Wyciek danych osobowych z MyDr to zdaniem prawników dopiero początek kłopotów - mnóstwo firm korzysta ze wspólnych systemów

• Skrót:
• Atak na system używany przez tysiące placówek - przypomnienie problemu systemu MyDr z wyciekiem danych medycznych
• Czy wyciek danych osobowych dotyczy akurat Ciebie? Jak duża jest skala problemu?
• To nie przypadek. Liczba naruszeń ochrony danych osobowych rośnie z roku na rok - ostatnio o 50 procent
• Jeden dostawca wspólnego systemu to większe ryzyko wycieku danych osobowych
• Dopiero gdy jest już za późno, wychodzą braki - administratorzy danych osobowych nie wiedzą, co robić w razie ataku
• Wyciek danych osobowych to nie jest już tylko problem dla IT
• Co możesz zrobić teraz, jeśli podejrzewasz, że Twoje dane wyciekły?
• Najczęstsze pytania o wyciek danych z systemu MyDr - FAQ

Atak na system używany przez tysiące placówek - przypomnienie problemu systemu MyDr z wyciekiem danych medycznych

System MyDr to oprogramowanie wykorzystywane przez blisko 12 tysięcy placówek medycznych w Polsce. Cyberatak na infrastrukturę tego dostawcy został ujawniony 12 sierpnia 2026 r. Skala potencjalnego naruszenia jest ogromna - mowa o danych nawet 19 milionów osób i ponad 2 terabajtach informacji.

Urząd Ochrony Danych Osobowych już rozpoczął kontrolę zabezpieczeń stosowanych przez spółkę. To standardowa procedura w przypadku tak dużych incydentów, ale sam fakt jej wszczęcia potwierdza powagę sytuacji.

Czy wyciek danych osobowych dotyczy akurat Ciebie? Jak duża jest skala problemu?

Jeśli korzystałeś z usług przychodni, gabinetu lekarskiego czy innej placówki medycznej, która używa systemu MyDr do prowadzenia dokumentacji, Twoje dane - w tym potencjalnie wrażliwe informacje o stanie zdrowia - mogły znaleźć się wśród danych objętych atakiem. Przy skali 12 tysięcy placówek i 19 milionów osób trudno mówić o incydencie dotyczącym wąskiej grupy pacjentów - to jeden z największych tego typu wycieków w Polsce.

To nie przypadek. Liczba naruszeń ochrony danych osobowych rośnie z roku na rok - ostatnio o 50 procent

Warto spojrzeć na ten incydent w szerszym kontekście. Dane, którymi dysponuje kancelaria LEGALLY.SMART, pokazują wyraźny trend wzrostowy.

"W 2025 roku administratorzy zgłosili UODO ponad 22 tys. naruszeń ochrony danych osobowych, podczas gdy w dwóch wcześniejszych latach było to po około 15 tys. Rosnąca liczba zgłoszeń pokazuje, że bezpieczeństwo danych staje się coraz większym wyzwaniem dla firm i instytucji" - wskazuje mec. Bartłomiej Tkaczyk, partner w kancelarii LEGALLY.SMART.

Jeden dostawca wspólnego systemu to większe ryzyko wycieku danych osobowych

Tu dochodzimy do sedna problemu, na który zwracają uwagę prawnicy. Jeden system informatyczny może dziś obsługiwać tysiące niezależnych firm i instytucji jednocześnie, przetwarzając dane milionów osób. To wygodne dla placówek medycznych - nie muszą samodzielnie budować kosztownej infrastruktury IT. Ale ma to swoją cenę.

"Korzystanie z zewnętrznego systemu nie zwalnia organizacji z obowiązków związanych z bezpieczeństwem przetwarzanych danych. Dlatego wybór kluczowego dostawcy technologii nie powinien być traktowany wyłącznie jako decyzja zakupowa. Warto wcześniej określić m.in. możliwość weryfikowania zabezpieczeń dostawcy, zasady informowania o incydentach oraz dostęp do danych w sytuacji kryzysowej" – podkreśla mec. Bartłomiej Tkaczyk.

Dopiero gdy jest już za późno, wychodzą braki - administratorzy danych osobowych nie wiedzą, co robić w razie ataku

Prawnik zwraca uwagę na coś, co dotyczy nie tylko placówek medycznych, ale każdej organizacji korzystającej z zewnętrznych systemów IT.

