Wyciekły dane milionów Polaków
12 sierpnia 2026 r. Ministerstwo Cyfryzacji poinformowało, że w systemach firmy MyDr. doszło do nieuprawnionego dostępu do historycznych danych. Spółka dostarcza oprogramowanie lekarzom, gabinetom i innym placówkom ochrony zdrowia.
Chodzi przede wszystkim o informacje przechowywane w systemach do kwietnia 2024 r. Pacjenci w całej Polsce właśnie zaczęli otrzymywać wiadomości informujące o wycieku ich danych oraz o możliwych konsekwencjach tego zdarzenia.
Pacjenci w całej Polsce otrzymują wiadomości od przychodni. Nie należy ich ignorować
Wielu Polaków otrzymało lub prawdopodobnie wkrótce otrzyma wiadomość o następującej treści:
„Z przykrością informujemy, że system naszego podmiotu przetwarzającego, tj. MyDr Sp. z o.o. z siedzibą w Warszawie, padł ofiarą cyberataku, w wyniku którego doszło do naruszenia poufności Pani/Pana danych osobowych oraz danych osobowych Pani/Pana przedstawiciela ustawowego lub osoby upoważnionej do dostępu do dokumentacji medycznej.”
Placówki medyczne informują również, jakie dane mogły zostać objęte naruszeniem:
„Wśród danych objętych incydentem mogły znaleźć się Pani/Pana: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, ubezpieczenia społecznego, i (jeśli zostały podane) informacje dotyczące pracodawcy, lub inne dane identyfikacyjne.”
W komunikatach wskazywane są także możliwe konsekwencje wycieku:
„Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w połączeniu z imieniem i nazwiskiem oraz danymi kontaktowymi, w określonych sytuacjach, mógłby posłużyć osobom nieuprawnionym do działań niezgodnych z prawem. W szczególności, jeśli dane te zostałyby publicznie ujawnione, mogłyby zostać użyte przez osoby nieuprawnione do:
- zaciągnięcia kredytu, pożyczki lub zawarcia innych umów bez Pani/Pana wiedzy;
- uzyskania dostępu do Pani/Pana danych zdrowia w instytucjach medycznych, w których uwierzytelnianie osób następuje przy pomocy numeru PESEL.
Incydent mógł również dotyczyć danych dotyczących zdrowia, których nieuprawnione użycie może naruszać Pani/Pana prawa, w szczególności, gdyby osoby trzecie próbowały wykorzystać te informacje:
- w sposób niekorzystny dla Pani/Pana, w tym prowadzący do naruszenia Pani/Pana praw lub do gorszego traktowania w środowisku zamieszkania;
- w celu dokonania oszustwa, np. poprzez kontakt z Panią/Panem lub bliskimi w celu zaoferowania alternatywnych metod leczenia zdiagnozowanych u Pani/Pana chorób.”
Wielu pacjentów może w ogóle nie kojarzyć nazwy MyDr. Nie musieli zawierać z tą firmą żadnej umowy ani samodzielnie korzystać z jej usług. Wystarczy jednak, że z oprogramowania MyDr korzystała przychodnia, gabinet lekarski albo inna placówka, w której dana osoba się leczyła.
To właśnie dlatego informacja o naruszeniu może przyjść od placówki medycznej, a nie bezpośrednio od MyDr. W takim układzie administratorami danych są co do zasady poszczególne placówki ochrony zdrowia, natomiast MyDr przetwarzało powierzone mu dane. Placówka musi ocenić, czy incydent dotyczył danych jej pacjentów oraz jakie ryzyko wiąże się z naruszeniem. Jeżeli może ono powodować wysokie ryzyko dla praw lub wolności konkretnej osoby, administrator powinien ją o tym zawiadomić.
Ważne
Nie każdy SMS lub e-mail dotyczący MyDr musi być prawdziwy. Sprawa może stać się wygodnym pretekstem dla oszustów. Jeżeli wiadomość zawiera link prowadzący do logowania, prośbę o podanie danych karty, hasła, kodu SMS albo innych poufnych informacji, lepiej nie korzystać z zamieszczonego w niej odnośnika. Bezpieczniej samodzielnie wejść na oficjalną stronę placówki lub zadzwonić pod znany wcześniej numer telefonu.
PESEL to nie wszystko. Do czego mogą posłużyć przejęte dane?
