Wyciek danych z systemu MyDr: co wiadomo i co zrobić

Do danych z systemu MyDr, w którym gabinety lekarskie prowadzą dokumentację medyczną, dostały się osoby nieuprawnione. Spółka zgłosiła incydent 10 sierpnia 2026, a trzy dni później przyznała, że wciąż nie potrafi powiedzieć, ile rekordów i jakiego rodzaju dane wyszły na zewnątrz.

Co dokładnie się stało

MyDr dostarcza system elektronicznej dokumentacji medycznej, z którego korzystają gabinety i przychodnie w całej Polsce. Chronologię opisał serwis Prawo.pl 13 sierpnia 2026: spółka poinformowała o zdarzeniu 10 sierpnia, a dwa dni później wydała komunikat, w którym potwierdziła, że incydentem objęta była część danych, ale nie jest w stanie określić ich ilości i rodzaju.

Skalę podał rząd, nie firma. Według przekazu Ministerstwa Cyfryzacji z 12 sierpnia 2026, przytoczonego przez Prawo.pl, wyciek może dotyczyć blisko 19 mln osób i ponad 12 tys. placówek medycznych. Rozmiar wykradzionego zbioru podał TVN24 13 sierpnia 2026: ponad 2 TB danych. Zastępca rzecznika UODO zastrzegł tego samego dnia w rozmowie z TVN24, że skala naruszenia nie jest jeszcze w pełni znana.

Sama spółka niczego nie przesądza. W komunikacie z 13 sierpnia 2026 napisała, że nie jest w stanie potwierdzić ilości i rodzaju ujawnionych danych i zrobi to dopiero po zakończeniu analizy śledczej. Dlatego opisujemy ten incydent jako wyjaśniany, a zakres danych podany na tej stronie pochodzi z komunikatów i relacji wymienionych w sekcji Źródła, nie z potwierdzenia administratora.

Osobną sprawą są twierdzenia napastników. Osoby podające się za sprawców deklarują, że mają 18 814 422 numery PESEL. Jak podało Prawo.pl 13 sierpnia 2026, przekazane przez nich szczątkowe dane sugerują, że znają też numery recept i numery telefonów, przy czym jest to wersja przestępców, której nie potwierdził ani administrator danych, ani żaden urząd. Numery telefonów i adresy e-mail wymienia wśród kategorii również relacja TVN24 z tego samego dnia i stąd biorą się one w checkliście zakresu na tej stronie.

Prezes UODO postanowił przeprowadzić kontrolę w spółce, o czym poinformował 13 sierpnia 2026. Kontrolerzy mają sprawdzić, jakie środki techniczne i organizacyjne firma zastosowała oraz czy regularnie je testowała. Ministerstwo Zdrowia w komunikacie z 12 sierpnia 2026 zaznaczyło przy tym, że centralne usługi e-zdrowia nie zostały naruszone.

Czyje dane obejmuje incydent

Incydent dotyczy pacjentów placówek, które korzystały z systemu MyDr. Spółka podała 13 sierpnia 2026, że dane mają najprawdopodobniej charakter historyczny, pochodzą z 2024 roku i lat wcześniejszych oraz mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów.

Samodzielne ustalenie, czy jesteś na liście, jest na tym etapie trudne. Pacjent zwykle nie wie, w jakim oprogramowaniu jego przychodnia prowadzi dokumentację, bo system wybiera placówka, nie odwiedzający ją chory. Zawiadomienie ma przyjść z drugiej strony. UODO przypomniał 12 sierpnia 2026, że obowiązek spoczywa na administratorze danych, czyli na placówce, która powierzyła dane do przetwarzania. To ona ocenia ryzyko, zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, i zawiadamia pacjentów, gdy ryzyko naruszenia ich praw jest wysokie. Te same obowiązki przypomniała lekarzom Naczelna Izba Lekarska w komunikacie z 12 sierpnia 2026.

W praktyce oznacza to, że pismo o wycieku dostaniesz od swojej przychodni, a nie od dostawcy systemu.

Dlaczego po tym wycieku będą dzwonić oszuści

Po każdym głośnym wycieku rusza fala połączeń, w których rozmówca zna Twoje dane i traktuje to jako przepustkę do zaufania. Ministerstwo Zdrowia w komunikacie z 12 sierpnia 2026 wprost zaleciło ostrożność wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych. Ma to sens niezależnie od tego, czy akurat Twój numer był w wykradzionym zbiorze, bo oszust dzwoniący na fali głośnego wycieku i tak powoła się na Twoje leczenie.

Scenariusz bywa przewidywalny. Dzwoni ktoś, kto podaje się za przychodnię, NFZ, kancelarię obsługującą odszkodowania albo bank, powołuje się na wyciek i prosi o potwierdzenie danych, kod z SMS-a lub opłatę za rzekomą ochronę. Znajomość Twojego imienia, numeru PESEL czy nazwy przychodni niczego nie dowodzi, bo takie dane krążą po wyciekach od lat. Numer na wyświetlaczu również nie jest dowodem tożsamości, bo da się go sfałszować, co opisujemy w poradniku o spoofingu telefonicznym.

Zasada, która działa niezależnie od scenariusza, jest jedna: rozłącz się i oddzwoń samodzielnie na numer z oficjalnej strony, umowy albo odwrotu karty. Nieznane połączenie możesz wcześniej sprawdzić w wyszukiwarce numerów.

Co zrobić krok po kroku

1. 1Zastrzeż numer PESEL. UODO wymienił to 12 sierpnia 2026 na pierwszym miejscu wśród zalecanych działań, a Ministerstwo Zdrowia tego samego dnia dodało, że najszybciej zrobisz to w aplikacji mObywatel.
2. 2Sprawdź swoje dane w rządowym serwisie bezpiecznedane.gov.pl. Po zalogowaniu się do serwisu zweryfikujesz numer PESEL, numer telefonu, adres e-mail i login.
3. 3Zajrzyj na Internetowe Konto Pacjenta i przejrzyj historię recept, skierowań oraz wizyt. Wpis, którego nie rozpoznajesz, zgłoś świadczeniodawcy.
4. 4Ustaw unikalne hasła i włącz uwierzytelnianie wieloskładnikowe. Oba kroki zaleciło Ministerstwo Zdrowia 12 sierpnia 2026.
5. 5Każdy telefon powołujący się na ten wyciek traktuj jak próbę wyłudzenia, dopóki sam nie oddzwonisz na oficjalny numer instytucji.