Ko galėjo nesužiūrėti „MyDr“ ir gydymo įstaigos?

2026 m. rugpjūtį Lenkiją sukrėtė vienas didžiausių pastarųjų metų sveikatos duomenų saugumo incidentų. Po kibernetinės atakos prieš elektroninės medicinos dokumentacijos sistemą „MyDr“ galėjo būti neteisėtai pasisavinti beveik 19 milijonų pacientų duomenys.

Pranešama, kad galėjo būti pasiekta daugiau kaip 2 TB duomenų, apimančių ne tik pacientų vardus, pavardes ir nacionalinius identifikavimo numerius PESEL, bet ir informaciją apie apsilankymus pas gydytojus, išrašytus receptus, vartojamus vaistus, nustatytus sveikatos sutrikimus bei kitus su gydymu susijusius įrašus.

„MyDr“ sistemomis naudojosi maždaug 12 tūkstančių gydytojų kabinetų ir kitų gydymo įstaigų. Todėl šis incidentas nėra tik vienos IT bendrovės problema. Jis kelia esminį BDAR klausimą: kas atsakingas už pacientų duomenų saugumą, kai duomenys tvarkomi pasitelkiant išorinį paslaugų teikėją?

Ką šiuo metu žinome?

„MyDr“ pripažino tapusi išorinės, sąmoningai įvykdytos nusikalstamos atakos taikiniu. Pirminiais duomenimis, incidentas galėjo apimti istorinius pacientų duomenis, sukauptus iki 2024 m. balandžio mėnesio.

Bendrovė nurodė, kad kartu su išorės kibernetinio saugumo specialistais nustatinėja tikslų incidento mastą, paveiktus klientus, pacientus ir konkrečias duomenų kategorijas. Taip pat skelbiama, kad stebint vadinamąjį tamsųjį internetą kol kas nenustatyta, jog pavogta duomenų bazė būtų viešai paskelbta.

Tačiau tai, kad duomenys dar nėra viešai prieinami, nereiškia, kad asmens duomenų saugumo pažeidimo nėra. BDAR požiūriu neteisėtas trečiųjų asmenų susipažinimas su duomenimis ar jų kopijos perėmimas jau reiškia duomenų konfidencialumo praradimą.

Lenkijos asmens duomenų apsaugos priežiūros institucija UODO 2026 m. rugpjūčio 13 d. paskelbė pradedanti „MyDr“ patikrinimą. Institucija vertins bendrovės taikytas technines ir organizacines saugumo priemones, atliktą rizikos analizę ir tai, ar saugumo priemonės buvo reguliariai testuojamos bei pritaikomos prie besikeičiančių kibernetinių grėsmių.

Sveikatos duomenys – ne paprasti asmens duomenys

Duomenys apie asmens sveikatą pagal BDAR 9 straipsnį priskiriami specialių kategorijų asmens duomenims. Jų atskleidimo pasekmės gali būti gerokai sunkesnės nei, pavyzdžiui, vien elektroninio pašto adreso praradimas.

UODO atkreipė dėmesį, kad sveikatos duomenų konfidencialumo praradimas gali sukelti:

• diskriminaciją;
• socialinę atskirtį ar pasmerkimą;
• reputacijos ir orumo pažeidimą;
• psichologinį stresą bei nerimą;
• profesinių ar asmeninių santykių neigiamas pasekmes.

Kai kartu atskleidžiami PESEL numeriai ir kontaktiniai duomenys, papildomai atsiranda tapatybės vagystės, finansinio sukčiavimo, apsimetimo kitu asmeniu bei tikslinių sukčiavimo atakų rizika.

Medicininė informacija yra ilgalaikė. Slaptažodį galima pakeisti, banko kortelę – užblokuoti, tačiau diagnozės, gydymo istorijos ar informacijos apie vartojamus vaistus pakeisti neįmanoma. Todėl tokių duomenų apsaugai turi būti taikomas ypač aukštas saugumo lygis.

Kas šioje situacijoje yra atsakingas?