Sam numer PESEL nie może zostać wykorzystany do uzyskania dostępu do rachunku bankowego. W połączeniu z innymi prawdziwymi informacjami może jednak znacznie ułatwić podszywanie się pod konkretną osobę. Ryzyko nie ogranicza się przy tym wyłącznie do kredytów i pożyczek.
Przejęte dane mogą zostać wykorzystane do przygotowania wiarygodnych wiadomości phishingowych, wyłudzania kolejnych informacji, prób przejęcia dostępu do różnych usług czy zawierania niektórych umów na cudze dane. Prawdziwe informacje o ofierze są dla oszusta szczególnie cenne. Telefon od osoby, która zna nasze imię, nazwisko, PESEL, nazwę przychodni albo inne szczegóły dotyczące naszego życia, brzmi znacznie bardziej przekonująco niż przypadkowa próba wyłudzenia informacji.
W przypadku MyDr znaczenie ma również charakter samych danych. Prezes UODO, informując o rozpoczęciu kontroli w spółce, wskazał, że sprawa dotyczy także danych o stanie zdrowia pacjentów. Informacje o zdrowiu należą do szczególnych kategorii danych osobowych i są objęte podwyższoną ochroną.
Jak sprawdzić, czy dane znalazły się w wycieku?
Informacje związane z incydentem są udostępniane w rządowym serwisie Bezpieczne Dane. Aby sprawdzić, czy doszło do naruszenia dotyczącego naszych danych, należy zalogować się do serwisu przez profil zaufany lub np. za pośrednictwem aplikacji bankowej:
Sprawdź czy Twoje dane wyciekły na bezpiecznedane.gov.pl.
Ministerstwo Cyfryzacji już 12 sierpnia zapowiedziało, że po zidentyfikowaniu przejętych danych będą one sukcesywnie przekazywane do serwisu. Podczas posiedzenia komisji sejmowej 3 września przedstawiciele rządu potwierdzili, że uruchomiona została możliwość sprawdzania danych związanych z incydentem MyDr.
Osoby, które nie mają dostępu do internetu lub z niego nie korzystają, niestety nie mają możliwości samodzielnego sprawdzenia informacji w serwisie internetowym. W takim przypadku warto szukać pomocy w najbliższym urzędzie gminy lub miasta, przy okazji zastrzegając swój numer PESEL.
Zastrzeżenie PESEL pomaga, ale nie chroni przed wszystkim
Jednym z podstawowych działań ochronnych po takim incydencie jest zastrzeżenie numeru PESEL. Można zrobić to jednym kliknięciem w aplikacji lub serwisie mObywatel, a także osobiście w urzędzie gminy. Jest to jeden z najważniejszych sposobów ochrony przed potencjalnym zaciągnięciem określonych zobowiązań bez naszej wiedzy.
Od 1 czerwca 2024 r. określone instytucje mają obowiązek sprawdzania Rejestru Zastrzeżeń Numerów PESEL przed dokonaniem niektórych czynności, m.in. przed zawarciem umowy kredytu lub pożyczki. Ma to szczególne znaczenie w przypadku kradzieży tożsamości. Jeżeli oszust posłuży się danymi osoby, która miała zastrzeżony PESEL, przepisy mogą uniemożliwić instytucji dochodzenie od niej roszczeń wynikających z umowy objętej ustawową ochroną. Ochrona ta dotyczy jednak wyłącznie konkretnych czynności i podmiotów wskazanych w przepisach.
Blokada numeru PESEL nie uniemożliwia zwykłego korzystania z opieki zdrowotnej, realizowania recept czy załatwiania większości codziennych spraw urzędowych. Przy zastrzeżonym numerze PESEL nie można jednak samodzielnie dokonywać części czynności wymagających wcześniejszego sprawdzenia jego statusu, np. zaciągnąć kredytu w aplikacji bankowej czy skorzystać z niektórych form odroczonej płatności, takich jak PayPo.
Zastrzeżenie PESEL ma również znaczenie przy określonych czynnościach notarialnych. Jeśli numer PESEL jest zastrzeżony, notariusz w przypadkach określonych w przepisach ma obowiązek odmówić dokonania czynności dotyczącej m.in. zakupu lub sprzedaży nieruchomości.
