#daneosobowe — Public Fediverse posts
Live and recent posts from across the Fediverse tagged #daneosobowe, aggregated by home.social.
-
Dane pacjentów pewnego szpitala wyciekły przez Internetowe Konto Pacjenta
Zmiana adresu URL w przeglądarce pozwalała na pobranie dokumentacji medycznej różnych osób przez Internetowe Konto Pacjenta. Błąd dotyczył prawdopodobnie pacjentów jednego szpitala.
Ministerstwo Zdrowia na swojej stronie internetowej w dość niepozornej zakładce “komunikaty” zamieściło “Komunikat o naruszeniu ochrony danych osobowych“. Czyje dane wyciekły? To nie jest pewne, natomiast komunikat mówi o dość poważnym incydencie. Otóż użytkownicy Internetowego Konta Pacjenta mogli podejrzeć dane innych osób.
Czerwone strzałki dodane przez redakcję Niebezpiecznik.pl
Co się stało?
Z komunikatu wynika 28 kwietnia 2025 r. Centrum e-Zdrowia powiadomiło ministerstwo o podatności w IKP. Polegała ona na tym, że:
w przypadku wprowadzenia zmian w adresie URL w przeglądarce internetowej podczas pracy z aplikacją IKP możliwy był nieuprawniony dostęp do dokumentacji medycznej (EDM) innych użytkowników. Zatem z poziomu aplikacji IKP możliwa była ręczna edycja adresu URL w przeglądarce, dokonanie zmiany fragmentu adresu i wykonanie operacji pobrania dokumentu EDM (elektronicznej dokumentacji medycznej – przyp. red.).
Na pierwszy rzut oka wydaje się to banalnym błędem podobnym do tego, który w przeszłości wystąpił w systemie wniosków paszportowych. Jednak w komunikacie jest jeszcze jedna ciekawostka. Otóż standardowo pobranie dokumentacji z IKP możliwe jest tylko po tym, jak podmiot leczniczy zweryfikuje uprawnienia po swojej stronie w systemie P1.
W opisanym zdarzeniu weryfikacja taka nie miała miejsca. Niezależnie od możliwości modyfikacji adresu URL, po stronie podmiotu leczniczego powinna być realizowana obowiązkowa weryfikacja uprawnień użytkownika, zgodnie z obowiązującą dokumentacją integracyjną.
Zdarzenie można [...] -
Bezduszna decyzja PZPN dotycząca dzieci, firmowana przez markę Tymbark, Prezydenta i Ministerstwo Edukacji
Coraz częściej piszą do nas rodzice zaniepokojeni tym, jak różne firmy chcą wykorzystywać lub przetwarzać dane lub wizerunek ich dzieci i stawiają to jako warunek wykonania jakiejś usługi. Dziś przyjrzymy się takiemu zgłoszeniu, które dotyczy imprezy “Puchar Tymbarku” organizowanej przez PZPN pod patronatem Kacelarii Prezydenta oraz …Ministerstwa Edukacji. Smutny to będzie artykuł, ale naszym zdaniem każdy z Was — nawet jeśli nie ma dzieci — powinien się z nim zapoznać. Bo tu chodzi o coś więcej niż prawo dzieci do prywatności, o którym za mało mówi się w przestrzeni publicznej. I musimy to w końcu zmienić.
Przykład wykorzystania wizerunku dzieci w ramach Pucharu Tymbarku. Twarze dzieci zostały rozmyte przez nas. źródło: laczynaspilka.pl
Z tego tekstu dowiesz się:Dlaczego PZPN zbiera tak szerokie zgody do wizerunku dzieci i jakie zagrożenie to stanowi dla dzieci?
Co na ten temat sądzi Rzecznik Praw Dziecka i prawnicy?
Jak odwołać zgodę na wykorzystanie wizerunku dziecka (nie tylko w tym przypadku)?
Jakie zdanie w tej sprawie ma Kancelaria Prezydenta i Ministerstwo Edukacji patronujące tej imprezie?
