Wyciek danych osobowych 19 mln pacjentów w Polsce. Co powinni zrobić administrator i pacjenci?

O jaki wyciek danych chodzi

Ministerstwo Cyfryzacji poinformowało 12 sierpnia 2026 r., że prawdopodobny wyciek danych medycznych związany z incydentem cyberbezpieczeństwa w systemach firmy MyDr może dotyczyć około 19 mln osób. Dotychczas potwierdzono nieuprawniony dostęp do danych historycznych (do kwietnia 2024 r.). W opublikowanym tego samego dnia komunikacie spółka MyDr poinformowała o prowadzeniu postępowania wyjaśniającego oraz wskazała, że o zdarzeniu zostały zawiadomione właściwe służby, które prowadzą czynności mające na celu ustalenie okoliczności incydentu. Z dostępnych informacji wynika również, że pierwsze sygnały mogące wskazywać na nieuprawniony dostęp do danych pojawiły się już około 5 sierpnia 2026 r.

W związku z incydentem i możliwym wyciekiem danych dotyczących stanu zdrowia pacjentów Prezes Urzędu Ochrony Danych Osobowych zapowiedział przeprowadzenie kontroli w spółce MyDr.

Jej przedmiotem będzie ocena wdrożonych środków technicznych i organizacyjnych, regularności ich testowania oraz przeprowadzonej analizy ryzyka, w szczególności pod kątem identyfikacji zagrożeń dla przetwarzanych danych i adekwatności zastosowanych zabezpieczeń.

Choć rzeczywisty zakres incydentu i skala ewentualnego naruszenia bezpieczeństwa pozostają przedmiotem trwających ustaleń, sprawa MyDr już teraz unaocznia poziom ryzyka związanego z postępującą cyfryzacją ochrony zdrowia. Pokazuje również, że wraz ze wzrostem liczby danych przetwarzanych w systemach elektronicznych rośnie znaczenie skutecznych mechanizmów ich ochrony, zwłaszcza w przypadku danych osobowych szczególnych kategorii, do których należą informacje dotyczące zdrowia.

Dlaczego wyciek danych medycznych jest szczególnie niebezpieczny?

Ujawnienie dokumentacji medycznej należy do najpoważniejszych naruszeń ochrony danych osobowych, ponieważ obejmuje informacje zaliczane do szczególnych kategorii danych. W najbardziej oczywistym scenariuszu cyberprzestępcy mogą wykorzystać pozyskane dane identyfikacyjne osób fizycznych do kradzieży ich tożsamości, zakładania fałszywych kont, wyłudzania usług lub zaciągania zobowiązań finansowych w imieniu poszkodowanych.

Znacznie poważniejsze konsekwencje mogą jednak wynikać z tzw. kradzieży tożsamości medycznej oraz nadużyć związanych z dostępem do świadczeń zdrowotnych i ubezpieczeniowych. Dysponując informacjami o pacjencie, sprawcy mogą podejmować próby podszywania się pod niego w celu uzyskania leków na receptę, świadczeń medycznych lub innych korzyści związanych z wykorzystaniem cudzej dokumentacji zdrowotnej. Ponadto ujawnione dane mogą zostać połączone z informacjami pochodzącymi z innych źródeł pozostających w posiadaniu różnych podmiotów, co umożliwia tworzenie szczegółowych profili osób fizycznych. Profilowanie takie może obejmować nie tylko informacje identyfikacyjne, lecz także dane pozwalające na wyciąganie wniosków dotyczących stanu zdrowia, sytuacji rodzinnej, zawodowej lub finansowej danej osoby. W konsekwencji zwiększa się ryzyko ukierunkowanych oszustw, wyłudzeń, kradzieży tożsamości oraz innych nadużyć wykorzystujących szczegółową wiedzę o osobie, której dane dotyczą.

Szczególnie wrażliwy charakter danych dotyczących zdrowia sprawia również, że ich ujawnienie może prowadzić do naruszenia prywatności, utraty reputacji, a nawet prób szantażu czy wywierania presji na osoby fizyczne, których dane dotyczą. Ryzyko dotyczy także osób pełniących funkcje publiczne, zarządzających przedsiębiorstwami oraz wykonujących zawody zaufania publicznego, ponieważ tego rodzaju informacje mogą posłużyć do wywierania presji, prowadzenia działań dezinformacyjnych lub organizowania kampanii dyskredytujących.