Zastrzeżony PESEL można cofnąć
Zastrzeżenie numeru PESEL nie jest nieodwracalne. Jeżeli ktoś chce np. zawrzeć umowę wymagającą wcześniejszego sprawdzenia statusu PESEL, może zastrzeżenie cofnąć. Możliwe jest również cofnięcie czasowe. Użytkownik może wtedy wskazać moment, w którym numer ma zostać automatycznie ponownie zastrzeżony.
Ważne
Po cofnięciu zastrzeżenia może być konieczne odczekanie 30 minut, zanim będzie można ponownie zastrzec numer PESEL. Informacja na ten temat znajduje się na stronie rządowej i nie powinna być powodem do niepokoju, jednak warto mieć tę zasadę na uwadze.
Przepisy nie przewidują natomiast analogicznego 30-minutowego okresu, w którym nie można byłoby cofnąć zastrzeżenia tuż po jego dokonaniu.
Czy za wyciek danych należy się odszkodowanie?
Wyciek danych może stanowić podstawę do dochodzenia odszkodowania, jednak muszą zostać spełnione określone w przepisach warunki. Podstawą roszczenia może być art. 82 RODO, zgodnie z którym:
„Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.”
Odpowiedzialność odszkodowawcza administratora lub podmiotu przetwarzającego jest powiązana z naruszeniem obowiązków wynikających z RODO. Zgodnie z ust. 2 omawianego przepisu:
„Każdy administrator uczestniczący w przetwarzaniu odpowiada za szkody spowodowane przetwarzaniem naruszającym niniejsze rozporządzenie. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które niniejsze rozporządzenie nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami administratora lub wbrew takim poleceniom.”
Co więcej, administrator lub podmiot przetwarzający może zostać zwolniony z odpowiedzialności wynikającej z tego przepisu, jeżeli udowodni, że w żaden sposób nie ponosi odpowiedzialności za zdarzenie, które doprowadziło do powstania szkody.
Ważne
W praktyce przy dochodzeniu odszkodowania trzeba wykazać kilka elementów: że doszło do naruszenia RODO, że powstała szkoda oraz że pomiędzy naruszeniem a szkodą istnieje związek. Znaczenie ma również kwestia odpowiedzialności administratora lub podmiotu przetwarzającego za zdarzenie, które doprowadziło do powstania szkody. Samo stwierdzenie naruszenia przepisów nie zatem automatycznie równoznaczne z przyznaniem odszkodowania.
TSUE: na administratorze danych spoczywa ciężar udowodnienia odpowiedniości środków bezpieczeństwa
W ramach powództwa o odszkodowanie można posiłkować się wyrokiem Trybunału Sprawiedliwości Unii Europejskiej z 14 grudnia 2023 r. w sprawie C-340/21. Odpowiadając kolejno na przedstawione pytania, Trybunał stwierdził, że:
- Nieuprawnione ujawnienie danych osobowych lub nieuprawniony dostęp do tych danych przez „osoby trzecie” nie są same w sobie wystarczające do uznania, że środki techniczne i organizacyjne wdrożone przez administratora danych nie były „odpowiednie”.
- Odpowiedniość środków technicznych i organizacyjnych wdrożonych przez administratora powinna być oceniana przez sądy krajowe w sposób konkretny, z uwzględnieniem ryzyka związanego z danym przetwarzaniem oraz przy ocenie, czy charakter, treść i sposób wdrożenia tych środków były odpowiednie do tego ryzyka.
- W ramach powództwa o odszkodowanie opartego na art. 82 RODO na administratorze danych spoczywa ciężar udowodnienia odpowiedniości środków bezpieczeństwa, które wdrożył. Ponadto w celu oceny adekwatności tych środków opinia biegłego sądowego nie musi stanowić koniecznego i wystarczającego środka dowodowego.
Ważne
Wyrok ten ma zatem ogromne znaczenie w sprawach dotyczących cyberataków, ponieważ stwierdza wprost, że sam fakt, że za naruszeniem stoją osoby trzecie, nie przesądza jeszcze ani o odpowiedzialności administratora, ani o jej braku. Konieczna jest ocena, czy zastosowane przez niego zabezpieczenia były odpowiednie do istniejącego ryzyka.
