Wyciek danych niemal 19 mln Polaków. UODO wydał ważny komunikat
Cyberatak na firmę MyDr doprowadził do jednego z największych incydentów dotyczących danych osobowych w Polsce. Według informacji przekazanych przez ministra cyfryzacji wykradziona baza obejmuje ponad 2 TB danych związanych ze wsparciem medycznym i może dotyczyć blisko 19 mln osób. Sprawą zajmują się służby, a instytucje państwowe uruchomiły działania mające ograniczyć skutki naruszenia. Urząd Ochrony Danych Osobowych wydał komunikat.
Dla pacjentów najważniejsze będzie ustalenie, czy ich dane znalazły się w wykradzionym zbiorze oraz jaki dokładnie był ich zakres. Wyciek informacji medycznych jest szczególnie poważny, ponieważ mogą one zostać wykorzystane nie tylko do prób oszustwa, ale również do bardziej wiarygodnych ataków phishingowych kierowanych do konkretnych osób.
Dane osobowe w Polsce. Chronione są nie tylko imię, nazwisko i PESEL
Dane osobowe to wszelkie informacje pozwalające bezpośrednio lub pośrednio zidentyfikować konkretną osobę. Mogą obejmować imię i nazwisko, numer PESEL, adres, numer telefonu, adres e-mail czy dane dotyczące lokalizacji. Do tej kategorii należą jednak także informacje, które dopiero po połączeniu z innymi pozwalają ustalić tożsamość człowieka. Tak właśnie definiuje je RODO.
Szczególną ochroną objęte są między innymi dane dotyczące zdrowia. Informacje o chorobach, diagnozach, leczeniu, receptach czy przebytych wizytach medycznych mogą ujawniać bardzo prywatne elementy życia człowieka. Ich nieuprawnione ujawnienie może prowadzić nie tylko do strat finansowych, ale także do naruszenia prywatności, dóbr osobistych, a w skrajnych przypadkach do dyskryminacji lub stygmatyzacji. UODO wprost wskazuje takie zagrożenia przy naruszeniach dotyczących zdrowia.
Ochrona danych osobowych oznacza, że firmy i instytucje nie mogą dowolnie zbierać, wykorzystywać ani udostępniać informacji o swoich klientach czy pacjentach. Administrator powinien mieć podstawę prawną do przetwarzania danych, stosować odpowiednie zabezpieczenia i ograniczać zakres informacji do tego, co rzeczywiście potrzebne.
Problem pojawia się w chwili utraty poufności. Jeżeli dane trafią do przestępców, mogą zostać wykorzystane między innymi do do:
- podszywania się pod inne osoby,
- przygotowywania fałszywych wiadomości,
- prób wyłudzenia pieniędzy,
- prób pozyskania kolejnych informacji.
Numer PESEL połączony z imieniem i nazwiskiem zwiększa także ryzyko prób wykorzystania danych w usługach finansowych, dlatego po poważnych wyciekach często rekomendowane jest jego zastrzeżenie.
W przypadku informacji medycznych pojawia się dodatkowe zagrożenie. Oszust, który zna nazwę przychodni, fakt wizyty albo informacje związane z leczeniem, może przygotować wiadomość wyglądającą znacznie bardziej wiarygodnie niż przypadkowy SMS. Dlatego konsekwencje wycieku mogą ujawniać się jeszcze długo po samym cyberataku.
Wyciek danych blisko 19 mln Polaków. Wykradziona baza ma ponad 2 TB
Incydent dotyczy firmy MyDr, jednego z największych w Polsce dostawców systemów Elektronicznej Dokumentacji Medycznej. Z jej rozwiązań korzystają tysiące podmiotów ochrony zdrowia, a platforma ma obsługiwać około 3 mln wizyt miesięcznie. Cyberatak został ujawniony w sierpniu 2026 roku.
Początkowo osoby podające się za sprawców twierdziły, że zdobyły dane około 18,8 mln Polek i Polaków. 12 sierpnia wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował po posiedzeniu Połączonego Centrum Operacji Cyberbezpieczeństwa, że wykradziona baza rzeczywiście obejmuje dane związane ze wsparciem medycznym blisko 19 mln obywateli i ma ponad 2 TB.
Nie oznacza to jednak, że każdej z tych osób wyciekł dokładnie taki sam zestaw informacji. Zakres danych może różnić się w zależności od placówki, zakresu korzystania z systemu oraz sposobu prowadzenia dokumentacji. W materiałach opublikowanych przez osoby podające się za sprawców miały pojawić się między innymi numery PESEL, daty urodzenia, numery telefonów i informacje dotyczące recept, ale pełny zakres całej skradzionej bazy nadal jest analizowany.
Ministerstwo Zdrowia poinformowało, że sprawa jest monitorowana przez właściwe służby i instytucje państwowe. Centrum e-Zdrowia współpracuje ze służbami prowadzącymi działania związane z incydentem i ma pomagać w ograniczaniu jego potencjalnych skutków. Podobny komunikat opublikował Narodowy Fundusz Zdrowia.
Według informacji przekazanych przez ministra cyfryzacji systemy firmy zostały zabezpieczone, a częścią operacyjną sprawy zajmują się Centralne Biuro Zwalczania Cyberprzestępczości oraz prokuratura. Władze przygotowały również rozwiązanie pozwalające sprawdzić, czy konkretna osoba znalazła się wśród poszkodowanych.
