BIZNES

Wyciek MyDr: Jak rząd chce zmienić ochronę PESEL i czy to wystarczy w erze cyberzagrożeń

Analiza

W połowie sierpnia br. światło dzienne ujrzało jedno z największych wycieków danych w historii Polski – cyberatak na firmę MyDr, dostawcę systemów elektronicznej dokumentacji medycznej. Ujawniono dane 19 milionów obywateli, w tym numery PESEL, informacje o lekach i receptach, dotyczące 12 tysięcy podmiotów medycznych korzystających z platformy. Incydent ten wstrząsnął społeczeństwem, zwłaszcza że dotknął także najwyższych urzędników, w tym szefa Biura Bezpieczeństwa Narodowego Bartosza Grodeckiego, którego dane również znalazły się w wycieku. W odpowiedzi Ministerstwo Cyfryzacji uruchomiło rządową stronę bezpiecznedane.gov.pl, gdzie obywatele mogą sprawdzić, czy ich dane zostały ujawnione, oraz zastrzec numer PESEL za pomocą aplikacji mObywatel. Jednak eksperci podkreślają, że obecne rozwiązania, takie jak zastrzeganie numeru, są jedynie łatką na dziurę. W kontekście wprowadzonej niedawno Cyber Piątki – pakietu zmian mających wzmocnić bezpieczeństwo danych – pojawia się pytanie, czy wystarczą one do zapobieżenia podobnym incydentom w przyszłości. Cyber Piątka obejmuje m.in. obowiązkowe audyty bezpieczeństwa dla krytycznej infrastruktury, wprowadzenie sankcji za naruszenia ochrony danych oraz wzmocnienie kompetencji Agencji Ochrony Danych Osobowych. Jednak jak zauważa Grodecki, problem może leżeć głębiej – w samej koncepcji powszechnego używania PESEL jako identyfikatora, który jest wykorzystywany zbyt często i zbyt łatwo udostępniany. W tle działań rządowych pojawiają się także wątpliwości dotyczące bezpieczeństwa systemów publicznych, które w ramach testowych działań nie są odpowiednio chronione. Wyciek MyDr ujawnił również lukę w świadomości obywateli – wielu nie zdawało sobie sprawy, jak często i w jakich kontekstach udostępniają swoje dane osobowe, a tym samym PESEL. Dla porównania, podobne incydenty w innych krajach europejskich, jak wyciek danych w Niemczech czy atak na szwedzkie systemy zdrowotne, skłoniły rządy do radykalnych zmian, w tym wprowadzenia nowych systemów identyfikacyjnych o podwyższonym poziomie bezpieczeństwa. W Polsce dyskusja nad tym, czy PESEL powinien być automatycznie zastrzeżony, nabrała szczególnego znaczenia po tym, jak okazało się, że nawet najważniejsi urzędnicy nie są w stanie go chronić. To zjawisko wpisuje się w szerszy trend globalnego wzrostu cyberzagrożeń, gdzie dane osobowe stały się jedną z najcenniejszych, ale jednocześnie najbardziej narażonych na wyciek informacji.

Kontekst i Tło

Wyciek danych MyDr to nie tylko kolejny incydent w długiej liście naruszeń cyberbezpieczeństwa, ale sygnał, że obecne mechanizmy ochrony są niewystarczające. Dla społeczeństwa oznacza to konieczność podjęcia działań prewencyjnych, takich jak zastrzeganie PESEL, jednak eksperci podkreślają, że to tylko część rozwiązania. W dłuższej perspektywie incydent ten może przyspieszyć debaty nad wprowadzeniem nowych systemów identyfikacyjnych, które będą trudniejsze do skomprometowania. Dla rynku technologicznego i usług medycznych wyciek stanowi ostrzeżenie przed koniecznością inwestycji w bezpieczeństwo danych, zwłaszcza w sektorze, gdzie informacje są szczególnie wrażliwe. Państwo z kolei stoi przed dylematem, czy ograniczyć użycie PESEL w życiu publicznym, co może wymagać rewizji wielu systemów administracyjnych. W kontekście Cyber Piątki, która ma wzmocnić ochronę danych, wyciek MyDr staje się testem skuteczności nowych regulacji. Jeśli nie zostaną one odpowiednio wdrożone, ryzyko podobnych incydentów może się powtórzyć, co podkopie zaufanie obywateli do instytucji publicznych i prywatnych. Dla Europy wyciek danych w Polsce to także sygnał ostrzegawczy – pokazuje, że nawet kraje z rozwiniętą infrastrukturą cyfrową nie są odporne na cyberzagrożenia, co może wpłynąć na harmonizację przepisów w Unii Europejskiej.

Komentarz Redakcji

Kiedy nawet szef służb specjalnych nie jest w stanie chronić swojego PESEL, oznacza to, że problem nie leży w świadomości obywateli, ale w systemie. Wyciek MyDr to nie tylko kwestia technologii, ale głęboki kryzys zaufania – jeśli państwo nie jest w stanie zagwarantować bezpieczeństwa podstawowych danych, to co może obiecać w innych obszarach? Cyber Piątka to dobry początek, ale bez radykalnych zmian w podejściu do ochrony danych, kolejne wycieki są tylko kwestią czasu.