Wyciek danych u dostawcy IT – czy apteka może uznać, że to nie jej problem?

Firmy zewnętrzne są dziś naturalnym elementem działania apteki. Korzystamy z usług serwisowych, hostingu, poczty elektronicznej, systemów chmurowych, kopii zapasowych, dostępu zdalnego czy oprogramowania medycznego.

W praktyce oznacza to, że część danych może być przetwarzana przez zewnętrznego dostawcę.

I tu pojawia się ważne pytanie:

jeżeli wyciek nastąpi u firmy zewnętrznej, czy apteka może uznać, że to już nie jej problem?

Krótka odpowiedź brzmi:

nie.

Administrator nadal ma swoje obowiązki

RODO rozróżnia administratora danych i podmiot przetwarzający.

Administrator decyduje, dlaczego i w jaki sposób dane są przetwarzane. Podmiot przetwarzający wykonuje określone operacje na danych w imieniu administratora.

Samo podpisanie umowy powierzenia nie powoduje jednak, że odpowiedzialność za bezpieczeństwo danych całkowicie przechodzi na firmę zewnętrzną.

Urząd Ochrony Danych Osobowych przypomina, że administrator powinien korzystać wyłącznie z usług takiego podmiotu przetwarzającego, który daje wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.

Co więcej, taka weryfikacja nie powinna kończyć się w chwili podpisania umowy.

Administrator powinien mieć możliwość sprawdzenia, komu powierza dane, w jaki sposób są one przetwarzane i czy stosowane zabezpieczenia są nadal odpowiednie.

Co pokazała sprawa MyDr?

W sierpniu 2026 r. UODO odniósł się do incydentu bezpieczeństwa dotyczącego firmy MyDr.

Urząd przypomniał administratorom korzystającym z usług tego podmiotu, że po otrzymaniu informacji potwierdzającej, iż incydent dotyczył ich danych, muszą oni przeprowadzić własną analizę ryzyka.

Na jej podstawie administrator powinien ocenić m.in.:

• czy doszło do naruszenia ochrony danych osobowych,
• czy naruszenie należy zgłosić Prezesowi UODO,
• czy należy poinformować osoby, których dane dotyczą.

Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, zgłoszenie powinno zostać dokonane bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Jeżeli ryzyko jest wysokie, może być również konieczne poinformowanie osób, których dane dotyczą.

W osobnym komunikacie Prezes UODO poinformował, że kontrola w MyDr obejmie m.in. zastosowane środki techniczne i organizacyjne, analizę ryzyka oraz to, czy zabezpieczenia były regularnie testowane.

UODO upomniał również za brak weryfikacji dostawcy

Jeszcze ciekawszy z praktycznego punktu widzenia jest przypadek szpitala specjalistycznego w Sosnowcu.

Doszło tam do włamania do skrzynki pocztowej utrzymywanej na serwerach zewnętrznego dostawcy.

Osoba nieuprawniona pobrała zawartość skrzynki, w której znajdowały się dane osobowe 224 osób.

Prezes UODO upomniał zarówno administratora, jak i podmiot przetwarzający.

W przypadku administratora jednym z problemów był brak właściwej weryfikacji, czy dostawca zapewnia odpowiednie gwarancje bezpieczeństwa. UODO wskazał również na niewłaściwą analizę ryzyka dotyczącą przetwarzania danych za pomocą poczty elektronicznej.

To ważna wskazówka również dla innych podmiotów przetwarzających dane wrażliwe.

Nie wystarczy mieć umowę z dostawcą. Trzeba jeszcze wiedzieć, czy sposób świadczenia usługi jest rzeczywiście bezpieczny.

Co to oznacza dla apteki?

Apteka przetwarza dane, których utrata poufności może mieć poważne konsekwencje.

W codziennej działalności zewnętrzny dostawca może mieć dostęp np. do:

• systemu aptecznego,
• serwera lub stacji roboczych,
• kopii bezpieczeństwa,
• poczty elektronicznej,
• dokumentów udostępnianych w chmurze,
• systemów zdalnego wsparcia,
• infrastruktury sieciowej.

