Wyciek danych z MyDr. Co wiemy? Nie wszyscy pacjenci zostali okradzeni po równo

• Wiemy już, że wyciek dotyczy danych do 2024 roku i nie objął wszystkich w jednakowym stopniu. Wiemy, że niektóre z dużych sieci medycznych już znają szczegóły i były w stanie potwierdzić na przykład, że tylko kilka ich placówek ucierpiało, nie wszystkie. Wiemy, że w niektórych przypadkach doszło do wycieku tylko pewnych kategorii danych.

• Na dzisiaj fakty są takie: danych w sieci nie ma, więc nie ma też pilnej potrzeby sprawdzania ich statusu w rządowym systemie bezpiecznedane.gov. Ten mechanizm uruchamia się dopiero wtedy, gdy pliki stają się publiczne. Wobec tego sprawdzanie ich statusu w tym momencie będzie po prostu stratą czasu ze strony obywateli.

Minister Gawkowski się myli

Mamy potężny wyciek danych 19 mln osób, w tym niezwykle wrażliwych danych medycznych. I mamy chaos. Minister cyfryzacji Krzysztof Gawkowski od kilku dni odsyła Polaków do portalu bezpiecznedane.gov.

Tam — jak twierdzi — w ciągu kilku dni dostępne będą wszystkie dane, które wyciekły. Żeby każdy obywatel mógł zweryfikować, czy jego własne też.

Rzecz jednak w tym, że nie wszystkie. Na szczęście.

Minister wypowiada się w mediach chętnie, ale nieprecyzyjnie, co może wywoływać wrażenie, że rządowy portal zassie całą skradzioną z MyDr bazę danych. A każdy, kto zaloguje się do tego systemu, sprawdzi, czy jego dane skradziono i jakie. Czy hakerzy wykradli jego historię leczenia, recepty itd.

A to nie tak. Ministerstwo Cyfryzacji nie może umieścić w portalu bezpiecznedane.gov. żadnych danych medycznych — wskazuje w rozmowie z OKO.press prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski. Tam mogą się znaleźć wyłącznie dane identyfikacyjne, by każdy mógł sprawdzić, czy…

No właśnie. Tu pojawia się drugie „ale”.

Wicepremier Gawkowski w licznych wypowiedziach dla mediów twierdzi, że to kwestia czasu, kilku dni, i każdy będzie mógł sprawdzić, czy jego dane z bazy zarządzanej przez MyDr zostały wykradzione.

Tymczasem prezes UODO wyjaśnia OKO.press, że te dane do rządowego portalu powinny trafić w sytuacji, gdy skradzione dane zostaną upublicznione przez hakerów w internecie. A nie wtedy, gdy zostaną „jedynie” skradzione. Bo nie do tego służy portal bezpiecznedane.gov.

Jakby tego chaosu było mało, władzom wyrasta nowy problem. Na fali wzmożenia w związku z wyciekiem danych pojawiają się wstrząsy wtórne. Jedni przestępcy wykradli dane 19 mln ludzi, a teraz kolejni przestępcy (?) sieją dezinformację, że należy w związku z tym złożyć wniosek o zmianę numeru PESEL, by się zabezpieczyć przed konsekwencjami przestępstwa numer jeden.

Co robi resort cyfryzacji? Ironizuje, zamiast przeciwdziałać tej dezinformacji.

Prezes Wróblewski: Wykradzionych danych w sieci nie ma

Agata Kołodziej, OKO.press: Podsumujmy najpierw, co wiemy dziś oficjalnie i na pewno o tym gigantycznym wycieku danych z firmy MyDr, o którym UODO, pana urząd, powinien zostać poinformowany. I to przez administratorów tych danych, jak mówią przepisy, czyli przez ok. 12 tys. placówek.

Bo można odnieść wrażenie, że wszystko stoi na głowie. Informuje o tym resort cyfryzacji, a nie administratorzy danych. Minister zapowiada, że zaraz wszyscy będą mogli zweryfikować, czy ich dane też zostały wykradzione, podczas gdy sam okradziony MyDr jeszcze nie ustalił, co mu dokładnie skradziono. Odsiejmy zatem te narracje medialne i ustalmy, co dziś realnie dzieje się w tej sprawie.

Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych: Analizę powłamaniową prowadzi sam podmiot przetwarzający, czyli spółka MyDr.

