Wyciek danych z systemu MyDr: co wiadomo i co zrobić

Do danych z systemu MyDr, w którym gabinety lekarskie prowadzą dokumentację medyczną, dostały się osoby nieuprawnione. Spółka zgłosiła incydent 10 sierpnia 2026, a jej prezes odezwał się publicznie dopiero 24 sierpnia: przeprosił pacjentów i zapowiedział, że oficjalne powiadomienia ruszą w kolejnych dniach. Rządowy serwis, w którym sprawdza się własne dane, do 28 sierpnia 2026 nadal nie dostał zbioru z tego wycieku.

Co dokładnie się stało

MyDr dostarcza system elektronicznej dokumentacji medycznej, z którego korzystają gabinety i przychodnie w całej Polsce. Chronologię opisał serwis Prawo.pl 13 sierpnia 2026: spółka poinformowała o zdarzeniu 10 sierpnia, a dwa dni później wydała komunikat, w którym potwierdziła, że incydentem objęta była część danych, ale nie jest w stanie określić ich ilości i rodzaju.

Najkonkretniejszy opis zdarzenia pochodzi od prokuratury. Prokuratura Okręgowa w Warszawie podała 13 sierpnia 2026, że nieustalona osoba uzyskała dostęp do systemu spółki nie później niż 6 sierpnia 2026, a przechowywane na serwerach informacje obejmowały imiona, nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane o stanie zdrowia, w tym treść notatek z wizyt lekarskich i informacje o wystawionych receptach. Wycinek tych danych sprawca przesłał do redakcji serwisu Zaufana Trzecia Strona. Dochodzenie wszczęto 12 sierpnia, pierwsze czynności Centralne Biuro Zwalczania Cyberprzestępczości podjęło z urzędu 10 sierpnia, a zarzucany czyn zagrożony jest karą do 3 lat pozbawienia wolności. To ten komunikat, a nie doniesienia napastników, jest źródłem zakresu danych wypisanego na tej stronie.

Skalę podał rząd, nie firma. Według przekazu Ministerstwa Cyfryzacji z 12 sierpnia 2026, przytoczonego przez Prawo.pl, wyciek może dotyczyć blisko 19 mln osób i ponad 12 tys. placówek medycznych. Rozmiar wykradzionego zbioru podał TVN24 13 sierpnia 2026: ponad 2 TB danych. Wiceminister cyfryzacji Dariusz Standerski mówił 18 sierpnia 2026 w TVN24 o 31 mln rekordów do przeanalizowania i zapewniał, że dane nie krążą po sieci.

Sama spółka długo nie przesądzała niczego. W komunikacie z 13 sierpnia 2026 napisała, że potwierdzi ilość i rodzaj ujawnionych danych dopiero po zakończeniu analizy śledczej. 24 sierpnia 2026 głos zabrał prezes Piotr Miluski. Przeprosił za niepokój, stres i niepewność, przekazał, że analiza zakresu naruszenia dobiega końca, i zapowiedział, że w najbliższych dniach spółka zacznie oficjalnie informować placówki medyczne zgodnie z RODO. Dodał, że monitoring prowadzony przez firmę i zewnętrznych ekspertów nie wykrył publicznego udostępnienia danych objętych incydentem. Dopóki zakres nie zostanie potwierdzony, opisujemy ten incydent jako wyjaśniany.

Osobną sprawą są twierdzenia napastników. Osoby podające się za sprawców deklarują, że mają 18 814 422 numery PESEL. Jak podało Prawo.pl 13 sierpnia 2026, przekazane przez nich szczątkowe dane sugerują, że znają też numery recept i numery telefonów. To wersja przestępców, której nie potwierdził ani administrator danych, ani żaden urząd.

Prezes UODO postanowił przeprowadzić kontrolę w spółce, o czym poinformował 13 sierpnia 2026. Kontrolerzy mają sprawdzić, jakie środki techniczne i organizacyjne firma zastosowała oraz czy regularnie je testowała. Ministerstwo Zdrowia w komunikacie z 12 sierpnia 2026 zaznaczyło przy tym, że centralne usługi e-zdrowia nie zostały naruszone.

Dlaczego rządowy serwis wciąż nie pokazuje tych danych

Serwis bezpiecznedane.gov.pl działa, tylko zbioru z MyDr w nim nie ma. Na dzień 28 sierpnia 2026 widnieje tam komunikat, że dane z wycieku w firmie MyDr nie trafiły jeszcze do bazy serwisu i zostaną udostępnione niezwłocznie po przekazaniu ich przez podmioty dotknięte cyberatakiem.

Powód wyłożyło CBZC w komunikacie z 18 sierpnia 2026. Zdaniem policjantów publikowanie na tym etapie numerów PESEL pacjentów obsługiwanych przez system MyDr nie jest zasadne, bo mogłoby utrudnić prowadzone działania, a biuro realizuje czynności mające maksymalnie ograniczyć zakres wycieku. Tego samego dnia wiceminister Standerski tłumaczył w TVN24, że po przekazaniu zweryfikowanych informacji zespół potrzebuje od sześciu do ośmiu godzin na załadowanie ich do portalu. Tydzień później mówił już o kilkudziesięciu godzinach i o tym, że realną perspektywą jest bieżący tydzień, co relacjonował Spider’s Web 25 sierpnia 2026.

