Wyciekły informacje nt. zdrowia, numer konta, PESEL, seria i numer dowodu osobistego. Na firmę nałożono gigantyczną karę

Spółka medyczna American Heart of Poland została ukarana grzywną w wysokości niemal 1,5 miliona złotych przez Prezesa Urzędu Ochrony Danych Osobowych. Kara jest następstwem ataku hakerskiego, w wyniku którego doszło do wycieku danych osobowych około 21 tysięcy pacjentów i pracowników.

Cyberprzestępcy uzyskali dostęp do szerokiego zakresu wrażliwych informacji, w tym danych dotyczących zdrowia, numerów PESEL, dowodów osobistych, a nawet informacji o zarobkach i majątku pracowników. Hakerzy zażądali okupu w wysokości 3 milionów dolarów za nieujawnienie przechwyconych danych.

Przeprowadzone przez UODO czynności kontrolne wykazały liczne nieprawidłowości w systemie ochrony danych spółki. Wśród nich znalazły się: brak aktualnego wsparcia technicznego dla serwerów, niewłaściwe zabezpieczenie platformy chmurowej oraz nieregularne testowanie skuteczności zabezpieczeń systemów informatycznych.

Prezes UODO stwierdził, że spółka nie wdrożyła wszystkich niezbędnych środków służących ochronie przetwarzanych danych oraz nie przestrzegała własnych zaleceń dotyczących bezpieczeństwa. W konsekwencji, oprócz kary finansowej, zobowiązał American Heart of Poland do przeprowadzenia prawidłowej analizy ryzyka i wdrożenia odpowiednich środków technicznych i organizacyjnych w ciągu 30 dni.

Spółka nie zgadza się z decyzją UODO i wniosła odwołanie do Wojewódzkiego Sądu Administracyjnego w Warszawie. Mariusz Polakowski, koordynator ds. Komunikacji i PR w American Heart of Poland, potwierdził w rozmowie z serwisem Rynek Zdrowia złożenie wniosku o uchylenie decyzji w całości, nie chcąc komentować dalszych szczegółów ze względu na toczące się postępowanie.