Wyciek danych z firmy MyDr - dostawcy systemu Elektronicznej Dokumentacji Medycznej - może dotyczyć nawet 19 milionów osób i ponad 12 tysięcy placówek medycznych. To potencjalnie jeden z największych incydentów tego typu w historii Polski. Kluczowa rzecz, którą musi zrozumieć każda przychodnia: to nie MyDr będzie informować Twoich pacjentów. To Ty. Poniżej plan działania - i kolejność. Stan na 14 sierpnia 2026 r.

Co właściwie się stało

MyDr zgłosił incydent 10 sierpnia. Dwa dni później Ministerstwo Cyfryzacji podało, że wyciek może dotyczyć blisko 19 mln osób i ponad 12 tys. placówek. Osoby podające się za sprawców skontaktowały się z portalem Zaufana Trzecia Strona, twierdząc, że dysponują ponad 18,8 mln numerów PESEL oraz danymi sugerującymi dostęp do numerów recept i numerów telefonów - a od firmy żądały okupu. Jeśli potwierdzi się ujawnienie danych o zdrowiu, będzie to prawdopodobnie pierwszy wyciek danych medycznych na taką skalę w kraju.

Ważne zastrzeżenie: na dzień publikacji firma nie potwierdziła ostatecznie, ile i jakiego rodzaju danych faktycznie trafiło w niepowołane ręce; nie ma też oficjalnego potwierdzenia co do danych o zdrowiu. Sytuacja jest rozwojowa - ale to nie jest powód do bezczynności. Bieg terminów prawnych uruchamia moment, w którym dowiesz się o incydencie od MyDr jako podmiotu przetwarzającego, a nie z mediów.

Twoja rola prawna: jesteś administratorem, MyDr jest procesorem

RODO rozróżnia dwie role. Administrator danych (ADO) to Twoja przychodnia - to Ty decydujesz o celach i sposobach przetwarzania danych pacjentów. Podmiot przetwarzający (procesor) to MyDr, któremu powierzyłeś przetwarzanie na podstawie umowy powierzenia.

Powierzenie danych zewnętrznej firmie nie zdejmuje z Ciebie odpowiedzialności. To administrator zgłasza naruszenie do UODO i to administrator zawiadamia pacjentów. Procesor ma obowiązek Cię o incydencie poinformować - i to jego komunikat, a nie doniesienia prasowe, uruchamia Twoje terminy.

Plan działania krok po kroku

  1. Ustal, czy jesteś objęty incydentem - i udokumentuj, kiedy się o tym dowiedziałeś. Zachowaj komunikat od MyDr wraz z dokładną datą i godziną otrzymania: to ten moment rozpoczyna bieg 72 godzin na zgłoszenie do UODO. Jeśli oficjalnej informacji jeszcze nie masz - odnotuj to również. MyDr zapowiedział kontakt z klientami, których dotyczy incydent.
  2. Wyciągnij i przeanalizuj umowę powierzenia z MyDr. Sprawdź, jaki termin na powiadomienie administratora przewiduje umowa - standardowo bywa to od 8 do 48 godzin; bez zapisanego terminu procesor powinien informować niezwłocznie. Zwróć uwagę na zapisy o odpowiedzialności i współpracy przy obsłudze naruszeń - będą kluczowe przy ewentualnych roszczeniach.
  3. Przeprowadź własną analizę ryzyka naruszenia praw lub wolności osób. To Twój obowiązek jako administratora, a ryzyko różni się między placówkami: inaczej wygląda sytuacja przychodni z pełnymi danymi pacjentów w systemie, inaczej takiej, która dopiero przygotowywała się do wdrożenia. Ustal, jakie kategorie danych mogły być w systemie (PESEL, kontakty, recepty, dane o zdrowiu).
  4. Zgłoś naruszenie do UODO w ciągu 72 godzin. Termin liczy się od informacji od MyDr - nie od komunikatu wicepremiera ani doniesień medialnych. O tym, czy doszło do naruszenia, w praktyce w dużej mierze przesądzi analiza procesora, ale decyzję o zgłoszeniu podejmujesz Ty. Nie zdążysz w 72 godziny? Zgłoszenie i tak trzeba złożyć - z wyjaśnieniem opóźnienia.
  5. Jeśli ryzyko dla pacjentów jest wysokie - zawiadom ich niezwłocznie. Przy danych medycznych i numerach PESEL ryzyko z reguły będzie oceniane jako wysokie. Zawiadomienie pacjentów to Twój obowiązek; rządowy portal Bezpieczne Dane ma charakter jedynie pomocniczy. Nawet jeśli MyDr przygotuje wzór informacji, odpowiedzialność za jej przekazanie pozostaje po Twojej stronie. Skorzystaj z poradnika UODO o zawiadamianiu osób o naruszeniu.
  6. Wpisz zdarzenie do wewnętrznego rejestru naruszeń. Brak takiej dokumentacji sam w sobie bywał już podstawą kary UODO. Prowadź rejestr niezależnie od tego, czy ostatecznie zgłosisz naruszenie.
  7. Udokumentuj weryfikację MyDr sprzed powierzenia danych. UODO w takich sprawach bada, czy administrator sprawdził procesora pod kątem gwarancji bezpieczeństwa. Zbierz dowody, że oceniałeś MyDr jako wiarygodnego dostawcę (opinie, certyfikaty, zapisy umowne). W niedawnej sprawie szpital w Sosnowcu dostał upomnienie właśnie za brak weryfikacji podmiotu przetwarzającego i brak właściwej analizy ryzyka.

