Wyciek danych z MyDr: co teraz muszą zrobić podmioty medyczne

Ostatnia aktualizacja: 24 sierpnia 2026

Najpierw portal Zaufana Trzecia Strona poinformował o możliwym wycieku danych z systemu MyDr, powołując się na deklaracje hakerów o kradzieży danych prawie 19 milionów Polek i Polaków. Następnie dostawca MyDr opublikował własny komunikat, a Prezes Urzędu Ochrony Danych Osobowych przypomniał o obowiązkach administratorów danych. To ważna wiadomość dla każdej placówki korzystającej z MyDr, ponieważ chodzi nie tylko o bezpieczeństwo IT, ale przede wszystkim o ryzyko ujawnienia informacji o stanie zdrowia i obowiązki wynikające z RODO.

Co wiemy o incydencie MyDr

W swoim komunikacie UODO odnosi się do doniesień o wycieku danych osobowych „niemal 19 mln Polaków” u dostawcy systemu MyDr. Media podają, że skradziona baza ma ponad 2 TB danych, które mogą zawierać informacje o e‑receptach, lekach i leczeniu. Urząd nie ujawnia jeszcze szczegółów incydentu, ale przypomina placówkom medycznym, które powierzyły przetwarzanie danych firmie MyDr, o obowiązku analizy ryzyka naruszenia praw lub wolności osób fizycznych oraz zgłoszenia naruszenia do UODO i pacjentów.

MyDr Sp. z o.o. informuje, że prowadzi postępowanie wyjaśniające w sprawie incydentu związanego z danymi, który dotyczy części jej systemów. W sprawę zaangażowano zespoły bezpieczeństwa, ekspertów zewnętrznych oraz organy ścigania. Zakres i skutki zdarzenia są nadal badane, ale skala, czyli blisko 19 mln osób przetwarzanych do kwietnia 2024 r. oznacza realne ryzyko ujawnienia bardzo wrażliwych danych o stanie zdrowia ponad połowy Polaków.

Obowiązki administratorów korzystających z MyDr

Prezes UODO przypomina, że w razie naruszenia ochrony danych osobowych administrator musi zgłosić je organowi nadzorczemu bez zbędnej zwłoki – w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

W praktyce oznacza to, że podmioty medyczne korzystające z MyDr powinny jak najszybciej:

• uzyskać od MyDr potwierdźenie, że wyciek objął również dane osobowe przez nich powierzone oraz możliwie pełne informacje o incydencie (ile osób i rekordów, jakie dane i z jakiego okresu);
• ocenić, czy w ich przypadku doszło do naruszenia ochrony danych pacjentów, w tym danych o stanie zdrowia;
• udokumentować analizę ryzyka naruszenia praw lub wolności tych osób.

Jeżeli incydent może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator musi nie tylko zawiadomić UODO, ale także poinformować osoby, których dane dotyczą.

Co sprawdzić w umowie powierzenia z MyDr

Dla placówek medycznych najważniejsze jest teraz sprawdzenie umowy powierzenia przetwarzania danych zawartej z dostawcą EDM. Dokument powinien jasno wskazywać, że MyDr przetwarza dane szczególnej kategorii, takie jak pełna dokumentacja medyczna, historia wizyt, e‑recepty i wyniki badań, oraz zobowiązuje się do konkretnych i odpowiednich środków technicznych i organizacyjnych, aby pomóc podmiotowi medycznemu w zgłoszeniu naruszenia.

W praktyce warto sprawdzić:

• czy umowa precyzuje czas, w jakim MyDr musi poinformować administratora o incydencie (np. „niezwłocznie, nie później niż X godzin”);
• jakie logi i informacje musi przekazać (jakie moduły, jakie typy danych medycznych, ilu pacjentów);
• jakie są zasady współpracy przy analizie ryzyka i przygotowaniu zgłoszenia do UODO oraz komunikatu do pacjentów;

Praktyka pokazuje, że błędna ocena ryzyka i niewłaściwe zabezpieczenia danych medycznych mogą skutkować poważnymi karami dla placówek medycznych. W przypadku MyDr to jakość postanowień umowy powierzenia decyduje o tym, jak szybko i rzetelnie placówka uzyska potrzebne informacje do oceny ryzyka dla pacjentów oraz spełnienia obowiązków informacyjnych.

