ORTOsfera

Informacja o naruszeniu ochrony danych osobowych

niniejszym informuję, że Pani/Pana dane osobowe mogły zostać dotknięte naruszeniem
ochrony danych osobowych u naszego procesora – FELG Software Sp. z o. o. z siedzibą
w Krakowie (31-016) ul. Sławkowska nr 25 lok. 9 (KRS: 0000520292). Jest on dostawcą
systemu, w którym gabinet prowadzi dokumentację medyczną, tj. systemu FELG Dent,
który stał się celem cyberataku. Zgodnie z informacjami przekazanymi przez FELG
Software sp. z o.o., naruszeniem objęte są dane osobowe pacjentów wprowadzone do
systemu FELG DENT w tym imię i nazwisko, numer PESEL, adres e-mail, numer telefonu
oraz dane osobowe dotyczące stanu zdrowia.

Co się wydarzyło?

Zostaliśmy poinformowani przez FELG Software Sp. z o. o., że doszło do naruszenia
ochrony danych przetwarzanych w ich środowisku cyfrowym. Z przekazanych nam
informacji wynika, że nieuprawniona osoba trzecia uzyskała dostęp do kopii
zapasowych baz danych w systemie FELG Dent, czyli oprogramowania do prowadzenia
m.in. dokumentacji medycznej. W toku analizy ustalono, że osoby nieuprawnione
uzyskała dostęp do danych osobowych.
FELG Software poinformował, że incydent został opanowany, system zabezpieczono i
nie ma dowodów na dalszy nieuprawniony dostęp. Na dzień przekazania nam
informacji FELG Software nie stwierdził również przypadków publicznego ujawnienia
ani niewłaściwego wykorzystania danych objętych incydentem.
Nie można jednak całkowicie wykluczyć ryzyka ich wykorzystania w przyszłości, dlatego
prosimy Pacjentów o zachowanie ostrożności i zastosowanie opisanych poniżej
środków bezpieczeństwa.

Jakie dane mogły zostać objęte incydentem?

Zakres danych może być różny dla poszczególnych osób. W zależności od informacji
znajdujących się w systemie FELG Dent incydent mógł obejmować – jeżeli takie dane
zostały przez Państwa podane – m.in.:
− imię i nazwisko,
− numer PESEL,
− adres zamieszkania,
− dane kontaktowe,
− dane dotyczące zdrowia,
− dane dotyczące ubezpieczenia społecznego,
− informacje dotyczące pracodawcy,
− inne dane umożliwiające identyfikację.
Jeżeli posiadają Państwo przedstawiciela ustawowego, informacje zawarte w
skierowaniach mogą również obejmować jego imię i nazwisko, adres zamieszkania
oraz dane kontaktowe.
Dane przetwarzane w systemie FELG Dent w placówce mogą obejmować również dane
znajdujące się w dokumentacji medycznej, w tym dane dotyczące stanu Państwa
zdrowia. W niektórych przypadkach informacje mogą obejmować również dane
dotyczące wystawionych na Państwa rzecz recept, w tym kody chorób (zgodnie z
systemem ICD-10).
Z tego względu, a także dlatego, że dane mogą obejmować numer PESEL, zdarzenie
traktujemy z najwyższą powagą i starannością.
Co rekomendujemy?
W przypadku, gdy ujawniony został Państwa numer PESEL:
− można bezpłatnie zastrzec numer PESEL w aplikacji mobilnej mObywatel, przez
Internet na stronie mObywatel.gov.pl lub osobiście w urzędzie gminy lub miasta.
Prosimy zachować dowód dokonania zastrzeżenia! Instytucje finansowe są
obecnie zobowiązane weryfikować przy zawieraniu umów, czy PESEL jest
zastrzeżony, co ogranicza ryzyko użycia danych do nieuprawnionego zaciągania
zobowiązań na Państwa szkodę Zastrzeżenie numeru PESEL nie blokuje jednak
możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w

urzędzie –więcej informacji pod linkiem: https://www.gov.pl/web/gov/zastrzez-
swoj-numer-pesel-lub-cofnij-zastrzezenie;

− monitorowanie zdolności kredytowej. Mogą Państwo uruchomić usługę alertów
w BIK (https://www.bik.pl) raz w biurach informacji gospodarczej (BIG
InfoMonitor, KRD, ERIF);
− można poinformować inne placówki medyczne, z których usług Państwo
korzystają, że osoby trzecie mogą chcieć wykorzystać Państwa PESEL w celu
weryfikacji tożsamości w tych placówka;
− przyjmij podwyższony standard ostrożności wobec kontaktu telefonicznego i
elektronicznego. Przestępcy mogą próbować wykorzystać pozyskane dane w
celu popełnienia oszustwa lub nakłonienia Państwa do podjęcia niekorzystnych
działań. Szczególną czujność należy zachować, gdy nieznana osoba powołuje się
na dotyczące Państwa informacje, prosi o podanie dodatkowych danych
osobowych, nakłania do dokonania płatności lub przelewu bądź przesyła
link/załącznik i prosi o jego otwarcie;

