Wyciek danych z MyDr (2026) — co musi zrobić placówka medyczna

12 sierpnia 2026 r. Minister Cyfryzacji i Prezes UODO potwierdzili publicznie cyberatak na spółkę MyDr sp. z o.o., dostawcę systemu Elektronicznej Dokumentacji Medycznej MyDr EDM, wykorzystywanego przez tysiące placówek medycznych w Polsce. Według dostępnych komunikatów wyciek mógł objąć dane osobowe blisko 19 milionów Polaków — imiona, nazwiska, PESEL, adresy, numery telefonów, adresy e-mail oraz dane dotyczące zdrowia. Poniżej praktyczny plan działania dla placówek medycznych korzystających z MyDr — pisany z perspektywy Inspektora Ochrony Danych, który pilotuje takie sprawy na bieżąco.

Co się stało — chronologia wycieku MyDr

Sprawa rozwinęła się szybko i pozostaje w toku. Poniżej udokumentowane publicznie fakty na dzień publikacji tego artykułu:

Zakres danych, które mogły zostać objęte incydentem, jest maksymalnie dotkliwy z perspektywy RODO. Obejmuje:

• dane identyfikacyjne — imię, nazwisko, PESEL, data urodzenia, adres zamieszkania,
• dane kontaktowe — numer telefonu, adres e-mail,
• dane dotyczące zdrowia (art. 9 ust. 1 RODO) — rozpoznania według klasyfikacji ICD-10, opisy wizyt, wywiady lekarskie, recepty, wyniki badań, skierowania, zlecenia medyczne,
• w wielu placówkach dodatkowo — dane dotyczące życia seksualnego (ginekologia, urologia, dermatologia, endokrynologia).

Powiązanie numeru PESEL z pełnymi danymi identyfikacyjnymi i danymi medycznymi to komplet danych o maksymalnym profilu ryzyka — kradzież tożsamości, wyłudzenia finansowe, phishing celowany, ryzyko dyskryminacji na tle rozpoznań medycznych, próby szantażu.

Kogo dotyczy — placówki medyczne korzystające z MyDr EDM

System MyDr EDM jest jednym z popularniejszych rozwiązań do prowadzenia elektronicznej dokumentacji medycznej w Polsce. Korzystają z niego m.in.:

• prywatne przychodnie specjalistyczne i lekarze praktykujący w gabinetach jednoosobowych,
• sieci przychodni medycznych,
• podmioty świadczące usługi w ramach abonamentów medycznych i ubezpieczeń zdrowotnych,
• szpitale i podmioty publiczne w części zakresu prowadzonej dokumentacji.

Jeżeli Twoja placówka podpisała z MyDr sp. z o.o. umowę powierzenia przetwarzania danych osobowych (art. 28 RODO) i prowadzi w systemie MyDr EDM dokumentację pacjentów, sprawa Cię dotyczy. Nie ma tu znaczenia, czy MyDr indywidualnie się do Ciebie zwrócił — z komunikatu Prezesa UODO z 12 sierpnia 2026 r. wynika, że wszyscy administratorzy powierzający dane MyDr mają obowiązek dokonać analizy ryzyka i podjąć odpowiednie działania.

Kto zgłasza wyciek MyDr — MyDr czy placówka?

To jedno z najczęściej zadawanych pytań — i jedno z najbardziej mylących. Odpowiedź jest jednoznaczna: zgłasza administrator danych, czyli placówka medyczna. MyDr jest podmiotem przetwarzającym (procesorem) w rozumieniu art. 4 pkt 8 RODO. Procesor przetwarza dane w imieniu administratora i na jego zlecenie. W konsekwencji:

• obowiązek zgłoszenia do UODO z art. 33 ust. 1 RODO spoczywa na administratorze,
• obowiązek zawiadomienia osób, których dane dotyczą, z art. 34 ust. 1 RODO spoczywa na administratorze,
• MyDr ma tylko obowiązek z art. 33 ust. 2 RODO — bez zbędnej zwłoki poinformować administratora o naruszeniu,
• MyDr ma dodatkowo obowiązek raportowania incydentu na własnym poziomie zgodnie z UKSC / dyrektywą NIS2, ale nie zdejmuje to obowiązków z administratora.