Dodatkowo skutki wycieku danych medycznych mogą być długotrwałe. W przeciwieństwie do haseł dostępowych czy kart płatniczych danych dotyczących zdrowia nie można zmienić ani unieważnić. Oznacza to, że raz ujawnione informacje mogą pozostawać w obiegu przez wiele lat, generując ryzyko dla osób fizycznych, których dotyczą, także długo po zakończeniu samego incydentu.

Kto jest administratorem danych?

Z perspektywy RODO kluczowe znaczenie przy obsłudze stwierdzonego naruszenia ochrony danych ma prawidłowe określenie ról uczestników przetwarzania danych.

Podmiot wykonujący działalność leczniczą jako administrator danych osobowych

Podmiot wykonujący działalność leczniczą występuje jako administrator danych osobowych w zakresie danych osobowych pacjentów przetwarzanych w związku z udzielaniem świadczeń zdrowotnych. To właśnie lekarz, przychodnia lub inna placówka medyczna decydują o celach i sposobach przetwarzania tych danych, w szczególności na potrzeby diagnozy, leczenia, prowadzenia dokumentacji medycznej oraz realizacji obowiązków wynikających z przepisów prawa. Korzystanie z usług dostawców systemów informatycznych takich jak MyDr nie zmienia tego statusu, jeżeli w tym celu dostawca systemu przetwarza dane osobowe na rzecz i na polecenie podmiotu wykonującego działalność leczniczą.

MyDr pełni rolę dostawcy usług informatycznych dla takiego podmiotu, co wiąże się co do zasady z zawarciem umowy powierzenia przetwarzania danych osobowych, na podstawie której spółka przetwarza dane pacjentów w imieniu administratora.

MyDr jako administrator

Należy jednak zauważyć, że z polityki prywatności MyDr wynika, iż spółka MyDr może występować również jako odrębny administrator danych osobowych w zakresie danych osobowych przetwarzanych na potrzeby prowadzenia kont użytkowników, obsługi platformy służącej do umawiania wizyt, zarządzania historią rezerwacji, publikowania opinii czy realizacji własnych celów związanych z funkcjonowaniem serwisu. W takim przypadku dane pacjentów mogą być udostępniane lekarzom lub placówkom medycznym, które przetwarzają je jako niezależni administratorzy danych.

Oznacza to, że w zależności od konkretnej usługi i okoliczności przetwarzania MyDr może występować zarówno w roli podmiotu przetwarzającego, jak i samodzielnego administratora danych osobowych.

Podmiot wykonujący działalność leczniczą jako administrator danych osobowych nie jest zwolniony z obowiązków wynikających z RODO tylko dlatego, że naruszenie nastąpiło po stronie dostawcy systemu informatycznego.

Po uzyskaniu informacji o incydencie administrator powinien przede wszystkim przeprowadzić analizę zdarzenia, dokonać oceny ryzyka dla praw i wolności osób, których dane dotyczą, a następnie ustalić zakres wymaganych działań.

W szczególności powinien:

1. zweryfikować charakter i zakres naruszenia ochrony danych osobowych;

2. przeprowadzić ocenę ryzyka dla osób, których dane zostały objęte incydentem;

3. zgłosić naruszenie Prezesowi UODO, jeżeli spełnione są przesłanki określone w RODO;

4. poinformować osoby, których dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności;

W informacji należy wskazać, na czym polegało naruszenie oraz jakie kategorie danych mogły zostać ujawnione. Warto również poinformować pacjentów o możliwych działaniach ograniczających skutki incydentu, w szczególności o możliwości sprawdzenia, czy ich dane zostały ujawnione, za pośrednictwem serwisu bezpiecznedane.gov.pl, a także o zasadności zastrzeżenia numeru PESEL za pomocą aplikacji mObywatel lub za pośrednictwem banku albo właściwego urzędu. Należy ponadto ostrzec pacjentów przed próbami phishingu, w tym wiadomościami SMS, wiadomościami e-mail oraz połączeniami telefonicznymi podszywającymi się pod przychodnię, NFZ, bank lub inne zaufane instytucje. Jeżeli ujawnione dane mogłyby zostać wykorzystane do szantażu, zastraszania lub innych przestępstw związanych z informacjami dotyczącymi zdrowia, pacjenci powinni zostać poinformowani, aby nie ulegali żadnym żądaniom sprawców i niezwłocznie zgłaszali takie sytuacje Policji lub innym właściwym organom ścigania;

5. udokumentować incydent, podjęte działania oraz zastosowane środki naprawcze zgodnie z zasadą rozliczalności.