Gydymo įstaigos, savo pacientų duomenis tvarkiusios „MyDr“ sistemoje, paprastai laikytinos duomenų valdytojomis. Jos sprendžia, kokie pacientų duomenys renkami, kokiais tikslais ir kiek laiko jie tvarkomi.

„MyDr“, teikdama elektroninės medicinos dokumentacijos sistemą ir saugodama duomenis gydymo įstaigų vardu, veikia kaip duomenų tvarkytoja.

Tačiau duomenų perdavimas tvarkytojui nereiškia atsakomybės perdavimo.

Pagal BDAR 28 straipsnį duomenų valdytojas gali pasitelkti tik tokį tvarkytoją, kuris suteikia pakankamas garantijas, kad įgyvendins tinkamas technines ir organizacines priemones. Šias garantijas reikia ne tik įrašyti į sutartį, bet ir realiai patikrinti.

Todėl atsakomybė gali būti vertinama abiem kryptimis:

• ar „MyDr“, kaip duomenų tvarkytoja, užtikrino BDAR 32 straipsnį atitinkantį saugumo lygį;
• ar gydymo įstaigos, kaip duomenų valdytojos, tinkamai pasirinko, įvertino ir prižiūrėjo paslaugų teikėją.

Ko galėjo nesužiūrėti „MyDr“?

Kol UODO patikrinimas nėra baigtas, negalima kategoriškai teigti, kad bendrovė pažeidė BDAR. Vis dėlto pati patikrinimo kryptis ir viešai žinomos incidento aplinkybės leidžia išskirti svarbiausius klausimus.

1. Ar rizikos vertinimas atitiko tikrąjį duomenų mastą?

Sistema galėjo apimti milijonų žmonių medicininius įrašus. Tokia duomenų koncentracija savaime didina atakos tikimybę ir galimas pasekmes.

Rizikos vertinime turėjo būti įvertintas ne tik įprastas neteisėtos prieigos pavojus, bet ir:

• tikslinės kibernetinės atakos;
• duomenų kopijavimas dideliu mastu;
• privilegijuotų paskyrų perėmimas;
• pažeidžiamumų išnaudojimas;
• išpirkos reikalavimo scenarijai;
• atsarginių kopijų ir istorinių duomenų apsauga;
• galimybė laiku pastebėti neįprastą duomenų eksportą.

UODO tikrins ne tik tai, ar rizikos analizės dokumentas egzistavo, bet ir ar jo išvados buvo realiai įgyvendintos.

2. Ar saugumo priemonės buvo reguliariai testuojamos?

BDAR 32 straipsnis reikalauja ne vien įdiegti saugumo priemones, bet ir turėti reguliarų jų veiksmingumo tikrinimo, vertinimo bei testavimo procesą.

Vienkartinis IT sistemos patikrinimas ar bendras saugumo aprašymas nėra pakankamas. Keičiantis sistemai, didėjant duomenų kiekiui ir atsirandant naujoms grėsmėms, turi būti atliekami pakartotiniai pažeidžiamumų vertinimai, įsilaužimo testai, prieigų peržiūros ir incidentų aptikimo priemonių patikrinimai.

Būtent šią sritį UODO įvardijo kaip vieną iš pagrindinių būsimo patikrinimo objektų.

3. Ar prieiga prie duomenų buvo tinkamai apribota?

Dar nėra viešai patvirtinta, kokiu techniniu būdu užpuolikai pasiekė duomenis. Todėl negalima teigti, kad nebuvo naudojamas šifravimas, kelių veiksnių autentifikavimas ar prieigų segmentavimas.

Tačiau incidento mastas kelia pagrįstų klausimų:

• ar viena pažeista paskyra galėjo pasiekti neproporcingai didelį duomenų kiekį;
• ar skirtingų gydymo įstaigų duomenys buvo pakankamai atskirti;
• ar veikė prieigos pagal būtinumo žinoti principą;
• ar buvo nustatyti masinio duomenų atsisiuntimo limitai;
• ar neįprastas duomenų kopijavimas turėjo sukelti automatinį perspėjimą;
• ar jautrūs duomenys buvo tinkamai šifruojami saugojimo ir perdavimo metu.

