Czy lekarz korzystający z MyDr ma sam zgłosić wyciek danych pacjentów do UODO? I od kiedy właściwie liczy się 72-godzinny termin, skoro dostawca systemu informuje, że zgłoszenie nie jest na tym etapie wymagane?
Na te pytania, które po incydencie z systemem MyDr spędzają sen z powiek lekarzom prowadzącym praktyki i placówkom medycznym, odpowiedział Prezes Urzędu Ochrony Danych Osobowych. Stwierdził, że komunikat MyDr, że placówka nie musi zgłaszać naruszenia, nie zwalnia administratora danych z własnej oceny sytuacji.
Wyciek danych z MyDr
Sprawa dotyczy cyberataku na firmę MyDr, dostawcę oprogramowania wykorzystywanego przez gabinety i placówki ochrony zdrowia do prowadzenia elektronicznej dokumentacji medycznej.
12 sierpnia Ministerstwo Cyfryzacji poinformowało, że MyDr potwierdziła nieuprawniony dostęp do danych historycznych, sięgających do kwietnia 2024 r. Według informacji przedstawionych przez resort incydent może dotyczyć danych 18,8 mln osób oraz ponad 12 tys. placówek medycznych.
Dokładna skala naruszenia nadal jest ustalana. UODO 13 sierpnia zapowiedział kontrolę MyDr, obejmującą m.in. stosowane przez spółkę zabezpieczenia techniczne i organizacyjne oraz analizę ryzyka.
Sam incydent został ujawniony publicznie 12 sierpnia. Z informacji placówek medycznych wynika, że MyDr informował klientów o incydencie już wcześniej – przykładowo jedna z klinik podaje, że otrzymała taką informację 10 sierpnia.
Dwa różne komunikaty
Wśród lekarzy incydent wywołał pytania, jaka jest ich odpowiedzialność.
UODO w komunikacie z 12 sierpnia przypomniał administratorom korzystającym z MyDr o konieczności przeprowadzenia analizy ryzyka i – jeśli zachodzą przesłanki – zgłoszenia naruszenia oraz zawiadomienia osób, których dane dotyczą.
Jednak MyDr informował swoich klientów, że „na tym etapie nie muszą podejmować żadnych działań”, a zgłoszenia ze strony placówek nie są obecnie wymagane. Spółka zapowiedziała indywidualny kontakt z klientami objętymi incydentem.
To właśnie rozbieżność między tymi komunikatami skłoniła Naczelną Izbę Lekarską do wystąpienia do UODO. NIL zwracała uwagę, że lekarze, szczególnie prowadzący jednoosobowe praktyki, często nie mają własnych struktur zajmujących się ochroną danych. Muszą więc podejmować decyzje na podstawie informacji przekazywanych przez dostawcę oprogramowania.
Co z 72 godzinami?
To jeden z najważniejszych problemów, o które NIL zapytała UODO. Zgodnie z art. 33 RODO administrator ma, co do zasady, 72 godziny od stwierdzenia naruszenia na zgłoszenie go organowi nadzorczemu.
UODO wyjaśnił jednak, że nie można automatycznie liczyć tego terminu od momentu publicznego poinformowania o incydencie.
Jeżeli administrator nie ma od procesora informacji pozwalających stwierdzić, że naruszenie dotyczyło jego danych, termin 72 godzin nie zaczyna jeszcze biec. UODO podkreśla jednak, że administrator nie może w takiej sytuacji pozostać bierny. Powinien skontaktować się z procesorem i ustalić, czy incydent objął powierzone mu dane. ( MyDr jest tzw. podmiotem przetwarzającym – procesorem – czyli firmą, której placówki medyczne powierzyły dane pacjentów do przetwarzania).
Jeżeli natomiast administrator już stwierdził naruszenie, 72 godziny zaczynają biec, nawet jeśli nadal czeka na dodatkowe informacje od dostawcy systemu.
Decyzja należy do lekarza
UODO przypomina, że w takim modelu MyDr jest podmiotem przetwarzającym dane, natomiast administratorem pozostaje placówka lub lekarz, który powierzył spółce dane pacjentów. Procesor powinien przekazać administratorowi informacje potrzebne do wykonania obowiązków wynikających z RODO – m.in. dotyczące danych objętych incydentem, liczby osób oraz przebiegu naruszenia i zastosowanych środków zabezpieczających.
Nie oznacza to jednak przeniesienia odpowiedzialności na MyDr. Ostateczna ocena, czy doszło do naruszenia i czy należy je zgłosić, należy do administratora. UODO podkreśla, że informacje przekazane przez procesora mogą być pomocne, ale nie zastępują własnej analizy administratora.
Co ważne, UODO wskazuje też, że sama informacja MyDr o braku konieczności zgłoszenia „nie zwalnia administratorów od dokonania własnej analizy zdarzenia”.
UODO kontroluje MyDr
Dodatkowo UODO poinformował, że środki techniczne i organizacyjne zastosowane przez MyDr, w tym przeprowadzona przez spółkę analiza ryzyka, będą przedmiotem kontroli.
Źródło: nil.org.pl, pismo Prezesa UODO do Naczelnej Izby Lekarskiej z 21 sierpnia 2026 r.
