Jeden incydent bezpieczeństwa, tysiące potencjalnie dotkniętych podmiotów i zasadnicze pytanie: kto, kiedy i na jakiej podstawie powinien zgłosić naruszenie ochrony danych osobowych? Incydent bezpieczeństwa w Fakturowni, ujawniony pod koniec września 2026 r., to jeden z tych przypadków, które szczególnie wyraźnie pokazują, jak skomplikowana potrafi być odpowiedzialność za dane osobowe w relacjach pomiędzy administratorem a dostawcą usług IT. Z oficjalnego komunikatu Fakturown

Jeszcze nie opadły emocje po incydencie dotyczącym MyDr, a UODO informuje o kolejnym poważnym zdarzeniu w sektorze ochrony zdrowia. Tym razem chodzi o cyberatak dotyczący oprogramowania Medyc, wykorzystywanego przez podmioty medyczne. Według informacji przywołanych przez UODO wyciek może obejmować dane medyczne nawet 5 mln osób. Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości, a Prezes UODO zapowiedział kontrolę firmy odpowiedzialnej za oprogramowanie Medyc.

Incydent bezpieczeństwa systemu MyDr EDM dotyczy ponad 12 tys. placówek medycznych oraz danych ponad 18,8 mln osób. Pacjenci powinni zostać poinformowani o możliwym wycieku danych, jednak przekazywane komunikaty bywają zbyt lakoniczne i nie zawsze spełniają wymogi RODO. Jak wskazuje Gabriela Nowińska, zawiadomienie powinno być napisane jasnym i prostym językiem oraz zawierać m.in. opis charakteru naruszenia, możliwe konsekwencje, dane kontaktowe IOD lub innego punktu kontak