Jestem lekarzem specjalistą psychiatrii z wieloletnim doświadczeniem zawodowym. Ukończyłam Uniwersytet Medyczny im. Karola Marcinkowskiego w Poznaniu, a tytuł specjalisty w dziedzinie psychiatrii uzyskałam w 2003 roku. Zrealizowałam czteroletnie szkolenie z psychoterapii, atestowane przez Zarząd Sekcji Naukowej Polskiego Towarzystwa Psychiatrycznego. Przez 10 lat uczestniczyłam w superwizjach prowadzonych przeze mnie terapii. Doświadczenie zdobywałam w Klinice Psychiatrii w Poznaniu, na licznych kursach i szkoleniach, a także pracując w Środowiskowym Domu Samopomocy w Środzie Wielkopolskiej. Od 1999 roku prowadzę prywatną praktykę lekarską. Pracuję z osobami dorosłymi. Pomagam pacjentom z zaburzeniami nastroju, odżywiania, lękowymi, nerwicowymi, uzależnieniami oraz innymi problemami psychicznymi. Zawsze podchodzę do każdego pacjenta indywidualnie, z empatią i pełnym zaangażowaniem.

Na podstawie art. 13 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) informuję, że:

1. Administratorem danych osobowych jest Indywidualna Specjalistyczna Praktyka Lekarska Janina Główczewska, adres: 63-000 Środa Wlkp., ul.Szarytek 6/39b, telefon: 606 136 107.
2. Celem przetwarzania danych osobowych jest Świadczenie usług medycznych, związane z tym rozliczenia finansowe, oraz archiwizacja.
3. Podstawą prawną przetwarzania są Ustawa z dnia 6 listopada 2008 roku o prawach pacjenta i rzeczniku praw pacjenta oraz zgoda pacjenta na udostępnianie dokumentacji medycznej.
4. Odbiorcami danych osobowych są podmioty, którym należy udostępnić dane osobowe na podstawie przepisów prawa, w tym: NFZ, ZUS oraz inne uprawomocnione organy państwowe jak również podmioty, z którymi podpisano umowę powierzenia przetwarzania danych.
5. Dane osobowe nie są przekazywane do państwa trzeciego lub organizacji międzynarodowej.
6. Dane osobowe będą przetwarzane, w tym przechowywane przez okres 20 lat od końca roku, w którym dokonano ostatniego wpisu w dokumentacji medycznej. W szczególnych przypadkach okres przechowywania określony jest w ustawie z dnia 6 listopada 2008 roku o prawach pacjenta i rzeczniku praw pacjenta.
7. Osoba, której dane dotyczą ma prawo dostępu do dotyczących go danych osobowych, żądania sprostowania lub ograniczenia przetwarzania danych, żądania usunięcia, wniesienia sprzeciwu wobec przetwarzania, prawo do przenoszenia danych (dotyczy danych przetwarzanych na podstawie zgody).
8. Osoba, której dane dotyczą ma prawo wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych, w przypadku uznania, iż przetwarzanie danych osobowych narusza przepisy RODO
9. Pacjent ma prawo do wyrażenia zgody na udzielenie świadczeń zdrowotnych, na upoważnienie osób trzecich do dostępu do dokumentacji medycznej.
10. Każda osoba, której dane dotyczą, w przypadku gdy przetwarzanie odbywa się na podstawie zgody – ma prawo do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem. Wycofanie się ze zgody należy złożyć w formie wniosku drogą pisemną. Konsekwencją wycofania się ze zgody będzie brak możliwości przetwarzania danych innych niż wynikające z przepisów prawa.
11. Podanie danych osobowych wynikających z przepisu prawa jest obowiązkowe. Niepodanie tych danych spowoduje brak możliwości udzielania świadczeń medycznych.
12. Decyzje dotyczące przetwarzania danych osobowych nie będą podejmowane w sposób zautomatyzowany. Administrator nie profiluje danych osobowych.
13. Nie przewiduje się przetwarzania danych osobowych w celu innym niż cel, w którym dane osobowe zostały zebrane.

Z przykrością informujemy, że system naszego podmiotu przetwarzającego, tj. MyDr Sp. z o.o. z siedzibą w Warszawie, padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności Pani/Pana danych osobowych.

Chcielibyśmy podkreślić, że nie oznacza to, że Pani/Pana dane zostały odczytane, wykorzystane lub upublicznione. Zespoły MyDr oraz zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione. Przeprowadzone przez MyDr analizy śledcze potwierdziły, że incydent został opanowany oraz że nie ma dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.

Ustalenia dokonane przez MyDr przy wsparciu ekspertów zajmujących się analizą śledczą wskazują, że incydent obejmował zasadniczo ograniczony zakres danych przed 12 kwietnia 2024 r., z wyjątkiem nielicznych przypadków, w których mógł również objąć dane zawarte w anulowanych skierowaniach na badania medyczne wystawione po tej dacie.

Wśród danych objętych incydentem mogły znaleźć się Pani/Pana: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, ubezpieczenia społecznego, i (jeśli zostały podane) informacje dotyczące pracodawcy, lub inne dane identyfikacyjne.

