Wyciek danych MyDR — co się wydarzyło?

W sierpniu 2026 roku Ministerstwo Cyfryzacji poinformowało o cyberataku na spółkę MyDR — dostawcę oprogramowania wykorzystywanego przez placówki medyczne do prowadzenia elektronicznej dokumentacji medycznej. Skala zdarzenia od początku była opisywana jako jedna z największych w Polsce.

Ten materiał ma jedno zadanie: uporządkować stan wiedzy. Sprawa jest w toku, część informacji zmieniała się w kolejnych komunikatach, a wokół dużych wycieków szybko narastają uproszczenia. Poniżej wyłącznie to, co wynika z oficjalnych komunikatów i doniesień prasowych — oraz wyraźnie wskazane luki, których żadna publikacja nie wypełni za konkretną placówkę.

Przebieg zdarzenia według komunikatów

MyDR poinformował, że incydent objął część jego systemów i był efektem zewnętrznego, celowego działania o charakterze przestępczym. Spółka przekazała również, że jej systemy są operacyjne i bezpieczne w użyciu, a monitoring dark webu prowadzą zewnętrzni specjaliści od cyberbezpieczeństwa.

Wicepremier i minister cyfryzacji poinformował, że w wyniku cyberataku doszło do wycieku danych blisko 19 mln Polaków, a skradniona baza ma ponad 2 TB. Prezes Urzędu Ochrony Danych Osobowych wszczął kontrolę w spółce MyDR i wydał komunikat skierowany do administratorów korzystających z tego systemu.

Ministerstwo Zdrowia odrębnie wyjaśniło, że incydent nie oznacza naruszenia bezpieczeństwa centralnych usług e-zdrowia. Nie stwierdzono również jego wpływu na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług realizowanych w publicznym systemie ochrony zdrowia.

Możliwy zakres danych

W doniesieniach prasowych wskazywano, że incydent może obejmować numery PESEL oraz informacje dotyczące recept, leków, wizyt i notatek medycznych. Podawana jest liczba około 18,8 mln osób i ponad 12 tys. placówek korzystających z systemu.

Według komunikatu dostawcy dane objęte zdarzeniem najprawdopodobniej mają charakter historyczny i mogą pochodzić z 2024 roku oraz lat wcześniejszych. Spółka podkreśliła jednocześnie, że incydent może nie dotyczyć wszystkich jej klientów ani wszystkich pacjentów korzystających z usług tych placówek.

Dlaczego zakres danych ma tak duże znaczenie

Numer PESEL w połączeniu z imieniem i nazwiskiem otwiera drogę do prób podszycia się pod osobę w innych systemach. Informacje o lekach, receptach czy rozpoznaniach należą natomiast do szczególnych kategorii danych osobowych — dane dotyczące zdrowia. Ich ujawnienie ma charakter nieodwracalny: pacjent nie może zmienić historii leczenia tak, jak zmienia hasło.

Z punktu widzenia administratora te dwie kategorie ważą w ocenie ryzyka zupełnie inaczej. Dlatego ustalenie, jakie konkretnie kategorie danych placówka powierzyła dostawcy i jakie mogły zostać objęte zdarzeniem, jest pierwszym krokiem każdej sensownej analizy.

Kogo może dotyczyć incydent

Pacjent nie musiał samodzielnie korzystać z aplikacji ani posiadać w niej konta, aby jego dane znalazły się w systemie. MyDR dostarczał oprogramowanie placówkom medycznym — jeżeli pacjent korzystał z usług placówki wykorzystującej to rozwiązanie, jego dane mogły być tam przetwarzane.

Informacja o objęciu numeru PESEL incydentem jest udostępniana w rządowym serwisie bezpiecznedane.gov.pl. Zastrzeżenie numeru PESEL jest możliwe w serwisie mObywatel.gov.pl i jest to działanie, które warto wykonać niezależnie od tego, czy dana osoba znajduje się w bazie.

Co to oznacza dla placówki medycznej

Kluczowa konsekwencja prawna jest niezależna od tego, gdzie doszło do naruszenia. Administratorem danych pacjentów pozostaje podmiot leczniczy, praktyka lub gabinet. Dostawca systemu działa jako podmiot przetwarzający — na jego zlecenie i w zakresie określonym umową powierzenia.

Oznacza to, że obowiązki wynikające z art. 33 i art. 34 RODO — zgłoszenie naruszenia organowi nadzorczemu i ewentualne zawiadomienie osób, których dane dotyczą — adresowane są do placówki. Prezes UODO wskazał wprost, że powiadomienie osób dotkniętych wyciekiem spoczywa na administratorach, którzy korzystali z usług spółki.

Praktyczna ścieżka postępowania opisana jest w osobnym materiale: instrukcja dla administratora krok po kroku. Podział odpowiedzialności między placówką a dostawcą wyjaśniamy w artykule MyDR a RODO — kto odpowiada za dane pacjentów.

Czego na tym etapie nie wiadomo

Uczciwe podsumowanie wymaga wskazania luk. Na moment przygotowania tego materiału nie zostały upublicznione: dokładny zakres danych w odniesieniu do poszczególnych placówek, pełna lista podmiotów objętych zdarzeniem, szczegóły techniczne przebiegu ataku ani wyniki kontroli organu nadzorczego.

Żadna z tych informacji nie jest dostępna z publikacji prasowych i nie da się jej zastąpić założeniem. Placówka, która chce ocenić własną sytuację, musi wystąpić do dostawcy o informacje dotyczące konkretnie jej danych — i udokumentować to wystąpienie wraz z odpowiedzią lub jej brakiem.

Aktualne komunikaty warto śledzić u źródła: uodo.gov.pl, gov.pl/web/cyfryzacja oraz gov.pl/web/zdrowie.