W sierpniu potwierdzono nieuprawniony dostęp do historycznych danych przechowywanych w systemach MyDr, dostawcy oprogramowania dla lekarzy i placówek medycznych. Incydent może dotyczyć danych 18,8 mln osób i ponad 12 tys. placówek medycznych. Prezes UODO zapowiedział kontrolę w spółce, w której sprawdzi stosowane przez nią środki techniczne i organizacyjne oraz to, czy były one regularnie testowane.

17 sierpnia ujawniono ponadto, że problemy z bezpieczeństwem danych w tym systemie sięgają marca 2024 r. Według doniesień medialnych opartych na dokumentacji prokuratorskiej za pośrednictwem MyDr pozyskano wówczas dane ponad 13 mln osób.

Sprawa MyDr zwraca uwagę na problem, który dotyczy znacznie szerszego kręgu podmiotów.

Dane osobowe w zewnętrznych systemach

Praktycznie każda organizacja korzysta z zewnętrznych systemów i usług, w których przetwarzane są dane osobowe. W obszarze HR może to być system kadrowo-płacowy, platforma rekrutacyjna, system ewidencji czasu pracy czy platforma benefitowa. Działy sprzedaży korzystają z systemów CRM, marketing z narzędzi mailingowych, a finanse z systemów księgowych. Dane trafiają również do systemów służących do obsługi klientów, usług chmurowych oraz coraz częściej do narzędzi wykorzystujących AI.

Zakres powierzanych danych jest różny. W niektórych przypadkach będzie to wyłącznie imię, nazwisko i służbowy adres e-mail. W innych – zewnętrzny system może zawierać numery PESEL, adresy zamieszkania, informacje o wynagrodzeniu, dokumentację pracowniczą, dane klientów lub dane dotyczące zdrowia w zakresie przyczyn nieobecności w pracy.

Jeżeli dostawca rozwiązania chmurowego przetwarza takie dane w imieniu organizacji, zasadniczo działa jako podmiot przetwarzający w rozumieniu RODO. Powierzenie mu danych nie zwalnia jednak administratora z własnych obowiązków związanych z ich ochroną. Widać to również w sprawie MyDr: to poszczególne placówki, jako administratorzy, muszą przeprowadzić własną analizę ryzyka, a w razie potrzeby zgłosić naruszenie Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia i zawiadomić pacjentów.

Wybór podmiotu przetwarzającego wymaga weryfikacji

RODO wymaga, aby administrator korzystał wyłącznie z podmiotów przetwarzających zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. W praktyce oznacza to konieczność odpowiedniej weryfikacji podmiotu przed powierzeniem mu danych, a następnie również w toku współpracy. W ocenie UODO jest to obowiązek ciągły, który nie kończy się z chwilą zawarcia umowy.

Nie jest to obowiązek wyłącznie formalny. W sprawie (DKN.5131.12.2022) Prezes UODO upomniał szpital specjalistyczny w Sosnowcu za brak weryfikacji podmiotu przetwarzającego, a sam podmiot przetwarzający za niewdrożenie odpowiednich środków bezpieczeństwa. Sama deklaracja zgodności z RODO oraz posiadanie certyfikacji ISO/IEC 27001 nie zostały uznane za wystarczające do wykazania, że administrator należycie zweryfikował podmiot, któremu powierzył dane. Co ciekawe, szpital dysponował wewnętrzną polityką współpracy z dostawcami, która przewidywała m.in. wymóg oszacowania ryzyka. Nie zastosował się jednak do własnej procedury.

W praktyce współpraca z dostawcą systemu często opiera się na jego standardowej dokumentacji. Umowa powierzenia może stanowić odrębny dokument, załącznik do umowy głównej albo element warunków akceptowanych elektronicznie przy uruchamianiu usługi. Taki model jest powszechny, ale nie oznacza, że warunki przygotowane przez dostawcę są odpowiednie dla każdego klienta i każdego rodzaju danych.

Publicznie dostępna wersja dokumentacji MyDr z 2025 r., udostępniona przez jedną z placówek medycznych, dobrze pokazuje znaczenie takiej weryfikacji. Umowa obejmowała szeroki zakres danych medycznych, natomiast opis stosowanych środków technicznych i organizacyjnych ograniczał się do ogólnego zapewnienia o stosowaniu środków zgodnych z art. 32 RODO. Dokumentacja przewidywała również ograniczenia dotyczące prowadzenia audytów oraz szerokie ograniczenie odpowiedzialności MyDr, obejmujące także przetwarzanie powierzonych danych osobowych.

Nie oznacza to, że postanowienia te miały zastosowanie do klientów objętych obecnym incydentem ani że identyczna wersja umowy obowiązywała w okresie, którego dotyczą przejęte dane. Pokazuje natomiast, dlaczego standardowej dokumentacji przedstawionej przez dostawcę nie należy przyjmować bez oceny jej adekwatności do konkretnego sposobu przetwarzania danych.

Co powinna obejmować weryfikacja?