Jak zrobić analizę ryzyka po incydencie u dostawcy

W realiach podmiotu medycznego analiza ryzyka po incydencie w MyDr powinna zacząć się od zmapowania danych o stanie zdrowia pacjentów, które są przetwarzane w powiązaniu z tym systemem. Chodzi nie tylko o dane identyfikacyjne i numery PESEL, ale przede wszystkim o informacje medyczne:

• Informacje o wizytach i korzystaniu ze świadczeń: daty i godziny wizyt, rodzaj poradni (np. diabetologiczna, nefrologiczna, dermatologiczna), częstotliwość wizyt, powody skierowania, informacje o odmowie lub przerwaniu leczenia.
• Szczegółowe dane diagnostyczne: wyniki EKG, EEG, spirometrii, USG, tomografii, rezonansu, mammografii, densytometrii, opisy radiologiczne, wyniki testów alergicznych, testów obciążenia glukozą, testów genetycznych i badań prenatalnych.
• Dane o lekach i terapiach: pełne listy leków przyjmowanych na stałe i doraźnie, dawki, schematy dawkowania, historia zmian terapii, informacje o lekach biologicznych, immunosupresyjnych, hormonalnych, antyretrowirusowych, insulinach, lekach psychotropowych oraz substancjach kontrolowanych.
• Informacje o szczepieniach i profilaktyce: kalendarz szczepień, rodzaj podanych szczepionek, daty dawek, odczyny poszczepienne, wyniki badań okresowych i profilaktycznych, skierowania na badania przesiewowe (np. cytologia, kolonoskopia).
• Dane o alergiach i nadwrażliwościach: alergie na leki, pokarmy, lateks, środki dezynfekcyjne, przebyte reakcje anafilaktyczne, przeciwwskazania do konkretnych procedur lub substancji.
• Informacje o zabiegach i operacjach: rodzaj i daty zabiegów ambulatoryjnych i szpitalnych, znieczulenia, powikłania pooperacyjne, informacje o wszczepach (rozruszniki, stenty, endoprotezy), historia transfuzji krwi i preparatów krwiopochodnych.
• Dane o ciąży, porodzie i zdrowiu reprodukcyjnym: tygodnie ciąży, wyniki badań prenatalnych, powikłania ciąży, poronienia, terminy i sposób rozwiązania ciąży, dane o noworodkach (masa urodzeniowa, punkty Apgar, wady wrodzone), informacje o metodach antykoncepcji, niepłodności i leczeniu in vitro.
• Informacje o zdrowiu psychicznym i funkcjonowaniu: diagnozy psychiatryczne i psychologiczne, wyniki testów psychometrycznych, oceny ryzyka samobójczego, informacje o hospitalizacjach psychiatrycznych, terapii uzależnień, uczestnictwie w grupach wsparcia oraz orzeczenia o niepełnosprawności i stopniu niepełnosprawności.
• Dane o chorobach przewlekłych i ryzyku zdrowotnym: cukrzyca, nadciśnienie, choroby wieńcowe, astma, POChP, choroby autoimmunologiczne, choroby nerek, wątroby, nowotwory w wywiadzie, czynniki ryzyka (palenie, otyłość, obciążenia rodzinne).
• Informacje o stylu życia i sytuacjach społecznych istotnych medycznie: używki (alkohol, narkotyki), sytuacja mieszkaniowa, przemoc domowa, sytuacja zawodowa wpływająca na zdrowie, dane o izolacji społecznej, wsparciu opiekunów.
• Dane genetyczne i biomedyczne: wyniki badań genetycznych (np. mutacje BRCA, testy farmakogenetyczne), dane z banków tkanek, próbki biologiczne powiązane z identyfikatorem pacjenta, informacje o dawstwie narządów, komórek lub tkanek.
• Informacje o skierowaniach i konsultacjach: treść skierowań do specjalistów, konsultacje wielospecjalistyczne, opinie biegłych lekarzy, orzeczenia o zdolności do pracy, zaświadczenia dla ZUS, MOPS, szkół, zakładów pracy.
• Dane o kosztach i rozliczeniach medycznych: informacje o refundowanych świadczeniach, limitach, zaległościach finansowych wobec placówki, danych o ubezpieczycielu, umowach z NFZ lub ubezpieczeniami prywatnymi.
• Korespondencja medyczna i notatki: e‑maile i wiadomości z pacjentem dotyczące leczenia, notatki lekarskie i pielęgniarskie, plany terapeutyczne, zalecenia dietetyczne i rehabilitacyjne, dokumenty zgody na konkretne procedury lub badania.