Swoje analizy prowadzą również służby odpowiedzialne za cyberbezpieczeństwo – CSIRT NASK – a także organy ścigania. Prokuratura pracuje nad wykryciem sprawców. Zresztą w sobotę wicepremier Krzysztof Gawkowski poinformował, że śledczy są już na ich tropie.

Zatrzymajmy się tu. Skąd UODO właściwie wie o tej potężnej kradzieży danych? Pytam, bo coś tu chyba na początku poszło bardzo nie tak. Hakerzy po kradzieży skontaktowali się z firmą MyDr 5 sierpnia. Ale nic się nie wydarzyło, firma nie zareagowała, nikogo nie poinformowała. Więc 8 sierpnia skontaktowali się z branżowymi specjalistami z portalu Zaufana Trzecia Strona. Portal publikuje tekst na ten temat 10 sierpnia. 12 sierpnia informuje o tym prasę minister cyfryzacji. Wszystko to dzieje się w przestrzeni medialnej. A kiedy formalnie, nie z mediów, dowiedział się o tym UODO i skąd?

W środę 12 sierpnia. Wtedy otrzymałem również telefon od pana premiera Krzysztofa Gawkowskiego w tej sprawie. Skontaktowała się również firma prowadząca MyDr.

Nie każdy ucierpiał tak samo

A zgodnie z prawem to administratorzy danych, czyli placówki medyczne powinny o tym informować UODO, nie minister.

Przypominam, że Krzysztof Gawkowski pełni jednocześnie funkcję pełnomocnika rządu ds. cyberbezpieczeństwa. Natomiast administratorzy danych są zobowiązani do dokonania zgłoszenia naruszenia ochrony danych w ciągu 72 godzin od momentu, w którym stwierdzą, że doszło do naruszenia.

I to jest kluczowe. To podmiot przetwarzający dane na zlecenie administratora powinien niezwłocznie i w sposób wiarygodny poinformować go, że doszło do incydentu. Od tego momentu administrator ma 72 godziny na zgłoszenie naruszenia Prezesowi UODO, jeżeli incydent ten może skutkować takimi ryzykami, jak np. kradzież tożsamości albo dotyczy danych o zdrowiu.

Czyli placówki medyczne powinny dostać tę informację od MyDr i wtedy mają 72 godziny. Czy zaczęły już zgłaszać tę kradzież do UODO? Przecież MyDr sam mówi, że jeszcze nie wie wszystkiego. Ja od swojej placówki medycznej nie dostałam jeszcze żadnej informacji.

Tak, niektórzy administratorzy zaczęli już zgłaszać to naruszenie ochrony danych osobowych. Ale podkreślam, zanim oni to zgłoszą do Prezesa UODO, najpierw muszą ustalić, czy wykradzione zostały dane zwykłe, a więc takie jak imię, nazwisko, adres zamieszkania i numer PESEL, czy też również dane medyczne, czyli informacje o stanie zdrowia pacjentów, przepisywanych lekach czy receptach.

Dopiero od momentu uzyskania wiedzy o wycieku takich danych na administratorów nakładany jest formalny obowiązek zgłoszenia wycieku.

Czyli my nie wiemy jeszcze, czy dane medyczne również zostały skradzione i jaki jest zakres tego wycieku?

Wiemy już, że wyciek dotyczy danych do 2024 roku i nie objął wszystkich w jednakowym stopniu. Kategorie naruszonych danych różnią się w zależności od pacjenta. Wiemy, że niektóre z dużych sieci medycznych już znają szczegóły i były w stanie potwierdzić na przykład, że tylko kilka ich placówek ucierpiało, nie wszystkie. Wiemy, że w niektórych przypadkach doszło do wycieku tylko pewnych kategorii danych.

Czyli jednym skradziono tylko PESEL, a innym również dane medyczne? I nie wiemy, co komu?

Dokładnie tak. Biorąc pod uwagę, że wyciekła ogromna ilość informacji, musimy uzbroić się w cierpliwość. Aczkolwiek pewne kwestie budzą wątpliwości.

Dane wysysano tygodniami i nikt nie zauważył

Jakie?

Nie ukrywam, że osobiście mam duże zastrzeżenia co do faktu, że podmiot przetwarzający tak późno zorientował się, że w ogóle dochodziło do wycieku danych.

