Na podstawie art. 34 ust. 3 lit. c RODO^[1] uprzejmie informujemy, że w wyniku nieuprawnionego działania doszło do naruszenia ochrony danych osobowych przetwarzanych w systemie e-rejestracji^[2], których administratorem jest Minister Zdrowia. Do naruszenia doszło za pośrednictwem jednego z kanałów rejestracji, tj. formularza szybkiej ścieżki rejestracji na szczepienie ochronne przeciwko COVID-19, który został wyłączony.

Formularz szybkiej ścieżki logowania pozwalał na umówienie wizyty na szczepienia w cyklu podstawowym (jeżeli wcześniej było ono nieumówione). Nie dawał natomiast możliwości umówienia się na szczepienie dawką uzupełniającą lub przypominającą.

Liczba logowań była ograniczona, tj. na jeden numer telefonu można było umówić 3 osoby (3 różne PESELE). Dodatkowo potencjalne ryzyko enumerowania numerów PESEL zostało ograniczone przez zastosowanie reCAPTCHA.

W dniu 25 stycznia 2022 r., biorąc pod uwagę spadającą liczbę uproszczonych rejestracji, Ministerstwo Zdrowia zdecydowało o wyłączeniu tego sposobu zapisywania na szczepienia. Z informacji przekazanych z CeZ wynikało, że istnieje zagrożenie, iż każda osoba uzupełniająca pola w formularzu mogła podać swój numer telefonu w celu potwierdzenia tożsamości i po wprowadzaniu danych osobowych innych osób (jeżeli takie posiadała) obejmujących ich imię, nazwisko oraz numer PESEL, wygenerować dodatkową informację dotyczącą tej osoby w zakresie jej rejestracji na szczepienie przeciwko COVID-19, a więc informacji o przyjęciu szczepionki. Na podany numer telefonu był bowiem wysyłany sms z kodem jednorazowym i po jego wprowadzeniu posiadacz tego numeru otrzymywał informację o możliwości zaszczepienia. W efekcie można było wywnioskować, czy osoba, której dane wprowadzono poddała się już szczepieniu. Po ewentualnym umówieniu trzech szczepień na jeden numer telefonu możliwość umawiania kolejnych wizyt była blokowana na 15 sekund. Z kolei sprawdzenie opcji rejestracji, czyli logowanie bez umówienia było możliwe bez ograniczeń.

Dodatkowo w niektórych przypadkach formularz pozwalał osobie podszywającej się pod użytkownika na uzyskanie informacji o miejscowości zamieszkania osoby, której dane zostały wykorzystane do nieuprawnionego logowania. Osoba, która logowała się poprzez formularz używała danych (obejmujących imię, nazwisko oraz numer PESEL) pozyskanych we własnym zakresie. Ustalono, że przedmiotem naruszenia były dane osobowe 192 osób. Naruszenie polegało na nieuprawnionym uzyskaniu dostępu do informacji, a jego przyczyną było zewnętrzne działanie zamierzone. Konsekwencją incydentu była utrata poufności danych i wystąpiła możliwość naruszenia dobrego imienia osób z uwagi na fakt, że przedmiotem zainteresowania były osoby, które są osobami publicznymi.