Sprawa wycieku danych z systemów MyDr rozpoczęła się 10 sierpnia, kiedy firma poinformowała o nieuprawnionym dostępie do danych. Dwa dni później Ministerstwo Cyfryzacji potwierdziło, że chodzi o historyczne dane gabinetów lekarskich przechowywane w systemach MyDr – do kwietnia 2024 r. Według resortu incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych. Jednocześnie ministerstwo podkreśliło, że atak nie wpłynął na bieżące funkcjonowanie placówek, w tym wystawianie recept.
Wśród danych, które mogą być objęte incydentem, znajdują się m.in. dane identyfikacyjne, PESEL, dane kontaktowe oraz informacje związane ze zdrowiem – w tym receptami, lekami, rozpoznaniami i historią wizyt. Zakres danych dotyczących poszczególnych osób może być jednak różny i nadal jest ustalany.
Działania służb
Po potwierdzeniu incydentu sprawą zajęły się m.in. Ministerstwo Cyfryzacji, Ministerstwo Zdrowia, UODO, Prokuratura Krajowa i Centralne Biuro Zwalczania Cyberprzestępczości. Ministerstwo zapowiedziało także sukcesywne przekazywanie zweryfikowanych informacji do rządowego serwisu bezpiecznedane.gov.pl, gdzie pacjenci mają móc sprawdzić, czy incydent ich dotyczy.
O zagrożeniach ostrzegają również lekarze aktywni w mediach społecznościowych. Rzecznik NIL Jakub Kosikowski zwracał uwagę na skalę kryzysu, wielu specjalistów apelowało o zachowanie szczególnej ostrożności przed phishingiem i podszywaniem się pod placówki medyczne.
Naczelna Izba Lekarska opublikowała najpierw komunikat dotyczący obowiązków lekarzy będących administratorami danych, a następnie, 13 sierpnia, szczegółowy przewodnik „Co powinien zrobić gabinet korzystający z systemu MyDr?”.
Nie czekać na ustalenia
Przewodnik NIL ma uporządkować działania placówek po incydencie. Izba podkreśla, że administratorem danych pacjentów pozostaje gabinet, praktyka lub przychodnia, nawet jeśli samo naruszenie nastąpiło w infrastrukturze dostawcy oprogramowania. To placówka odpowiada więc za ocenę naruszenia, zgłoszenie go organowi nadzorczemu i – jeżeli są ku temu przesłanki – poinformowanie pacjentów.
Jedna z najważniejszych wskazówek dotyczy czasu. NIL zaleca, aby placówka odnalazła wiadomość od MyDr i zapisała dokładną datę oraz godzinę jej otrzymania. Od tego momentu liczone są kolejne terminy. Nie należy czekać, aż dostawca zakończy całe postępowanie wyjaśniające.
Przewodnik opisuje sześć etapów:
- pierwsza doba: uruchomienie procedury reagowania, powiadomienie osoby odpowiedzialnej za ochronę danych, zabezpieczenie dowodów i ustalenie, jakie dane mogły być objęte incydentem;
- do trzech dni: zmiana haseł, włączenie uwierzytelniania dwuskładnikowego, przegląd uprawnień i wykonanie własnej kopii danych;
- do 72 godzin: zgłoszenie naruszenia Prezesowi UODO, jeżeli placówka korzystała z systemu w okresie objętym incydentem i nie ma pisemnego potwierdzenia, że jej dane nie znalazły się w naruszonym zbiorze;
- bez zbędnej zwłoki: zawiadomienie pacjentów, jeżeli naruszenie powoduje wysokie ryzyko dla ich praw lub wolności;
- kolejne dni: zgłoszenia do właściwych podmiotów związanych z cyberbezpieczeństwem oraz formalne wystąpienie do dostawcy o informacje o zakresie naruszenia;
-
kolejne tygodnie: aktualizacja analizy ryzyka, procedur bezpieczeństwa, szkolenie personelu i okresowa weryfikacja dostawców.
NIL przygotował też gotowe wzory: zawiadomienia do dostawcy, wpisu do rejestru naruszeń, zawiadomienia pacjenta, materiału informacyjnego dla pacjentów, skryptu dla rejestracji oraz checklistę czynności.
Co powiedzieć pacjentom?
Samorząd zwraca szczególną uwagę na ryzyko kolejnej fali oszustw. Jeśli przestępcy dysponują informacjami o wizytach, lekach czy stanie zdrowia, mogą wykorzystać je do stworzenia wiarygodnie wyglądających telefonów, SMS-ów i e-maili.
Dlatego w komunikacji z pacjentami nie należy prosić o PESEL, hasła, kody SMS ani dane karty płatniczej. NIL zaleca także, aby wiadomości informujące o incydencie nie zawierały linków do formularzy wymagających logowania. Pacjent powinien mieć możliwość zweryfikowania wiadomości, kontaktując się z placówką przez oficjalny numer telefonu.
Co może zrobić pacjent?
Jedną z podstawowych rekomendacji jest zastrzeżenie numeru PESEL. NIL wskazuje również na ostrożność wobec telefonów i wiadomości dotyczących zdrowia, recept, wyników badań czy płatności. Warto włączyć uwierzytelnianie dwuskładnikowe w bankowości elektronicznej, poczcie i Internetowym Koncie Pacjenta, nie używać tego samego hasła w wielu serwisach oraz obserwować rachunek bankowy i informacje o zapytaniach kredytowych. Ważne jest też, by nie korzystać z przypadkowych stron oferujących „natychmiastowe sprawdzenie wycieku”. NIL ostrzega, że takie serwisy same mogą być próbą wyłudzenia danych.
NIL zastrzega jednocześnie, że jego przewodnik ma charakter pomocniczy. Nie zastępuje wewnętrznych procedur placówki, a za ocenę konkretnego przypadku, decyzję o zgłoszeniu naruszenia i zawiadomieniu pacjentów odpowiada indywidualnie administrator danych. Dokument odzwierciedla stan prawny i faktyczny na 12 sierpnia 2026 r., a postępowania wyjaśniające nadal trwają.
Co jest najważniejsze
Dla lekarzy korzystających z MyDr najważniejszy komunikat brzmi tak: nie czekać na dalsze ustalenia, rozpocząć własną procedurę, zabezpieczyć dostęp do systemu, udokumentować działania i sprawdzić obowiązki wobec UODO oraz pacjentów.