Strach przed wykorzystaniem danych może mieć znaczenie
Jak w takim przypadku należy rozumieć szkodę? Według Trybunału Sprawiedliwości UE RODO nie ustanawia minimalnego poziomu dotkliwości szkody niemajątkowej, od którego dopiero można żądać rekompensaty. Szkoda może więc być stosunkowo niewielka. Nadal trzeba jednak wykazać, że rzeczywiście wystąpiła. Znaczenie może mieć również sam strach przed wykorzystaniem danych.
Wedłuf TSUE, brzmienie art. 82 ust. 1 RODO nie stoi na przeszkodzie temu, aby pojęcie „krzywdy” obejmowało sytuację, w której osoba, której dane dotyczą, w celu uzyskania odszkodowania powołuje się na obawę, że jej dane osobowe będą w przyszłości przedmiotem niewłaściwego wykorzystania przez osoby trzecie wskutek naruszenia RODO. Obawa przed potencjalnym niewłaściwym wykorzystaniem danych osobowych przez osoby trzecie może zatem sama w sobie stanowić „krzywdę” w rozumieniu tego przepisu.
Nie trzeba więc czekać, aż ktoś faktycznie zaciągnie kredyt na cudze dane, aby w ogóle można było mówić o szkodzie niemajątkowej. W przywołanym wyroku TSUE uznał, że obawa przed możliwym przyszłym wykorzystaniem danych w sposób stanowiący nadużycie może sama w sobie stanowić szkodę niemajątkową.
Ile można dostać za wyciek danych?
RODO nie przewiduje stawek, zgodnie z którymi za ujawnienie numeru PESEL należy się określona kwota, a za ujawnienie danych medycznych – inna. Wysokość odszkodowania zależy od konkretnej sytuacji oraz rozmiaru wykazanej szkody.
Znaczenie mogą mieć m.in. rodzaj i zakres ujawnionych danych, utrata kontroli nad informacjami, realne ryzyko ich wykorzystania oraz skutki, jakie incydent wywołał dla konkretnej osoby. Inaczej może być więc oceniana sytuacja, w której doszło do ujawnienia podstawowych danych identyfikacyjnych, a inaczej przypadek obejmujący jednocześnie numer PESEL, dane kontaktowe oraz informacje dotyczące zdrowia. Istotne mogą być także dalsze konsekwencje naruszenia, np. konieczność podejmowania dodatkowych działań ochronnych czy rzeczywista i uzasadniona obawa przed wykorzystaniem danych.
Czy przed pozwem trzeba iść do UODO?
Postępowanie przed Prezesem Urzędu Ochrony Danych Osobowych i dochodzenie odszkodowania to dwie odrębne kwestie. UODO może prowadzić postępowanie administracyjne, nakazywać określone działania oraz nakładać administracyjne kary pieniężne. Pieniądze z takiej kary nie trafiają jednak do osób, których dane zostały objęte naruszeniem.
Odszkodowania na podstawie art. 82 RODO dochodzi się przed sądem od administratora lub – w odpowiednich przypadkach – podmiotu przetwarzającego odpowiedzialnego za naruszenie. W Polsce sprawy o roszczenia wynikające z naruszenia przepisów o ochronie danych osobowych należą do właściwości sądów okręgowych.
Postępowanie przed UODO może mieć znaczenie dla wyjaśnienia okoliczności naruszenia, ustalenia, czy doszło do naruszenia przepisów RODO, oraz określenia odpowiedzialności administratora danych. Samo nałożenie przez urząd kary administracyjnej nie oznacza wypłaty odszkodowania osobom poszkodowanym. Osoba, która chce uzyskać rekompensatę za poniesioną szkodę majątkową lub niemajątkową, musi dochodzić swojego roszczenia na właściwej drodze sądowej.
Podstawa prawna: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych),
Sprawa C-340/21. Wyrok Trybunału (trzecia izba) z dnia 14 grudnia 2023 r.
Krzysztof Rybak – prawnik, redaktor Forsal.pl, absolwent Uniwersytetu im. Adama Mickiewicza w Poznaniu. Zajmuję się tematyką podatków, nieruchomości oraz prawa cywilnego i gospodarczego. W swoich tekstach wyjaśniam zmiany w przepisach i ich praktyczne skutki. Przez lata byłem związany z branżą naukową i rolniczą. Zostałem wyróżniony przez Ministerstwo Rolnictwa i Rozwoju Wsi za osiągnięcia w obszarze rynku konopnego.