Co należy przekazać pacjentom

Zawiadomienie powinno być napisane jasno i zawierać co najmniej: opis charakteru naruszenia i kategorii ujawnionych danych; kontakt do inspektora ochrony danych lub punktu kontaktowego placówki; opis możliwych konsekwencji; konkretne zalecenia ograniczające ryzyko.

W praktyce warto zalecić pacjentom zastrzeżenie numeru PESEL - po dużych wyciekach to pierwszy i najprostszy krok obronny. Ostrzeż też przed drugą falą zagrożeń: phishingiem, próbami przejęcia kont i wyłudzeniami, które zwykle następują po takich incydentach. Osoba, która znajdzie swoje dane w internecie, może żądać ich usunięcia od danej platformy - choć wobec danych publikowanych w darknecie realne możliwości są ograniczone.

Czym grozi zaniedbanie obowiązków

UODO nie może ukarać placówki za sam fakt wycieku z infrastruktury MyDr. Może natomiast nałożyć sankcję za niedopełnienie własnych obowiązków: brak środków technicznych i organizacyjnych, brak weryfikacji procesora, brak analizy ryzyka czy niedopełnienie obowiązku informacyjnego. Skala precedensów z ostatnich lat robi wrażenie:

Odrębną kwestią są roszczenia pacjentów: art. 82 RODO daje każdemu, kto poniósł szkodę majątkową lub niemajątkową, prawo dochodzenia odszkodowania - od administratora lub procesora. Część pacjentów może pozwać bezpośrednio placówki; wtedy przychodnia będzie dążyć do przeniesienia odpowiedzialności na MyDr, a dokumentacja z punktów 6-7 stanie się bezcenna.

A co z NIS2 i ustawą o KSC?

Na ten moment incydent nie wywołuje dodatkowych obowiązków z dyrektywy NIS2 wdrażanej nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Nowelizacja przewiduje obowiązek zgłaszania takich zdarzeń do właściwego CSIRT, ale te przepisy wchodzą w życie dopiero 3 kwietnia 2027 r. Dziś obowiązuje ścieżka RODO: zgłoszenie do UODO i zawiadomienie pacjentów. To jednak dobry moment, by przygotować placówkę na wymogi KSC - pisałem o nich w przewodniku po NIS2. Za kilkanaście miesięcy podobny incydent będzie oznaczał równoległe obowiązki wobec CSIRT i UODO.

Podsumowanie: minimum na najbliższe dni

  1. Zachowaj komunikat od MyDr z datą i godziną - to on uruchamia Twoje terminy.
  2. Wyciągnij umowę powierzenia i sprawdź terminy oraz zapisy o odpowiedzialności.
  3. Zrób własną analizę ryzyka dla swoich pacjentów.
  4. Zgłoś naruszenie do UODO w ciągu 72 godzin od informacji od MyDr.
  5. Zawiadom pacjentów niezwłocznie, jeśli ryzyko jest wysokie - i zaleć zastrzeżenie PESEL.
  6. Wpisz wszystko do rejestru naruszeń i zbierz dowody weryfikacji dostawcy.

Nie czekaj, aż sprawa „wyjaśni się w mediach". Obowiązki administratora biegną własnym tempem, a dobrze udokumentowana, terminowa reakcja to najlepsza ochrona i przed karą UODO, i przed roszczeniami pacjentów.

Materiał ma charakter informacyjny i nie stanowi porady prawnej. W konkretnej sprawie skonsultuj się z inspektorem ochrony danych lub radcą prawnym. Stan faktyczny incydentu MyDr jest rozwojowy - śledź oficjalne komunikaty firmy, UODO i Ministerstwa Cyfryzacji.

Częste pytania

Kto zawiadamia pacjentów o wycieku - MyDr czy przychodnia?

Przychodnia. Zgodnie z RODO to administrator danych (placówka) odpowiada za zgłoszenie naruszenia do UODO i zawiadomienie pacjentów. MyDr jako podmiot przetwarzający ma obowiązek poinformować placówki o incydencie - i od tego komunikatu biegną terminy administratora.

Od kiedy liczy się 72 godziny na zgłoszenie do UODO?

Od momentu, w którym placówka dowiedziała się o naruszeniu od MyDr jako podmiotu przetwarzającego - nie od doniesień medialnych ani komunikatów rządowych. Dlatego kluczowe jest zachowanie komunikatu od MyDr z dokładną datą i godziną otrzymania.

Czy przychodnia może dostać karę za wyciek, który nastąpił u MyDr?

Nie za sam wyciek z cudzej infrastruktury - ale tak za niedopełnienie własnych obowiązków: brak analizy ryzyka, brak weryfikacji dostawcy przed powierzeniem danych, brak rejestru naruszeń czy niezawiadomienie pacjentów. Precedensy (McDonald's Polska: 16,9 mln zł) pokazują, że powierzenie danych nie zwalnia administratora.

Co powinni zrobić pacjenci, których dane mogły wyciec?

Przede wszystkim zastrzec numer PESEL (przez aplikację mObywatel lub w urzędzie) i zachować czujność wobec drugiej fali zagrożeń: telefonów i wiadomości podszywających się pod przychodnię, bank czy urząd. O konkretnych kategoriach ujawnionych danych pacjenta poinformuje placówka w zawiadomieniu.