Co się wydarzyło
10 sierpnia 2026 r. spółka MyDr, dostarczająca oprogramowanie wykorzystywane przez lekarzy i placówki medyczne do obsługi wizyt, recept i dokumentacji pacjentów, zgłosiła cyberatak na swoje systemy. Dwa dni później wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził, że incydent może dotyczyć nawet blisko 19 milionów osób i ponad 12 tysięcy placówek medycznych korzystających z tego oprogramowania. Skradziona baza danych liczy ponad 2 TB i – jak wskazują dotychczasowe ustalenia – obejmuje imiona, nazwiska, numery PESEL, dane kontaktowe oraz informacje o stanie zdrowia, w tym treść notatek z wizyt i wystawionych recept. Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie – śledztwo dotyczy nieuprawnionego dostępu do systemu informatycznego, co jest przestępstwem z rozdziału XXXIII Kodeksu karnego (przestępstwa przeciwko ochronie informacji).
To jeden z największych incydentów bezpieczeństwa danych w historii Polski – i, jak każdy tego rodzaju wyciek, rodzi konkretne konsekwencje prawne dla trzech grup: osób, których dane wyciekły (pacjentów), placówek medycznych, które korzystały z systemu MyDr, oraz samej spółki MyDr.
Co zrobić od razu, jeśli Twoje dane mogły wyciec
Jeżeli w ostatnich latach korzystali Państwo z jakiejkolwiek przychodni, gabinetu lekarskiego lub prywatnej praktyki posługującej się oprogramowaniem MyDr, warto założyć, że dane mogły zostać objęte wyciekiem, i podjąć następujące kroki:
- Zastrzec numer PESEL – to najważniejszy i najskuteczniejszy krok ochronny. Można to zrobić w kilka minut w aplikacji mObywatel, na stronie gov.pl albo osobiście w dowolnym urzędzie gminy. Zastrzeżenie numeru PESEL uniemożliwia m.in. zaciągnięcie kredytu, zawarcie umowy pożyczki czy otwarcie rachunku bankowego na skradzioną tożsamość.
- Zmienić hasła do kont, w szczególności do poczty elektronicznej, portali pacjenta i bankowości internetowej, zwłaszcza jeśli te same hasła były używane w innych serwisach.
- Zachować czujność wobec prób wyłudzeń – eksperci ostrzegają, że przestępcy mogą podszywać się pod lekarzy lub placówki medyczne, żądając telefonicznie lub mailowo fałszywych dopłat za wizyty czy leki, albo grożąc ujawnieniem wrażliwych informacji zdrowotnych. Nie należy podawać danych ani dokonywać żadnych płatności w odpowiedzi na tego typu kontakt bez samodzielnej weryfikacji.
- Monitorować sytuację przez kolejne miesiące, nie tylko dni – skutki wycieku danych (próby wyłudzeń, phishing, fałszywe oferty) mogą pojawiać się z opóźnieniem, długo po medialnym rozgłosie wokół samego zdarzenia.
- Sprawdzić, czy figurują Państwo na liście poszkodowanych – rząd zapowiedział stopniowe udostępnianie informacji o zakresie wycieku w systemie bezpiecznedane.gov.pl.
Jakie prawa przysługują osobie, której dane wyciekły
Zgodnie z art. 82 RODO, każda osoba, która w wyniku naruszenia przepisów o ochronie danych osobowych poniosła szkodę majątkową lub niemajątkową, ma prawo dochodzić odszkodowania od administratora danych (w tym przypadku – placówki medycznej, u której leczyli się Państwo, korzystającej z systemu MyDr) lub od podmiotu przetwarzającego (spółki MyDr).
Warto mieć świadomość dwóch kluczowych ustaleń wynikających z orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej. Po pierwsze, samo stwierdzenie naruszenia RODO nie wystarcza do zasądzenia odszkodowania – trzeba wykazać rzeczywistą szkodę oraz związek przyczynowy między naruszeniem a tą szkodą (wyrok TSUE z 4 maja 2023 r. w sprawie C-300/21, Österreichische Post). Po drugie, RODO nie przewiduje żadnego minimalnego progu powagi szkody – nawet szkoda niemajątkowa o stosunkowo niewielkim rozmiarze, w tym uzasadniona obawa przed niewłaściwym wykorzystaniem danych czy utrata poczucia bezpieczeństwa, może uzasadniać zadośćuczynienie, o ile zostanie wykazana (wyrok TSUE z 20 czerwca 2024 r. w sprawie C-590/22). W przypadku wycieku obejmującego dane o stanie zdrowia – a więc dane szczególnej kategorii, podlegające wzmocnionej ochronie na podstawie art. 9 RODO – wykazanie takiej krzywdy będzie z reguły łatwiejsze niż przy zwykłych danych kontaktowych.
