Administrator: Sublimed sp. z o.o.
Dotyczy: zgłoszenia naruszenia ochrony danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych – zgłoszenie wstępne i uzupełniające
W nawiązaniu do dokonanego przez Sublimed sp. z o.o. zgłoszenia naruszenia ochrony danych osobowych oraz jego uzupełnienia, przedstawiamy wyjaśnienie dotyczące terminu skierowania indywidualnych zawiadomień do pacjentów, których dane dotyczą.
Sublimed ma świadomość obowiązku wynikającego z art. 34 RODO, zgodnie z którym w przypadku naruszenia mogącego powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych osoby, których dane dotyczą, powinny zostać zawiadomione bez zbędnej zwłoki. Administrator zamierza zrealizować ten obowiązek poprzez bezpośrednie powiadomienie pacjentów, w szczególności za pomocą wiadomości SMS, oraz udostępnienie pełnej informacji o zdarzeniu i zalecanych środkach ochronnych.
Na obecnym etapie wysyłka indywidualnych zawiadomień nie została jeszcze uruchomiona z uwagi na dynamiczny charakter incydentu oraz fakt, że nadal oczekujemy na dalsze, istotne informacje od dostawcy systemu Medyc – Qbusoft sp. z o.o., będącego podmiotem przetwarzającym dane w imieniu Sublimed.
Z przekazywanej nam korespondencji wynika, że analiza incydentu po stronie Qbusoft nadal trwa i raport po incydencie nie został jeszcze ukończony. Qbusoft poinformował nas m.in., że niemal pewny jest wyciek jawnych danych obejmujących imię, nazwisko, numer PESEL, adres, numer telefonu i adres e-mail, że stosowane wcześniej szyfrowanie należy uznać za nieskuteczne, a także że prawdopodobny, choć niepotwierdzony, jest wyciek innych danych.
Dodatkowo z informacji przekazanych przez Qbusoft wynika, że dostawca nadal gromadzi materiał dowodowy, wystąpił do Microsoft o zabezpieczenie dodatkowych danych telemetrycznych oraz pozostaje w kontakcie z CBZC Policji, UODO, CERT Polska, a także – zgodnie z literalną treścią otrzymanej przez nas wiadomości – „z atakującymi”. W ostatnim czasie otrzymaliśmy również od Qbusoft informację o kolejnej próbie nieuprawnionego dostępu do infrastruktury systemu, w związku z którą dostęp do serwera został odcięty, a serwer wyłączony w trybie ochronnym. Według informacji Qbusoft na tym etapie nie stwierdzono wykradzenia danych w ramach tego kolejnego zdarzenia, a jego charakter i zakres pozostają przedmiotem analizy.
W tej sytuacji krótkie odroczenie wysyłki indywidualnych zawiadomień nie wynika z zamiaru zaniechania lub ograniczenia obowiązku informacyjnego. Jego celem jest przygotowanie komunikatu możliwie kompletnego, aktualnego i jednoznacznego, tak aby pacjenci otrzymali informację odpowiadającą rzeczywistemu, możliwemu do ustalenia na danym etapie zakresowi naruszenia oraz właściwe zalecenia pozwalające ograniczyć jego potencjalne skutki. Chcemy również ograniczyć ryzyko przekazania pacjentom informacji, która bezpośrednio po wysłaniu wymagałaby istotnego sprostowania lub kolejnego uzupełnienia w związku z nowymi ustaleniami technicznymi dostawcy.
Jednocześnie Sublimed nie uzależnia zawiadomienia pacjentów od zakończenia pełnego postępowania wyjaśniającego przez Qbusoft ani od sporządzenia końcowego raportu po incydencie. Przygotowujemy komunikację do pacjentów i zamierzamy przeprowadzić ją niezwłocznie po ustabilizowaniu informacji niezbędnych do przedstawienia pacjentom rzetelnego opisu charakteru naruszenia, jego możliwych konsekwencji oraz zalecanych działań ochronnych. Ewentualne dalsze ustalenia Qbusoft, mające znaczenie dla osób, których dane dotyczą, będą następnie przekazywane pacjentom w formie odpowiedniego uzupełnienia.
Podkreślamy, że Sublimed traktuje ochronę praw i wolności pacjentów jako priorytet. Dokonaliśmy zgłoszenia naruszenia do Prezesa UODO, następnie przekazaliśmy zgłoszenie uzupełniające, pozostajemy w kontakcie z podmiotem przetwarzającym i na bieżąco analizujemy otrzymywane informacje. Przygotowaliśmy również treść komunikatu dla pacjentów oraz zalecenia obejmujące m.in. zastrzeżenie numeru PESEL i zachowanie szczególnej ostrożności wobec prób phishingu, podejrzanych wiadomości SMS, e-maili i połączeń telefonicznych.
Niniejsze wyjaśnienie przekazujemy w celu udokumentowania przyczyn, dla których indywidualne zawiadomienie pacjentów nie nastąpiło bezpośrednio po dokonaniu zgłoszenia do Prezesa UODO, pomimo podjęcia przez Administratora decyzji o konieczności takiego zawiadomienia.
Aktualizacja z dnia 8.10.2026
W związku z otrzymaniem kolejnych wyjaśnień od dostawcy systemu Medyc, firmy Qbusoft sp. z o.o., przekazujemy uzupełnienie wcześniej opublikowanych informacji dotyczących naruszenia ochrony danych osobowych.
Qbusoft podtrzymuje wcześniejsze ustalenia dotyczące nieuprawnionego pozyskania danych identyfikacyjnych i kontaktowych pacjentów, w tym imion i nazwisk, numerów PESEL, adresów zamieszkania, numerów telefonów oraz adresów e-mail. Do dnia dzisiejszego nie otrzymaliśmy dokładnej listy pacjentów, których dane mogły zostać objęte incydentem, dlatego prewencyjnie zawiadamiamy wszystkie osoby widniejące w naszej bazie.
Dostawca wskazuje również na prawdopodobieństwo, że naruszenie mogło objąć zdjęcia i pliki PDF przechowywane w systemie, w tym pliki mogące zawierać informacje medyczne. Nie jest to jednak informacja potwierdzona.
Jednocześnie Qbusoft podkreśla, że nie potwierdzono wyprowadzenia poszczególnych dokumentów ani pełnego zakresu danych dotyczących stanu zdrowia i przebiegu leczenia pacjentów bez podania których pacjentów to dotyczy.
Według informacji przekazanych przez Qbusoft nie stwierdzono dotychczas publicznego udostępnienia ani sprzedaży pozyskanych danych. Dostawca informuje również o wdrożeniu dodatkowych zabezpieczeń oraz kontynuowaniu działań związanych z analizą incydentu.
Sublimed pozostaje w kontakcie z dostawcą systemu i na bieżąco analizuje przekazywane informacje.
Dotychczasowe zalecenia dotyczące ochrony danych osobowych, w szczególności zastrzeżenia numeru PESEL oraz zachowania ostrożności wobec podejrzanych wiadomości i telefonów, pozostają aktualne.
W przypadku uzyskania kolejnych istotnych informacji komunikat zostanie odpowiednio uzupełniony.
Z poważaniem,
Jolanta Matyasik
iodo@sublimed.pl