Dla pacjenta wniosek jest prosty: sprawdzenie w serwisie trzeba powtarzać, a nie odhaczyć raz. Do czasu, aż zbiór tam trafi, jedynym wiążącym sygnałem pozostaje pismo z przychodni.

Czyje dane obejmuje incydent

Incydent dotyczy pacjentów placówek, które korzystały z systemu MyDr. Spółka podała 13 sierpnia 2026, że dane mają najprawdopodobniej charakter historyczny, pochodzą z 2024 roku i lat wcześniejszych oraz mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów.

24 sierpnia 2026 prezes spółki doprecyzował liczby. Powiadomienie wysyłane za pośrednictwem placówek może dotrzeć do około 18 mln osób, których danych na obecnym etapie analizy nie da się wykluczyć z zakresu incydentu. Zastrzegł od razu, że nie oznacza to, iż dane 18 mln osób zostały skradzione, odczytane albo upublicznione. Grupę wyznaczono ostrożnościowo, więc list z przychodni nie będzie dowodem, że akurat Twoja dokumentacja wyszła na zewnątrz.

Samodzielne ustalenie, czy jesteś na liście, jest na tym etapie trudne. Pacjent zwykle nie wie, w jakim oprogramowaniu jego przychodnia prowadzi dokumentację, bo system wybiera placówka, nie odwiedzający ją chory. Zawiadomienie ma przyjść z drugiej strony. UODO przypomniał 12 sierpnia 2026, że obowiązek spoczywa na administratorze danych, czyli na placówce, która powierzyła dane do przetwarzania. To ona ocenia ryzyko, zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, i zawiadamia pacjentów, gdy ryzyko naruszenia ich praw jest wysokie. Te same obowiązki przypomniała lekarzom Naczelna Izba Lekarska 12 sierpnia 2026, a UODO powtórzył je 27 sierpnia 2026 w odpowiedziach na pytania z infolinii.

W praktyce oznacza to, że pismo o wycieku dostaniesz od swojej przychodni, a nie od dostawcy systemu.

Dlaczego po tym wycieku będą dzwonić oszuści

Po każdym głośnym wycieku rusza fala połączeń, w których rozmówca zna Twoje dane i traktuje to jako przepustkę do zaufania. CBZC ostrzegło 18 sierpnia 2026 wprost: oszuści mogą podszywać się pod placówki medyczne, banki lub instytucje państwowe i powoływać się na skradzione dane, żeby wyłudzić kolejne informacje albo dostęp do kont. Ministerstwo Zdrowia zaleciło ostrożność wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych już 12 sierpnia 2026.

Scenariusz bywa przewidywalny. Dzwoni ktoś, kto podaje się za przychodnię, NFZ, kancelarię obsługującą odszkodowania albo bank, powołuje się na wyciek i prosi o potwierdzenie danych, kod z SMS-a lub opłatę za rzekomą ochronę. Znajomość Twojego imienia, numeru PESEL czy nazwy przychodni niczego nie dowodzi, bo takie dane krążą po wyciekach od lat. Numer na wyświetlaczu również nie jest dowodem tożsamości, bo da się go sfałszować, co opisujemy w poradniku o spoofingu telefonicznym.

Zasada, która działa niezależnie od scenariusza, jest jedna: rozłącz się i oddzwoń samodzielnie na numer z oficjalnej strony, umowy albo odwrotu karty. Nieznane połączenie możesz wcześniej sprawdzić w wyszukiwarce numerów.

Co zrobić krok po kroku

1. 1Zastrzeż numer PESEL. UODO wymienił to 12 sierpnia 2026 na pierwszym miejscu wśród zalecanych działań, a CBZC powtórzyło 18 sierpnia, że operację wykonasz bezpłatnie w aplikacji mObywatel, w serwisie GOV.pl albo w urzędzie.
2. 2Sprawdź swoje dane w serwisie bezpiecznedane.gov.pl i wróć tam za kilka dni. Zbioru z MyDr wciąż w nim nie ma, a o jego dodaniu ma poinformować osobny komunikat.
3. 3Zajrzyj na Internetowe Konto Pacjenta i przejrzyj historię recept, skierowań oraz wizyt. Wpis, którego nie rozpoznajesz, zgłoś świadczeniodawcy.
4. 4Zmień powtarzające się hasła i włącz uwierzytelnianie dwuskładnikowe, zwłaszcza w portalach pacjenta i internetowych kontach medycznych. Takie kroki zaleciło CBZC 18 sierpnia 2026.
5. 5Podejrzane SMS-y przekazuj do zespołu CERT Polska pod bezpłatny numer 8080 albo przez stronę incydent.cert.pl, a przestępstwo popełnione na Twoją szkodę zgłoś w najbliższej jednostce policji.
6. 6Każdy telefon powołujący się na ten wyciek traktuj jak próbę wyłudzenia, dopóki sam nie oddzwonisz na oficjalny numer instytucji.