Навіть якщо інцидент починається у постачальника медичної інформаційної системи, заклад має подбати про його наслідки у себе. Виникають запитання пацієнтів, обов’язки за законом і можливі вимоги. Кіберполіс може допомогти оплатити певні дії, але його умови потрібно перевірити до події.
MyDr: чому це стосується також власника кабінету
13 серпня 2026 року UODO повідомив про заплановану перевірку MyDr після витоку даних про здоров’я. За повідомленням регулятора, компанія обробляє дані, передані медзакладами-клієнтами. Масштаб порушення на той момент ще не був повністю відомий. Джерело: повідомлення UODO нижче.
Для конкретного закладу важливі власні обставини: обсяг порушення, категорії інформації, кількість людей і спосіб використання системи. Користування одним продуктом не означає однакової ситуації для всіх клінік.
Постачальник системи не замінює контролера даних
UODO нагадує, що заклад має встановити, чи стосується інцидент його даних, і оцінити ризик. Повідомлення регулятору та повідомлення пацієнтам оцінюють окремо. Про порушення, яке підлягає повідомленню, слід повідомити без зайвої затримки, за можливості протягом 72 годин після його виявлення. Пацієнтів повідомляють без зайвої затримки, за загальним правилом за високого ризику, з урахуванням винятків GDPR.
Відсутність повної інформації не дозволяє відкладати дії на невизначений час. Встановлені факти, рішення й доповнення потрібно документувати разом із відповідальним за захист даних, юристом і постачальником. У Польщі GDPR називають RODO, а UODO — орган нагляду за захистом персональних даних.
Обов’язкове медичне OC та кіберстрахування мають різні завдання
Польське обов’язкове OC суб’єкта медичної діяльності стосується шкоди внаслідок надання медичних послуг або протиправного ненадання таких послуг. OC означає страхування цивільної відповідальності. Його законодавчо визначений обсяг не є загальним захистом усіх витрат закладу.
Самої наявності OC недостатньо, щоб вважати покритими реагування на витік, повідомлення чи комп’ютерну криміналістику. Конкретну відповідальність оцінюють за обставинами та належними договорами. Кіберпокриття перевіряють окремо, навіть якщо пакет поєднує кілька видів страхування.
Що може включати кіберзахист медзакладу
Відповідний варіант може передбачати юридичний супровід інциденту, інформування пацієнтів, роботу ІТ-фахівців, захист від охоплених договором вимог і належні виплати. Це можливі складові, а не обіцянка виплати після кожного витоку. Приклади наведено в матеріалах страховиків у джерелах.
Окремо варто розглянути перерву в роботі закладу. Витрати на реагування після розголошення даних та збитки через недоступність системи — різні сценарії. Сам витік не обов’язково означає простій, а покриття простою потребує перевірки окремих умов.
Що перевірити, коли в базі тисячі карток
Перевірте, чи визначення охоплюють дані про здоров’я та порушення у постачальника електронної медичної документації. Порівняйте ліміти реагування, повідомлень і вимог та з’ясуйте, чи ці витрати використовують спільну страхову суму.
Уточніть, хто приймає повідомлення, як залучити команду допомоги та чи потрібно погоджувати виконавця або витрати заздалегідь. Обговоріть доступ персоналу, багатофакторну автентифікацію й робочі резервні копії. Конкретні вимоги залежать від пропозиції.
Вимога пацієнта ще не означає присуджене відшкодування
Отриманий лист потребує аналізу, але вказана в ньому сума не визначає відповідальності чи належної виплати. Єдиної автоматичної ставки відшкодування за витік даних немає. Потрібно оцінити підставу вимоги та обставини конкретної справи.
Збережіть документи та виконайте передбачену полісом процедуру повідомлення. До визнання відповідальності або укладення мирової угоди перевірте вимоги договору й отримайте консультацію. Новий поліс не дає автоматичного захисту від наслідків інциденту, відомого до його укладення.
Як BTLA допоможе впорядкувати захист
Зіставимо чинні OC і кіберполіс зі способом використання систем і категоріями переданих даних. Пояснимо різницю між витратами на реагування, відповідальністю та простоєм. Якщо подія вже сталася, починаємо з документів і чинних на той момент договорів.
Для першої розмови достатньо назв систем, приблизної кількості карток і відомостей про поліси. Не надсилайте дані пацієнтів або документи про лікування через загальну форму чи електронну пошту. Телефонуйте: 32 307 70 37 або надішліть загальний опис на [email protected]. Консультації проводимо польською або англійською. Узгодимо потрібну інформацію та подальший контакт.
Джерела й дата перевірки
Перевірено 05.10.2026. Перед купівлею перевірте актуальні документи отриманої пропозиції.
- UODO — повідомлення про перевірку MyDr від 13.08.2026
- UODO — обов’язки контролера після інциденту у постачальника
- GDPR / RODO — статті 33, 34 та 82
- Обов’язкове OC медичної діяльності — польське розпорядження, Dz.U. 2025 poz. 272
- PZU — приклади витрат і кіберпокриття
- ERGO Hestia — варіанти кіберстрахування та покриття простою
Редакційне опрацювання: BTLA Broker. Огляд публічно описаного інциденту; це не історія клієнта чи справи, яку вела BTLA.