Jeśli potwierdzą się informacje, że wyciekły blisko ponad 2 terabajty danych, to oznacza to ogromną operację. Takiej ilości danych nie pobiera się w sekundę. Ten proces musiał trwać dni, a może nawet tygodnie. Fakt, że tego ataku nie wykryto odpowiednio wcześnie i doszło do naruszenia bezpieczeństwa rekordów blisko 19 milionów obywateli, budzi ogromne wątpliwości.

Ktoś sieje chaos w internecie

Zmieńmy punkt widzenia. Pojawiają się doniesienia, że Polacy zaczynają panikować, co wykorzystują kolejni cyberprzestępcy. Oszuści podszywają się pod organy państwowe i rozsyłają fałszywe komunikaty o możliwości złożenia wniosku o zmianę numeru PESEL.

Warto jasno podkreślić, że poza wyjątkami, bezwzględnie określonymi w przepisach prawa, nie można ot tak zmienić numeru PESEL. Ten numer można jednak i warto, a wręcz należy zastrzec. Można to zrobić bardzo prosto: elektronicznie przez aplikację mObywatel, za pomocą bankowości internetowej lub osobiście w urzędzie.

Właśnie. Ale wróćmy do tych fejków.

W przestrzeni publicznej pojawia się wiele szkodliwych inicjatyw. Nie wiem, jaki jest ich dokładny charakter, ale to klasyczne dolewanie benzyny do ognia. Moim zdaniem to co najmniej próby wykorzystania tego ogromnego wycieku do pogłębiania chaosu komunikacyjnego. Ja nie wiem, kto za tym stoi, ale żyjemy w czasach wojen hybrydowych. Wielu podmiotom oraz obcym państwom zależy na tym, abyśmy stracili orientację, co jest prawdą, a co fałszem.

Tym bardziej organy państwowe powinny jasno komunikować, co jest fałszem. A resort cyfryzacji ironizuje. Pod postem w mediach społecznościowych namawiającym do złożenia formularza o zmianę numeru PESEL ministerstwo odpowiedziało autorowi, że specjalnie dla niego przygotowywany jest również formularz pozwalający na „zwiększenie IQ”. To brzmi niepoważnie w tak poważnej sytuacji.

Nie dziwię się komentarzowi Ministerstwa Cyfryzacji. Sam o tych fejkach pisałem w mediach społecznościowych i zarzucano mi, że nie rozumiem sarkazmu i ironii. Tymczasem ten formularz był dosyć profesjonalnie przygotowany, łudząco przypominał wniosek państwowy. Nie wiem, czy to są głupie dowcipy, czy celowe działanie służb obcych państw. Ale nie należy się tą sprawą bawić, trzeba wsłuchiwać się w komunikaty organów państwa.

W darknecie nic nie ma. W rządowym portalu też nie

Z tych komunikatów przeciętny człowiek wyczytuje dwie rzeczy: zastrzeż PESEL i sprawdź, czy jesteś w bazie bezpiecznedane.gov. PESEL zastrzega — w porządku. Ale jest odsyłany do bazy danych, w której nic nie ma. Ba! To strona www na wypadek kryzysów, a jak pojawia się kryzys, to ona pada pod naporem odwiedzających.

Po co nam w ogóle ten serwis, skoro administratorzy i tak mają obowiązek nas informować, że nasze dane wyciekły?

Zgodnie z art. 26c ustawy o Krajowym Systemie Cyberbezpieczeństwa, usługa ta pozwala obywatelom sprawdzić, czy ich dane zostały ujawnione w sieci internet w sposób nieuprawniony. W tej konkretnej sytuacji mamy jasny komunikat Ministerstwa Cyfryzacji, potwierdzony przez firmę: te dane nie trafiły do sieci. Nie ma więc na razie czego tam sprawdzać, bo baza nie jest publicznie dostępna ani w otwartym internecie, ani w darknecie.

Widziałem nawet rzekomy wpis samych cyberprzestępców zapewniający, że dane nie zostaną upublicznione, choć trudno zweryfikować jego autentyczność. Na dzisiaj fakty są takie: danych w sieci nie ma, więc nie ma też pilnej potrzeby sprawdzania ich statusu w rządowym systemie. Ten mechanizm uruchamia się dopiero wtedy, gdy pliki stają się publiczne. Oby do tego w ogóle nie doszło.

