Szybkie podsumowanie: Incydent wycieku danych pacjentów z chmury firmy MyDr pokazał istotny problem odpowiedzialności prawnej na linii dostawca IT – placówka medyczna. Przepisy RODO nie zwalniają gabinetu lekarskiego ani przychodni z obowiązków wynikających z naruszenia ochrony danych, nawet jeśli do incydentu doszło po stronie zewnętrznego dostawcy. Placówka, jako administrator danych, powinna niezwłocznie ocenić zakres naruszenia i ryzyko dla praw i wolności pacjentów, a następnie ustalić, czy zachodzi obowiązek zgłoszenia naruszenia Prezesowi UODO – co do zasady w terminie 72 godzin od jego stwierdzenia – oraz czy konieczne jest zawiadomienie pacjentów, których dane zostały objęte incydentem. W sierpniu 2026 r. firma MyDr przekazała informacje o cyberataku na swoją infrastrukturę, w wyniku którego skradziono historyczne dane nawet 18,8 miliona polskich pacjentów. W ostatnim czasie temat ten budzi duże zainteresowanie w środowisku medycznym – i, jak pokazuje praktyka, równie dużo w tym temacie jest niepokoju wynikającego z niedoinformowania, co realnego ryzyka kar finansowych ze strony Urzędu Ochrony Danych Osobowych.

Najważniejsza informacja – czego wyciek u dostawcy NIE oznacza dla gabinetu

Zacznijmy od tego, co w rozmowach z placówkami pojawia się najczęściej jako pierwsza obawa lub błędne założenie: wyciek w chmurze MyDr nie oznacza, że przychodnia padła ofiarą ataku w swojej wewnętrznej sieci. Nie jest to też automatyczny dowód na winę placówki za sam incydent, ani podstawa do masowego wypłacania odszkodowań od ręki.

Regulacje RODO wymagają od administratora (gabinetu) adekwatnej reakcji na kryzys. Granicy odpowiedzialności prawnej przychodni nie wyznacza samo miejsce zaistnienia wycieku danych, ale podejmowane działania zaradcze, ocena ryzyka oraz rzetelne dopełnienie obowiązków informacyjnych wobec pacjentów i Prezesa UODO.

Co TRZEBA robić	Czego NIE wolno robić
Analizować: Zbadać skalę powierzenia danych i zabezpieczyć dowody.	Ignorować: Biernie czekać na pełne raporty od firmy MyDr.
Zgłaszać: Poinformować UODO w terminie 72h.	Zrzucać winę: Tłumaczyć, że za RODO odpowiada tylko dostawca i haker.
Zawiadamiać: Przekazać pacjentom wytyczne bezpieczeństwa bez zbędnej zwłoki.	Ukrywać: Zatajać fakt kradzieży danych wrażliwych przed pacjentami.
Ostrzegać: Zalecać szybkie zastrzeżenie numeru PESEL.	Lekceważyć procedury: Weryfikować tożsamość pacjenta przez telefon wyłącznie po PESEL.

Kto odpowiada za wyciek danych?

W przypadku wycieku danych u zewnętrznego dostawcy nie można automatycznie uznać, że odpowiada wyłącznie placówka albo dostawca. Każdy z podmiotów ma własne obowiązki wynikające z RODO.

Placówka medyczna jest co do zasady administratorem danych pacjentów. Zgodnie z art. 24 ust. 1 RODO odpowiada za wdrożenie odpowiednich środków organizacyjnych i technicznych oraz za wykazanie zgodności przetwarzania z RODO. Powierzenie danych dostawcy nie zwalnia jej z tych obowiązków.

Dostawca oprogramowania może natomiast występować jako podmiot przetwarzający. Zgodnie z art. 28 ust. 3 lit. f RODO ma obowiązek pomagać administratorowi w realizacji obowiązków związanych m.in. z naruszeniem danych. Odpowiedzialność obu stron należy więc oceniać odrębnie, z uwzględnieniem ich roli i zakresu obowiązków.