Prezes UODO w komunikacie z 12 sierpnia 2026 r. wprost stwierdził, że „administrator, który powierzył przetwarzanie danych MyDr, powinien dokonać analizy ryzyka pod kątem naruszenia praw lub wolności osób fizycznych i ocenić, czy doszło do naruszenia ochrony danych osobowych wymagającego zgłoszenia Prezesowi UODO oraz zawiadomienia osób, których dane dotyczą".

Termin 72 godzin — od kiedy liczyć w sprawie MyDr

Art. 33 ust. 1 RODO stanowi, że administrator zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. W sprawie MyDr kluczowe jest pojęcie stwierdzenia:

• Stwierdzenie nie oznacza „otrzymania potwierdzenia od MyDr, że wyciek objął dane mojej placówki".
• Stwierdzenie oznacza „uzyskanie racjonalnej pewności, że doszło do naruszenia mogącego dotyczyć powierzonych danych".

Dla placówek korzystających z MyDr moment stwierdzenia to 12 albo 13 sierpnia 2026 r. — dzień, w którym opublikowane zostały komunikaty MC i UODO potwierdzające skalę incydentu. Placówka, która wiedziała, że jej dokumentacja jest prowadzona w MyDr, po zapoznaniu się z tymi komunikatami miała racjonalną pewność, że sprawa może dotyczyć powierzonych danych. To wystarcza, żeby uruchomić licznik 72 godzin.

UODO w komunikacie z 12.08 wprost napisał, że administrator ma „niezwłocznie dokonać analizy ryzyka". Praktyczna konsekwencja: przy zgłoszeniu do 15–16 sierpnia jesteś w terminie. Zgłoszenie po 16 sierpnia wymaga wyjaśnienia przyczyn opóźnienia (art. 33 ust. 1 zd. 2 RODO).

Zgłoszenie wstępne do UODO — art. 33 ust. 4 RODO

Art. 33 ust. 4 RODO wprost dopuszcza sytuację, w której administrator nie ma na dzień zgłoszenia pełnych informacji. Wtedy zgłoszenie może zostać udzielone etapami — najpierw wersja wstępna z informacjami dostępnymi, później uzupełnienia. W sprawie MyDr to jest właściwy tryb.

Zgłoszenie wstępne składa się na tym samym formularzu na uodo.gov.pl/pl/501/2278. Ważne pola:

• Typ zgłoszenia — wybierz „zgłoszenie wstępne (etapowe) w trybie art. 33 ust. 4 RODO".
• Podmiot przetwarzający — wskaż MyDr sp. z o.o., podaj datę umowy powierzenia i zaznacz, że MyDr nie przekazał informacji z art. 33 ust. 2 RODO.
• Data stwierdzenia — 12 lub 13 sierpnia 2026 r. (bądź konsekwentny w całym dokumencie).
• Data samego naruszenia — nieznana, przedział 2024 – sierpień 2026 (za oświadczeniem MyDr).
• Sposób stwierdzenia — powołaj się na publicznie dostępne komunikaty MC/UODO oraz na brak wykonania obowiązku z art. 33 ust. 2 RODO przez MyDr. Jeżeli umowa powierzenia przewiduje krótszy termin dla procesora (np. 24 h) — powołaj się na to postanowienie.
• Zakres danych — zaznacz worst-case: PESEL, dane identyfikacyjne, dane o zdrowiu; jeżeli w placówce są specjalizacje generujące dane o życiu seksualnym (urologia, dermatologia, endokrynologia, ginekologia) — zaznacz to również.
• Liczba osób i wpisów — szacunkowo, oznacz jako wartości ostrożnościowe.
• Wysokie ryzyko — TAK, z uzasadnieniem opartym na skali, danych o zdrowiu i PESEL.
• Data uzupełnienia — zadeklaruj konkretny termin, np. 15 września 2026 r.

Zgłoszenie wstępne nie zamyka niczego — wszystkie liczby i szczegóły można potem doprecyzować. Jego rolą jest dochowanie terminu 72 godzin i pokazanie UODO, że administrator działa aktywnie, mimo braku współpracy procesora.

Wysokie ryzyko i obowiązek zawiadomienia pacjentów

W sprawie MyDr wysokie ryzyko naruszenia praw i wolności osób fizycznych zachodzi z bardzo dużym prawdopodobieństwem. Zgodnie z metodyką ENISA rekomendowaną przez EROD i UODO (Severity Score):

• Kontekst przetwarzania (DPC) = 4 — dane szczególnych kategorii (dane o zdrowiu).
• Łatwość identyfikacji (EI) = 1,00 — dane bezpośrednio identyfikujące (PESEL, imię, nazwisko).
• Okoliczności naruszenia (CB) ≥ 1,00 — naruszenie poufności, celowy cyberatak, skala > 1000 osób.
• Wynik: Severity Score ≥ 5,00 → Very High.