Co zrobić, aby chronić wizerunek dziecka podczas różnych podobnych imprez?
Zanim jednak przejdziemy do meritum, wszystkich tych, którzy nie rozumieją dlaczego należy unikać publikacji wizerunku dzieci w internecie i jakie ryzyka się z tym wiążą odsyłamy do naszego tekstu towarzyszącego pt. “Co może spotkać Twoje dziecko, jeśli publikujesz jego zdjęcia na Facebooku lub Instagramie“. Poniżej zakładamy, że Czytelnik jest świadomy takich zagrożeń i podstawowego prawa do prywatności, jakie dotyczy [...]#DaneOsobowe #MinisterstwoEdukacji #OchronaDanych #PiłkaNożna #Prawo #PucharTymbarku #PZPN #Rodzice #Sport #Tymbark #Wizerunek
https://niebezpiecznik.pl/post/bezduszna-decyzja-pzpn-dotyczaca-dzieci-puchar-tymbarku/
-
Ponad 260 tys. kary za to, że IOD był podwładnym szefa działu bezpieczeństwa
To co Inspektor Ochrony Danych ma wpisane w umowie o pracę może mieć większe znaczenie niż się wszystkim wydawało. Po raz pierwszy w Polsce UODO ukarał firmę za “złe usytuowanie IOD” w organizacji.
W ubiegłym miesiącu Prezes UODO nałożył karę w wysokości pół miliona złotych (dokładnie 576.220 zł) na Toyota Bank. Decyzja w tej sprawie (DKN.5112.14.2022) była podwójnie ciekawa ponieważ dotyczyła:
pominięcia profilowania w rejestrze czynności przetwarzania danych (kara za to wyniosła 314.302 zł),
nieprawidłowego wyznaczenia Inspektora Ochrony Danych, czy też raczej jego nieprawidłowego “usytuowania” w organizacji (za to dodatkowe 261.918 zł).Kary wydają się wysokie choć tak naprawdę stanowią 0,6% oraz 0,72% kar maksymalnych za te naruszenia. Były czynniki łagodzące, w tym dobra współpraca z organem nadzorczym.
Sama decyzja zapadła po tym jak UODO przeprowadził kontrolę w Toyota Banku. Zakres kontroli miał obejmować m.in. kwestie profilowania, prowadzenia rejestru czynności przetwarzania danych, dokonywania oceny skutków dla ochrony danych osobowych oraz… wyznaczenia Inspektora Ochrony Danych. Zacznijmy od omówienia tego ostatniego.
IOD podległy “bezpiece”
W trakcie kontroli ustalono, że Inspektorem Danych Osobowych był “Pan SJ”. Pracował on na stanowisku IT specjalisty w zespole ds. bezpieczeństwa, a następnie w departamencie bezpieczeństwa. Podlegał zatem bezpośrednio dyrektorowi tego departamentu co oznaczało, że musiał kontrolować swojego szefa. Z treści opisu jego stanowiska pracy w dokumentacji firmy wynikało, że SJ “raportuje do Dyrektora Departamentu”. Trudniej o wyraźniejsze potwierdzenie zależności służbowej.
Co ciekawe, jako “specjalista od [...]#DaneOsobowe #OchronaDanych #OchronaDanychOsobowych #Profilowanie #RODO
-
Kara dla Morele.net podtrzymana przez sąd. Bo “UODO ma kompetencje”
Morele.net ma zapłacić 3,8 mln zł kary za wyciek danych klientów sprzed sześciu lat – uznał Wojewódzki Sąd Administracyjny. Minęło już 5 lat od wydania pierwszej decyzji UODO w tej sprawie, a sprawa sciąż nie jest całkiem przesądzona.
