Cyberatak na szpital, dane pacjentów utracone. UODO nałożył karę

Do ataku hakerskiego na szpital doszło w lutym 2022 r. Złośliwe oprogramowanie typu ransomware zaszyfrowało dane 30 tys. pacjentów i ponad tysiąca pracowników. Internetowi przestępcy domagali się okupu w kryptowalucie. Danych finalnie nie odzyskano.

Placówka powiadomiła o ataku UODO i policję. Uznano jednak, że atak nie był poważny, bo dane nie wyciekły, a stały się jedynie niedostępne. Prezes UODO ustalił jednak w postępowaniu, że sprawa była istotna.

Na zagrożenie dla danych osobowych ZOZ zareagował dopiero po ataku. Wtedy wezwał ekspertów, którzy wskazali luki w zabezpieczeniach i zarekomendowali zmiany. Odbyły się też szkolenia dla pracowników dotyczące bezpieczeństwa systemów informatycznych i danych. ZOZ nie miał jednak – co jest kluczowe – dokumentów potwierdzających sporządzenie i aktualizowanie analizy ryzyka dla danych osobowych - wyjaśnia UODO w komunikacie.

UODO przekazał, że bezpieczeństwo danych powierzono informatykowi, a to nie mogło zagwarantować właściwej kontroli.

- Bezpieczeństwo danych powierzono informatykowi, który na bieżąco analizował m.in. podatności, zagrożenia, możliwe skutki naruszenia oraz środki bezpieczeństwa mające na celu zapewnienie poufności, integralności i dostępności przetwarzanych danych osobowych. To w żaden sposób nie mogło zapewnić należytej kontroli nad bezpieczeństwem danych - zaznaczył UODO.

Czytaj także: Minister ostrzega przed cyberatakami. Polska na celowniku Rosjan

Przeprowadzony po ataku audyt wykazał, że przyjęte w ZOZ procedury nie były adekwatne do ryzyk dla danych osobowych.

Ponadto, nie mając analizy ryzyka ZOZ popełnił błędy także po incydencie – zgłosił swój problem UODO i Policji, ale nie zauważył problemu osób, których dane dotyczyły.

Czytaj także: Polska celem hakerów. Generał Molenda ujawnia, kto stoi za cyberatakami

Nie powiadomił ich, że stracił kontrolę nad danymi takimi jak: imię i nazwisko, imiona rodziców, datę urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, nr PESEL, nazwę użytkownika i/lub hasło, dane dotyczące zarobków lub posiadanego majątku, nazwisko rodowe matki, serię i numer dowodu osobistego, numer telefonu oraz dane dotyczące zdrowia - zaznaczył prezes UODO.

Na szpital została nałożona kara finansowa w wysokości 40 tys. złotych. Prezes UODO zalecił także placówce wdrożenie w terminie 30 dni zmian zapewniających bezpieczeństwo przetwarzania danych oraz nakazał poinformowanie o zdarzeniu osób, których dane utracono.

Czytaj także: Chińscy hakerzy latami kradli dane Volkswagena?