Obowiązki placówek medycznych korzystających z systemu MyDr
Lekarze, przychodnie i inne placówki medyczne, które powierzyły przetwarzanie danych pacjentów spółce MyDr, pozostają administratorami tych danych w rozumieniu RODO – i to na nich, a nie tylko na dostawcy oprogramowania, spoczywają najważniejsze obowiązki związane z reakcją na naruszenie:
- zgłoszenie naruszenia do Prezesa Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, co do zasady w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO);
- zawiadomienie każdego poszkodowanego pacjenta bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 34 RODO) – a przy danych medycznych taki wysoki poziom ryzyka jest zasadniczo domniemywany;
- przegląd umowy powierzenia przetwarzania danych zawartej z MyDr (art. 28 RODO) oraz ocenę, czy dostawca oprogramowania zapewniał odpowiednie środki techniczne i organizacyjne bezpieczeństwa danych.
Zaniedbanie tych obowiązków – zarówno brak zgłoszenia do UODO, jak i brak poinformowania pacjentów – może skutkować odpowiedzialnością administracyjną placówki, niezależnie od odpowiedzialności samej spółki MyDr. Sankcje mogą sięgać od upomnienia po karę finansową, przy czym Prezes UODO, ustalając jej wysokość, bierze pod uwagę m.in. charakter i wagę naruszenia, liczbę poszkodowanych osób, kategorie przetwarzanych danych oraz to, czy administrator sam zgłosił naruszenie i należycie poinformował poszkodowanych. W praktyce Urząd Ochrony Danych Osobowych w podobnych sprawach nakładał kary równolegle na administratora i na podmiot przetwarzający, podkreślając, że odpowiedzialność za bezpieczeństwo danych spoczywa na obu stronach tej relacji.
Co grozi samej spółce MyDr
Prezes UODO Mirosław Wróblewski zapowiedział już wszczęcie kontroli w spółce MyDr, w ramach której zweryfikowane zostaną zastosowane środki techniczne i organizacyjne oraz to, czy były one regularnie testowane pod kątem zmieniających się zagrożeń. Kary administracyjne przewidziane w RODO mogą sięgać do 20 milionów euro albo 4% całkowitego rocznego światowego obrotu przedsiębiorstwa – w zależności od tego, która z tych kwot jest wyższa (art. 83 RODO). Niezależnie od postępowania administracyjnego, spółka może zostać również pozwana bezpośrednio przez poszkodowanych pacjentów na podstawie art. 82 RODO, jeżeli to właśnie po jej stronie leżały zaniedbania w zabezpieczeniu danych.
Jak możemy pomóc
Sprawy tego rodzaju mają dwie strony, którym Kancelaria oferuje pomoc:
Pacjentom i innym osobom fizycznym, których dane mogły zostać ujawnione w wyniku ataku na MyDr – w ocenie, czy doszło do szkody majątkowej lub niemajątkowej uzasadniającej roszczenie o odszkodowanie lub zadośćuczynienie na podstawie art. 82 RODO, w przygotowaniu i wniesieniu takiego roszczenia oraz w reprezentacji przed sądem.
Placówkom medycznym, lekarzom i innym podmiotom korzystającym z systemu MyDr lub innego oprogramowania, które padło ofiarą podobnego incydentu – w ocenie ryzyka naruszenia, przygotowaniu zgłoszenia do UODO, opracowaniu treści zawiadomienia kierowanego do pacjentów, przeglądzie umowy powierzenia przetwarzania danych oraz w reprezentacji w toku ewentualnego postępowania administracyjnego przed Prezesem UODO.
Jeżeli mają Państwo pytania związane z wyciekiem danych z MyDr – niezależnie od tego, czy piszą Państwo jako pacjent, czy jako placówka medyczna – zapraszamy do kontaktu z Kancelarią.
Adwokat Anna Szydłowska, tel. 790 77 88 88.