Dawno temu o wycieku z Morele.net było głośno. Po pierwsze, wyciek był naprawdę znaczący. Po drugie, RODO ma w Polsce zastosowanie od 2018 r., zatem pierwsza decyzja nałożeniu kary na Morele.net w wysokości aż 3 mln zł była dla niektórych szokująca. Dziś wypada blado przy ostatniej karze dla mBanku (ponad 4 mln zł), ale przed laty mówiono o “dodatkowym karaniu ofiary”. Sklep nie zgodził się z karą i poszedł do sądu. Spory prawne ciągną się do dziś i wywołują w branży sprzeczne komentarze. Niektórzy mówią, że “kary UODO nic nie znaczą” bo przecież UODO kilka razy przegrał z Morele.net i do tej pory kara nie została wpłacona. Inni mówią, że “nie warto było szaleć tak” bo Morele.net też kilka razy przegrał i grozi mu kara wyższa niż pierwotnie nałożona.
Gdzie jesteśmy teraz?
16 września Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę na ostatnią decyzję Prezesa Urzędu Ochrony Danych Osobowych. To oznacza, że zdaniem sądu spółka Morele.net powinna zapłacić karę i to podwyższoną względem tej, którą na spółkę nałożono w roku 2019. Sąd przyznał też, że UODO posiada wiedzę i kompetencje potrzebne do oceny, czy środki zabezpieczeń zastosowane przez administratora były wystarczające. UODO nie musiał – zdaniem WSA – powoływać jakiegoś dodatkowego biegłego, a to było istotną osią sporu dotyczącego pierwszej decyzji o karze.
Pozwólcie, że nie będziemy po raz kolejny przytaczać historii całego wycieku. [...]#DaneOsobowe #OchronaDanych #UODO #UrządOchronyDanychOsobowych #Wycieki
https://niebezpiecznik.pl/post/kara-dla-morele-net-podtrzymana-przez-sad-bo-uodo-ma-kompetencje/
-
1,5 mln złotych kary dla firmy medycznej po ataku ransomware
Owszem, pewna spółka medyczna właśnie dostała 1,5 mln zł kary po ataku, który spowodował wyciek danych 21 tys. osób. To jednak nie jest kara “za atak”, ale kara za niedbałość polegającą m.in. na używaniu przestarzałego oprogramowania i niestosowaniu się do własnych zasad.
Co się stało?
Prezes UODO poinformował dziś o wydaniu decyzji DKN.5112.35.2021, którą nałożył karę finansową w wysokości niecałych 1,5 mln zł na spółkę American Heart of Poland SA. Spółka ta padła ofiarą ataku ransomware, który spowodował wyciek danych ze stacji roboczych i dysków sieciowych. Dane trafiły do darknetu. Przestępcy zażądali 3 mln dolarów okupu za nieujawnienie ich.
Dane dotyczyły m.in. osób testowanych na obecność COVID-19 i korzystających z usług zdrowotnych. Kategorie danych obejmowały:nazwiska i imiona,
imiona rodziców,
daty urodzenia,
numery kont bankowych,
adresy zamieszkania lub pobytu,
numery PESEL,
dane logowania (nazwy użytkowników, hasła),
dane dotyczące zarobków lub majątku,
dane o stanie zdrowia,
dane dokumentów,
numery telefonów.Za najbardziej prawdopodobny wektor ataku został uznany atak phishingowy oraz wykorzystanie luk bezpieczeństwa w urządzeniach brzegowych. Tutaj ciekawa rzecz. Zgodnie z przyjętymi przez spółkę zasadami wykradzione dane powinny być przechowywane w specjalnym systemie przeznaczonym do przetwarzania danych zdrowotnych. Nie powinny w ogóle trafiać na stacje robocze i dyski sieciowe.
Co poszło nie tak?
Przyczyny zdarzenia nie ustalono jednoznacznie. Analiza przeprowadzona przez niezależnego eksperta wykazała, że doszło do przełamania zabezpieczeń niektórych urządzeń z powodu braku aktualizacji oprogramowania.
Administrator zapewnił, co prawda, co do zasady [...]#AmericanHeartOfPoland #DaneOsobowe #Kary #OchronaDanych #Prawo #Ransomware #RODO #UODO
https://niebezpiecznik.pl/post/15-mln-zlotych-kary-dla-firmy-medycznej-po-ataku-ransomware/