Megawyciek

Informacje dotyczące blisko 19 mln pacjentów z nawet 12 tys. placówek medycznych w całej Polsce dostały się w ręce włamywaczy. Przestępcy wykradli 2 terabajty danych z systemu informatycznego firmy MyDr oferującej oprogramowanie do elektronicznej dokumentacji medycznej.

O ataku pierwszy poinformował serwis Zaufana Trzecia Strona, zajmujący się bezpieczeństwem IT. Sprawcy zwrócili się do serwisu, informując, że uzyskali dostęp do danych osobowych 18 814 422 Polaków. Źródłem tych informacji ma być baza danych z systemu MyDr EDM.

Nic nie wiadomo

Najpoważniejszym problemem – oczywiście obok skali wycieku – jest jednak to, że wciąż nie znamy szczegółów tego incydentu. Choć Centralne Biuro Zwalczania Cyberprzestępczości zajmuje się sprawą od 10 sierpnia, wciąż nie wiadomo dokładnie, czyje i jakiego rodzaju dane zostały przechwycone.

W chwili zamykania tego wydania „Gazety Lekarskiej” takich informacji nie znaleźliśmy na rządowej stronie bezpiecznedane.gov.pl, która ma służyć właśnie do sprawdzania, czy informacje o indywidualnych osobach trafiły do internetu.

Wicepremier i minister cyfryzacji Krzysztof Gawkowski przyznał, że mamy do czynienia „z niebywałym i bardzo dużym incydentem w zakresie bezpieczeństwa polskiej infosfery”. Wiceminister cyfryzacji Dariusz Standerski zapewnił jednocześnie, że wykradzione dane „nie krążą po sieci”, a pacjenci nie mają powodów do niepokoju.

Nie ma również wiarygodnych informacji, kiedy doszło do wycieku – niewykluczone, że włamywacze wykradali dane wielokrotnie. Zdaniem prokuratury nieuprawniony dostęp do systemu MyDr sprawcy uzyskali najpóźniej 6 sierpnia 2026 r. Według serwisu Niezalezna.pl z systemu MyDr nielegalnie pobierano dane znacznie wcześniej, bo w marcu 2024 r. Wówczas sprawcy mieli uzyskać dane ok. 13 mln osób.

Zastrzec PESEL, wymienić certyfikat

Nieprzyjemnie kontrastuje to z informacjami płynącymi z placówek medycznych, które przyznają, że zakres wykradzionych informacji był bardzo szeroki. To nie tylko imię, nazwisko, adres, numer telefonu i PESEL. Wśród danych, które wpadły w ręce włamywaczy, są również daty wizyt, choroby, na jakie cierpi pacjent, przyjmowane leki, wystawione recepty, a nawet notatki lekarza poczynione podczas porady.

Sprawę dodatkowo komplikuje fakt, że system EDM MyDr korzystał z usług chmurowych dostawców Google i Amazon, co może oznaczać, że przekazywano dane osobowe i informacje wrażliwe poza Europejski Obszar Gospodarczy.

Niepewności sprzyja również chaos informacyjny. Choć przedstawiciele rządu zapewniają, iż pacjenci „mogą spać spokojnie”, a dane nigdzie nie wypłynęły, to jednak pacjenci powinni na wszelki wypadek zastrzec swój PESEL. A Centrum e-Zdrowia zwróciło się również do placówek medycznych z żądaniem jak najszybszej wymiany certyfikatów dostępu do systemu P1 w związku z wyciekiem z MyDr – jako element dobrych praktyk.

Co dalej?

MyDr działał jako podmiot je przetwarzający. To zaś oznacza, że to sami lekarze, a także placówki korzystające z tego systemu mogą ponosić odpowiedzialność za dopuszczenie do nieuprawnionego dostępu do danych pacjentów. Lekarze powinni zatem zweryfikować, czy korzystali z usług MyDr, przejrzeć postanowienia umowy i – jeśli będzie to konieczne – zgłosić naruszenie do UODO oraz poinformować pacjentów.

Do UODO ciągle napływają zgłoszenia (liczone w tysiącach) dotyczące wycieku danych z MyDr pochodzące od administratorów danych – czyli gabinetów, przychodni i praktyk lekarskich. Bo choć wykradziono dane z systemów IT firmy MyDr, to administratorami danych osobowych są instytucje i firmy, które je zbierały i wprowadzały do systemu.

Naczelna Izba Lekarska przygotowała specjalny poradnik, prowadzący lekarzy i osoby odpowiedzialne za administrowanie danymi w placówkach medycznych krok po kroku przez wszystkie meandry postępowania. Poradnik, zawierający również wzory formularzy i pism, jest dostępny na stronie NIL oraz na portalu gazetalekarska.pl.

Problem bezpieczeństwa danych był jednym z tematów rozmów Rzecznika Praw Lekarzy NIL Grzegorza Wrony z wiceministrem Standerskim. Przedstawiciel samorządu lekarskiego apelował o doprecyzowanie odpowiedzialności administratorów danych, określenie odpowiedzialnych na to podmiotów i odciążenie prawne lekarzy.

Dariusz Standerski przyznał, że jego resort podjął już działania w celu nadania informacjom medycznym statusu poufności równego informacjom o obronności państwa. Oznacza to nałożenie najwyższych standardów ochrony, co jest odpowiedzią na oczekiwania środowiska lekarskiego.

Piotr Kościelniak

Źródło: „Gazeta Lekarska” nr 9/2026