Konsekwencja: art. 34 ust. 1 RODO wymaga zawiadomienia osób, których dane dotyczą, bez zbędnej zwłoki. Zawiadomienie może przyjąć formę:

1. Komunikatu publicznego na stronie internetowej na podstawie art. 34 ust. 3 lit. c RODO — indywidualne zawiadomienie każdego pacjenta wymagałoby niewspółmiernie dużego wysiłku wobec skali i braku potwierdzenia zakresu przez procesor. Komunikat musi spełniać wszystkie wymogi art. 34 ust. 2 RODO.
2. Indywidualnych pism/e-maili do pacjentów z grup podwyższonego ryzyka (patrz sekcja poniżej).
3. Rozwiązania hybrydowego — komunikat publiczny plus pisma indywidualne do wybranych kategorii.

Rekomendacja praktyczna: rozwiązanie hybrydowe. Komunikat publiczny obsługuje ogół pacjentów i dochowuje terminu, indywidualne pisma dotyczą tych, dla których skutki byłyby najbardziej dotkliwe.

Grupy pacjentów szczególnie narażone na skutki wycieku MyDr

Choć wysokie ryzyko dotyczy w praktyce wszystkich pacjentów, dla części z nich ewentualne ujawnienie danych medycznych niesie szczególnie dotkliwe konsekwencje — dyskryminację, stygmatyzację, ryzyko szantażu. Do rozważenia w indywidualnych zawiadomieniach:

Kryterium filtrowania w systemie MyDr EDM to specjalizacja lekarza przyjmującego oraz — jeżeli system pozwala — konkretne kody ICD-10 przypisane pacjentom. Zawiadomienie indywidualne nie ujawnia rozpoznania w treści listu; wystarcza formuła: „korzystali Państwo z naszych świadczeń w zakresie [specjalizacja], w związku z czym w dokumentacji medycznej znajdują się między innymi dane dotyczące zdrowia".

Termin wysyłki pism indywidualnych — rekomendujemy 25–29 sierpnia 2026 r. Wcześniej — brakuje czasu na przygotowanie treści i list. Później — brakuje buforu przed deadline'em uzupełnienia zgłoszenia w UODO do 15 września.

Co, gdy MyDr milczy — plan B

W praktyce większość placówek korzystających z MyDr ma ten sam obraz sytuacji: brak indywidualnej odpowiedzi, formularz kontaktowy jako jedyna droga, telefon nieodbierany. To nie zwalnia z obowiązków, ale otwiera drogę do dodatkowych działań:

1. Pisemne wezwanie do MyDr — pierwszy krok. E-mail plus (najlepiej) list polecony na adres z KRS. Powołanie na art. 28 ust. 3 lit. f, art. 33 ust. 2 RODO i konkretny paragraf umowy powierzenia (najczęściej 24 godziny na powiadomienie administratora). Termin 7 dni.
2. Ponaglenie — jeżeli po 7 dniach brak reakcji, drugi list z zapowiedzią zgłoszenia MyDr do UODO za naruszenie obowiązków procesora oraz rozważenia wypowiedzenia umowy powierzenia.
3. Zgłoszenie MyDr do UODO — jako administrator masz prawo zgłosić do organu naruszenie art. 28 i 33 ust. 2 RODO przez procesor. Nie zwalnia to Cię z Twoich obowiązków, ale wzmacnia Twoją pozycję i buduje materiał do ewentualnych roszczeń regresowych.
4. Dokumentacja wszystkich prób kontaktu — zrzuty ekranu formularza kontaktowego MyDr z datą i godziną wysyłki, log prób telefonicznych, potwierdzenia nadania i doręczenia listów. To materiał dowodowy do postępowań UODO i sądu cywilnego.
5. Weryfikacja alternatywnego dostawcy EDM — decyzja biznesowa, którą warto podjąć w perspektywie 30 dni. Jeżeli MyDr nie potrafi obsłużyć kryzysu wobec swoich klientów, ryzyko dalszej współpracy jest istotne.

