L'autorité polonaise de protection des données (UODO) a publié des recommandations pour les personnes concernées et les responsables du traitement à la suite d'un incident de sécurité impliquant la société MyDr.

L'UODO a annoncé qu'elle mènerait une inspection des mesures techniques et organisationnelles mises en place par MyDr, identifiée comme un sous-traitant, et a précisé qu'il n'était pas nécessaire pour les particuliers de déposer des plaintes individuelles à ce sujet. Pour les personnes dont les données ont été affectées, l'autorité recommande d'envisager le blocage de leur numéro d'identification national (PESEL), de rester prudent face aux tentatives de hameçonnage et d'exercer leurs droits en vertu du Chapitre III du RGPD directement auprès du responsable du traitement. Ce dernier dispose d'un délai d'un mois pour répondre, prolongeable de deux mois en cas de complexité.

Les responsables du traitement ayant reçu confirmation de MyDr que l'incident concerne les données qu'ils gèrent doivent évaluer le risque pour les droits et libertés des personnes physiques. Si un risque est identifié, ils sont tenus de notifier la violation à l'UODO sans retard injustifié et, si possible, dans les 72 heures suivant sa découverte, conformément à l'article 33, paragraphe 1 du RGPD, en justifiant tout retard. Si le risque est jugé élevé, ils doivent également informer les personnes concernées sans retard injustifié.