Wyciek danych z MyDr – co zrobić? Dane milionów pacjentów i obowiązki placówek medycznych

Incydent cyberbezpieczeństwa dotyczący firmy MyDr jest jednym z najpoważniejszych przypadków naruszenia bezpieczeństwa danych medycznych, o których w ostatnim czasie poinformowano w Polsce. Według informacji Ministerstwa Cyfryzacji nieuprawniony dostęp do danych historycznych przechowywanych w systemach firmy MyDr może dotyczyć około 18,8 mln osób oraz ponad 12 tys. placówek medycznych.

Sprawa jest szczególnie poważna, ponieważ systemy wykorzystywane przez placówki medyczne mogą zawierać nie tylko podstawowe dane identyfikacyjne pacjentów, ale również informacje związane ze stanem zdrowia, wizytami lekarskimi, receptami czy dokumentacją medyczną.

Jednocześnie należy zachować ostrożność w interpretowaniu skali incydentu. Liczba 18,8 mln osób oznacza potencjalny zakres zdarzenia wskazany przez Ministerstwo Cyfryzacji, a nie potwierdzenie, że w przypadku każdej z tych osób ujawniono dokładnie taki sam zestaw danych.

W tym artykule wyjaśniamy, co obecnie wiadomo o incydencie MyDr, jakie mogą być jego konsekwencje, co powinni zrobić pacjenci oraz jakie działania powinny podjąć placówki medyczne korzystające z tego typu systemów.

Co wydarzyło się w systemie MyDr?

W sierpniu 2026 roku ujawniono incydent cyberbezpieczeństwa dotyczący firmy MyDr, dostarczającej oprogramowanie wykorzystywane przez lekarzy oraz placówki ochrony zdrowia.

Ministerstwo Cyfryzacji poinformowało, że firma potwierdziła nieuprawniony dostęp do danych historycznych przechowywanych w jej systemach. Chodzi o dane sięgające do kwietnia 2024 roku.

Według oficjalnych informacji incydent może dotyczyć około 18,8 miliona osób oraz ponad 12 tysięcy placówek medycznych.

Nie oznacza to jednak, że wszystkie dane wszystkich pacjentów zostały ujawnione lub przejęte. Pełny zakres incydentu jest przedmiotem dalszych działań służb, organów ochrony danych oraz innych zaangażowanych instytucji.

Ministerstwo Cyfryzacji podkreśliło również, że incydent dotyczył danych znajdujących się w systemach firmy MyDr i nie wpłynął na bieżące funkcjonowanie placówek ochrony zdrowia, w tym możliwość zapewniania pacjentom opieki czy wystawiania recept.

Jak dużą skalę może mieć incydent?

Liczby pojawiające się w oficjalnych komunikatach pokazują, że nie mamy do czynienia z niewielkim incydentem dotyczącym pojedynczej przychodni.

Według Ministerstwa Cyfryzacji potencjalny zakres może obejmować:

• około 18,8 mln osób,
• ponad 12 tys. placówek medycznych,
• dane historyczne przechowywane w systemach MyDr do kwietnia 2024 roku.

Jednocześnie UODO podkreśla, że pełna skala naruszenia nie była jeszcze znana w momencie rozpoczęcia kontroli spółki.

Dlatego nie należy interpretować liczby 18,8 mln jako informacji, że dokładnie 18,8 mln osób ma potwierdzony wyciek wszystkich swoich danych.

Jakie dane mogły zostać objęte incydentem?

Największe obawy dotyczą oczywiście danych medycznych, ponieważ systemy informatyczne wykorzystywane przez placówki ochrony zdrowia mogą przechowywać informacje o pacjentach w bardzo szerokim zakresie.

W związku z incydentem wskazywane są między innymi takie kategorie danych jak:

• imię i nazwisko,
• numer PESEL,
• numer telefonu,
• adres e-mail,
• informacje dotyczące stanu zdrowia,
• informacje związane z wizytami lekarskimi,
• notatki medyczne,
• informacje dotyczące recept.

Nie oznacza to jednak, że każda osoba potencjalnie objęta incydentem miała w systemie wszystkie wymienione informacje.

Zakres danych zależy od konkretnego pacjenta, placówki oraz sposobu wykorzystywania systemu.

Dlaczego wyciek danych medycznych jest szczególnie niebezpieczny?

Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych. Ich ujawnienie może powodować znacznie poważniejsze konsekwencje niż wyciek zwykłych danych kontaktowych.

