We współczesnym świecie dane osobowe są bardzo cenne. Każdy Administrator Danych Osobowych powinien zrobić wszystko, co tylko możliwe, aby je chronić. To właśnie on jako administrator jest za nie odpowiedzialny. ADO powinien wspierać się przy zapewnieniu ochrony danych usługami odpowiedniego Inspektora Ochrony Danych oraz Administratora Systemów Informatycznych. Praca tych dwóch podmiotów ma na celu zwiększyć poziom ochrony danych osobowych. Może jednak zdarzyć się tak, że zabezpieczenia i procedury nie podołają zagrożeniu z zewnątrz. Przykładem tego jest właśnie wyciek danych osobowych z laboratorium medycznego ALAB.
19 listopada 2023 r. firma ALAB Laboratoria padła ofiarą ataku hakerskiego typu ransomware. Polega on na szyfrowaniu przez złośliwe oprogramowanie danych firmy, blokując tym samym dostęp do nich Administratora. Dodatkowo mamy tu do czynienia z kradzieżą danych firmy ALAB i wysunięciem żądania okupu za ich nieudostępnienie publicznie.
W związku z tymi niepożądanymi działaniami doszło do wycieku co najmniej 30 tys. danych osobowych osób fizycznych. Hakerzy otrzymali takie informacje jak: imiona i nazwiska, numery PESEL, adresy. Udostępnione zostały również wyniki badań laboratoryjnych różnych osób, co jest równoznaczne z wyciekiem danych wrażliwych.
Jak powszechnie wiadomo ataki hakerskie zdarzały się i na pewno w przyszłości także będą występować. W przypadku firmy ALAB kluczowe pozostaje pytanie: czy Administrator Danych Osobowych miał świadomość, że dane pacjentów są pobierane przez hakerów czy też może takiej świadomości nie miał? Odpowiedzi na to pytanie udzielą kontrolerzy UODO, którzy mają przeprowadzić kontrolę. Niewątpliwie mamy w tej sytuacji do czynienia z co najmniej jednym incydentem ochrony danych i został on zgłoszony do Urzędu Ochrony Danych Osobowych 21 listopada 2023 r. Jest to jednak dopiero zgłoszenie wstępne, a firma ma czas na uzupełnienie braków do końca stycznia następnego roku. Kontrolerzy z UODO muszą sprawdzić, czy w firmie ALAB przeprowadzona została we wcześniejszym okresie tzw. Ocena ryzyka, czyli czy określono możliwe zagrożenia, ustalono konkretne środki i procedury, które powinny im zapobiec lub je ograniczyć oraz to czy systemy informatyczne były testowane w zakresie odporności na różnego rodzaju ataki. Urząd Ochrony Danych Osobowych zbada również jak firma ALAB zachowała się po wystąpieniu ataku i jakie podjęła czynności, aby zminimalizować jego skalę.
Konsekwencji dla firmy ALAB po tym zdarzeniu jest sporo. Oprócz zmiany wizerunku firmy, na laboratorium może zostać nałożona kara Urzędu Ochrony Danych Osobowych, która może sięgnąć do 4% rocznego obrotu lub do 20 mln euro. Dodatkowo osoby fizyczne- poszkodowane w wyniku powyższego wycieku mają możliwość dociekać swoich praw na drodze sądowej (cywilnej) i ewentualnych rekompensat za swoje straty- zarówno materialne jak i te niematerialne.
Na szczęście CERT Polska we współpracy z Centralnym Ośrodkiem Informatyki udostępnili na rządowym serwisie możliwość sprawdzenia, czy dane konkretnego pacjenta firmy ALAB są bezpieczne czy dana osoba jest ofiarą ataku hakerskiego, a jej dane wyciekły.
Zabezpieczenie danych osobowych jest kluczową kwestią w każdej firmie. Administrator Danych Osobowych powinien zrobić wszystko, co tylko możliwe, aby uchronić się przed tego typu wyciekami danych. To na jego barkach spoczywa odpowiedzialność za wszelkiego rodzaju niedopatrzenia i niedoskonałości w firmie i to on ponosi wszelkiego rodzaju konsekwencje. Każda firma powinna być świadoma, że sprawdzony i kompetentny Inspektor Ochrony Danych Osobowych oraz odpowiednia obsługa informatyczna firmy może zminimalizować ryzyko bądź uchronić firmę przed tego typu sytuacją jaka spotkała firmę ALAB. Należy podkreślić, że firma PHU ELKA świadczy usługi outsourcingu sprawdzonego Inspektora Ochrony Danych Osobowych. Oferuje również usługi informatyczne na odpowiednim poziomie czyli pełnienie funkcji ASI. Zachęcamy do kontaktu, ponieważ korzystanie z tego typu wsparcia może pomóc w uniknięciu wielomilionowych kar.