Mimo że prowadzony przez MyDr stały monitoring nie wykazał dotychczas żadnych przypadków wykorzystania ani publicznego ujawnienia danych, nie można wykluczyć, że, ze względu na charakter incydentu, w określonych okolicznościach może on potencjalnie wiązać się z wysokim ryzykiem dla praw lub wolności osób, których dane zostałyby niewłaściwie wykorzystane. Chcemy pomóc Pani/Panu zachować bezpieczeństwo na wypadek zmiany okoliczności, dlatego przekazujemy informacje o ewentualnych konsekwencjach oraz zalecanych środkach ostrożności, które mogą pomóc w ochronie danych osobowych i ograniczeniu potencjalnych skutków incydentu

Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w połączeniu z imieniem i nazwiskiem oraz danymi kontaktowymi, w określonych sytuacjach, mógłby posłużyć osobom nieuprawnionym do działań niezgodnych z prawem. W szczególności, jeśli dane te zostałyby publicznie ujawnione, mogłyby zostać użyte przez osoby nieuprawnione do:

• zaciągnięcia kredytu, pożyczki lub zawarcia innych umów bez Pani/Pana wiedzy;
• uzyskania dostępu do Pani/Pana danych zdrowia w instytucjach medycznych, w których uwierzytelnianie osób następuje przy pomocy numeru PESEL.

Incydent mógł również dotyczyć danych dotyczących zdrowia, których nieuprawnione użycie może naruszać Pani/Pana prawa, w szczególności, gdyby osoby trzecie próbowały wykorzystać te informacje:

• w sposób niekorzystny dla Pani/Pana, w tym prowadzący do naruszenia Pani/Pana praw lub do gorszego traktowania w środowisku zamieszkania;
• w celu dokonania oszustwa, np. poprzez kontakt z Panią/Panem lub bliskimi w celu zaoferowania alternatywnych metod leczenia zdiagnozowanych u Pani/Pana chorób.

Raz jeszcze chcemy podkreślić, że warto zachować ostrożność i czujność, jednak na obecnym etapie prowadzony przez MyDr monitoring nie wykazał żadnych przypadków wykorzystania ani publicznego ujawnienia danych. Nie ma zatem powodów do niepokoju.

W przypadku numeru PESEL:

• można bezpłatnie zastrzec numer PESEL w aplikacji mobilnej mObywatel, przez Internet na stronie mObywatel.gov.pl lub osobiście w Urzędzie Gminy (Miasta). Instytucje finansowe są obecnie zobligowane weryfikować przy zawieraniu umów, czy PESEL jest zastrzeżony, co ogranicza ryzyko użycia danych do nieuprawnionego zaciągania zobowiązań na szkodę innych osób. Zastrzeżenie PESEL nie blokuje jednak możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w urzędzie – więcej informacji pod linkiem: https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie;
• można poinformować inne placówki medyczne, w których świadczone są dla Pani/Pana usługi, iż osoby trzecie mogą chcieć wykorzystać Pani/Pana PESEL w celu przejścia procesu autoryzacji w tych jednostkach.

W przypadku danych dotyczących zdrowia:

• w razie potwierdzenia wykorzystania danych przez osoby nieuprawnione może Pani/Pan dochodzić względem nich ochrony swoich praw na podstawie właściwych przepisów, w tym Kodeksu cywilnego;
• warto zachować szczególną ostrożność wobec wszelkich kontaktów z nieznanymi osobami, które nie miały prawa znać historii Pani/Pana zdrowia, a które proponują Pani/Panu skorzystanie z oferowanych przez nie usług medycznych, pseudomedycznych lub terapeutycznych.

Bez względu na zakres danych osobowych, w przypadku podejrzenia, że zostały one wykorzystane niezgodnie z prawem, można zgłosić to na Policję. Informacje o sposobie zgłoszenia znajdują się pod adresem: https://www.gov.pl/web/gov/zglos-przestepstwo. Podkreślamy ponownie, że prowadzony przez MyDr monitoring nie wykazał dotychczas żadnych przypadków wykorzystania ani publicznego ujawnienia danych.

Aby ograniczyć negatywne skutki wykrytego ataku MyDr Sp. z o.o., podjął następujące działania:

• niezwłocznie opanował i zakończył incydent, a także wdrożył dodatkowe, ukierunkowane środki techniczne i organizacyjne mające na celu zapobieganie podobnym incydentom w przyszłości;
• zaangażował wyspecjalizowaną firmę z zakresu cyberbezpieczeństwa w celu przeprowadzenia szczegółowej analizy incydentu;
• zgłosił incydent wyspecjalizowanej jednostce Policji – Centralnemu Biuru Zwalczania Cyberprzestępczości Policji i ściśle z nią współpracuje;
• współpracuje z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK i CSIRT Centrum e-Zdrowia;
• współpracuje z Urzędem Ochrony Danych Osobowych;
• kontynuuje monitoring systemów w celu wykrycia ewentualnych skutków incydentu i niezwłocznego reagowania na pojawiające się zagrożenia;
• prowadzi stały monitoring internetu w celu wykrycia, czy dane, których dotyczy incydent, zostały upublicznione.

Moja placówka – jako administrator Pani/Pana danych osobowych, po otrzymaniu zawiadomienia o naruszeniu od MyDr Sp. z o.o., dokonała zgłoszenia tego naruszenia do Prezesa Urzędu Ochrony Danych Osobowych.

Więcej informacji można znaleźć na specjalnie przygotowanej stronie pacjent.mydr.pl.

W przypadku dodatkowych pytań dotyczących zakresu incydentu prosimy o kontakt dane@mydr.pl.