Wyciek danych z FELG Dent (2026) – co musi zrobić gabinet stomatologiczny

1 października 2026 r. FELG Software, dostawca systemu FELG Dent wykorzystywanego do zarządzania gabinetami stomatologicznymi i prowadzenia dokumentacji pacjentów, potwierdził incydent bezpieczeństwa. Osoba podająca się za sprawcę twierdzi, że uzyskała dostęp do znacznej części danych i zażądała okupu w zamian za ich nieujawnienie. Według dotychczasowych informacji wyciek mógł objąć imiona i nazwiska, numery PESEL, dane kontaktowe oraz informacje o leczeniu i receptach. To kolejny po MyDr i Medyc poważny incydent dotykający polskiej ochrony zdrowia. Poniżej praktyczny plan działania dla gabinetów – z perspektywy Inspektora Ochrony Danych.

Co się stało – chronologia wycieku z FELG Dent

Sprawa jest w toku, a ustalenia dostawcy mogą być aktualizowane. Poniżej udokumentowane publicznie fakty na dzień publikacji tego artykułu:

Ważne zastrzeżenie: w przestrzeni publicznej pojawiają się liczby sięgające kilku milionów rekordów, ale liczbę poszkodowanych osób wciąż ustala się. Dla pojedynczego gabinetu nie ma to jednak znaczenia – obowiązki powstają w odniesieniu do danych Twoich pacjentów, niezależnie od globalnej skali.

Jakie dane objął incydent

Zakres danych, które mogły zostać objęte incydentem, jest dotkliwy z perspektywy RODO. Według dotychczasowych informacji obejmuje:

• dane identyfikacyjne – imię, nazwisko, numer PESEL,
• dane kontaktowe – adres, numer telefonu, adres e-mail,
• dane dotyczące zdrowia (art. 9 ust. 1 RODO) – informacje o leczeniu stomatologicznym, historia wizyt, wystawiane recepty.

Powiązanie numeru PESEL z pełnymi danymi identyfikacyjnymi i danymi o leczeniu to komplet o wysokim profilu ryzyka – kradzież tożsamości, wyłudzenia, phishing celowany, a przy żądaniu okupu także ryzyko publikacji i prób szantażu.

Kogo dotyczy – gabinety korzystające z FELG Dent

FELG Dent to oprogramowanie do zarządzania gabinetami stomatologicznymi i prowadzenia dokumentacji pacjentów. Korzystają z niego m.in.:

• prywatne gabinety i praktyki stomatologiczne,
• kliniki i sieci stomatologiczne,
• podmioty łączące stomatologię z innymi specjalizacjami,
• gabinety prowadzące dokumentację medyczną i recepty w systemie dostawcy.

Jeżeli Twój gabinet podpisał z FELG Software umowę powierzenia przetwarzania danych osobowych (art. 28 RODO) i prowadzi w systemie dokumentację pacjentów, sprawa Cię dotyczy. Potwierdza to zresztą sama treść umowy powierzenia opublikowanej przez dostawcę – gabinet jest w niej administratorem, a FELG podmiotem przetwarzającym.

Kto zgłasza wyciek – gabinet czy FELG?

To jedno z najczęściej zadawanych pytań – i jedno z najbardziej mylących. Odpowiedź jest jednoznaczna: zgłasza administrator danych, czyli gabinet stomatologiczny. FELG jest podmiotem przetwarzającym (procesorem) w rozumieniu art. 4 pkt 8 RODO. W konsekwencji:

• obowiązek zgłoszenia do UODO z art. 33 ust. 1 RODO spoczywa na gabinecie,
• obowiązek zawiadomienia pacjentów z art. 34 ust. 1 RODO spoczywa na gabinecie,
• FELG ma obowiązek z art. 33 ust. 2 RODO – bez zbędnej zwłoki poinformować administratora o naruszeniu i wesprzeć go w realizacji obowiązków,
• odpowiedzialność dostawcy za ewentualne nieprawidłowości w zabezpieczeniach to odrębne zagadnienie, które nie zdejmuje bieżących obowiązków z gabinetu.

Termin 72 godzin – od kiedy liczyć

Termin z art. 33 ust. 1 RODO liczy się od stwierdzenia naruszenia – a nie od daty samego cyberataku, nie zawsze od dnia pierwszej publikacji medialnej i niekoniecznie od chwili, w której dostawca zakończy analizę informatyczną. Zgodnie z wytycznymi Europejskiej Rady Ochrony Danych administrator uzyskuje wiedzę o naruszeniu, gdy dysponuje wystarczającym stopniem pewności, że doszło do incydentu obejmującego dane osobowe.