To właśnie administrator danych będzie zobowiązany wykazać przed Prezesem UODO, że prawidłowo ocenił skutki incydentu i podjął adekwatne działania przewidziane przez RODO.

MyDr jako podmiot przetwarzający odpowiada za bezpieczeństwo powierzonych danych, wykrycie incydentu, jego obsługę techniczną, przekazanie informacji administratorom oraz współpracę przy realizacji obowiązków wynikających z RODO. MyDr jako podmiot przetwarzający musi m.in. wykazać, że wdrożył odpowiednie środki bezpieczeństwa, wykrył incydent w odpowiednim czasie, niezwłocznie poinformował administratorów oraz aktywnie wspierał ich w zarządzaniu skutkami naruszenia.

W przypadku naruszenia ochrony danych odpowiedzialność nie spoczywa wyłącznie na administratorze albo wyłącznie na podmiocie przetwarzającym. RODO nakłada obowiązki na oba podmioty, dlatego każdy z nich odpowiada za prawidłowe wykonanie zadań przypisanych mu przez przepisy. Zakres odpowiedzialności administratora i podmiotu przetwarzającego jest różny, ale może być oceniany równolegle w ramach tego samego incydentu.

Czy czekać na pełne potwierdzenie ze strony MyDr czy zgłosić naruszenie ochrony danych osobowych do Prezesa UODO?

Sam fakt korzystania z usług podmiotu przetwarzającego, u którego doszło do incydentu bezpieczeństwa, nie oznacza jeszcze, że doszło do naruszenia danych konkretnego administratora. Jeżeli podmiot przetwarzający nadal prowadzi czynności wyjaśniające i nie jest w stanie potwierdzić, czy oraz w jakim zakresie incydent objął dane danego administratora, brak jest podstaw do przyjęcia, że administrator stwierdził naruszenie w rozumieniu art. 33 RODO. W takiej sytuacji potwierdzony obowiązek zgłoszenia naruszenia ochrony danych do Prezesa UODO aktualizuje się dopiero po uzyskaniu informacji pozwalających racjonalnie ocenić, że naruszenie dotyczy również danych powierzonych przez tego administratora.

Incydent dotyczący MyDr wpisuje się w trend identyfikowany przez ENISA (European Union Agency for Cybersecurity) związany z rosnącym znaczeniem zagrożeń dla łańcucha dostaw oraz dostawców usług cyfrowych. Naruszenie bezpieczeństwa u podmiotu świadczącego usługi na rzecz wielu organizacji może wywołać efekt kaskadowy, obejmujący znaczną liczbę klientów i użytkowników końcowych. Przypadek MyDr potwierdza, że bezpieczeństwo sektora ochrony zdrowia zależy nie tylko od zabezpieczeń wdrażanych przez same podmioty lecznicze, lecz również od poziomu cyberbezpieczeństwa dostawców rozwiązań technologicznych, którzy gromadzą i przetwarzają dane na dużą skalę.

Z perspektywy pacjentów najistotniejsze pozostaje zaufanie do systemu ochrony zdrowia. Cyfryzacja opieki zdrowotnej opiera się na przekonaniu, że informacje o stanie zdrowia będą przetwarzane w sposób bezpieczny i poufny. Każdy incydent dotyczący danych medycznych osłabia to zaufanie, zwłaszcza że konsekwencje ujawnienia takich informacji mogą być długotrwałe i często nieodwracalne. Dlatego sprawa MyDr powinna być impulsem nie tylko do analizy przyczyn zdarzenia, lecz także do dalszego wzmacniania standardów cyberbezpieczeństwa, zarządzania ryzykiem oraz nadzoru nad dostawcami usług cyfrowych, od których coraz bardziej zależy bezpieczeństwo całego sektora ochrony zdrowia.

Ewelina Ogłozińska, Radca Prawny w SDZLEGAL Schindhelm specjalizująca się w prawie ochronie danych osobowych i nowych technologii.

Zobacz także

Wyciek danych blisko 19 mln Polaków. Prokuratura bada sprawę MyDr