Administrator danych

Centrum Medyczne Braun sp. z o.o.
ul. Osińska 16a
63-600 Kępno

Szanowni Państwo,

informujemy o naruszeniu ochrony danych osobowych, które dotyczy danych osobowych pacjentów przetwarzanych w związku z korzystaniem ze świadczeń zdrowotnych udzielanych przez Centrum Medyczne Braun sp. z o.o.

Przekazujemy niniejsze zawiadomienie na podstawie art. 34 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), ponieważ charakter naruszenia oraz zakres danych, których może ono dotyczyć, powodują ryzyko naruszenia praw lub wolności osób, których dane dotyczą.

1. Co się stało?

Centrum Medyczne Braun sp. z o.o. korzystało z usług MyDr sp. z o.o., która jako podmiot przetwarzający świadczyła na rzecz naszej placówki usługi informatyczne związane z obsługą i przechowywaniem danych pacjentów.

MyDr sp. z o.o. poinformowała o incydencie bezpieczeństwa w swoim środowisku informatycznym, polegającym na uzyskaniu przez osoby nieuprawnione dostępu do danych przechowywanych w środowisku MyDr oraz ich skopiowaniu.

W dniu 3 września 2026 r. Centrum Medyczne Braun uzyskało informację potwierdzającą, że incydent obejmuje również dane osobowe pacjentów naszej placówki.

W związku z tym doszło do naruszenia poufności danych osobowych, których administratorem jest Centrum Medyczne Braun sp. z o.o., a które były przetwarzane przez MyDr sp. z o.o. na zlecenie naszej placówki.

Na obecnym etapie nie ma informacji wskazujących na to, że dane zostały publicznie udostępnione lub wykorzystane przez osoby nieuprawnione. Systemy MyDr zostały zabezpieczone, a prowadzone działania wyjaśniające i monitoring mają na celu ustalenie pełnego zakresu i skutków incydentu.

2. Jakich danych może dotyczyć naruszenie?

Według informacji przekazanych przez MyDr incydent obejmował przede wszystkim dane znajdujące się w systemie sprzed 12 kwietnia 2024 r.

W ograniczonej liczbie przypadków incydent mógł również objąć dane znajdujące się w anulowanych skierowaniach na badania medyczne wystawionych po 12 kwietnia 2024 r.

Naruszenie może dotyczyć danych takich jak:

• imię i nazwisko,
• adres zamieszkania,
• dane kontaktowe,
• numer PESEL,
• dane dotyczące zdrowia,
• dane dotyczące ubezpieczenia społecznego – jeżeli były przekazane,
• informacje dotyczące pracodawcy – jeżeli były przekazane,
• inne dane identyfikacyjne znajdujące się w dokumentacji lub systemie.

Nie oznacza to jednak, że wszystkie wymienione powyżej kategorie danych dotyczą każdej osoby.

3. Jakie mogą być potencjalne konsekwencje?

Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w połączeniu z imieniem, nazwiskiem i innymi danymi identyfikacyjnymi może zostać wykorzystany przez osoby nieuprawnione do prób dokonania oszustwa lub innych działań na szkodę osoby, której dane dotyczą.

Potencjalne konsekwencje mogą obejmować w szczególności:

• próbę zaciągnięcia kredytu lub pożyczki na cudze dane,
• próbę zawarcia umowy z wykorzystaniem cudzych danych,
• próby podszywania się pod osobę, której dane dotyczą,
• próby wyłudzenia dodatkowych informacji,
• kierowanie spersonalizowanych wiadomości lub telefonów w celu dokonania oszustwa,
• wykorzystanie danych kontaktowych do przeprowadzania ataków phishingowych,
• nieuprawnione wykorzystanie informacji dotyczących zdrowia.

Szczególną ostrożność należy zachować w przypadku informacji dotyczących stanu zdrowia. Ich nieuprawnione wykorzystanie może prowadzić do naruszenia prywatności, a w określonych sytuacjach również do innych negatywnych konsekwencji dla osoby, której dane dotyczą.

Na dzień sporządzenia niniejszego zawiadomienia nie posiadamy informacji o publicznym ujawnieniu lub wykorzystaniu danych objętych incydentem.