W przypadku wycieku z MyDr szczególnie istotne są te dane, które pozwalają powiązać numer PESEL z konkretnymi wizytami, e‑receptami i historią korzystania ze świadczeń. Takie połączenie danych identyfikacyjnych i medycznych niesie ze sobą największe ryzyko stygmatyzacji, dyskryminacji i nadużyć.

Następnie placówka powinna oszacować liczbę potencjalnie dotkniętych pacjentów (np. pacjentów z ostatnich kilku lat, konkretnych poradni lub typów świadczeń) oraz ocenić skutki dla nich w typowych scenariuszach tj.:

Skutki w sferze zawodowej i ekonomicznej

• Utrata pracy lub wymuszenie zmiany stanowiska: ujawnienie danych o chorobie przewlekłej, niepełnosprawności, leczeniu psychiatrycznym lub uzależnieniu może prowadzić do nieformalnej presji na zmianę roli, przeniesienie na „lżejsze” stanowisko, a w skrajnych przypadkach do rozwiązania umowy o pracę pod pretekstem przyczyn organizacyjnych.
• Zablokowanie awansu lub rekrutacji: pracodawcy lub rekruterzy, którzy nielegalnie uzyskają dostęp do historii chorób, mogą „odfiltrować” kandydatów z „problemami zdrowotnymi” – nawet jeśli formalnie nie pytają o stan zdrowia.
• Problemy w prowadzeniu działalności gospodarczej: w przypadku przedsiębiorców, ujawnienie danych o poważnej chorobie może wpłynąć na decyzje kontrahentów, banków czy inwestorów (np. wycofanie się z umowy, brak zgody na kredyt, obawa o ciągłość biznesu).

Skutki w relacjach rodzinnych i społecznych

• Konflikty i rozpad relacji: ujawnienie informacji o aborcji, leczeniu niepłodności, chorobie wenerycznej, uzależnieniu czy diagnozie psychiatrycznej może prowadzić do poważnych konfliktów w małżeństwie, rodzinie, a nawet do rozwodu lub izolacji społecznej.
• Nękanie i szantaż w środowisku lokalnym: w małych społecznościach dane o stanie zdrowia mogą stać się paliwem dla plotek, hejtu, a w skrajnych przypadkach – prób szantażu emocjonalnego lub finansowego („wiemy, co leczyłeś, zapłać, albo powiemy dalej”).
• Wykorzystanie danych w sporach sądowych: strony w sprawach rozwodowych, o władzę rodzicielską, spadkowych czy pracowniczych mogą próbować wykorzystać nielegalnie uzyskane informacje medyczne jako „dowód” niezdolności do opieki, wiarygodności itp.

Ryzyko oszustw i nadużyć na szkodę pacjenta

• Kradzież tożsamości i nieuprawnione korzystanie z usług medycznych: dane identyfikacyjne połączone z historią leczenia pozwalają oszustom podszywać się pod pacjenta w celu uzyskania recept, skierowań, zwolnień lekarskich czy świadczeń na jego koszt.
• Phishing i wyłudzenia „medyczne”: znając szczegóły leczenia (np. nazwy leków, specjalistów, placówek), oszuści mogą wysyłać bardzo wiarygodne wiadomości typu „przypomnienie o wizycie”, „pilna sprawa z wynikiem badania”, „dopłata do leku”, wyłudzając dane logowania, kody BLIK, dane kart płatniczych.
• Nieuprawnione zakupy i kredyty: w połączeniu z PESEL i danymi adresowymi, informacje o zatrudnieniu, dochodach czy sytuacji rodzinnej (często widoczne w dokumentacji medycznej) mogą ułatwić uzyskanie kredytów, zakupów na raty czy „chwilówek” na dane pacjenta.

Skutki dla bezpieczeństwa fizycznego i psychicznego

• Ryzyko przemocy domowej i prześladowania: ujawnienie danych o leczeniu psychiatrycznym, próbach samobójczych, przemocy domowej czy schronieniu w ośrodku wsparcia może zwiększyć ryzyko eskalacji przemocy, stalkingu lub innych form nękania.
• Zagrożenie dla osób w sytuacjach szczególnie wrażliwych: w przypadku polityków i PEP, świadków koronnych, funkcjonariuszy, dziennikarzy śledczych – ujawnienie danych o leczeniu (np. psychologicznym) może stać się elementem szerszego ataku na ich bezpieczeństwo i anonimowość.
• Pogorszenie stanu zdrowia z powodu utraty zaufania: pacjenci, którzy dowiedzą się, że ich dane wyciekły, mogą ograniczyć kontakty z systemem ochrony zdrowia, ukrywać objawy, rezygnować z badań czy terapii – co realnie pogarsza ich stan zdrowia i rokowania.