Problem polega również na tym, że dane medyczne można połączyć z informacjami identyfikacyjnymi.

Przykładowo połączenie:

• imienia i nazwiska,
• numeru PESEL,
• numeru telefonu,
• adresu e-mail,
• informacji o stanie zdrowia

może stworzyć bardzo wartościowy zestaw informacji dla cyberprzestępców.

Takie dane mogą zostać wykorzystane między innymi do:

• phishingu,
• podszywania się pod lekarza lub placówkę medyczną,
• prób wyłudzenia dodatkowych informacji,
• oszustw telefonicznych,
• oszustw SMS,
• kradzieży tożsamości,
• prób przejęcia kont internetowych.

Pacjent może być zagrożony nawet jeśli nie korzystał bezpośrednio z MyDr

To jedna z ważniejszych kwestii, które warto wyjaśnić.

Pacjent nie musiał samodzielnie korzystać z aplikacji MyDr ani posiadać w niej konta, aby jego dane mogły znaleźć się w systemie.

MyDr dostarczało oprogramowanie placówkom medycznym. Jeżeli więc pacjent korzystał z usług placówki, która wykorzystywała rozwiązania tego dostawcy, jego dane mogły być przetwarzane w systemie.

Dlatego samo stwierdzenie:

„Nigdy nie korzystałem z MyDr”

nie musi oznaczać, że dana osoba na pewno nie jest objęta incydentem.

Czy incydent MyDr oznacza włamanie do centralnych systemów e-zdrowia?

Nie.

To bardzo ważne rozróżnienie.

Ministerstwo Zdrowia poinformowało, że incydent dotyczący firmy MyDr nie oznacza naruszenia bezpieczeństwa centralnych usług e-zdrowia.

Nie stwierdzono również, aby incydent wpływał na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie ochrony zdrowia.

Oznacza to, że nie należy utożsamiać incydentu MyDr z włamaniem do centralnych systemów e-zdrowia.

Co powinni zrobić pacjenci?

Najważniejsze jest zachowanie spokoju, ale jednocześnie podjęcie podstawowych działań zabezpieczających.

1. Rozważ zastrzeżenie numeru PESEL

Jednym z najważniejszych działań prewencyjnych jest zastrzeżenie numeru PESEL.

Można to zrobić między innymi za pośrednictwem aplikacji mObywatel, serwisu GOV.pl lub w urzędzie.

Zastrzeżenie PESEL może ograniczyć ryzyko wykorzystania danych do zaciągnięcia zobowiązań finansowych przez osobę nieuprawnioną.

2. Zachowaj szczególną ostrożność wobec SMS-ów i e-maili

Po dużym wycieku danych cyberprzestępcy mogą próbować wykorzystać informacje pochodzące z naruszenia do przygotowania bardziej wiarygodnych ataków.

Może to wyglądać na przykład tak:

• „Twoja recepta wymaga potwierdzenia”
• „Twoja wizyta została odwołana – kliknij tutaj”
• „Potwierdź dane pacjenta”
• „Dopłać za wizytę”
• „Skontaktuj się z lekarzem poprzez poniższy link”

Jeżeli wiadomość zawiera link i prosi o zalogowanie, podanie danych, kodu SMS lub instalację aplikacji, należy zachować szczególną ostrożność.

3. Nie podawaj dodatkowych danych

Cyberprzestępca posiadający część prawdziwych informacji może próbować zdobyć kolejne.

Przykładowo może znać imię, nazwisko, numer telefonu i fakt korzystania z konkretnej placówki, a następnie próbować uzyskać:

• login,
• hasło,
• kod SMS,
• dane karty płatniczej,
• dane bankowe.

Dlatego należy pamiętać, że znajomość prawdziwych danych pacjenta nie jest dowodem tożsamości rozmówcy.

4. Zmień powtarzające się hasła

Jeżeli tego samego hasła używasz w kilku różnych serwisach, warto je zmienić.

Ministerstwo Zdrowia oraz CBZC przypominają o stosowaniu silnych i unikalnych haseł oraz uwierzytelniania wieloskładnikowego.

5. Włącz MFA lub 2FA

Jeżeli dana usługa oferuje uwierzytelnianie wieloskładnikowe, warto je włączyć.

Dotyczy to szczególnie poczty elektronicznej, bankowości, kont pacjenta oraz innych usług zawierających dane osobowe.

Co zrobić z podejrzanym SMS-em?

Jeżeli po incydencie otrzymasz podejrzaną wiadomość, nie klikaj zawartego w niej linku.