Gdy cyberatak dotyczy dostawcy obsługującego wiele niezależnych placówek, samo ogólne zawiadomienie o incydencie nie musi jeszcze oznaczać, że administrator wie o naruszeniu danych swojej placówki. Inaczej należy ocenić sytuację, w której gabinet otrzymuje indywidualne potwierdzenie, że naruszenie objęło również przetwarzane przez niego dane – taki komunikat zwykle wyznacza moment rozpoczęcia biegu 72 godzin. Nie można jednak wykluczyć, że konkretny administrator miał wystarczające informacje już wcześniej.

Zgłoszenie wstępne do UODO – art. 33 ust. 4 RODO

Jeżeli w ciągu 72 godzin nie masz kompletu informacji od FELG, nie czekaj – art. 33 ust. 4 RODO wprost przewiduje etapowe udzielanie informacji. Złóż zgłoszenie wstępne:

• opisz, co wiesz na dzień zgłoszenia (rodzaj incydentu, prawdopodobny zakres danych, liczba pacjentów),
• wskaż brak pełnej informacji od FELG jako przyczynę zgłoszenia etapowego,
• zobowiąż się do uzupełnienia bez zbędnej zwłoki,
• zachowaj spójność dat w rejestrze naruszeń, w zgłoszeniu i w komunikacie dla pacjentów.

Formularz UODO ma dedykowaną opcję „zgłoszenie wstępne / uzupełniające". To standardowa i akceptowana forma reakcji przy dużej skali i niepełnych informacjach.

Wysokie ryzyko i obowiązek zawiadomienia pacjentów

W sprawie FELG Dent wysokie ryzyko powstaje niemal automatycznie: ujawnione dane obejmują PESEL, dane identyfikacyjne oraz dane dotyczące zdrowia (art. 9 RODO), a incydentowi towarzyszy żądanie okupu. To oznacza, że poza zgłoszeniem do UODO powstaje najczęściej także obowiązek zawiadomienia pacjentów z art. 34 ust. 1 RODO.

Analizę ryzyka najlepiej przeprowadzić według metodyki ENISA, uwzględniając rodzaj danych (dane zdrowotne, PESEL), łatwość identyfikacji, celowy charakter ataku i skalę. Wynik – podpisany i zarchiwizowany – jest podstawą decyzji o zawiadomieniu pacjentów.

Co, gdy FELG jeszcze nie potwierdził – plan B

Brak indywidualnego potwierdzenia od dostawcy nie oznacza bezczynności. Zanim termin zacznie biec, przygotuj grunt:

• ustal, jakie dane prowadzisz w systemie i których pacjentów mogą dotyczyć,
• wyślij do FELG pisemne wezwanie o informację z art. 33 ust. 2 RODO i zachowaj potwierdzenie doręczenia,
• odśwież analizę ryzyka i przygotuj wzór komunikatu dla pacjentów,
• gdy otrzymasz potwierdzenie – uruchom zegar 72 h i, w razie niepełnych danych, złóż zgłoszenie wstępne.

Zawiadomienie pacjentów – co musi zawierać

Zawiadomienie z art. 34 ust. 2 RODO powinno być napisane jasnym, prostym językiem i zawierać co najmniej:

• opis charakteru naruszenia,
• imię i nazwisko oraz dane kontaktowe IOD lub innego punktu kontaktowego,
• opis możliwych konsekwencji naruszenia,
• opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu i ograniczenia jego skutków,
• praktyczne zalecenia dla pacjentów – czujność wobec phishingu, ostrożność przy telefonach i e-mailach powołujących się na dane medyczne, rozważenie zastrzeżenia numeru PESEL.

Przy dużej liczbie pacjentów zawiadomienie można zrealizować hybrydowo: komunikat publiczny na stronie internetowej na podstawie art. 34 ust. 3 lit. c RODO, uzupełniony o indywidualne pisma do pacjentów szczególnie narażonych.

Roszczenia regresowe wobec FELG Software

Jeżeli przyczyną incydentu były niedostateczne zabezpieczenia po stronie dostawcy, gabinet może dochodzić roszczeń. Warto już teraz:

• zabezpieczyć całą korespondencję z FELG i treść komunikatów o incydencie,
• przechować umowę powierzenia i SLA – pod kątem kar umownych i obowiązków raportowania,
• dokumentować własne koszty obsługi incydentu (analiza ryzyka, zawiadomienia, wsparcie prawne),
• rozważyć roszczenia odszkodowawcze w oparciu o art. 82 RODO i zasady odpowiedzialności procesora.

Sankcje UODO i dlaczego warto mieć IOD

W dotychczasowej praktyce UODO najczęściej karano brak zgłoszenia, zwłokę i brak dokumentacji, a nie sam fakt wycieku. W uzasadnieniach powtarza się motyw: administrator nie może uzależniać zgłoszenia od chwili, w której uzyska komplet informacji. Zgłoszenie wstępne pokazywane jest jako wzór dobrej praktyki; odkładanie reakcji „do czasu, aż dostawca się odezwie" – jako okoliczność obciążająca.

Najczęściej zadawane pytania