W związku ze skierowanym do Ministra Zdrowia ponownym wystąpieniem Prezesa Urzędu Ochrony Danych Osobowych z dnia 23 czerwca 2023 r. dotyczącym naruszenia ochrony danych osobowych, zgłoszonego przez Ministra Zdrowia Prezesowi w dniu 28 października 2021 r. oraz w oparciu o art. 34 ust. 3 lit. c RODO[1], prosimy przyjąć poniższe informacje.

W dniu 28 października 2021 r. (godz. 13:19) Minister Zdrowia jako administrator danych osobowych gromadzonych w systemie P1[2] powziął informację o możliwym naruszeniu ochrony danych osobowych. Potencjalne naruszenie trwało od dnia 17 do 19 października 2021 r. Podejrzenie miało związek ze znajdującym się w internecie ogłoszeniem dotyczącym możliwości uzyskania Unijnego certyfikatu COVID. Osoba zgłaszająca tę informację skorzystała z takiej oferty, co wskazywało, że rzeczywiście istnieje możliwość uzyskania certyfikatu poza systemem, tj. bez konieczności spełnienia niezbędnych przesłanek czyli m.in. przyjęcia odpowiedniej liczby dawek szczepionki przeciwko wirusowi SARS-CoV-2 powodującego chorobę COVID-19. W związku z powyższym podjęto działania zapobiegające dalszym nadużyciom, które polegały na zablokowaniu konta w aplikacji gabinet.gov.pl użytkownikowi (lekarzowi), którego konta użyto do opisanych nadużyć. Wykonano analizę logów oraz zapisów na koncie użytkownika w systemie gabinet.gov.pl. Ustalono, że potencjalnie nieznane osoby mogły przejąć kontrolę nad Profilem Zaufanym w wyniku czego mogły mieć nieuprawniony dostęp do systemu gabinet.gov.pl. W toku dalszego postępowania wyjaśniającego ustalono, że przyczyną zidentyfikowanego procederu było najprawdopodobniej przejęcie kontroli nad kontem użytkownika (lekarza) w aplikacji gabinet.gov.pl. W wyniku tych działań nieuprawnione osoby potencjalnie mogły odczytać dane pacjentów tego użytkownika (lekarza) w tym imię i nazwisko, adres zamieszkania numer PESEL, dane o wystawionych receptach i lekach, dane o wystawionych skierowaniach, dane o szczepieniach, mogły także mieć możliwość wywołania z systemu danych w zakresie imię i nazwisko, adres zamieszkania, numer PESEL każdej osoby ubezpieczonej.

Dokonana analiza nie ujawniła oznak wycieku danych czy przełamania zabezpieczeń w systemach P1, którego częścią jest gabinet.gov.pl, niemniej jednak mając na uwadze wystąpienie Prezesa Urzędu Ochrony Danych Osobowych informujemy, że potencjalnymi konsekwencjami dla osób, których dane mogły zostać naruszone przedmiotowym zdarzeniem, może być nieuprawnione wykorzystanie danych osobowych w następujący sposób:

1. naruszenie dobra osobistego w postaci dyskryminacji czy szykan z uwagi na stan zdrowia;
2. szantaż w przypadku szczególnych chorób i chęci wykonywania określonych zawodów;
3. możliwość wpłynięcia informacji o stanie zdrowia na decyzję firm ubezpieczeniowych oferujących ubezpieczenia na życie;
4. możliwość umieszczenia danych osobowych (w tym dotyczących zdrowia) w nielegalnych bazach danych oferowanych przez internet;
5. osoby trzecie mogą podjąć próbę uzyskania dostępu do systemów obsługujących udzielanie świadczeń medycznych i uzyskać wgląd do danych o stanie zdrowia właściciela dokumentu, ponieważ czasem dostęp do systemów rejestracji pacjenta (w placówkach medycznych) można uzyskać, potwierdzając swoją tożsamość za pomocą numeru PESEL;
6. składanie przez osoby trzecie dyspozycji w podmiotach leczniczych w zakresie  wydawania dokumentacji medycznej w imieniu poszkodowanego lub wyrażania sprzeciwu dotyczącego uzyskiwania kopii dokumentacji;
7. próby wyłudzenia udostępniania informacji medycznych w tym danych dotyczących stanu zdrowia za pomocą środków komunikacji zdalnej;
8. możliwość wykupienia ze zniżką lekarstwa na receptę wystawioną na osobę której dane naruszono po powzięciu informacji przez osoby niepowołane o recepcie oraz numerze PESEL;
9. próby wyłudzenia recepty z wykorzystaniem narzędzi zdalnej komunikacji teleinformatycznej;
10. ryzyko wyłudzenia kredytu, pożyczki, zaciągnięcia zobowiązań w instytucjach pozabankowych na szkodę osoby, której dane osobowe naruszono;
11. wystąpienie szkód materialnych (np. strat finansowych) i niematerialnych (np. kradzież tożsamości lub oszustwo);
12. dane osobowe mogą zostać wykorzystane w przyszłości przez osobę trzecią do próby wyłudzenia ubezpieczenia;
13. dane osobowe mogą zostać wykorzystane w przyszłości do uzyskania przez osoby trzecie, na szkodę osób, których dane naruszono, dostępu do środków finansowych zgromadzonych na prywatnych kontach bankowych, wyłudzonych przez ww. osoby podszywające się pod instytucje finansowe za pomocą SMS-ów;
14. ułatwienie złamania/odgadnięcia haseł np. do bankowości elektronicznej w przypadku gdy hasła te opierają się na informacjach zawartych w danych osobowych (np. data urodzenia, adres);
15. dane mogą zostać wykorzystane do tzw. SIM swappingu, czyli wyrobienia duplikatu karty SIM, która następnie może zostać użyta w celu dokonania nielegalnej autoryzacji dokonanego w internecie zakupu;
16. ujawnione dane osobowe mogą być wykorzystywane do próby wyłudzenia kolejnych dodatkowych danych np. poprzez kontakt w mediach społecznościowych;
17. dane osobowe mogą zostać wykorzystane przez osoby trzecie do ukrycia swojej tożsamości, np. przy otrzymywaniu mandatu;
18. dane osobowe mogą zostać wykorzystane w przyszłości do zawarcia umowy o świadczenie usług np. telewizji kablowej, telefonu, internetu a następnie zaprzestanie opłacania rachunków i spowodowanie dla osób, których dane dotyczą, negatywnych konsekwencji w postaci zadłużenia;
19. dane osobowe mogą zostać wykorzystane do założenia na dane właściciela dokumentu konta internetowego (np. w serwisach społecznościowych);
20. dane osobowe mogą zostać wykorzystane do zarejestrowania karty telefonicznej typu prepaid, która może posłużyć do celów przestępczych;
21. dane osobowe mogą zostać wykorzystane do podszycia się pod inną osobę lub instytucję w celu wyłudzenia dodatkowych określonych informacji;
22. dane osobowe mogą zostać wykorzystane np. do oddania w przyszłości głosu w głosowaniu nad środkami budżetu obywatelskiego.