Hasło możesz zmienić. Historii swoich chorób — nie. Wyciek danych MyDr budzi pytania o bezpieczeństwo informacji medycznych milionów Polaków. Pacjenci chcą wiedzieć, czy incydent dotyczy ich rodziny, od kogo żądać wyjaśnień i jak egzekwować swoje prawa.

Doniesienia o wycieku danych nawet 19 milionów osób pokazują skalę problemu. UODO zapowiedział kontrolę spółki. Dla pacjentów najważniejsze pozostaje jednak ustalenie, jakie informacje zostały przejęte i co mogą zrobić, aby ograniczyć ryzyko.

Wyciek danych MyDr – jakie informacje mogły zostać przejęte?

Według komunikatu MyDr z 11 września 2026 r. incydent mógł objąć między innymi:

• imiona i nazwiska;
• adresy zamieszkania;
• numery PESEL;
• dane kontaktowe;
• informacje dotyczące zdrowia.

Zakres danych zależy od pacjenta i placówki. Nie oznacza to więc, że w przypadku każdej osoby przejęto wszystkie wymienione informacje.

Firma informowała jednocześnie o braku dowodów na publiczne udostępnienie danych. Potwierdziła jednak ich pozyskanie przez hakera. Brak publicznej publikacji nie oznacza zatem, że informacje pozostały bezpieczne.

Od kogo żądać wyjaśnień po wycieku danych?

W pierwszej kolejności należy zwrócić się do przychodni, gabinetu lub innej placówki, która korzystała z MyDr i przetwarza nasze dane.

To placówka jest administratorem dokumentacji swoich pacjentów. MyDr przetwarza ją na jej zlecenie. Korzystanie z zewnętrznego dostawcy systemu nie znosi obowiązków placówki wobec pacjenta.

Pismo można skierować do kierownictwa placówki lub inspektora ochrony danych, jeżeli został wyznaczony. Warto poprosić o odpowiedź na piśmie, aby zachować dokumentację sprawy.

W zapytaniu należy uwzględnić następujące kwestie:

• Czy moje dane zostały objęte incydentem? Jeżeli tego nie ustalono, co już wiadomo?
• Jakie konkretnie informacje mogły zostać przejęte?
• Kiedy placówka dowiedziała się o naruszeniu?
• Jakie działania ochronne podjęła?
• Jakie zagrożenia dotyczą mnie i jak mogę je ograniczyć?
• Z kim mogę kontaktować się w tej sprawie?

Ile czasu ma placówka na odpowiedź?

Na żądanie realizacji praw wynikających z RODO, na przykład dostępu do danych, administrator powinien odpowiedzieć co do zasady w ciągu miesiąca od jego otrzymania.

Ze względu na skomplikowany charakter żądania lub liczbę żądań może przedłużyć ten termin o maksymalnie dwa kolejne miesiące. Musi jednak poinformować o przedłużeniu i jego przyczynach w pierwszym miesiącu.

Osobną kwestią jest zawiadomienie pacjenta o naruszeniu powodującym wysokie ryzyko dla jego praw lub wolności. Takie zawiadomienie powinno nastąpić bez zbędnej zwłoki.

Jak złożyć skargę do UODO?

Jeżeli placówka nie realizuje naszych praw lub nie odpowiada w wymaganym terminie, możemy złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

W skardze warto jasno opisać sytuację, wskazać placówkę i wyjaśnić, na czym polega naruszenie naszych praw. Należy również zachować i dołączyć istotną korespondencję, potwierdzenia wysłania żądań oraz otrzymane komunikaty.

UODO może badać naruszenia i nakazywać przestrzeganie przepisów. Nie przyznaje jednak pacjentowi odszkodowania. Roszczeń pieniężnych dochodzi się przed sądem cywilnym.

Czy za wyciek danych MyDr można otrzymać odszkodowanie?

Media opisały przypadek pacjenta, który domaga się od MyDr 30 tys. zł zadośćuczynienia. Samo zgłoszenie takiego żądania nie oznacza jednak wygranej ani kwoty należnej każdej osobie objętej incydentem.

Aby uzyskać rekompensatę, trzeba wykazać naruszenie RODO, szkodę oraz związek między nimi.

Szkoda nie musi polegać wyłącznie na utracie pieniędzy. Zgodnie z orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej również uzasadniona obawa przed wykorzystaniem danych może stanowić szkodę niemajątkową. Wymaga to jednak oceny okoliczności konkretnej sprawy.

Odpowiedzialność placówki lub dostawcy systemu również wymaga indywidualnego ustalenia. Dlatego warto dokumentować skutki naruszenia, otrzymane powiadomienia i podejmowane działania.

Jak chronić się po wycieku danych medycznych?

Po otrzymaniu informacji o incydencie warto podjąć kilka działań:

• Zastrzec numer PESEL, na przykład w aplikacji mObywatel lub urzędzie gminy.
• Sprawdzać komunikaty placówki oraz informacje w rządowym serwisie Bezpieczne Dane.
• Uważać na telefony, SMS-y i wiadomości e-mail podszywające się pod placówki medyczne.
• Weryfikować podejrzane prośby o podanie danych lub dokonanie płatności.
• Zachować zawiadomienia o incydencie i korespondencję.

Znajomość naszego nazwiska czy informacji o leczeniu nie dowodzi wiarygodności rozmówcy. Takie dane mogą zostać wykorzystane do uwiarygodnienia próby oszustwa.

Zastrzeżenie PESEL-u pomaga ograniczyć ryzyko wyłudzeń. Nie cofnie jednak ujawnienia informacji o zdrowiu.

Pacjenci mają prawo do konkretnych odpowiedzi

Pacjent nie powinien sam zgadywać, co stało się z jego prywatnością. Ma prawo domagać się jasnych informacji, realizacji swoich praw i rozliczenia ewentualnych zaniedbań.

Wyciek danych MyDr przypomina, jak ważna jest ochrona dokumentacji medycznej. Skutki utraty kontroli nad takimi informacjami mogą wykraczać daleko poza moment samego ataku.

Czy Twoja placówka poinformowała Cię o incydencie? Czy otrzymałeś konkretne wyjaśnienia? Jeśli dzielisz się swoją opinią w komentarzu, nie publikuj numeru PESEL ani dokumentacji medycznej.

✍️ Autorka tekstu: Katarzyna Dutka

ℹ️ Jeśli uważasz, że to, co robimy, ma sens, możesz wspierać codzienne działania Fundacji Twoje VETO na kilka sposobów – szczegóły znajdziesz w menu WSPARCIE.