Dlatego przed powierzeniem danych warto wiedzieć nie tylko kto będzie miał do nich dostęp, ale również w jaki sposób będą chronione.

Umowa powierzenia to nie wszystko

Umowa powierzenia jest oczywiście ważna, ale z punktu widzenia bezpieczeństwa powinna być tylko jednym z elementów całego procesu.

W praktyce warto sprawdzić m.in.:

• jakie dane dostawca rzeczywiście przetwarza,
• gdzie znajdują się systemy i kopie danych,
• kto ma dostęp administracyjny,
• czy dostęp zdalny jest odpowiednio zabezpieczony,
• czy stosowane jest uwierzytelnianie wieloskładnikowe tam, gdzie jest to możliwe,
• w jaki sposób wykonywane i testowane są kopie bezpieczeństwa,
• jak szybko dostawca informuje o incydencie,
• czy istnieje procedura odbierania dostępów po zakończeniu współpracy,
• czy dostawca korzysta z kolejnych podwykonawców.

Nie każda usługa będzie wymagała takiego samego poziomu zabezpieczeń.

Inaczej należy oceniać firmę mającą sporadyczny dostęp do pojedynczego komputera, a inaczej dostawcę utrzymującego system zawierający dużą ilość danych osobowych lub dane dotyczące zdrowia.

Co zrobić po informacji o incydencie u dostawcy?

Pierwszą reakcją nie powinno być automatyczne stwierdzenie:

„To wyciek u dostawcy, więc to jego odpowiedzialność.”

Administrator powinien przede wszystkim ustalić:

1. czy incydent dotyczył danych związanych z jego działalnością,
2. jakie kategorie danych zostały objęte zdarzeniem,
3. ilu osób może dotyczyć naruszenie,
4. jakie mogą być konsekwencje dla tych osób,
5. jakie działania ograniczające skutki zostały już podjęte,
6. czy zachodzą przesłanki do zgłoszenia naruszenia Prezesowi UODO,
7. czy trzeba poinformować osoby, których dane dotyczą.

Bardzo ważna jest również dokumentacja podjętych działań i przeprowadzonej analizy.

Dobra współpraca z dostawcą ma znaczenie

Nie chodzi o to, aby traktować każdą firmę IT jak potencjalne zagrożenie.

Wręcz przeciwnie.

Dobrze przygotowany dostawca powinien być w stanie jasno odpowiedzieć na pytania dotyczące bezpieczeństwa, sposobu dostępu do danych, kopii zapasowych czy postępowania w przypadku incydentu.

W sytuacji awaryjnej ogromne znaczenie ma również szybkość komunikacji.

Administrator nie może prawidłowo ocenić naruszenia, jeżeli nie wie, jakie dane zostały objęte incydentem i jaki był jego rzeczywisty zakres.

Bezpieczeństwo to proces, nie dokument

Przypadki opisywane przez UODO pokazują wspólny problem:

formalna umowa nie zastępuje realnego zarządzania ryzykiem.

Weryfikacja dostawcy, ograniczanie uprawnień, aktualizacje, kopie bezpieczeństwa, monitoring, bezpieczny dostęp zdalny i procedury reagowania na incydenty są elementami tego samego procesu.

W przypadku apteki ma to szczególne znaczenie, ponieważ awaria systemu informatycznego może jednocześnie oznaczać problem z ochroną danych i realne zakłócenie pracy placówki.

Przydatne materiały

• UODO – administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym
• UODO – Prezes UODO skontroluje spółkę MyDr
• UODO – pytania administratorów i osób związane z incydentem MyDr
• UODO – upomnienie dla szpitala za brak weryfikacji podmiotu przetwarzającego
• UODO – obowiązki administratora wobec podmiotu przetwarzającego

---

Stan informacji: 12 września 2026 r.

Powyższy materiał ma charakter informacyjny. Ocena konkretnego naruszenia ochrony danych powinna uwzględniać jego rzeczywisty zakres, kategorie danych, możliwe skutki dla osób oraz aktualne wytyczne organu nadzorczego.