Atsakymus į šiuos klausimus turėtų pateikti UODO patikrinimas ir techninis incidento tyrimas.

4. Kodėl sistemoje išliko toks didelis istorinių duomenų kiekis?

Skelbiama, kad incidentas galėjo apimti duomenis iki 2024 m. balandžio mėnesio. Tai savaime dar nereiškia BDAR pažeidimo, nes medicinos dokumentų saugojimo terminai nustatomi teisės aktuose ir gali būti ilgi.

Tačiau turi būti įvertinta:

• ar visi sistemoje laikyti duomenys dar buvo būtini;
• ar pasibaigus teisėtam saugojimo terminui duomenys buvo ištrinami;
• ar senesni duomenys galėjo būti perkelti į saugesnį archyvą;
• ar vienodai plačios prieigos buvo būtinos tiek aktyviems, tiek istoriniams įrašams;
• ar buvo įgyvendintas saugojimo trukmės apribojimo principas.

Teisinė pareiga saugoti medicinos dokumentus neatleidžia nuo pareigos riboti prieigą ir taikyti archyviniams duomenims tinkamas saugumo priemones.

5. Ar incidentas buvo pakankamai greitai pastebėtas ir suvaldytas?

Tokio masto duomenų pasisavinimas kelia klausimą, ar veikė nuolatinė sistemų stebėsena ir ar buvo nustatyti neįprasto elgesio indikatoriai.

Turi būti vertinama:

• kada faktiškai prasidėjo neteisėta prieiga;
• kada apie ją sužinojo „MyDr“;
• kiek laiko užpuolikai galėjo veikti sistemoje;
• ar buvo išsaugoti išsamūs veiksmų žurnalai;
• kaip greitai informuotos gydymo įstaigos;
• ar joms nedelsiant pateikta informacija, būtina BDAR pareigoms įvykdyti.

Ko galėjo nesužiūrėti gydymo įstaigos?

UODO pabrėžė, kad incidentas pas duomenų tvarkytoją neatleidžia duomenų valdytojų nuo jų pareigų. Kiekviena „MyDr“ naudojusi gydymo įstaiga turi savarankiškai įvertinti, ar incidentas palietė jos pacientų duomenis, kokią riziką tai sukelia ir kokių veiksmų reikia imtis.

Gydymo įstaigoms gali tekti pagrįsti:

• kaip prieš sudarant sutartį buvo įvertintas „MyDr“ patikimumas;
• kokių konkrečių saugumo garantijų buvo pareikalauta;
• ar buvo apsiribota vien tiekėjo deklaracijomis ir sertifikatais;
• ar sutartyje numatyta teisė atlikti auditą;
• ar tiekėjas buvo periodiškai tikrinamas;
• ar buvo vertinamas didelio masto sveikatos duomenų tvarkymo poveikis;
• ar incidentų valdymo procedūrose aiškiai paskirstytos duomenų valdytojo ir tvarkytojo pareigos;
• ar nustatyti konkretūs terminai, per kuriuos tvarkytojas privalo informuoti apie incidentą.

Lenkijos UODO praktika rodo, kad vien duomenų tvarkymo sutarties ir tiekėjo pareiškimo apie atitiktį BDAR nepakanka. 2026 m. liepą UODO įspėjo vieną Lenkijos ligoninę būtent dėl to, kad ši tinkamai nepatikrino išorinio paslaugų teikėjo suteikiamų duomenų saugumo garantijų.

Duomenų valdytojas turi turėti materialių įrodymų, kad tiekėjas buvo pasirinktas rūpestingai ir kad jo garantijos periodiškai tikrinamos, pavyzdžiui, atliekant auditus ar patikrinimus.

Kas turi pranešti UODO ir pacientams?

„MyDr“, kaip duomenų tvarkytoja, privalo be nepagrįsto delsimo informuoti atitinkamą gydymo įstaigą apie jos duomenis palietusį pažeidimą ir suteikti informaciją, reikalingą incidentui įvertinti.

