Ostatnia aktualizacja: 3.09.2026
Jeśli widzieli Państwo doniesienia medialne dotyczące incydentu bezpieczeństwa danych dotyczącego placówek medycznych lub sprawdzali swój numer PESEL na stronie bezpiecznedane.gov.pl, ta strona wyjaśnia, co się stało i co możecie Państwo zrobić.
Od czego zacząć?
Jeśli chcą Państwo sprawdzić, czy Państwa numer PESEL został objęty incydentem, mogą to Państwo zrobić na stronie rządowej: bezpiecznedane.gov.pl.
Ta usługa jest prowadzona przez organy państwowe, nie przez MyDr. Strona bezpiecznedane.gov.pl odnotowuje obecnie bardzo duże obciążenie, dlatego może działać wolno lub być niedostępna. Jeśli strona się nie wczyta, proszę spróbować ponownie później.
Nie możemy sprawdzić Państwa numeru PESEL w Państwa imieniu ani poinformować Państwa telefonicznie lub mailowo, czy Państwa dane zostały objęte incydentem.
Numery PESEL oznaczone na stronie bezpiecznedane.gov.pl jako objęte incydentem dotyczącym MyDr zostały, zgodnie z naszą wiedzą, przekazane do CERT NASK przez organy ścigania w ramach toczącego się postępowania karnego. Pozostajemy z nimi w kontakcie w celu weryfikacji tej informacji.
Na obecnym etapie nie możemy potwierdzić, że numery PESEL oznaczone w serwisie Bezpieczne Dane jako numery objęte incydentem MyDr, w pełni odpowiadają numerom PESEL zidentyfikowanym w ramach naszego postępowania wyjaśniającego jako objęte tym incydentem. Nie możemy również potwierdzić, że wszystkie numery PESEL, w odniesieniu do których MyDr wskazano jako źródło wycieku, pochodzą z systemów MyDr.
Wskazanie konkretnych danych osobowych w serwisie Bezpieczne Dane w kontekście incydentu MyDr nie oznacza, że dane te zostały upublicznione lub ujawnione w internecie — co podkreśla również sam portal Bezpieczne Dane.
Poniższe zalecenia warto zastosować niezależnie od wyniku sprawdzenia.
Najczęściej zadawane pytania ->
Co się stało
MyDr wykrył nieautoryzowany dostęp do baz danych kopii zapasowych w systemie MyDr EDM, czyli oprogramowaniu do prowadzenia dokumentacji medycznej używanym przez placówki i gabinety medyczne w Polsce. Dochodzenie ustaliło, że kopia zapasowa bazy danych z dnia 12 kwietnia 2024 r. została pozyskana przez osoby nieuprawnione.
Znajdujemy się w końcowej fazie ustalania zakresu incydentu, w tym tego, jakie dane, jakie placówki medyczne i którzy pacjenci mogli zostać nim objęci.
System MyDr EDM jest zabezpieczony i działa normalnie.
Monitorujemy sytuację w sposób ciągły i nie znaleźliśmy żadnych dowodów na to, że dane zostały gdziekolwiek upublicznione.
Co mogę teraz zrobić?
Jakie kroki mogę podjąć, aby zminimalizować ryzyka wynikające z tego incydentu?
Prowadzony przez MyDr stały monitoring nie wykazał dotychczas żadnych przypadków publicznego ujawnienia danych. Jeśli jednak otrzymają Państwo zawiadomienie od swojej kliniki, że Państwa dane mogły być objęte naruszeniem, znajdą w nim Państwo również pomocne wskazówki dotyczące kroków, które można podjąć w ramach ostrożności.
Bez względu na to czy Państwa dane zostały objęte naruszeniem czy też nie, warto zastrzec numer PESEL (w aplikacji mobilnej mObywatel, przez Internet na stronie mObywatel.gov.pl lub osobiście w Urzędzie Gminy (Miasta)). Instytucje finansowe są obecnie zobligowane weryfikować przy zawieraniu umów, czy PESEL jest zastrzeżony, co ogranicza ryzyko użycia danych do nieuprawnionego zaciągania zobowiązań na szkodę innych osób. Zastrzeżenie PESEL nie blokuje jednak możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w urzędzie – więcej informacji pod linkiem: https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie.
Jak zastrzec swój numer PESEL?
W aplikacji mObywatel: zaloguj się, przejdź do Usługi, wybierz Zastrzeż PESEL i potwierdź. Zastrzeżenie jest natychmiastowe.
Online na gov.pl: Wejdź na stronę rządową, kliknij „Zastrzeż PESEL lub cofnij zastrzeżenie", zaloguj się jedną z dostępnych metod: Profil Zaufany, kwalifikowany podpis elektroniczny, e-Dowód, bankowość internetowa i postępuj zgodnie z instrukcjami, aby zastrzec numer PESEL. Usługa potwierdzi zastrzeżenie elektronicznie.
