Wyciek danych MyDr. UODO ostrzega przed kolejnym zagrożeniem
Incydent cyberbezpieczeństwa w systemach firmy MyDr może oznaczać ryzyko dla danych osobowych części użytkowników. UODO poinformował, że sprawą zajmują się odpowiednie służby, a osoby, których dane mogły zostać ujawnione, powinny zachować szczególną ostrożność.
UODO: to administratorzy muszą powiadomić poszkodowanych
Urząd Ochrony Danych Osobowych odniósł się do medialnych informacji o możliwym wycieku danych z systemów MyDr. Na tym etapie trwają działania mające ustalić dokładny przebieg zdarzenia oraz jego okoliczności. UODO przypomina jednocześnie, że osoby korzystające z usług podmiotów współpracujących z MyDr nie powinny czekać na działania samego urzędu.
Za poinformowanie osób, których dane zostały objęte naruszeniem, odpowiadają administratorzy korzystający z usług MyDr. Jeżeli więc ktoś otrzyma komunikat o wycieku, warto potraktować go poważnie i od razu ograniczyć ryzyko wykorzystania danych przez osoby nieuprawnione.
Jednym z podstawowych działań jest zastrzeżenie numeru PESEL. Równie ważna jest ostrożność wobec telefonów, SMS-ów i wiadomości e-mail. Dane pochodzące z wycieku mogą bowiem zostać wykorzystane jako element kolejnego ataku, na przykład próby wyłudzenia loginu, hasła lub danych potrzebnych do dostępu do bankowości internetowej.
Wyciek danych to nie koniec problemu
UODO zwraca uwagę, że po ujawnieniu danych szczególnie ważna staje się czujność. Wiadomości sugerujące konieczność potwierdzenia danych, zmianę hasła czy kliknięcie w link powinny być dokładnie sprawdzane. Oszuści mogą próbować wykorzystać informacje znane już na temat ofiary, aby ich komunikat wyglądał bardziej wiarygodnie.
Urząd przypomina także, że w przypadku problemów z przetwarzaniem danych w pierwszej kolejności należy zwrócić się do administratora. Można domagać się między innymi informacji o tym, jakie dane są przetwarzane, w jakim celu i na jakiej podstawie prawnej. Jeżeli administrator nie odpowie, udzieli niewystarczających informacji albo nie zrealizuje przysługujących praw, można złożyć skargę do Prezesa UODO.
Trzeba jednak pamiętać, że UODO nie jest organem ścigania. Sam numer telefonu, adres serwera czy dokument zawierający dane nie zawsze wystarczy, aby urząd mógł ustalić tożsamość podmiotu odpowiedzialnego za naruszenie.
UODO może nałożyć karę, ale nie robi tego automatycznie
Wyciek danych nie oznacza automatycznie kary finansowej dla administratora. Prezes UODO analizuje każdą sprawę indywidualnie. Pod uwagę brane są między innymi skala i czas trwania naruszenia, liczba poszkodowanych, rodzaj danych, rozmiar szkody oraz sposób zachowania administratora po wykryciu problemu.
Kara finansowa jest tylko jednym z możliwych środków. UODO może również wydać ostrzeżenie, upomnienie albo nakazać dostosowanie sposobu przetwarzania danych do obowiązujących przepisów.
Warto uważać na dane także na co dzień
UODO przypomina, że bezpieczeństwo danych nie zaczyna się dopiero po dużym cyberincydencie. Warto ograniczać ilość informacji publikowanych w Internecie, nie przekazywać danych przez telefon nieznanym osobom i nie oddawać dokumentów tożsamości jako zastawu. Kopia dowodu osobistego również nie powinna być przekazywana bez wyraźnej podstawy prawnej.
Ostrożność przydaje się także podczas wypełniania formularzy. Jeżeli do skorzystania z usługi nie są potrzebne wszystkie dane, nie ma powodu, by podawać informacje dodatkowe. Przed zaznaczeniem zgód warto sprawdzić, czego dotyczą i kto będzie odbiorcą danych.
Nie bez znaczenia pozostają też podstawowe zasady bezpieczeństwa: niszczenie dokumentów przed wyrzuceniem, trwałe usuwanie danych ze starych urządzeń, korzystanie z oprogramowania zabezpieczającego oraz stosowanie różnych, odpowiednio silnych haseł. W przypadku incydentu takiego jak ten związany z MyDr właśnie te proste działania mogą ograniczyć skutki wycieku.