Krok 1: Uruchomienie procedury i wyznaczenie odpowiedzialności

W momencie powzięcia wiarygodnej informacji o wycieku (np. z wiadomości od dostawcy lub komunikatów rządowych) placówka musi natychmiast uruchomić wewnętrzną procedurę reagowania na naruszenia. W pierwszej kolejności należy:

Odnotować i utrwalić dokładną datę oraz godzinę uzyskania wiarygodnej informacji o naruszeniu. Zgodnie z art. 33 ust. 1 RODO administrator ma obowiązek zgłosić naruszenie ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki – w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia. Dlatego placówka powinna od początku dokumentować moment uzyskania wiarygodnej informacji o incydencie.
Poinformować kierownika podmiotu leczniczego, do którego należy ostateczna decyzja o formalnym zgłoszeniu incydentu.
Zawiadomić wyznaczonego w placówce Inspektora Ochrony Danych (IOD), a w przypadku jego braku – imiennie wyznaczyć osobę odpowiedzialną za koordynację całej sprawy.
Założyć chronologiczny dziennik działań (log postępowania), wpisując każdą czynność, datę, godzinę oraz osobę wykonującą, co stanowi kluczowy dowód dbałości i staranności w razie kontroli.

Krok 2: Zabezpieczenie dowodów i ustalenie własnej ekspozycji

Trzeba niezwłocznie przeprowadzić inwentaryzację i zabezpieczenie materiałów według poniższego zestawienia:

Zabezpieczenie dowodów:
- Zapisanie wiadomości e-mail od dostawcy jako pliku źródłowego (format .eml lub .msg wraz z pełnymi nagłówkami z datą i godziną).
- Archiwizacja komunikatów publikowanych przez MyDr oraz Ministerstwo Cyfryzacji do plików PDF z widoczną datą pobrania.
- Zabezpieczenie umowy powierzenia przetwarzania danych, regulaminów świadczenia usług oraz faktur dokumentujących okres korzystania z oprogramowania.
Ustalenie własnej ekspozycji:
- Weryfikacja dat rozpoczęcia i ewentualnego zakończenia korzystania z systemu (szczególnie pod kątem obecności danych sprzed kwietnia 2024 r.).
- Ustalenie przybliżonej liczby pacjentów znajdujących się w bazie w okresie objętym naruszeniem.
- Sporządzenie wykazu aktywnych modułów (rozliczenia z NFZ, wysyłka SMS, e-ZLA, integracja z Platformą P1).
- Sprawdzenie, czy w systemie umieszczono certyfikat ZUS do e-ZLA lub inne klucze kryptograficzne oraz sporządzenie listy pracowników posiadających konta użytkowników.

Krok 3: Zabezpieczenie dostępu i zasobów placówki

Podjęcie działań należy oceniać również przez pryzmat art. 32 ust. 1 RODO, zgodnie z którym administrator i podmiot przetwarzający mają obowiązek wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiadający ryzyku. Przepis wskazuje m.in. na zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów oraz na regularne testowanie, mierzenie i ocenianie skuteczności zastosowanych środków bezpieczeństwa.

Dlatego po ujawnieniu incydentu placówka powinna nie tylko reagować na sam wyciek, ale również zweryfikować, czy stosowane przez nią środki bezpieczeństwa są nadal adekwatne do ryzyka:

Zmiana haseł: Wymuszenie zmiany haseł dla wszystkich użytkowników konta placówki i upewnienie się, że nie są one powielane w innych serwisach.
Uwierzytelnianie dwuskładnikowe (2FA): Bezwzględne włączenie dwuetapowego logowania dla całego personelu.
Audyt uprawnień: Przegląd kont i natychmiastowe odebranie dostępu byłym pracownikom.
Zdalny dostęp: Ograniczenie możliwości zdalnego łączenia się przez wsparcie techniczne dostawcy (uruchamianie wyłącznie na czas konkretnej sesji serwisowej).
Własna kopia danych: Pobranie i bezpieczne zapisanie poza chmurą dostawcy własnej, zaszyfrowanej kopii zapasowej bazy pacjentów.
Certyfikaty ZUS: Wystąpienie do ZUS o unieważnienie i ponowne wydanie certyfikatu do e-ZLA, jeżeli był przechowywany w systemie MyDr.

Krok 4: Ocena ryzyka dla praw i wolności pacjentów

Każde naruszenie wymaga oceny ryzyka pod kątem niekorzystnych skutków dla osób, których dane dotyczą. Obowiązek uwzględniania ryzyka wynika m.in. z art. 33 ust. 2 RODO, zgodnie z którym administrator powinien uwzględnić charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów danych, a także możliwe konsekwencje naruszenia.

W przypadku danych dotyczących zdrowia szczególne znaczenie ma również art. 9 ust. 1 RODO, który zalicza dane dotyczące zdrowia do szczególnych kategorii danych osobowych, których przetwarzanie jest objęte szczególną ochroną.

Biorąc pod uwagę, że incydent objął numery PESEL w połączeniu z danymi o stanie zdrowia, analiza powinna szczegółowo uwzględniać możliwe konsekwencje dla pacjentów oraz prawdopodobieństwo ich wystąpienia. Wyniki oceny ryzyka należy udokumentować i wykorzystać przy podejmowaniu decyzji dotyczącej zgłoszenia naruszenia Prezesowi UODO oraz zawiadomienia osób, których dane dotyczą.

