Czy wyciek mnie dotyczy
Nie mam konta w MyDr, a mój PESEL wyciekł. Dlaczego?
Bo z MyDr korzystał Twój lekarz, a nie Ty. MyDr to program, w którym przychodnie i gabinety prowadzą dokumentację medyczną, rejestrują wizyty i wystawiają e-recepty. Pacjent zwykle nie wie, jakiego programu używa jego placówka, i nigdy go nie widzi. Twoje dane wpisywała rejestracja albo lekarz przy wizycie.
Umawianie wizyt przez ZnanyLekarz też tego nie wyklucza. Spółka MyDr należy do tej samej grupy co ZnanyLekarz (Docplanner, Spider's Web), a lekarz mógł przyjmować zapisy przez ZnanyLekarz i jednocześnie prowadzić dokumentację w MyDr.
Wyciekła kopia bazy danych z 12 kwietnia 2024 r. Mogą więc być w niej dane z wizyt sprzed lat, także w placówkach, które dziś korzystają z innego programu albo w których ostatnia wizyta była dawno temu. Twoje dane mogły też trafić do systemu z karty innej osoby, na przykład jako dane rodzica dziecka albo osoby upoważnionej do dokumentacji.
Spółka MyDr zastrzega w informatorze dla pacjentów, że nie może potwierdzić, czy wszystkie numery PESEL oznaczone w bezpiecznedane.gov.pl pochodzą z jej systemów.
Żeby ustalić, skąd pochodzą Twoje dane, wyślij zapytanie przesiewowe do przychodni i gabinetów, w których się leczysz lub leczono Cię wcześniej. Tam, gdzie potwierdzą korzystanie z MyDr, zażądaj kopii swoich danych.
Nie mam zawiadomienia, choć moja przychodnia korzystała z MyDr. Co robić?
Wyślij do przychodni zapytanie przesiewowe i zapytaj też, czy korzystała z systemu w przeszłości. Jeżeli potwierdzi, zażądaj kopii swoich danych. Zawiadomienie mogło nie dotrzeć, na przykład jeśli przychodnia używa dziś innego programu. Sprawdź też swój PESEL w bezpiecznedane.gov.pl.
Czy jest gdzieś lista placówek, które korzystały z MyDr?
Publicznej listy nie ma. Wie to spółka MyDr i same placówki, a serwis bezpiecznedane.gov.pl pokazuje tylko, czy Twój numer PESEL jest w wycieku. Dlatego jedynym sposobem jest zapytanie przesiewowe do przychodni i gabinetów, w których leczysz się teraz albo leczono Cię wcześniej.
Czy wyciekły też dane mojego dziecka albo osoby, którą się opiekuję?
Mogły. Jeżeli dziecko leczyło się przed 12 kwietnia 2024 r. w przychodni lub gabinecie, które korzystały z MyDr, jego dane mogą być objęte incydentem tak samo jak Twoje. Zawiadomienia wymieniają też dane przedstawicieli ustawowych i osób upoważnionych do dostępu do dokumentacji, w tym stopień pokrewieństwa. Twoje dane mogły więc trafić do systemu również z karty dziecka albo osoby, którą się opiekujesz.
Jako rodzic możesz wysłać zapytanie i żądanie kopii danych w imieniu niepełnoletniego dziecka, bo jesteś jego przedstawicielem ustawowym (art. 26 ust. 1 ustawy o prawach pacjenta). W piśmie podaj imię, nazwisko i datę urodzenia dziecka i zaznacz, że działasz jako jego przedstawiciel ustawowy. W sprawie dorosłej osoby, którą się opiekujesz, potrzebujesz jej upoważnienia, chyba że jesteś jej przedstawicielem ustawowym.
Co wyciekło i co mi grozi
Serwis pokazał, że wyciekł mój PESEL. Czy wyciekł tylko PESEL?
Niekoniecznie. Serwis bezpiecznedane.gov.pl sprawdza wyłącznie numery PESEL, więc informuje tylko o nich. Wynik oznacza, że w wycieku jest co najmniej Twój PESEL. Jakie jeszcze dane o Tobie były w systemie, ustalisz, żądając kopii danych od przychodni lub gabinetu, który korzystał z MyDr (wzór żądania).
Wyciekły dane medyczne, a nie tylko PESEL. Co mi grozi?
PESEL można zastrzec. Historii leczenia nie da się ani zmienić, ani zastrzec, więc jej ujawnienie jest trwałe.
Najbardziej realne zagrożenie to oszustwa dopasowane do Ciebie. Ktoś, kto zna Twoje nazwisko, adres, telefon i przebieg leczenia, może bardzo wiarygodnie podszyć się pod przychodnię, lekarza, aptekę albo NFZ. Szczególnie narażone są na to osoby starsze.
