NIL wydała przewodnik po incydencie MyDr. Najważniejsze obowiązki są po stronie placówek

Przewodnik NIL nie opisuje przebiegu incydentu ani jego technicznych przyczyn. Ma być przede wszystkim praktyczną instrukcją dla administratorów danych: wskazuje, co należy zrobić, w jakiej kolejności i w jakim terminie. Izba zastrzega przy tym, że materiał ma charakter pomocniczy. Nie zastępuje procedur obowiązujących w danej placówce ani jej własnej analizy ryzyka. To istotne, ponieważ NIL bardzo wyraźnie przypomina, że administratorem danych pacjentów nie jest dostawca systemu MyDr, lecz gabinet, praktyka albo przychodnia. Naruszenie nastąpiło po stronie dostawcy, ale to placówka odpowiada za ocenę zdarzenia, jego kwalifikację oraz wykonanie obowiązków wobec organu nadzorczego i pacjentów. Nikt nie zrobi tego w jej zastępstwie.

Przewodnik zwraca również uwagę, że placówka nie powinna czekać na zakończenie postępowania wyjaśniającego prowadzonego przez dostawcę. Jeżeli korzystała z systemu w okresie objętym naruszeniem, NIL wskazuje na obowiązek zgłoszenia naruszenia Prezesowi UODO. Według przewodnika można od niego odstąpić, jeśli placówka ma pisemne potwierdzenie dostawcy, że dane jej pacjentów nie znalazły się w zbiorze objętym incydentem.

Dokument został podzielony na sześć etapów ułożonych chronologicznie. Obejmują one pierwsze działania po uzyskaniu informacji o naruszeniu, zabezpieczenie dowodów i ustalenie zakresu ekspozycji danych, zabezpieczenie dostępu do systemu, zgłoszenie do Prezesa UODO, zawiadomienie pacjentów, obowiązki sektorowe i kontakt z dostawcą, a następnie działania, które placówka powinna podjąć w kolejnych tygodniach. Terminy liczy się od dnia, w którym placówka uzyskała wiarygodną informację o incydencie, najczęściej od momentu otrzymania wiadomości od dostawcy.

Dużą wartością przewodnika są gotowe materiały, które można wykorzystać w placówce. W ośmiu załącznikach znalazły się m.in. checklista czynności, wzór wystąpienia do dostawcy systemu, formularz wpisu do rejestru naruszeń, wzór zawiadomienia pacjenta, wytyczne dla pacjentów, komunikat do rejestracji, formularz oceny ryzyka oraz skrypt dla personelu rejestracji. Są to wzory, które trzeba dostosować do sytuacji konkretnego administratora.

NIL podkreśla też, że opracowanie przedstawia stan faktyczny i prawny na 12 sierpnia 2026 r. Postępowanie wyjaśniające dostawcy oraz działania organów nie zostały jeszcze zakończone, dlatego nowe ustalenia mogą wymagać uzupełnienia zgłoszeń lub ponownej oceny sytuacji.

Pełny przewodnik wraz z formularzami i wzorami pism jest dostępny na stronie Naczelnej Izby Lekarskiej: https://nil.org.pl/dla-lekarzy/9358-co-powinien-zrobic-gabinet-korzystajacy-z-systemu-mydr-kolejnosc-czynnosci-terminy-wzory-pism-i-formularze