Zaraz. Chce mi Pan powiedzieć, że minister Gawkowski opowiada w mediach od tygodnia, że „w ciągu kilku dni” „wszystkie dane, które wyciekły”, będą dostępne w portalu bezpiecznedane.gov, żeby każdy obywatel mógł zweryfikować, czy jego wyciek też dotyczy, a tymczasem tam żadnych danych nie będzie?

Zapewne będą, tylko przepis ustawy przewiduje możliwość sprawdzenia ujawnienia danych w internecie, do czego na szczęście nie doszło.

Natomiast panu ministrowi zależy, co zrozumiałe, żeby taka możliwość była zapewniona na taką okoliczność.

I – co chciałbym podkreślić – nie wszystkie dane tam będą. Przepisy ustawy jasno określają, jakie kategorie danych mogą być przetwarzane w portalu Bezpieczne Dane. Państwo, a dokładniej CSIRT NASK, który zarządza tym systemem, nie może żądać od administratorów czy podmiotów przetwarzających żadnych informacji o historii chorób, procedurach medycznych czy receptach pacjentów.

Tam będą więc tylko zwykłe, podstawowe dane, które pozwolą obywatelom się zidentyfikować i stwierdzić, czy ich wyciek dotyczy — nazwisko, data urodzenia, adres zamieszkania, płeć, miejsce urodzenia, numer telefonu oraz numer PESEL. To minimalny zestaw informacji, który umożliwia weryfikację na zasadzie prostej odpowiedzi: „tak” lub „nie”. Twoje dane wyciekły albo nie wyciekły.

Choć pojawiły się już pomysły polityczne, aby dać państwu możliwość przejmowania całych baz danych. To jest właśnie coś, do czego absolutnie nie możemy dopuścić. Pójście w tym kierunku oznaczałoby, że instytucje rządowe zaczęłyby gromadzić wrażliwe informacje, choćby o stanie zdrowia obywateli.

Idąc dalej tym tropem: dziś byłyby to dane medyczne, a jutro np. bazy członków partii politycznych. To realne zagrożenie dla demokracji oraz prawidłowego funkcjonowania państwa i społeczeństwa. Obowiązujące przepisy ustawy są prawidłowe, dają bowiem gwarancję, że dla celów działania serwisu Bezpieczne Dane przetwarzane są tylko dane zwykłe w niezbędnym zakresie.

Nie rozumiem więc, po co minister Gawkowski odsyła ludzi do bazy Bezpieczne Dane, skoro na razie nie ma podstaw, by dane z tego wycieku się tam w ogóle pojawiły.

W pełni rozumiem, że wicepremier chciałby jak najszybciej dać obywatelom taką możliwość weryfikacji. Natomiast w sytuacji, gdy w sieci te dane nie zostały upublicznione, możemy dać stuprocentową gwarancję, że każdy, kto wszedłby teraz do tej rządowej bazy, otrzymałby wynik negatywny.

Nie znajdzie się w tej bazie, bo nie ma w niej jeszcze żadnych danych dotyczącej wycieku z firmy MyDr, i może nigdy nie będzie, a nie dlatego, że jego danych w tym wycieku nie było.

Na tę chwilę możemy powiedzieć, że te dane nigdzie w internecie nie krążą. Wobec tego sprawdzanie ich statusu w tym momencie będzie po prostu stratą czasu ze strony obywateli.

Bezpieczne dane, to dane, których się nie zbiera

Po co nam właściwie ten portal, jeśli administratorzy i tak mają obowiązek informować nas o wycieku? Po co w kolejnej bazie gromadzić dane? Przecież najważniejsza zasada ochrony danych osobowych mówi: nie zbieraj danych, jeśli naprawdę nie musisz, wtedy będą najbardziej bezpieczne.

Wyobraźmy sobie gorszy scenariusz – że te dane nagle trafiają do sieci. Wówczas zasadna jest potrzeba błyskawicznego zweryfikowania, czy w moim konkretnym przypadku te informacje krążą po internecie. Obywatel ma pełne prawo chcieć dowiedzieć się tego natychmiast. I szybciej dowie się z tej bazy niż od administratorów danych, których w tym przypadku jest aż 12 tys.