Krok 5: Zgłoszenie naruszenia do Prezesa UODO

Zgłoszenia należy dokonać elektronicznie (przez portal UODO, e-Doręczenia lub pismo podpisane podpisem kwalifikowanym/zaufanym) w terminie 72 godzin od stwierdzenia naruszenia. Nie wolno czekać na pełne wyniki śledztwa dostawcy – w pierwszej kolejności składa się zgłoszenie wstępne, powołując się na dane posiadane przez placówkę.

W formularzu zgłoszeniowym najlepiej zawrzeć następujące sformułowania:

Charakter naruszenia: Naruszenie poufności danych polegające na nieuprawnionym dostępie i pobraniu bazy ze środowiska podmiotu przetwarzającego (procesora).
Kategorie osób: Pacjenci (obecni i byli), przedstawiciele ustawowi małoletnich, osoby upoważnione do dokumentacji oraz personel placówki.
Liczba osób: Przybliżona liczba pacjentów z własnych rejestrów w okresie do kwietnia 2024 r.
Kategorie danych: Imię, nazwisko, numer PESEL, adres, dane kontaktowe, oddział NFZ, dane o stanie zdrowia, receptach i e-zwolnieniach.
Konsekwencje: Ryzyko kradzieży tożsamości, wyłudzenia kredytów, ataki phishingowe z wykorzystaniem wiedzy o chorobach, szkoda niemajątkowa (utrata kontroli nad danymi).
Zastosowane środki: Zmiana haseł, wdrożenie 2FA, audyt kont, własna kopia danych, zawiadomienie pacjentów, wezwanie dostawcy do wyjaśnień.

Krok 6: Wystąpienie do dostawcy o oświadczenie i wykaz pacjentów

Należy skierować oficjalne, pisemne wezwanie do Inspektora Ochrony Danych firmy MyDr, zgodnie z art. 28 ust. 3 lit. f RODO. Pismo powinno zawierać żądanie:

Przekazania imiennego wykazu pacjentów placówki objętych wyciekiem wraz ze szczegółowym zakresem ich ujawnionych danych.
Podania przyczyny źródłowej ataku, czasu utrzymywania się nieuprawnionego dostępu oraz informacji o ewentualnym kompromitowaniu certyfikatów ZUS.
Wyjaśnienia podstawy przechowywania danych historycznych i zachowania terminów ich retencji.
Pisemnego zastrzeżenia roszczeń odszkodowawczych i regresowych placówki wobec dostawcy.

Krok 7: Poinformowanie osób, których dane dotyczą (pacjentów)

Kiedy trzeba zawiadomić pacjenta: Zgodnie z art. 34 ust. 1 RODO, jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej, administrator ma obowiązek bez zbędnej zwłoki zawiadomić osobę, której dane dotyczą, o takim naruszeniu. W przypadku wycieku danych obejmujących m.in. numery PESEL oraz dane dotyczące zdrowia należy przeprowadzić i udokumentować indywidualną ocenę ryzyka. Jeżeli próg wysokiego ryzyka zostanie spełniony, zawiadomienie pacjentów staje się obowiązkiem administratora.
Jak to zrobić (model mieszany):
- Indywidualnie: Wiadomością e-mail, wiadomością SMS z odsyłaczem do komunikatu lub powiadomieniem w koncie pacjenta.
- Publicznie: Wywieszenie ogłoszenia w widocznym miejscu w rejestracji oraz publikacja komunikatu na stronie internetowej placówki.
Co powinno zawierać zawiadomienie: Opis zdarzenia, kategorie wykradzionych danych, potencjalne zagrożenia oraz zwięzłą instrukcję bezpieczeństwa (przede wszystkim rekomendację natychmiastowego zastrzeżenia numeru PESEL w aplikacji mObywatel, urzędzie gminy lub banku).
Czego KATEGORYCZNIE unikać w zawiadomieniu: Wiadomość nie może stać się narzędziem oszustwa. Nie wolno umieszczać w niej linków wymagających logowania, prośby o potwierdzenie tożsamości, podanie numeru PESEL, danych karty płatniczej czy haseł. Należy wprost poinformować pacjenta, że placówka nigdy nie prosi o takie dane drogą elektroniczną.