Osobiście w dowolnym urzędzie gminy, z dokumentem tożsamości: odwiedź dowolny urząd gminy w Polsce, zabierz ważny dokument tożsamości: dowód osobisty lub paszport (albo inny akceptowany dokument tożsamości, w zależności od statusu), złóż wniosek o zastrzeżenie numeru PESEL. Urząd rozpatruje wniosek niezwłocznie i wydaje potwierdzenie zastrzeżenia.
Jeśli nadal mają Państwo pytania
W związku z tym incydentem utworzyliśmy dedykowany punkt kontaktowy dla pacjentów objętych naruszeniem: dane@mydr.pl, aby odpowiadać na pytania dotyczące incydentu. Ze względu na dużą liczbę otrzymywanych wiadomości czas odpowiedzi może być wydłużony. Uprzejmie prosimy o cierpliwość.
W sprawach dotyczących dokumentacji medycznej lub leczenia prosimy o kontakt bezpośrednio z Państwa placówką medyczną.
Informacja dotycząca przetwarzania Państwa danych osobowych:
Poniższe zasady dotyczą wyłącznie przetwarzania Państwa danych osobowych w korespondencji, którą kierują Państwo do nas bezpośrednio, i opisują cel tego przetwarzania oraz związane z nim obowiązki prawne.
Dane przekazane nam obecnie w korespondencji dotyczącej incydentu — administratorem danych osobowych przekazanych podczas kontaktu sprawie tego incydentu jest MyDr sp. z o.o., ul. Puławska 465, 02-844 Warszawa, KRS 0000704950.
Państwa dane osobowe, w tym dokumentacja medyczna i inne dane osobowe przechowywane w systemie MyDr EDM są przetwarzane przez nas w imieniu Państwa placówki, która jest ich administratorem; w tym zakresie działamy wyłącznie na polecenie placówki i nie możemy z własnej inicjatywy uzyskiwać do nich dostępu, udostępniać ich ani ich usuwać.
Poniższe informacje dotyczą wyłącznie danych przekazanych nam przez Państwa w korespondencji dotyczącej incydentu.
W jakim celu i na jakiej podstawie je wykorzystujemy
W celu odpowiedzi na Państwa zapytanie oraz w celu zachowania dowodu udzielenia odpowiedzi — dane przetwarzamy na podstawie naszego prawnie uzasadnionego interesu polegającego na obsłudze korespondencji (art. 6 ust. 1 lit. f RODO).
W celu ustalenia, dochodzenia lub obrony przed roszczeniami prawnymi, jakie mogą zostać wobec nas skierowane przez pacjentów lub placówki medyczne w związku z tym incydentem — dane przetwarzamy na podstawie naszego prawnie uzasadnionego interesu polegającego na możliwości obrony przed roszczeniami (art. 6 ust. 1 lit. f RODO).
W celu obsłużenia, udokumentowania i współpracy z Prezesem Urzędu Ochrony Danych Osobowych i innymi organami — nasze obowiązki prawne (art. 6 ust. 1 lit. c RODO w związku z art. 33 i art. 33 ust. 5 RODO).
Jeśli Państwa wiadomość zawiera dane dotyczące zdrowia lub inne dane szczególnej kategorii, przetwarzamy je wyłącznie w zakresie niezbędnym do ustalenia, dochodzenia lub obrony przed roszczeniami prawnymi (art. 9 ust. 2 lit. f RODO). Prosimy o nieprzesyłanie nam takich informacji, ponieważ nie są nam one potrzebne do udzielenia odpowiedzi na ogólne pytania dotyczące incydentu.
Jak długo przechowujemy dane
Państwa dane osobowe przechowujemy przez okres dziesięciu lat od zakończenia roku kalendarzowego, w którym doszło do incydentu, po czym są one usuwane.
Okres ten odpowiada najdłuższemu możliwemu terminowi, w którym w niektórych przypadkach mogłoby zostać wobec nas wniesione roszczenie odszkodowawcze związane z incydentem na gruncie prawa polskiego. W tym okresie dane są przechowywane w sposób ograniczony, dostępny wyłącznie dla osób, którym jest to niezbędne do obsługi roszczenia lub zapytania organu nadzorczego.
Kto jeszcze ma do nich dostęp
Nasi pracownicy zajmujący się obsługą incydentu, nasi dostawcy usług IT i bezpieczeństwa działający na podstawie umowy oraz nasi doradcy prawni. W razie potrzeby możemy udostępnić informację Prezesowi Urzędu Ochrony Danych Osobowych, Policji lub innym organom. Nie udostępniamy Państwa korespondencji Państwa placówce, chyba że wyrażą Państwo taką prośbę lub jest to niezbędne, aby udzielić Państwu odpowiedzi.
Państwa prawa
Mają Państwo prawo dostępu do swoich danych, ich sprostowania lub usunięcia, ograniczenia ich przetwarzania, wniesienia sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, a także — w zakresie, w jakim ma to zastosowanie — prawo do przenoszenia danych. Mogą Państwo również wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Moniuszki 1A, 00-014 Warszawa.
Aby skorzystać z któregokolwiek z powyższych praw lub skontaktować się z naszym Inspektorem Ochrony Danych, prosimy o wiadomość na adres iod.mydr@docplanner.com.