Zakres weryfikacji powinien być dostosowany do ryzyka. Innej oceny będzie wymagało proste narzędzie, w którym przetwarzane są wyłącznie służbowe dane kontaktowe kilku pracowników, a innej system kadrowo-płacowy, CRM obejmujący znaczną część bazy klientów lub system zawierający dane szczególnych kategorii.

Przed rozpoczęciem współpracy warto w szczególności ustalić, jakie dane będą przetwarzane, w jakim zakresie i jakiej liczby osób będą dotyczyć. Należy również zweryfikować środki techniczne i organizacyjne stosowane przez podmiot przetwarzający oraz ocenić, czy ich poziom odpowiada ryzyku związanemu z konkretnym przetwarzaniem.

Istotne jest także odpowiednie uregulowanie tych kwestii w umowie. Dotyczy to zwłaszcza:

Osobnej oceny wymaga odpowiedzialność stron. Jeżeli dostawca ogranicza swoją odpowiedzialność do niewielkiej części wynagrodzenia zapłaconego za usługę, takie postanowienie może pozostawać w istotnej dysproporcji do ryzyka związanego z przetwarzaniem znacznej liczby danych lub danych szczególnie chronionych.

Weryfikacja nie musi jednak oznaczać szczegółowego audytu każdego wykorzystywanego narzędzia. Proces może zostać oparty na klasyfikacji ryzyka, standardowym zestawie pytań i wymaganych dokumentów oraz określonych kryteriach wskazujących, kiedy konieczna jest pogłębiona analiza prawna lub dotycząca bezpieczeństwa. Tak ustandaryzowany proces można w znacznej mierze zautomatyzować.

Jak możemy pomóc?

Wspieramy organizacje zarówno w przeglądzie już wykorzystywanych systemów i obowiązujących umów, jak i w przygotowaniu procesu weryfikacji nowych usług i narzędzi.

Wsparcie może obejmować:

Weryfikujemy i negocjujemy dokumentację dotyczącą konkretnych systemów, w szczególności tych, w których przetwarzany jest szeroki zakres danych osobowych lub dane szczególnych kategorii, nie tylko pod kątem danych osobowych, ale również pod kątem ogólnego bezpieczeństwa prawnego.

Incydent MyDr pokazuje, że wybór zewnętrznego systemu nie powinien kończyć się na sprawdzeniu jego funkcjonalności i ceny. Jeżeli wraz z usługą powierzane są dane osobowe, oceny wymagają także warunki ich przetwarzania, poziom zabezpieczeń oraz zakres ochrony kontraktowej administratora.

FAQ

Czy administrator odpowiada za naruszenie danych, do którego doszło u zewnętrznego dostawcy?

Samo wystąpienie incydentu po stronie dostawcy nie oznacza automatycznie odpowiedzialności administratora. Administrator powinien jednak wykazać, że przed powierzeniem danych zweryfikował podmiot przetwarzający, wybrał dostawcę zapewniającego wystarczające gwarancje ochrony danych oraz odpowiednio monitorował współpracę. Po wystąpieniu naruszenia musi również ocenić jego skutki i, jeżeli spełnione są przesłanki wynikające z RODO, dokonać zgłoszenia Prezesowi UODO oraz zawiadomić osoby, których dane dotyczą.

Jak często należy weryfikować dostawców przetwarzających dane osobowe?

RODO nie określa konkretnej częstotliwości takiej weryfikacji. Powinna ona zależeć przede wszystkim od poziomu ryzyka, charakteru przetwarzanych danych i znaczenia danego systemu dla organizacji. W przypadku systemów obejmujących dużą liczbę osób, dane szczególnych kategorii lub inne wrażliwe informacje zasadne jest prowadzenie okresowej weryfikacji oraz ponowienie jej w przypadku istotnej zmiany usługi, zakresu danych, podwykonawców lub warunków bezpieczeństwa.

Czy certyfikat ISO 27001 wystarczy do uznania dostawcy za bezpiecznego?

Nie. Certyfikacja może być istotnym elementem oceny dostawcy, ale sama w sobie nie przesądza, że zastosowane środki są odpowiednie dla konkretnego przetwarzania. Administrator powinien uwzględnić m.in. zakres powierzanych danych, sposób ich zabezpieczenia, zasady reagowania na incydenty, korzystanie z podwykonawców, retencję i usuwanie danych oraz warunki umożliwiające administratorowi weryfikację wykonywania umowy.

Czy trzeba przeprowadzać audyt każdego dostawcy, któremu powierzane są dane?

Nie. Zakres weryfikacji powinien być proporcjonalny do ryzyka. W przypadku usług o niskim ryzyku wystarczające mogą być standardowy kwestionariusz, analiza dokumentacji i podstawowych informacji dotyczących bezpieczeństwa. Pogłębiona analiza prawna, audyt bezpieczeństwa lub dodatkowe wymagania kontraktowe powinny być stosowane przede wszystkim tam, gdzie charakter lub skala przetwarzania wiążą się z podwyższonym ryzykiem.

 

Stan na 19 sierpnia 2026 r.