CBZC zaleca między innymi zgłaszanie podejrzanych wiadomości do CERT Polska. Podejrzany SMS można przekazać na numer 8080.

Jeżeli doszło już do przestępstwa lub próby oszustwa, należy również powiadomić Policję.

Co powinny zrobić placówki medyczne korzystające z MyDr?

Dla placówek medycznych sytuacja jest znacznie bardziej złożona niż dla pojedynczego pacjenta.

Placówka korzystająca z zewnętrznego systemu EDM powinna ustalić przede wszystkim, czy dane jej pacjentów zostały objęte incydentem.

UODO przypomina, że w sytuacji gdy administrator powierzył przetwarzanie danych firmie MyDr, administrator nadal ma własne obowiązki wynikające z RODO.

Administrator danych a dostawca systemu

W przypadku placówki medycznej korzystającej z zewnętrznego oprogramowania należy rozróżnić dwie role:

• administratora danych – którym co do zasady jest placówka lub podmiot leczniczy,
• podmiotu przetwarzającego – czyli dostawcy, któremu powierzono przetwarzanie danych.

Samo powierzenie danych zewnętrznemu dostawcy nie oznacza przeniesienia całej odpowiedzialności za zgodność z RODO.

UODO wprost przypomniał administratorom korzystającym z MyDr o obowiązkach związanych ze zgłaszaniem naruszeń.

Obowiązek analizy naruszenia

Administrator powinien najpierw uzyskać od podmiotu przetwarzającego informacje pozwalające ustalić, czy incydent dotyczył danych związanych z jego działalnością.

Następnie konieczne jest przeprowadzenie analizy ryzyka naruszenia praw lub wolności osób fizycznych.

Na podstawie tej analizy administrator powinien ustalić, jakie dalsze działania są wymagane.

Zgłoszenie naruszenia do UODO

UODO przypomina, że zgodnie z art. 33 ust. 1 RODO, w przypadku naruszenia ochrony danych osobowych administrator bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, zgłasza je organowi nadzorczemu, jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych.

Jeżeli zgłoszenie następuje po upływie 72 godzin, należy wyjaśnić przyczynę opóźnienia.

W przypadku naruszenia mogącego powodować wysokie ryzyko dla praw i wolności osób fizycznych może powstać również obowiązek zawiadomienia osób, których dane dotyczą.

Co placówka powinna zrobić praktycznie?

Placówka korzystająca z MyDr powinna uporządkować działania w kilku podstawowych krokach.

1. Ustalić, czy korzystała z systemów MyDr w okresie objętym incydentem.
2. Skontaktować się z dostawcą i uzyskać informacje dotyczące zakresu naruszenia.
3. Ustalić, jakich danych i jakiej liczby pacjentów może dotyczyć incydent.
4. Przeprowadzić analizę ryzyka.
5. Ocenić obowiązek zgłoszenia naruszenia do UODO.
6. Ocenić obowiązek poinformowania osób, których dane dotyczą.
7. Zabezpieczyć konta użytkowników i dostęp do infrastruktury.
8. Zweryfikować logi oraz dostęp do systemów.
9. Udokumentować wykonane działania.

UODO kontroluje spółkę MyDr

Prezes Urzędu Ochrony Danych Osobowych zdecydował o przeprowadzeniu kontroli w spółce MyDr.

UODO wskazuje, że kontrola obejmuje między innymi zastosowane przez spółkę środki techniczne i organizacyjne oraz analizę ryzyka.

Kontrolerzy mają również ustalić, czy zastosowane zabezpieczenia były regularnie testowane pod kątem zmieniających się zagrożeń oraz czy wyniki analizy ryzyka były odpowiednio wykorzystywane w praktyce.

To bardzo istotny element całej sprawy, ponieważ bezpieczeństwo systemu medycznego nie polega wyłącznie na zastosowaniu konkretnego programu antywirusowego czy zapory sieciowej.

CBZC prowadzi czynności w sprawie incydentu

Centralne Biuro Zwalczania Cyberprzestępczości prowadzi czynności dotyczące uzyskania nieuprawnionego dostępu za pośrednictwem Internetu do systemu informatycznego administrowanego przez firmę MyDr oraz informacji przechowywanych na jej serwerach.

CBZC analizuje dane oraz okoliczności i skalę zdarzenia, a działania prowadzone są pod nadzorem Prokuratury Okręgowej w Warszawie.