Konsekwencje prawne i finansowe dla pacjenta

• Konieczność dochodzenia praw na własny koszt: pacjent może być zmuszony do angażowania prawnika w celu dochodzenia zadośćuczynienia za naruszenie dóbr osobistych, tajemnicy lekarskiej czy szkody majątkowej – co wiąże się z kosztami, stresem i długotrwałymi postępowaniam.
• Problemy z uzyskaniem niektórych usług lub dokumentów: w skrajnych przypadkach wyciek danych może prowadzić do czasowego zablokowania dostępu do niektórych e‑usług (np. konieczność weryfikacji tożsamości po podejrzeniu nadużycia), problemów z uzyskaniem nowych dokumentów czy dodatkowych procedur bezpieczeństwa.

Dane medyczne należą do szczególnych kategorii danych osobowych, a ich ujawnienie z definicji oznacza wysokie ryzyko naruszenia praw lub wolności, co potwierdza praktyka orzecznicza UODO przy nakładaniu kar za ujawnienie danych o stanie zdrowia nawet pojedynczych pacjentów. W efekcie, przy potencjalnym wycieku z MyDr obejmującym informacje o stanie zdrowia, domyślnym założeniem analizy ryzyka powinno być wysokie ryzyko, chyba że administrator wykaże, że w jego przypadku zakres danych jest ograniczony i nie pozwala na identyfikację ani na poważną szkodę dla pacjentów.

Jak zgłosić naruszenie do UODO w przypadku incydentu MyDr

Z punktu widzenia podmiotu medycznego korzystającego z MyDr, zgłoszenie naruszenia do Prezesa UODO to nie tylko „wysłanie formularza”, ale także cały, dobrze udokumentowany proces. Po przeprowadzeniu analizy ryzyka i podjęciu decyzji, że naruszenie może prowadzić do naruszenia praw lub wolności pacjentów (co przy danych o stanie zdrowia jest z reguły bardzo prawdopodobne), administrator powinien zgłosić naruszenie w ciągu 72 godzin od jego stwierdzenia.

Zgłoszenia dokonuje się za pomocą dedykowanego formularza UODO – dostępnego jako e‑usługa na biznes.gov.pl lub w formie pliku do wysłania przez ePUAP albo pocztą tradycyjną. W zgłoszeniu trzeba podać m.in.:

• typ zgłoszenia (kompletne/jednorazowe, wstępne, uzupełniające/zmieniające), co pozwala zgłosić naruszenie „na czas”, nawet jeśli nie mamy jeszcze pełnych danych;
• dane zgłaszającego (np. dane administratora, osoby reprezentującej podmiot, kontakt do IOD);
• datę stwierdzenia naruszenia oraz – w miarę możliwości – czas jego trwania;
• opis charakteru naruszenia, w tym okoliczności zdarzenia i sposób jego wykrycia.

W przypadku incydentu u dostawcy EDM szczególnie ważne jest jednoznaczne opisanie, że naruszenie dotyczyło danych przetwarzanych przez zewnętrzny podmiot przetwarzający (MyDr), ale skutki odczuwają pacjenci danej placówki: należy wskazać, że chodzi o dane medyczne (np. dokumentację EDM, historię wizyt, wyniki badań, e‑recepty) oraz oszacować liczbę osób, których dane mogły zostać objęte incydentem. Formularz wymaga wskazania kategorii danych osobowych (tu: dane identyfikacyjne oraz dane dotyczące zdrowia) oraz przybliżonej liczby osób i wpisów danych dotkniętych naruszeniem.

UODO oczekuje również wskazania możliwych konsekwencji naruszenia dla osób, których dane dotyczą – w sektorze zdrowia mogą to być m.in. ryzyko stygmatyzacji, wykorzystywanie informacji o chorobach przy podejmowaniu decyzji ubezpieczeniowych, próby wyłudzeń na podstawie danych identyfikacyjnych. Administrator powinien opisać, jakie środki techniczne i organizacyjne zostały już podjęte, aby ograniczyć skutki naruszenia (np. odcięcie dostępu, zmiana haseł, wzmocnienie monitoringu, działania informacyjne wobec pacjentów) oraz wskazać, jakie działania planuje w dalszym kroku.