Zgodzę się z tym, że kluczowa jest zasada minimalizacji – najlepiej, gdy dane w ogóle nie są przetwarzane, bo wtedy po prostu nie mogą wyciec. Natomiast ryzyka związane z prowadzeniem rządowej bazy o tak wąskim zakresie są znacznie mniejsze niż ogromne zagrożenia wynikające z prowadzenia przez prywatny podmiot bazy zawierającej pełne dane medyczne.

Zresztą w tej sytuacji doskonale widać, jak wielkie ryzyko niesie ze sobą konsolidacja tak ogromnej liczby danych szczególnie wrażliwych w jednym miejscu.

Ja mam jednak pewne obawy, skoro rządowy portal stworzony na wypadek sytuacji kryzysowych, w sytuacji kryzysowej pada, bo nie unosi zwiększonego ruchu użytkowników. Stało się to zresztą nie pierwszy raz. Kiedy w listopadzie 2023 roku doszło do wycieku danych medycznych z sieci laboratoriów ALAB, też padł.

Oczywiście jest to sytuacja problematyczna, ale też – niestety – zupełnie normalna z technicznego punktu widzenia, gdy miliony użytkowników próbują wygenerować zapytanie w tym samym ułamku sekundy. Systemy często nie wytrzymują takiego nagłego przeciążenia.

To pokazuje, że potrzebne są po prostu większe nakłady i inwestycje. Cyberbezpieczeństwo kosztuje. Jako społeczeństwo i państwo musimy pogodzić się z faktem, że nie wystarczy już tylko budować autostrad, inwestować w twardą infrastrukturę czy tradycyjne wojsko.

Dzisiaj odporność w sieci to filar naszego ogólnego bezpieczeństwa. Nie znam szczegółów technicznych, dlaczego ta strona padła, czy zawiodła przepustowość łączy czy wydajność serwerów. Być może infrastruktura wymaga dofinansowania.

To nie zmienia jednak faktu, że tego typu e-usługi są potrzebne i uzasadnione. Musimy inwestować w cyberbezpieczeństwo zarówno na szczeblu państwowym, jak i po stronie prywatnych administratorów danych.

Żyjemy w określonym świecie, który wymaga takiego podejścia.

Z raportów NASK wynika jasno, że Polska jest obecnie jednym z najczęściej atakowanych krajów na świecie z powodu naszego położenia geopolitycznego i roli, jaką odgrywamy. Nie jest to żaden przypadek.

To jak z Trybunałem Konstytucyjnym

Patrząc na tę historię jeszcze z innej perspektywy: mamy do czynienia z sytuacją, w której systemy publicznej, niezwykle wrażliwej, infrastruktury – jaką jest ochrona zdrowia – w ogromnej mierze bazowały na jednym, prywatnym rozwiązaniu komercyjnym. Czy ta lekcja powinna nas czegoś nauczyć?

W sprawie rejestrów w tym roku skierowałem do rządu bardzo duże, kompleksowe wystąpienie. Być może trzeba je teraz powtórzyć. Liczę, że po tym kryzysie pojawi się większa chęć wysłuchania naszych argumentów: architektura danych powinna być bardziej rozproszona i zdekoncentrowana właśnie po to, aby obniżyć ryzyko katastrofalnego wycieku.

Nie wiem, czy to idealne porównanie, ale posłużę się analogią ustrojową. Gdy mieliśmy scentralizowany Trybunał Konstytucyjny, okazało się, że przejęcie go przez władzę, która niekoniecznie szanuje zasady państwa prawa, automatycznie dało łatwą możliwość przejęcia całej kontroli konstytucyjności w kraju.

Stąd pojawiają się głosy, że kontrola rozproszona – sprawowana przez sądy powszechne – jest bezpieczniejsza. Nie daje bowiem możliwości sparaliżowania całego systemu poprzez obsadzenie kilkunastu stanowisk w jednej instytucji. Choć to inna dziedzina, z bazami danych jest podobnie: jeśli mamy jedną wielką, centralną bazę, to cyberprzestępcom znacznie łatwiej jest przejąć nad nią kontrolę, niż gdyby te informacje były rozproszone w wielu mniejszych systemach.

Teraz konieczne jest po prostu drobiazgowe zbadanie, czy ten konkretny podmiot przetwarzający – jako profesjonalista, który bierze przecież niemałe pieniądze za prowadzenie takiej usługi – wdrożył wszelkie zabezpieczenia odpowiadające skali ryzyka. A te ryzyka w sektorze medycznym są, jak widać, gigantyczne.