Możliwy jest też szantaż ujawnieniem informacji, które chcesz zachować dla siebie, na przykład o leczeniu psychiatrycznym albo chorobach zakaźnych. W dokumentacji jest nie tylko rozpoznanie, ale często także treść rozmowy z lekarzem: Twoje obawy, okoliczności życiowe, sprawy rodzinne.
Nie wiadomo, czy i gdzie te dane zostaną użyte. Sama uzasadniona obawa przed ich nadużyciem może jednak być krzywdą, za którą należy się zadośćuczynienie (wyrok TSUE C-340/21). Jak się chronić, opisujemy w krokach 1 i 3 poradnika.
Czy mogę zapytać MyDr, jakie moje dane wyciekły?
Możesz, ale lepiej pytać placówkę. MyDr pisze w informatorze dla pacjentów, że nie może sam sprawdzić Twojego numeru PESEL ani przekazać tej informacji telefonicznie lub mailowo.
MyDr przetwarza dane w imieniu przychodni i gabinetów. Obowiązek odpowiedzi na żądanie dostępu do danych (art. 15 RODO) ciąży więc na placówce jako administratorze, a dostawca systemu musi jej w tym pomóc (art. 28 ust. 3 lit. e RODO). Dlatego żądanie kopii danych wysyłaj do przychodni lub gabinetu.
MyDr pisze, że monitoruje sytuację i nie znalazł śladów upublicznienia danych. Czy mogę na tym polegać?
Nie traktuj tego jako gwarancji. Według informatora spółki stały monitoring nie wykazał dotychczas publicznego ujawnienia danych. Informator nie podaje jednak, kto prowadzi ten monitoring ani jakie miejsca obejmuje.
Nie istnieje jeden „darkweb”, który dałoby się przejrzeć w całości. Wykradzione dane mogą krążyć na zamkniętych forach, w komunikatorach i w prywatnych ofertach sprzedaży. To, że nie znaleziono ich śladów, nie znaczy, że nigdzie ich nie ma.
Wiadomo też, że część danych już trafiła do osób trzecich: według komunikatu prokuratury sprawca przesłał ich wycinek redakcji serwisu Zaufana Trzecia Strona.
Dlatego zabezpiecz się tak, jakby Twoje dane mogły zostać wykorzystane: zastrzeż PESEL i uważaj na telefony i wiadomości, które powołują się na Twoje leczenie.
W zawiadomieniu napisano, że nie ma powodów do niepokoju. Czy to prawda?
To samo zawiadomienie przyznaje, że incydent może wiązać się z wysokim ryzykiem. Nie ma powodu do paniki, ale jest powód do ostrożności i do zabezpieczenia się.
Jak się zabezpieczyć
Czy zastrzeżenie PESEL utrudni mi leczenie?
Nie. Zastrzeżenie nie blokuje rejestracji u lekarza, realizacji recepty ani spraw urzędowych. Utrudnia zawarcie umowy kredytu lub pożyczki na Twoje dane.
Przyszedł SMS albo e-mail o wycieku. Skąd mam wiedzieć, że to nie oszustwo?
Prawdziwe zawiadomienie pochodzi od przychodni lub gabinetu, w których leczysz się teraz albo leczono Cię wcześniej. Zawiadomienia e-mailowe wysłane przez system MyDr, które widzieliśmy, przychodziły z adresu noreply@noreply.mydr.pl.
Zawiadomienie ma Cię poinformować o naruszeniu. Nie powinno prosić o podanie danych, hasła, kodu z SMS-a ani o przelew. Jeżeli wiadomość czegoś takiego od Ciebie chce, najpewniej to oszustwo.
Gdy masz wątpliwości, nie klikaj w linki z wiadomości. Zadzwoń do przychodni na numer z jej strony internetowej, a nie z wiadomości, i zapytaj, czy wysyłała zawiadomienie. Podejrzany SMS możesz bezpłatnie przesłać na numer 8080 (CERT Polska), a podejrzany e-mail zgłosić na incydent.cert.pl.
Ktoś dzwoni i powołuje się na moje leczenie. Co robić?
Rozłącz się, niczego nie potwierdzaj i nie podawaj żadnych danych ani kodów. Jeżeli próbowano Cię oszukać, zgłoś to na Policję.
Czy warto zmienić numer telefonu albo adres e-mail?
Zwykle nie. Zmiana jest uciążliwa, a nie cofa wycieku tego, czego zmienić się nie da, na przykład numeru PESEL czy historii leczenia. Lepiej chronią weryfikacja dwuetapowa, zastrzeżenie PESEL i ostrożność wobec wiadomości, które powołują się na Twoje leczenie.
Zmiana ma sens, jeżeli dostajesz dużo podejrzanych telefonów lub wiadomości albo ktoś Cię nęka. Wtedy zgłoś sprawę także na Policję.
Twoje prawa i odpowiedzialność
Od kogo żądać zadośćuczynienia: od lekarza czy od MyDr?