4. Jakie działania może Pani/Pan podjąć?

Zastrzeżenie numeru PESEL

Zalecamy rozważenie zastrzeżenia numeru PESEL.

Można tego dokonać za pośrednictwem usługi państwowej, aplikacji mObywatel lub osobiście w urzędzie gminy/miasta.

Zastrzeżenie numeru PESEL zwiększa ochronę przed wykorzystaniem danych do zaciągania określonych zobowiązań finansowych na Państwa dane.

Zastrzeżenie PESEL nie uniemożliwia korzystania ze świadczeń zdrowotnych, realizacji recept ani załatwiania spraw urzędowych.

Zachowanie szczególnej ostrożności

Prosimy o zachowanie szczególnej ostrożności w przypadku:

• wiadomości SMS lub e-mail dotyczących zdrowia, leczenia lub dokumentacji medycznej,
• telefonów od osób podających się za pracowników placówek medycznych,
• wiadomości zawierających linki do płatności lub logowania,
• próśb o podanie numeru PESEL, haseł, kodów SMS lub danych bankowych,
• ofert dotyczących rzekomego leczenia lub produktów medycznych, które odnoszą się do informacji dotyczących Państwa stanu zdrowia.

Centrum Medyczne Braun nie będzie prosiło Państwa w związku z tym incydentem o podanie hasła, kodu SMS, danych karty płatniczej ani danych do logowania do bankowości elektronicznej.

W przypadku otrzymania podejrzanej wiadomości lub telefonu nie należy przekazywać dodatkowych danych osobowych.

Podejrzenie wykorzystania danych

Jeżeli pojawią się okoliczności wskazujące na wykorzystanie Państwa danych przez osobę nieuprawnioną, należy rozważyć zgłoszenie sprawy Policji oraz podjęcie odpowiednich działań w celu ochrony swoich praw.

5. Jakie działania zostały podjęte?

Po uzyskaniu informacji o incydencie Centrum Medyczne Braun sp. z o.o.:

1. przeprowadziło analizę naruszenia oraz ocenę ryzyka dla praw i wolności osób, których dane dotyczą;
2. dokonało zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych;
3. pozostaje w kontakcie z MyDr sp. z o.o. w celu uzyskiwania informacji o przebiegu i wynikach analizy incydentu;
4. analizuje zakres danych objętych naruszeniem;
5. dokonuje przeglądu stosowanych środków technicznych i organizacyjnych służących ochronie danych osobowych;
6. podejmuje działania mające na celu ograniczenie możliwych negatywnych skutków naruszenia;
7. monitoruje informacje dotyczące incydentu przekazywane przez MyDr oraz właściwe instytucje;
8. będzie podejmować dalsze działania adekwatne do nowych ustaleń dotyczących incydentu.

MyDr sp. z o.o. poinformowała o podjęciu działań mających na celu zabezpieczenie środowiska informatycznego oraz prowadzeniu dalszych analiz dotyczących incydentu.

6. Gdzie można uzyskać dalsze informacje?

W przypadku pytań dotyczących naruszenia ochrony danych osobowych prosimy o kontakt z:

Centrum Medycznym Braun sp. z o.o.

tel.: 62 791 16 74
e-mail: rejestracja@centrummedycznebraun.com

W sprawach dotyczących samego incydentu w środowisku MyDr można również kontaktować się z podmiotem przetwarzającym:

MyDr sp. z o.o.
e-mail: dane@mydr.pl

7. Informacja końcowa

Rozumiemy, że informacja o takim zdarzeniu może budzić Państwa niepokój. Jednocześnie podkreślamy, że na obecnym etapie nie posiadamy informacji wskazujących na publiczne ujawnienie lub wykorzystanie danych objętych incydentem.

Centrum Medyczne Braun sp. z o.o. traktuje ochronę i poufność danych pacjentów jako kwestię priorytetową i będzie nadal monitorować sytuację oraz podejmować działania odpowiednie do ustaleń dotyczących incydentu.

Przepraszamy za zaistniałą sytuację oraz związane z nią niedogodności i niepokój.

Centrum Medyczne Braun sp. z o.o.

Data sporządzenia zawiadomienia: 7 września 2026 r.