Poza obszarem stricte militarnym czy bezpieczeństwem narodowym, są to prawdopodobnie najpoważniejsze zagrożenia, z jakimi musimy się dziś mierzyć. To nie jest już kwestia wyłącznie indywidualnych danych osobowych poszczególnych pacjentów, ale bezpieczeństwa bazy obejmującej połowę populacji Polski.

Firmy celowo zaniżają ryzyko, żeby zaoszczędzić pieniądze

Odchodząc już od przypadku MyDr — co najczęściej jest przyczyną wycieków dużych baz danych osobowych?

Z naszych postępowań wynika jasny wniosek: nagminne jest celowe zaniżanie wagi ryzyka i prawdopodobieństwa wystąpienia ataku typu ransomware. Na najwyższym szczeblu niestety czasem zapada wręcz świadoma decyzja menedżerska, aby nie przeznaczać środków na zakup odpowiedniego oprogramowania zabezpieczającego czy szkolenie personelu

Przez to cała nasza teoretyczna rozmowa o architekturze wielkich baz traci sens, bo w praktyce popełniane są błędy o charakterze zupełnie podstawowym – zaniedbania, konkretne decyzje i błędy ludzkie.

A kiedy będzie wiadomo, czy firma MyDr zawiniła czy zrobiła wszystko, co możliwe? UODO rozpoczął już kontrolę, kiedy można spodziewać się wniosków?

Kontrola jeszcze się nie rozpoczęła, bo nie jest tak, że kontrolę wszczyna się z minuty na minutę. Prezes Urzędu Ochrony Danych Osobowych nie może po prostu wejść do siedziby firmy z dnia na dzień, bez uprzedzenia, bez planu kontroli. Rozpoczęliśmy zatem przygotowania do kontroli. Czynności przygotowawcze już trwają, pracownicy już działają, a kontrola rozpocznie się w ciągu kilkunastu zapewne dni.

Kiedy więc jakieś wnioski?

Badamy nie tylko kwestie formalno-dokumentacyjne, wdrożone procedury czy procesy wewnętrzne, ale również systemy informatyczne. Tego typu kontrole wymagają bardzo drobiazgowej i głębokiej analizy. Z uwagi na gigantyczną skalę wycieku oraz specyfikę naruszonych danych, to na pewno kwestia tygodni, a nawet miesięcy.

Od ściany do ściany

A te 12 tys. placówek medycznych? Czy po ich stronie też może być jakaś wina za ten wyciek?

Do naruszenia doszło w podmiocie przetwarzającym i ciężko tu – przynajmniej na ten moment – dopatrywać się winy administratorów danych. Jednak w przeszłości zdarzało się, że dochodziło do błędów także po stronie administratorów, którzy np. nie kontrolowali podmiotu, któremu powierzyli przetwarzanie danych czy nie reagowali na wcześniejsze sygnały od tych podmiotów o nieprawidłowościach lub zagrożeniach. Priorytetem jest jednak zdecydowanie zbadanie organizacji podmiotu przetwarzającego.

Niemniej przy tej okazji chciałbym uwypuklić kwestię presji i decyzji finansowych, przed którymi stają placówki lecznicze. To dla nich niezwykle trudna sytuacja i doskonale zdaję sobie sprawę z dylematów pod tytułem: „na co mam w pierwszej kolejności wydać pieniądze?”

Wielokrotnie słyszałem argumenty, że przecież szpital ma leczyć ludzi, a nie inwestować w cyberbezpieczeństwo. Gdy rok temu nałożyłem karę w wysokości ponad miliona złotych na jeden ze szpitali – będący zresztą wielką spółką – niektórzy pukali się w czoło. Zarzucano UODO, że przez tak ogromne kary zabraknie pieniędzy na leczenie pacjentów.

Teraz już nikt się nie puka w czoło?

Od kilku dni w mediach słyszę wyłącznie oczekiwania, że na podmioty odpowiedzialne za obecny wyciek należy nałożyć gigantyczne, wielomilionowe kary.

Musimy się na coś zdecydować. Społeczne i medialne oczekiwania nie mogą miotać się od ściany do ściany. Dlatego nakładałem i nakładać będę kary, kierując się przepisami prawa, kary, które są proporcjonalne, ale i odstraszające – kto przetwarza dane osobowe, musi mieć świadomość, że wiąże się z tym odpowiedzialność.