Możesz wybrać. Za szkodę odpowiadają solidarnie placówka medyczna (przychodnia, gabinet lub szpital) i firma, która przetwarzała dane (art. 82 ust. 4 RODO). Nie musisz pozywać swojego lekarza. Możesz skierować roszczenie tylko do dostawcy systemu.
Placówka może się bronić, że w żaden sposób nie ponosi winy, na przykład dlatego, że starannie wybrała dostawcę systemu (art. 82 ust. 3 RODO). Czy sąd to uzna, nie wiadomo, bo Trybunał Sprawiedliwości UE interpretuje ten wyjątek wąsko. Dostawcy systemu trudniej się tak bronić, bo to w jego systemie doszło do naruszenia, a to on był specjalistą od systemów komputerowych (w odróżnieniu od lekarza).
Łatwiej może się bronić zwłaszcza lekarz z jednoosobowej praktyki, od którego trudno oczekiwać, że sam oceni zabezpieczenia firmy informatycznej.
Który wybór jest lepszy, zależy od konkretnej sprawy: od tego, co wyciekło, z jakiej placówki i który podmiot był podmiotem przetwarzającym (zobacz Kto przetwarzał Twoje dane). Dlatego nie dajemy gotowego wezwania i zalecamy konsultację z adwokatem lub radcą prawnym.
Czy mój lekarz zrobił coś źle?
Nie przesądzamy tego. Przychodnia lub gabinet jest formalnie administratorem danych, ale do incydentu doszło w systemie dostawcy. Lekarze i przychodnie dowiadywali się o szczegółach od MyDr.
Ile mogę dostać?
Nie ma jeszcze wyroków w sprawie tego wycieku. Kwota zależy od rodzaju danych i Twojej sytuacji. Nikt uczciwy nie obieca Ci konkretnej sumy.
Czy skarga do UODO da mi pieniądze?
Nie. UODO może nałożyć karę na firmę i nakazać jej zmiany. O zadośćuczynieniu decyduje sąd.
Czy mogę zażądać, żeby moje dane usunięto?
Z dokumentacji medycznej zwykle nie. Placówka musi ją przechowywać co do zasady przez 20 lat od końca roku, w którym dokonano ostatniego wpisu (art. 29 ustawy o prawach pacjenta). Prawo do usunięcia danych nie obejmuje danych, które administrator musi przechowywać z mocy prawa (art. 17 ust. 3 lit. b RODO).
Nie możesz też decydować, z jakiego dostawcy systemu korzysta placówka. RODO zostawia ten wybór administratorowi. Pozwala mu jednak korzystać tylko z takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje ochrony danych (art. 28 ust. 1 RODO), a sam podmiot przetwarzający musi stosować odpowiednie zabezpieczenia (art. 32 RODO).
Jeżeli placówka przestała korzystać z MyDr, zapytaj ją, czy po zakończeniu umowy dostawca usunął albo zwrócił jej dane. Umowa powierzenia danych musi to przewidywać (art. 28 ust. 3 lit. g RODO).
Czy to ma sens, skoro wyciek już się stał?
Tak, z kilku powodów. Kopia danych od placówki pokaże Ci, co naprawdę wyciekło, a to pozwala ocenić ryzyko i się przed nim chronić. Wniosek o ściganie daje Ci status pokrzywdzonego, a z nim prawo do informacji o postępowaniu. Dowody zebrane teraz zachowują wartość, nawet jeśli o dalszych krokach zdecydujesz później.
Skargi mają też znaczenie szersze niż Twoja sprawa. Według doniesień medialnych do 17 września 2026 r. do Prezesa UODO wpłynęło ponad 50 skarg i sygnałów od osób fizycznych (Bankier.pl), a incydent objął około 18,8 mln osób. Od tego, jak zareagują organy i sądy, zależy, jak firmy będą chronić dane pacjentów w przyszłości.
Pisma i formalności
Czy potrzebuję adwokata?
Do wysłania zapytania i żądania kopii danych, skargi do UODO i zawiadomienia do prokuratury nie. Jeżeli chcesz dochodzić zadośćuczynienia, zalecamy konsultację z adwokatem lub radcą prawnym już przed wysłaniem wezwania do zapłaty. Formalnie w sądzie okręgowym w pierwszej instancji pełnomocnik nie jest obowiązkowy, ale od tego, jak opiszesz i udokumentujesz krzywdę, zależy wynik sprawy, a przegrana oznacza koszty.
Jak wysłać pisma?
Zapytanie i żądanie kopii danych: e-mailem do przychodni lub gabinetu, najlepiej z adresu podanego w Twojej karcie pacjenta. Skargę do UODO: pocztą albo przez e-Doręczenia jako plik podpisany podpisem zaufanym, osobistym lub kwalifikowanym (nie zwykłym e-mailem). Zawiadomienie do prokuratury: pocztą, z własnoręcznym podpisem (nie przez e-Doręczenia i nie e-mailem). Zachowaj potwierdzenia wysłania, wystarczy standardowy list polecony bez „zwrotnego potwierdzenia odbioru”.