Ze względu na dobro postępowania służby nie ujawniają wszystkich szczegółów prowadzonych czynności.

Czy można sprawdzić, czy dane konkretnego pacjenta wyciekły?

Informacje dotyczące możliwości sprawdzenia, czy konkretny pacjent został objęty incydentem, były aktualizowane wraz z postępem działań służb.

Ministerstwo Cyfryzacji informowało, że po identyfikacji danych osób, których informacje zostały nieuprawnienie przejęte, dane miały być sukcesywnie przekazywane do serwisu bezpiecznedane.gov.pl.

Jednocześnie CBZC w swoim komunikacie z 18 sierpnia 2026 roku informowało, że na tamtym etapie nie było zasadne publikowanie numerów PESEL pacjentów na stronie bezpiecznedane.gov.pl ze względu na prowadzone czynności.

Dlatego w tej sprawie należy kierować się przede wszystkim aktualnymi komunikatami Ministerstwa Cyfryzacji, UODO, Ministerstwa Zdrowia, CBZC oraz własnej placówki medycznej.

Jak zabezpieczyć placówkę medyczną przed podobnym incydentem?

Incydent MyDr powinien być dla placówek medycznych sygnałem do przeprowadzenia własnego przeglądu bezpieczeństwa IT.

Kontrola dostępów

Każdy pracownik powinien posiadać indywidualne konto oraz tylko takie uprawnienia, jakie są niezbędne do wykonywania jego obowiązków.

Nie należy korzystać ze wspólnych kont użytkowników, jeżeli można tego uniknąć.

Uwierzytelnianie wieloskładnikowe

Systemy administracyjne, poczta elektroniczna, VPN oraz inne krytyczne usługi powinny być zabezpieczone uwierzytelnianiem wieloskładnikowym.

Kopie zapasowe

Placówka powinna posiadać regularnie wykonywane kopie zapasowe najważniejszych danych.

Samo wykonanie kopii nie wystarcza. Należy również okresowo sprawdzać możliwość jej odtworzenia.

Aktualizacje

Systemy operacyjne, aplikacje medyczne, urządzenia sieciowe, serwery oraz oprogramowanie zabezpieczające powinny być regularnie aktualizowane.

Segmentacja sieci

Infrastruktura placówki powinna być odpowiednio podzielona. Komputer wykorzystywany do obsługi pacjentów nie powinien mieć automatycznie nieograniczonego dostępu do wszystkich zasobów serwerowych.

Monitoring

Warto monitorować logowania, dostęp do systemów, nietypowe połączenia oraz inne zdarzenia mogące wskazywać na próbę przejęcia infrastruktury.

Procedura reagowania na incydent

Każda placówka powinna posiadać prostą i zrozumiałą procedurę określającą, co należy zrobić w przypadku:

• podejrzenia włamania,
• ransomware,
• phishingu,
• utraty dostępu do systemu EDM,
• wycieku danych,
• kradzieży komputera,
• utraty telefonu zawierającego dane służbowe.

Szkolenia pracowników

Najlepsze zabezpieczenia techniczne nie zastąpią świadomego personelu.

Pracownicy powinni wiedzieć, jak rozpoznawać phishing, podejrzane załączniki, fałszywe strony logowania oraz próby wyłudzenia danych.

Co sprawdzić w umowie z dostawcą systemu EDM?

Incydent MyDr pokazuje również, że przy wyborze systemu medycznego warto patrzeć nie tylko na funkcjonalność programu.

Placówka powinna wiedzieć:

• gdzie fizycznie i logicznie przechowywane są dane,
• kto może mieć do nich dostęp,
• jak wykonywane są kopie zapasowe,
• jak zabezpieczone są serwery,
• jak wygląda monitoring infrastruktury,
• jak dostawca reaguje na incydenty,
• w jakim czasie dostawca informuje administratora o naruszeniu,
• jakie procedury obowiązują w przypadku awarii,
• co dzieje się z danymi po zakończeniu współpracy.

Bezpieczeństwo systemu EDM to nie tylko program

W praktyce bezpieczeństwo placówki medycznej jest wynikiem działania wielu elementów jednocześnie.

Nawet dobrze zabezpieczony system EDM może zostać zagrożony przez:

• przejęte konto użytkownika,
• zbyt szerokie uprawnienia,
• nieaktualny komputer,
• niezabezpieczoną sieć Wi-Fi,
• brak kopii zapasowych,
• brak monitoringu,
• błąd pracownika,
• brak procedury reagowania.