"Dopóki system działa, zapisy dotyczące incydentów, odpowiedzialności czy dostępu do danych mogą wydawać się drugoplanowe. Ich znaczenie rośnie natychmiast, gdy dochodzi do cyberataku. W pierwszych godzinach po cyberataku nie powinno być wątpliwości, kto podejmuje decyzje, jakie informacje ma przekazać dostawca i za jakie działania odpowiada każda ze stron. Dobrze skonstruowana umowa nie zapobiegnie każdemu incydentowi, ale może znacząco ułatwić reakcję, kiedy do niego dojdzie" – mówi mec. Bartłomiej Tkaczyk.

Wyciek danych osobowych to nie jest już tylko problem dla IT

Skala incydentu MyDr pokazuje, że bezpieczeństwo danych przestało być wyłącznie sprawą działu IT.

"Nie chodzi o to, aby zarząd czy kierownictwo instytucji zastępowało specjalistów od cyberbezpieczeństwa. Powinno jednak wiedzieć, gdzie znajdują się kluczowe dane, kto ma do nich dostęp i jak organizacja zareaguje, jeżeli zewnętrzny system zawiedzie. To dziś element świadomego zarządzania ryzykiem, a nie wyłącznie kwestia techniczna" – podsumowuje mec. Bartłomiej Tkaczyk.

Co możesz zrobić teraz, jeśli podejrzewasz, że Twoje dane wyciekły?

Jeśli byłeś pacjentem placówki korzystającej z systemu MyDr, warto zachować czujność i podjąć następujące kroki:

Najczęstsze pytania o wyciek danych z systemu MyDr - FAQ

Czym jest system MyDr?

To system informatyczny wykorzystywany przez placówki medyczne, m.in. do prowadzenia dokumentacji pacjentów. Korzysta z niego ok. 12 tys. placówek w Polsce.

Ile osób może być dotkniętych tym wyciekiem?

Szacunki mówią o blisko 19 mln osób i ponad 2 TB danych, choć dokładna skala może zostać zweryfikowana w toku kontroli UODO.

Skąd mam wiedzieć, czy moje dane wyciekły?

Najpewniejszym sposobem jest kontakt z placówką medyczną, z której usług korzystałeś, i zapytanie, czy używa systemu MyDr oraz czy otrzymała informację o naruszeniu.

Czy placówka medyczna odpowiada za wyciek, skoro korzystała z zewnętrznego systemu?

Tak, przynajmniej częściowo. Zdaniem prawników korzystanie z zewnętrznego dostawcy nie zwalnia organizacji z obowiązków związanych z bezpieczeństwem przetwarzanych danych.

Czy UODO już zajął się tą sprawą?

Tak, urząd rozpoczął kontrolę zabezpieczeń stosowanych przez spółkę odpowiedzialną za system MyDr.

Czy liczba takich wycieków danych osobowych rośnie?

Tak. W 2025 r. do UODO wpłynęło ponad 22 tys. zgłoszeń naruszeń ochrony danych osobowych, wobec ok. 15 tys. w każdym z dwóch poprzednich lat.

Co powinienem zrobić, jeśli dostanę podejrzany telefon lub wiadomość powołującą się na moje dane medyczne?

Zachowaj ostrożność, nie podawaj żadnych dodatkowych danych ani nie klikaj w linki - wyciek danych medycznych bywa wykorzystywany do prób wyłudzeń.

Czy ten incydent to odosobniony przypadek?

Nie. To część szerszego trendu wzrostu liczby naruszeń ochrony danych osobowych w Polsce, obserwowanego od kilku lat.

Źródło: LEGALLY.SMART

LEGALLY.SMART to kancelaria nowej generacji, tworzona przez zespół doświadczonych prawników i doradców wspierających zarówno sektor publiczny, jak i prywatny. Eksperci kancelarii posiadają unikalne doświadczenie w obszarze zamówień publicznych, partnerstwa publiczno-prywatnego, transformacji energetycznej oraz elektromobilności. LEGALLY.SMART doradza również jednostkom samorządu terytorialnego, w tym w zakresie projektów Smart City – od transformacji cyfrowej i wykorzystania nowoczesnych technologii w zarządzaniu przestrzenią publiczną, po realizację publicznych inwestycji infrastrukturalnych.