Największym zagrożeniem dla pacjentów są obecnie próby wykorzystania zdobytych informacji. Przestępcy mogą podszywać się pod przychodnie, lekarzy, instytucje publiczne lub banki i przekonywać ofiarę, że znają jej sytuację właśnie dlatego, że posiadają prawdziwe dane. W takiej sytuacji wiadomość dotycząca recepty, wizyty czy dokumentacji może wyglądać wiarygodniej niż typowy phishing.
Zobacz też: Pogoda długoterminowa na sierpień. Niepokojące prognozy na koniec wakacji
UODO zabrał głos po wycieku. Administratorzy mają obowiązek powiadomić pacjentów
12 sierpnia Urząd Ochrony Danych Osobowych wydał komunikat skierowany przede wszystkim do administratorów, którzy powierzyli przetwarzanie danych firmie MyDr. UODO podkreślił, że każda taka placówka lub firma powinna przeanalizować incydent i ustalić, czy naruszenie powoduje ryzyko dla praw i wolności osób fizycznych.
Jeżeli doszło do naruszenia ochrony danych, administrator powinien zgłosić sprawę prezesowi UODO bez zbędnej zwłoki, a w miarę możliwości nie później niż w ciągu 72 godzin od jej stwierdzenia. Jeżeli termin zostanie przekroczony, trzeba dodatkowo wyjaśnić przyczynę opóźnienia.
Jeszcze ważniejszy obowiązek pojawia się wtedy, gdy naruszenie może powodować wysokie ryzyko dla osób, których dotyczy. W takim przypadku administrator powinien bez zbędnej zwłoki bezpośrednio poinformować poszkodowanego pacjenta. Odpowiedzialność nie spoczywa więc wyłącznie na MyDr. Poszczególne przychodnie i inne podmioty korzystające z jej usług muszą samodzielnie ocenić sytuację dotyczącą powierzonych przez siebie danych.
Jednocześnie informujemy, że obowiązek powiadomienia osób, dotkniętych wyciekiem danych, spoczywa na administratorach, którzy korzystali z usług spółki MyDr. - przekazuje UODO.
Wiadomość do pacjenta powinna wyjaśniać, co dokładnie się wydarzyło, jakie kategorie danych zostały naruszone oraz jakie mogą być tego konsekwencje. Administrator powinien wskazać również działania podjęte w celu ograniczenia zagrożenia i zalecenia dla osoby poszkodowanej. UODO jako przykład przy wycieku imienia, nazwiska i numeru PESEL wskazuje możliwość zarekomendowania zastrzeżenia PESEL.
Urząd zwraca uwagę, że w przypadku danych zdrowotnych konsekwencje są szersze niż samo ryzyko wyłudzenia kredytu. Mogą obejmować naruszenie dóbr osobistych, dyskryminację czy ostracyzm społeczny. Administrator powinien więc oceniać zagrożenie również pod tym kątem i przekazać pacjentowi informacje, które pozwolą mu zareagować adekwatnie do rodzaju ujawnionych danych.
Komunikat oznacza przede wszystkim, że osoby, których dotyczy incydent, nie powinny być pozostawione jedynie z ogólną informacją o cyberataku. Jeżeli konkretna placówka stwierdzi wysokie ryzyko związane z ujawnieniem danych swoich pacjentów, powinna ich bezpośrednio zawiadomić. W praktyce informacje mogą więc trafiać do poszkodowanych stopniowo, w miarę prowadzenia analiz przez kolejne podmioty korzystające z MyDr.
Dla pacjentów kluczowa będzie w najbliższym czasie szczególna ostrożność wobec wiadomości dotyczących zdrowia, recept, wizyt czy przychodni. Prawdziwe dane mogą zostać wykorzystane do uwiarygodnienia oszustwa, dlatego sam fakt, że nadawca zna PESEL, numer telefonu lub informacje związane z leczeniem, nie powinien być traktowany jako dowód jego autentyczności.
Czy dane osobowe są bezpieczne? Tak można to sprawdzić
Osoby, które chcą sprawdzić, czy ich dane znalazły się wśród informacji przejętych podczas cyberataku na MyDr, mogą skorzystać z rządowego serwisu bezpiecznedane.gov.pl. Po zalogowaniu za pomocą Profilu Zaufanego dostępna jest wyszukiwarka umożliwiająca zweryfikowanie między innymi numeru PESEL, numeru telefonu, adresu e-mail oraz loginu.
Ministerstwo Cyfryzacji zastrzega jednak, że dane osób poszkodowanych są dodawane do serwisu sukcesywnie, dlatego brak wyniku nie musi od razu oznaczać, że dana osoba na pewno nie została objęta incydentem. Proces może potrwać kilka dni, ponieważ informacje przekazują poszczególne gabinety i placówki medyczne będące administratorami danych. Resort wskazuje również, że osoby, których dane wyciekły, powinny w pierwszej kolejności zastrzec numer PESEL.
Można zrobić to w aplikacji mObywatel lub w urzędzie gminy. Warto też zachować szczególną ostrożność wobec telefonów, SMS-ów i wiadomości e-mail dotyczących wizyt lekarskich, recept, bankowości lub konieczności potwierdzenia danych, ponieważ przestępcy mogą wykorzystywać prawdziwe informacje do uwiarygodnienia prób oszustwa.
Obserwuj w Google News