Komunikat dla pacjentów — co musi zawierać

Zawiadomienie z art. 34 ust. 2 RODO — czy w formie komunikatu publicznego, czy pisma indywidualnego — musi zawierać cztery elementy obligatoryjne:

1. Opis charakteru naruszenia jasnym i prostym językiem, w tym w miarę możliwości kategorie i przybliżoną liczbę osób oraz wpisów danych.
2. Imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego. Sam adres e-mail bez wskazania osoby jest niewystarczający.
3. Opis możliwych konsekwencji — kradzież tożsamości, wyłudzenia finansowe, ryzyko dyskryminacji przy danych o zdrowiu, phishing celowany.
4. Opis środków podjętych i proponowanych przez administratora — w tym konkretne zalecenia dla pacjentów: zastrzeżenie PESEL, alerty BIK, zmiana haseł, ostrożność wobec phishingu.

Praktyczne rekomendacje wychodzące poza minimum:

• datuj publikację i zaznaczaj datę ostatniej aktualizacji — dowód dochowania staranności,
• umieść komunikat na stronie głównej, nie w podstronie „aktualności" ukrytej trzy kliknięcia głębiej,
• zapowiedz twardą datę pełnego zawiadomienia (np. 15 września 2026 r.), niezależnie od tego, czy MyDr do tego czasu odpowie,
• opisz osobno konsekwencje dla danych o zdrowiu (dyskryminacja, ostracyzm, naruszenie dóbr osobistych) i wskaż środki ochrony z Kodeksu cywilnego,
• zaproponuj wsparcie psychologiczne dla pacjentów odczuwających silny stres,
• ostrzegaj przed stronami phishingowymi obiecującymi „sprawdzenie, czy Twoje dane wyciekły" — takie strony wyrosną w ciągu kilku dni po każdym dużym incydencie.

Roszczenia regresowe wobec MyDr

Jeżeli placówka poniesie koszty w związku z incydentem — druk i wysyłka indywidualnych zawiadomień, godziny pracy IOD i personelu, ewentualne kary UODO, odszkodowania pacjentów z art. 82 RODO — otwiera się droga do dochodzenia zwrotu tych kosztów od MyDr. Podstawy prawne:

• Kary umowne z umowy powierzenia — jeżeli umowa przewiduje sankcje za naruszenie obowiązków procesora (najczęściej za niepowiadomienie w umówionym terminie).
• Odpowiedzialność kontraktowa (art. 471 k.c.) — MyDr nie wykonał obowiązku z art. 33 ust. 2 RODO i z umowy powierzenia. Placówka poniosła szkodę w związku z tym niewykonaniem.
• Solidarna odpowiedzialność procesora (art. 82 RODO) — jeżeli pacjent domaga się odszkodowania od administratora, administrator ma po jego zapłacie regres wobec procesora w części, w jakiej ten ostatni ponosi odpowiedzialność za szkodę.

Kluczowe od pierwszego dnia sprawy jest gromadzenie dowodów w formie umożliwiającej wykorzystanie procesowe: pisma z datą i podpisem, potwierdzenia nadania, zestawienia godzin pracy IOD i personelu, faktury za wysyłki, kopie kar UODO, ewentualne wyroki cywilne.

Sankcje UODO za brak zgłoszenia lub zwłokę

Naruszenie art. 33 i 34 RODO jest sankcjonowane w art. 83 ust. 4 RODO — kara pieniężna do 10 milionów euro albo 2% globalnego obrotu (kwota wyższa). W praktyce polskiej UODO nakładał już w podobnych sprawach kary:

• Morele.net — 2,8 mln zł za niedostateczne zabezpieczenia i opóźnienia w zgłoszeniu,
• ALAB Laboratoria — kary za zwlekanie z zawiadomieniem osób, których dane dotyczą,
• Śląski Uniwersytet Medyczny — kara za incydent i brak należytej reakcji,
• szereg mniejszych decyzji dotyczących placówek medycznych — kwoty od kilkunastu do kilkuset tysięcy złotych.

W uzasadnieniach powtarza się motyw: „administrator nie może uzależniać zgłoszenia od momentu, w którym uzyska kompletne informacje". Zgłoszenie wstępne w trybie art. 33 ust. 4 RODO jest w tych decyzjach pokazywane jako wzór dobrej praktyki. Odkładanie zgłoszenia „do czasu, aż dostawca się odezwie" — jako okoliczność obciążająca.

Najczęściej zadawane pytania