Krok 8: Wpis zdarzenia do wewnętrznego Rejestru Naruszeń

Każde zdarzenie należy sformalizować poprzez dokonanie wpisu w wewnętrznym Rejestrze Naruszeń Ochrony Danych. Wpis musi zawierać opisaną chronologię, przyczyny, ocenę ryzyka, zrealizowane zgłoszenie do UODO (lub uzasadnienie w przypadku odstąpienia) oraz dowody wysyłki zawiadomień do pacjentów.

Krok 9: Zgłoszenia sektorowe

Poza organem nadzorczym warto wykonać zgłoszenia do podmiotów sektorowych:

CERT Polska: Zgłoszenie incydentu przez formularz incydent.cert.pl.
CSIRT (Krajowy System Cyberbezpieczeństwa): Zgłoszenie realizują podmioty kluczowe i ważne z sektora ochrony zdrowia.
Centrum e-Zdrowia (CeZ) / OW NFZ: Zgłoszenie zalecane przy zintegrowaniu z Platformą P1 oraz w przypadku obowiązków umownych wynikających z kontraktu z NFZ.

Krok 10: Przeszkolenie personelu rejestracji

Rejestracja jest pierwszym punktem kontaktu z zaniepokojonym pacjentem. Personel należy przeszkolić z oficjalnego skryptu rozmów:

Nie wolno zapewniać, że „nic się nie stało”, ani bagatelizować zdarzenia.
Zakaz weryfikacji po PESEL: Kategorycznie zakazuje się telefonicznej weryfikacji tożsamości pacjenta wyłącznie na podstawie numeru PESEL (osoby nieuprawnione mogą go obecnie znać); należy wdrożyć pytania pomocnicze.
Należy odnotowywać wszelkie sygnały od pacjentów o próbach oszustwa lub wyłudzenia.

Krok 11: Potencjalne roszczenia odszkodowawcze pacjentów

Kiedy pacjent może domagać się odszkodowania: Zgodnie z utrwalonym orzecznictwem TSUE (m.in. wyrok w sprawie C-300/21 Österreichische Post) oraz art. 82 RODO, samo wystąpienie wycieku lub samo naruszenie przepisów nie daje automatycznego prawa do rekompensaty finansowej. Aby sąd zasądził odszkodowanie, pacjent musi wykazać łącznie trzy przesłanki:
1. Naruszenie przepisów RODO przez administratora (np. poprzez niezastosowanie odpowiednich środków bezpieczeństwa lub brak weryfikacji dostawcy).
2. Powstanie rzeczywistej szkody majątkowej (np. koszty leczenia, straty finansowe z wyłudzonego kredytu) lub niemajątkowej / krzywdy (np. udokumentowane zaburzenia lękowe, psychiczne konsekwencje utraty kontroli nad danymi wrażliwymi).
3. Adekwatny związek przyczynowy pomiędzy naruszeniem RODO a powstałą szkodą.
Odpowiedzialność administratora i procesora: Odpowiedzialność placówki medycznej jako administratora oraz MyDr jako podmiotu przetwarzającego należy oceniać odrębnie, z uwzględnieniem obowiązków każdej ze stron wynikających z RODO oraz okoliczności konkretnego naruszenia. Podmiot przetwarzający może ponosić odpowiedzialność za szkodę na zasadach określonych w art. 82 RODO, w szczególności w przypadku niewypełnienia obowiązków skierowanych bezpośrednio do procesora lub działania niezgodnego z prawem instrukcjami administratora. Jeżeli placówka poniesie odpowiedzialność wobec pacjenta, a za powstanie szkody odpowiada również dostawca, może powstać podstawa do dochodzenia od niego odpowiedniej części poniesionych kosztów.
Wysokość zadośćuczynienia: Przepisy RODO nie określają stałych stawek zadośćuczynienia. Kwota jest ustalana indywidualnie, z uwzględnieniem charakteru i rozmiaru krzywdy. W przypadku niewielkiej krzywdy polskie sądy zasądzały kwoty rzędu 1000–1500 zł – przykładowo 1000 zł za ujawnienie m.in. numeru PESEL, adresu i danych finansowych, gdy dane nie zostały następnie wykorzystane, oraz 1500 zł w sprawie, w której obawy poszkodowanej nie doprowadziły do dalszych negatywnych konsekwencji. (https://www.saos.org.pl/judgments/480308; SAOS, I C 874/22)
Przy poważniejszych i udokumentowanych konsekwencjach, takich jak wykorzystanie danych, straty finansowe czy istotne następstwa dla poszkodowanego, zadośćuczynienie może być kilkunastokrotnie wyższe.