Zgłoszenie można złożyć:

• elektronicznie, poprzez formularz na biznes.gov.pl;
• elektronicznie, wysyłając wypełniony formularz na skrzynkę ePUAP /UODO/SkrytkaESP;
• elektronicznie, jako pismo ogólne na biznes.gov.pl z załączonym formularzem;
• pocztą tradycyjną na adres UODO (ul. Stanisława Moniuszki 1A, 00-014 Warszawa).

Samo zgłoszenie jest bezpłatne; opłata skarbowa w wysokości 17 zł występuje jedynie w przypadku działania przez pełnomocnika. Jeśli w terminie 72 godzin nie uda się zebrać wszystkich wymaganych informacji, administrator może złożyć zgłoszenie wstępne i później uzupełnić je zgłoszeniem uzupełniającym – pod warunkiem wyjaśnienia przyczyn opóźnienia.

Jak przygotować komunikat dla pacjentów

Komunikat do pacjentów po incydencie w systemie MyDr powinien jasno wskazywać na ryzyko ujawnienia danych o stanie zdrowia, a nie tylko ogólnie wspominać o „danych osobowych”. Zamiast krótkiego „doszło do naruszenia danych”, lepiej napisać wprost, że mogły zostać ujawnione informacje o rozpoznaniach, zleconych badaniach, realizowanych e‑receptach czy przebiegu leczenia w konkretnej poradni, na przykład onkologicznej, psychiatrycznej lub ginekologicznej.

Zawiadomienie powinno:

• opisywać charakter naruszenia (co się stało, kiedy, jakie kategorie danych medycznych i identyfikacyjnych zostały naruszone, jaki okres obejmują);
• wskazywać szacunkową liczbę pacjentów, których dotyczy zdarzenie, oraz rodzaje objętych danych (np. dokumentacja wizyt w poradni X, wyniki konkretnych badań, e‑recepty);
• podać dane kontaktowe IOD lub innego punktu kontaktowego dla pytań pacjentów;
• wyjaśnić potencjalne konsekwencje dla pacjentów (stygmatyzacja, ryzyko wyłudzeń, nieuprawnione wykorzystanie danych w decyzjach ubezpieczeniowych).

W zaleceniach praktycznych można polecić między innymi monitorowanie korespondencji z placówką i NFZ, ostrożność wobec prób podszywania się pod szpital lub poradnię, a w przypadku potwierdzonego wycieku danych identyfikacyjnych warto rozważyć zastrzeżenie numeru PESEL oraz zachować czujność przy wszelkich prośbach o podanie danych lub kodów autoryzacyjnych. W komunikacie warto też przypomnieć pacjentom o przysługujących im środkach ochrony prawnej, od środków cywilnych po możliwość dochodzenia odszkodowania za szkodę wynikającą z naruszenia RODO.

Co dalej powinni zrobić właściciele placówek

Dla właścicieli podmiotów medycznych korzystających z MyDr ważne jest, aby połączyć informacje od dostawcy systemu, UODO, resortu zdrowia i innych organów państwoych z własną analizą ryzyka. Nawet jeśli nie mają pełnej wiedzy o skali incydentu, powinni dokładnie przeanalizować, jakie wrażliwe dane o stanie zdrowia w ich placówce mogły zostać objęte zdarzeniem i jak może to wpłynąć na pacjentów.

Kolejne kroki, czyli zgłoszenie naruszenia do UODO oraz ewentualne zawiadomienie pacjentów, powinny wynikać z tej analizy oraz z dalszych ustaleń MyDr i służb państwowych. To także dobry moment, aby sprawdzić procedury reagowania na naruszenia, zwłaszcza w kontekście współpracy z dostawcami EDM. Warto upewnić się, czy umowy powierzenia i sposób komunikacji z dostawcą pozwalają szybko i odpowiednio zareagować, gdy chodzi o prywatność i godność pacjentów.

Zakończenie

Incydent w systemie MyDr to poważny test dla praktycznego stosowania RODO w ochronie zdrowia, zarówno po stronie dostawcy EDM, jak i tysięcy administratorów danych w placówkach medycznych. Teraz najważniejsze jest rzetelne przeprowadzenie analizy ryzyka dla danych o stanie zdrowia, sprawdzenie umów powierzenia oraz przygotowanie jasnego i empatycznego komunikatu dla pacjentów, jeśli naruszenie dotyczy konkretnej placówki. Pełny komunikat Prezesa UODO dotyczący incydentu MyDr jest dostępny na stronie urzędu: Komunikat UODO o incydencie MyDr.

FAQ: Wyciek danych z MyDr – pytania i odpowiedzi dla podmiotów medycznych