Dlatego bezpieczeństwo powinno być traktowane jako proces, a nie jednorazowa konfiguracja programu.

Co incydent MyDr oznacza dla innych placówek?

Najważniejsza lekcja nie dotyczy wyłącznie użytkowników MyDr.

Każda placówka medyczna korzystająca z zewnętrznego dostawcy oprogramowania powinna wiedzieć, jakie dane przekazuje dostawcy i w jaki sposób są one chronione.

Warto regularnie zadawać sobie pytania:

• Czy wiemy, gdzie przechowywane są dane pacjentów?
• Czy wiemy, kto może uzyskać do nich dostęp?
• Czy mamy aktualną umowę powierzenia?
• Czy dostawca ma procedurę reagowania na incydenty?
• Czy mamy własne kopie zapasowe?
• Czy potrafimy odtworzyć system po awarii?
• Czy pracownicy są szkoleni z cyberbezpieczeństwa?
• Czy wiemy, co zrobić w ciągu pierwszych godzin po wykryciu incydentu?

Wyciek danych MyDr – najważniejsze informacje w skrócie

• Incydent dotyczy systemów firmy MyDr.
• Nie oznacza on włamania do centralnych usług e-zdrowia.
• Potencjalna skala została określona na około 18,8 mln osób i ponad 12 tys. placówek.
• Chodzi o dane historyczne przechowywane w systemach MyDr do kwietnia 2024 roku.
• Zakres danych może być różny dla poszczególnych osób.
• Pacjenci powinni zachować szczególną ostrożność wobec phishingu.
• Warto rozważyć zastrzeżenie numeru PESEL.
• Warto stosować unikalne hasła i MFA.
• Placówki powinny przeprowadzić analizę ryzyka i ustalić swoje obowiązki wynikające z RODO.
• UODO prowadzi kontrolę spółki MyDr.
• CBZC prowadzi czynności pod nadzorem Prokuratury Okręgowej w Warszawie.

Podsumowanie

Incydent dotyczący MyDr pokazuje, jak ogromne znaczenie ma bezpieczeństwo systemów informatycznych wykorzystywanych w ochronie zdrowia.

W systemach medycznych znajdują się dane, których utrata może mieć bardzo poważne konsekwencje dla pacjentów. Nie chodzi wyłącznie o numer PESEL czy numer telefonu. W grę mogą wchodzić również informacje dotyczące zdrowia, leczenia, wizyt oraz dokumentacji medycznej.

Według informacji Ministerstwa Cyfryzacji potencjalna skala incydentu obejmuje około 18,8 mln osób i ponad 12 tys. placówek medycznych. Jednocześnie pełny zakres naruszenia jest przedmiotem dalszych ustaleń.

Dla pacjentów najważniejsze jest obecnie ograniczenie ryzyka wykorzystania danych. Zastrzeżenie PESEL, stosowanie unikalnych haseł, MFA oraz ostrożność wobec SMS-ów, e-maili i telefonów mogą znacząco ograniczyć możliwość skutecznego wykorzystania skradzionych informacji.

Dla placówek medycznych incydent powinien być natomiast sygnałem do przeprowadzenia kompleksowego audytu bezpieczeństwa.

Warto sprawdzić nie tylko sam system EDM, ale również całą infrastrukturę: komputery, sieć, serwery, konta użytkowników, kopie zapasowe, dostęp zdalny, procedury oraz sposób współpracy z dostawcami oprogramowania.

Bezpieczeństwo danych pacjentów nie jest dodatkiem do systemu medycznego. Jest jednym z podstawowych elementów prawidłowego funkcjonowania nowoczesnej placówki ochrony zdrowia.

Oficjalne źródła informacji

Poniżej znajdują się oficjalne źródła, z których warto korzystać przy śledzeniu dalszego rozwoju sprawy:

• Ministerstwo Cyfryzacji – komunikat dotyczący incydentu MyDr
• Ministerstwo Zdrowia – informacja dotycząca incydentu MyDr
• UODO – administrator musi zgłosić wyciek, do którego doszło u podmiotu przetwarzającego
• UODO – kontrola spółki MyDr
• UODO – pytania i odpowiedzi dotyczące incydentu MyDr
• CBZC – komunikat dotyczący wycieku danych pacjentów
• Centrum e-Zdrowia – działania prewencyjne po incydencie MyDr

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. W przypadku podejrzenia naruszenia ochrony danych placówka powinna dokonać indywidualnej analizy sytuacji oraz obowiązków wynikających z RODO.