Jak zabezpieczyć placówkę na przyszłość? Wnioski i wsparcie prawne

Obsługa incydentu wymaga wdrożenia zmian, które ochronią gabinet przy ewentualnej kontroli UODO lub roszczeniach pacjentów: aktualizacji analizy ryzyka (DPIA), wdrożenia stałej weryfikacji dostawców IT (certyfikaty ISO 27001, testy penetracyjne) oraz stworzenia „teczki awaryjnej” gromadzącej dowody staranności administratora. Samodzielne przebrnięcie przez te formalności bywa sporym wyzwaniem. Kancelaria Radcy Prawnego Anny Ślefarskiej-Sarapaty oferuje w tym zakresie kompleksowe wsparcie – od audytu umów powierzenia i opracowania dokumentacji RODO, po przygotowanie zgłoszeń do organów i reprezentację prawną (stacjonarnie oraz w formule online).

Najczęściej zadawane pytania

Czy placówka musi zgłosić wyciek do UODO?

Nie zawsze. Należy przeprowadzić ocenę ryzyka. Jeżeli istnieje obowiązek zgłoszenia, trzeba zrobić to bez zbędnej zwłoki, co do zasady w ciągu 72 godzin od stwierdzenia naruszenia.

Czy za wyciek odpowiada MyDr czy placówka?

Odpowiedzialność może dotyczyć obu podmiotów, ale w różnym zakresie. Placówka jako administrator ma własne obowiązki wynikające z RODO, podobnie jak podmiot przetwarzający.

Czy trzeba poinformować pacjentów?

Jeżeli naruszenie powoduje wysokie ryzyko dla praw i wolności pacjentów, administrator powinien zawiadomić ich bez zbędnej zwłoki.

Czy pacjent może żądać odszkodowania?

Tak. Art. 82 RODO pozwala dochodzić odszkodowania za szkodę majątkową lub niemajątkową, jeżeli zostaną spełnione wymagane przesłanki.

Ile można otrzymać za wyciek danych?

Nie ma stałej stawki. Wysokość zadośćuczynienia zależy od rozmiaru krzywdy i okoliczności konkretnej sprawy. Przy niewielkiej krzywdzie sądy zasądzały kwoty rzędu 1000–1500 zł.

Co zrobić, jeśli minęło już 72 godziny?

Jeżeli istnieje obowiązek zgłoszenia, należy zrobić to niezwłocznie. Przekroczenie 72 godzin nie oznacza, że zgłoszenie jest już niemożliwe.

Źródła prawne i materiały

Podstawowe przepisy i orzecznictwo wykorzystane przy opracowaniu:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) – w szczególności art. 33 dotyczący zgłaszania naruszeń, art. 34 dotyczący zawiadamiania osób, których dane dotyczą, oraz art. 82 dotyczący prawa do odszkodowania i odpowiedzialności administratora oraz podmiotu przetwarzającego.
Wyrok TSUE z 4 maja 2023 r., C-300/21, Österreichische Post AG – dotyczący przesłanek odpowiedzialności odszkodowawczej na podstawie art. 82 RODO oraz szkody niemajątkowej.
UODO – „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym” (12.08.2026) – stanowisko Prezesa UODO dotyczące incydentu MyDr oraz obowiązków administratorów korzystających z usług tego dostawcy.
UODO – materiały dotyczące naruszeń ochrony danych osobowych – informacje dotyczące oceny ryzyka, zgłaszania naruszeń oraz zawiadamiania osób, których dane dotyczą.

O Autorce: Anna Ślefarska-Sarapata – radca prawny, członkini Okręgowej Izby Radców Prawnych w Krakowie oraz absolwentka Wydziału Prawa i Administracji Uniwersytetu Jagiellońskiego. Specjalizuje się w prawie medycznym, kompleksowej obsłudze prawnej sektora ochrony zdrowia oraz zapewnianiu bezpieczeństwa prawnego przedsiębiorcom z branży estetycznej i beauty. Na co dzień realizuje audyty, wdraża regulaminy organizacyjne i procedury RODO oraz zapewnia bieżące wsparcie prawne dla podmiotów leczniczych, gabinetów lekarskich, osób wykonujących zawody medyczne oraz salonów kosmetycznych. Autorka specjalistycznych artykułów publikowanych na ogólnopolskich portalach prawno-gospodarczych, w tym ekspert portalu INFOR.pl. Na co dzień prowadzi indywidualną Kancelarię Radcy Prawnego Anny Ślefarskiej-Sarapaty w Kielcach, świadcząc usługi stacjonarnie oraz w formie doradztwa online dla klientów z całej Polski.

Wyciek danych MyDr. Obowiązki placówki medycznej krok po kroku