Wczoraj dowiedzieliśmy się z mediów, iż dane medyczne 19 mln Polaków zostały wykradzione z platformy medycznej DocPlanner. Polska firma DocPlanner przejęła polską platformę medyczną MyDr w lutym 2023 roku, bez jakiegokolwiek nadzoru państwa (rząd PiS).
W poprzedniej notce „Wyciek danych 19 mln Polaków” udowodniłam, iż DocPlanner to prywatna spółka, która wykorzystała pieniądze zagranicznych inwestorów na przejmowanie upadających firm medycznych w wielu krajach, ale nie zainwestowała w bezpieczeństwo ani w poziom techniczny własnych stron internetowych. Ich infrastruktura działa na wyjątkowo prymitywnym poziomie.
Dzisiaj dowiedzieliśmy się z mediów, iż odpowiedzialność za wyciek nie spadnie na głównego winowajcę, ale na przychodnie - mimo iż nie miały żadnego wpływu na jakość, bezpieczeństwo ani technologię platformy, z której korzystały.
Największa kontrowersja w tej sprawie polega na tym, iż odpowiedzialność za wyciek została przerzucona na przychodnie, mimo iż nie miały żadnego realnego wpływu na jakość, bezpieczeństwo ani technologię platformy MyDr/DocPlanner. To jest luka systemowa w prawie, która teraz wychodzi na jaw.
W świetle RODO to przychodnia jest „administratorem danych”, bo to ona decyduje, iż chce korzystać z danego systemu. Natomiast DocPlanner jest tylko „procesorem”, czyli wykonawcą technicznym. I właśnie dlatego formalnie nie ponosi odpowiedzialności za wyciek – choćby jeżeli to jego infrastruktura była prymitywna, nieaudytowana i nie spełniała podstawowych standardów bezpieczeństwa.
Problem polega na tym, iż przychodnie nie mają żadnych narzędzi, żeby ocenić jakość takiej platformy. Nie mają działów IT, nie mają audytorów, nie mają możliwości sprawdzenia kodu, zabezpieczeń, architektury czy procedur. W praktyce widzą tylko marketing, popularność i obietnice bezpieczeństwa. A prawdziwy poziom technologii jest dla nich całkowicie niewidoczny.
DocPlanner korzysta z tej konstrukcji prawnej: przejmuje firmy, przejmuje rynek, przejmuje dane, ale nie przejmuje żadnej odpowiedzialności. Administratorami są tysiące małych gabinetów, które nie mają ani wiedzy, ani zasobów, ani wpływu na to, jak działa system. To jest widoczny gołym okiem absurd, ale zgodny z obowiązującym prawem.
W wielu krajach dane medyczne są traktowane jako infrastruktura krytyczna - prywatne platformy nie mogą ich przechowywać bez nadzoru państwa, certyfikacji i obowiązkowych audytów. W Polsce takich regulacji nie ma. Dlatego prymitywna platforma mogła obsługiwać dane 19 mln ludzi, a odpowiedzialność spada teraz na przychodnie, które nie miały żadnej możliwości oceny ryzyka. To jest ostania kropla, która przelała kielich goryczy polskiego upadającego systemu ochrony zdrowia.
Najbardziej niepokojące jest to, iż wyciek nie dotyczy tylko „zwykłych pacjentów”. MON oficjalnie ostrzega żołnierzy przed próbami wyłudzeń i atakami socjotechnicznymi. Resort obrony wysyła komunikaty przez MILNET, bo dane dotyczą osób pełniących najważniejsze funkcje państwowe. Eksperci od cyberbezpieczeństwa mówią wprost: baza przejęta z MyDr jest tak cenna, iż pozazdrościłby jej niejeden wywiad na świecie. Dane o chorobach, leczeniu psychiatrycznym, uzależnieniach czy stanie zdrowia żołnierzy i urzędników to gotowe narzędzie szantażu i wpływu na decyzje.
To nie jest już tylko problem prywatności. To jest realne zagrożenie dla bezpieczeństwa państwa. I właśnie dlatego obecna konstrukcja prawna - w której odpowiedzialność spada na małe przychodnie, a platforma med‑tech, w którą inwestuje Goldman Sachs, pozostaje praktycznie bezkarna.
To nie jest wina gabinetów. To jest luka systemowa, którą państwo musi natychmiast naprawić.