Tačiau pranešti priežiūros institucijai pagal BDAR 33 straipsnį turi duomenų valdytojas – konkreti gydymo įstaiga.

Gavusi patvirtinimą, kad incidentas apėmė jos pacientų duomenis, įstaiga privalo:

1. Užregistruoti incidentą.
2. Nustatyti paveiktus duomenis ir asmenis.
3. Įvertinti riziką pacientų teisėms ir laisvėms.
4. Jei tikėtina rizika – ne vėliau kaip per 72 valandas nuo pažeidimo nustatymo pranešti priežiūros institucijai.
5. Jei tikėtina didelė rizika – be nepagrįsto delsimo tiesiogiai informuoti pacientus.

UODO nurodė, kad pacientui pateikiamame pranešime turi būti suprantamai paaiškintas pažeidimo pobūdis, galimos pasekmės, duomenų apsaugos pareigūno ar kito kontaktinio asmens duomenys ir priemonės, kurių ėmėsi įstaiga arba kurių rekomenduojama imtis pačiam pacientui.

Sveikatos duomenų atskleidimo atveju nepakaktų bendro pranešimo, kad „įvyko techninis incidentas“. Pacientas turi suprasti, kokie jo duomenys galėjo būti pasiekti ir kokios realios rizikos dėl to atsirado.

Svarbiausia pamoka Lietuvos gydymo įstaigoms

„MyDr“ incidentas rodo, kad didžiausia rizika gali būti ne pačios ligoninės viduje, o jos pasirinkto tiekėjo sistemose. Tačiau teisinė atsakomybė dėl to neišnyksta.

Lietuvos gydymo įstaigoms verta nedelsiant pasitikrinti:

• kokie išorės tiekėjai turi prieigą prie pacientų duomenų;
• kokios duomenų kategorijos jiems perduodamos;
• kur fiziškai ir teisiškai saugomi duomenys;
• ar tiekėjai pasitelkia subtvarkytojus;
• kada paskutinį kartą tikrintos jų saugumo garantijos;
• ar turimi realūs patikrinimų ir auditų įrodymai;
• ar atnaujintas duomenų apsaugos poveikio vertinimas;
• ar sutartyse nustatytas pakankamai trumpas terminas pranešti apie incidentą;
• ar įstaiga pajėgtų per 72 valandas įvertinti incidentą ir informuoti VDAI;
• ar parengtas aiškus pranešimo pacientams šablonas.

Išvada

Šiuo metu dar per anksti galutinai įvardyti, kokius konkrečius BDAR reikalavimus pažeidė „MyDr“ ar jos paslaugomis naudojusios gydymo įstaigos. Tai turės nustatyti Lenkijos UODO atliekamas patikrinimas.

Tačiau jau dabar aišku, kad vien sutarties su IT paslaugų teikėju nepakanka. Duomenų valdytojas negali aklai pasitikėti tiekėjo pažadu, kad sistema yra saugi. Jis privalo vertinti riziką, tikrinti garantijas, reikalauti įrodymų ir periodiškai kontroliuoti, ar saugumo priemonės iš tiesų veikia.

Pacientų sveikatos duomenų perdavimas išorės paslaugų teikėjui nėra atsakomybės perdavimas.

Kuo daugiau jautrių duomenų sutelkiama vienoje sistemoje, tuo aukštesnio saugumo, prieigos kontrolės, nuolatinės stebėsenos ir atskaitomybės standarto turi būti reikalaujama. „MyDr“ incidentas turėtų tapti rimtu įspėjimu visoms gydymo įstaigoms: tiekėjo saugumas yra ne vien IT skyriaus, bet ir BDAR atitikties bei įstaigos vadovybės atsakomybės klausimas.

 

Straipsnis parengtas pagal iki 2026 m. rugpjūčio 21 d. paskelbtą informaciją. Pagrindiniai šaltiniai:DI, UODO pranešimas apie gydymo įstaigų pareigas, pranešimas apie pradėtą „MyDr“ patikrinimą, UODO rekomendacijos po incidento ir UODO sprendimas dėl ligoninės pareigos tikrinti duomenų tvarkytoją,