiadomość e-mail ze stopką MyDr lub drWidget. W odniesieniu do tych danych nie otrzymałem / otrzymałam żadnego zawiadomienia. Wnoszę o ustalenie, czy podmiot przetwarzający powiadomił tę placówkę oraz czy po zakończeniu współpracy dane zostały usunięte lub zwrócone (art. 28 ust. 3 lit. g RODO).
podpis
Załączniki:
1) zawiadomienie o naruszeniu ochrony danych osobowych z dnia data zawiadomienia
2) opcjonalnie wiadomość potwierdzająca korzystanie przez placówkę z systemu MyDr, odpowiedź placówki