− nie podawaj kodów autoryzacyjnych ani haseł przez telefon, nie należy otwierać
linków lub załączników otrzymanych za pośrednictwem SMS-ów lub e-maili.
Podejrzane wiadomości mogą Państwo przekazać bezpłatnie do CERT Polska:
SMS-em na numer 8080, wiadomością e-mail na adres: cert@cert.pl (najlepiej
jako załącznik) lub za pośrednictwem formularza online na stronie:
https://incydent.cert.pl.
W przypadku, gdy ujawnione zostały Państwa dane dotyczące zdrowia:
− w razie potwierdzenia wykorzystania danych przez osoby nieuprawnione mogą
Państwo skorzystać ze środków ochrony dóbr osobistych wskazanych w
Kodeksie cywilnym oraz Kodeksie postępowania cywilnego, w tym dochodzić
swoich praw na drodze sądowej;
− warto zachować szczególną ostrożność wobec wszelkich kontaktów z
nieznanymi osobami, które nie powinny znać informacji o Państwa stanie
zdrowia, a które proponują Państwu skorzystanie z oferowanych przez nie usług
medycznych, pseudomedycznych lub terapeutycznych, powołując się na
informacje dotyczące Państwa zdrowia;
− jeżeli incydent wywołał u Państwa silny stres lub niepokój, mogą Państwo
skorzystać z profesjonalnej pomocy psychologicznej.
Bez względu na zakres danych osobowych, w przypadku podejrzenia, że dane zostały
wykorzystane do popełnienia przestępstwa, sprawę mogą Państwo zgłosić organom
ścigania. Informacje o tym, jak zgłosić przestępstwo, dostępne są na
https://www.gov.pl/web/gov/zglos-przestepstwo.
Niezależnie od tego chcemy pomóc Państwu zachować bezpieczeństwo na wypadek
zmiany okoliczności, dlatego przekazujemy informacje o ewentualnych
konsekwencjach oraz zalecanych środkach ostrożności, które mogą pomóc w ochronie
danych osobowych i ograniczeniu potencjalnych skutków incydentu.
Jakie działania zostały podjęte?

Zgodnie z informacjami przekazanymi przez FELG Software sp. z o.o., dostawca
opanował incydent i wdrożył dodatkowe środki techniczne i organizacyjne mające
zapobiegać podobnym zdarzeniom w przyszłości. W szczególności zaangażował
wyspecjalizowaną firmę zajmującą się cyberbezpieczeństwem, zgłosił incydent
Prokuraturze oraz współpracuje m.in. z Urzędem Ochrony Danych Osobowych, CERT
Polska oraz CSIRT Centrum e-Zdrowia.
Jako administratorzy danych dokonaliśmy już zgłoszenia naruszenia Prezesowi Urzędu
Ochrony Danych Osobowych, a także pozostajemy w bieżącym kontakcie z dostawcą,
by jak najskuteczniej ograniczyć dalsze ryzyko.

Jakie mogą być konsekwencje zdarzenia?

Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w
połączeniu z imieniem i nazwiskiem oraz danymi kontaktowymi mógłby w określonych
sytuacjach posłużyć osobom nieuprawnionym do działań niezgodnych z prawem. W
szczególności, jeśli dane te zostałyby publicznie ujawnione, mogłyby zostać użyte przez
osoby nieuprawnione do:
− zaciągnięcia kredytu, pożyczki lub zawarcia innych umów bez Państwa wiedzy;
− uzyskania dostępu do Państwa danych dotyczących zdrowia w instytucjach
medycznych lub innych podmiotach, w których uwierzytelnianie osób następuje
za pomocą numeru PESEL.
Incydent mógł również obejmować dane dotyczące zdrowia, których nieuprawnione
użycie może naruszać Państwa prawa, w szczególności, gdyby osoby trzecie próbowały
wykorzystać te informacje:
− w sposób dla Państwa niekorzystny, w tym prowadzący do naruszenia praw,
gorszego traktowania w środowisku zamieszkania/pracy bądź innych form
dyskryminacji lub nierównego traktowania;
− w celu dokonania oszustwa, np. poprzez kontakt z Państwem lub bliskimi w celu
zaoferowania alternatywnych metod leczenia zdiagnozowanych u Państwa
chorób.
Raz jeszcze chcemy podkreślić, że warto zachować ostrożność i czujność.
Gdzie możesz pozyskać dalsze informacje?

Dodatkowe pytania dotyczące incydentu można kierować na adres:

dane.pacjent (@)felg.app.

Mogą Państwo skontaktować się z nami bezpośrednio, pod adresem:
ul. Watzenrodego 12/1, 87-100 Toruń, (poniedziałek – piątek, od 8.00 do 18.00), albo
z naszym Inspektorem Ochrony Danych – Wojciechem Brzostowskim – telefonicznie
pod nr: +48 506 027 012 lub pod adresem e-mail: w.brzostowski(@)jb-advisory.pl
Chętnie udzielimy Państwu niezbędnych informacji i wsparcia.