Informacje na temat incydentu bezpieczeństwa danych w systemie MyDr EDM

Poniżej komunikat spółki MyDr, dostawcy systemu dokumentacji medycznej MyDr EDM, w oryginalnym brzmieniu. Źródło: pacjent.mydr.pl.

Ostatnia aktualizacja: 3.09.2026

Jeśli widzieli Państwo doniesienia medialne dotyczące incydentu bezpieczeństwa danych dotyczącego placówek medycznych lub sprawdzali swój numer PESEL na stronie bezpiecznedane.gov.pl, ta strona wyjaśnia, co się stało i co możecie Państwo zrobić.

Od czego zacząć?

Jeśli chcą Państwo sprawdzić, czy Państwa numer PESEL został objęty incydentem, mogą to Państwo zrobić na stronie rządowej: bezpiecznedane.gov.pl.

Ta usługa jest prowadzona przez organy państwowe, nie przez MyDr. Strona bezpiecznedane.gov.pl odnotowuje obecnie bardzo duże obciążenie, dlatego może działać wolno lub być niedostępna. Jeśli strona się nie wczyta, proszę spróbować ponownie później.

Nie możemy sprawdzić Państwa numeru PESEL w Państwa imieniu ani poinformować Państwa telefonicznie lub mailowo, czy Państwa dane zostały objęte incydentem.

Numery PESEL oznaczone na stronie bezpiecznedane.gov.pl jako objęte incydentem dotyczącym MyDr zostały, zgodnie z naszą wiedzą, przekazane do CERT NASK przez organy ścigania w ramach toczącego się postępowania karnego. Pozostajemy z nimi w kontakcie w celu weryfikacji tej informacji.

Na obecnym etapie nie możemy potwierdzić, że numery PESEL oznaczone w serwisie Bezpieczne Dane jako numery objęte incydentem MyDr, w pełni odpowiadają numerom PESEL zidentyfikowanym w ramach naszego postępowania wyjaśniającego jako objęte tym incydentem. Nie możemy również potwierdzić, że wszystkie numery PESEL, w odniesieniu do których MyDr wskazano jako źródło wycieku, pochodzą z systemów MyDr.

Wskazanie konkretnych danych osobowych w serwisie Bezpieczne Dane w kontekście incydentu MyDr nie oznacza, że dane te zostały upublicznione lub ujawnione w internecie — co podkreśla również sam portal Bezpieczne Dane.

Poniższe zalecenia warto zastosować niezależnie od wyniku sprawdzenia.

Najczęściej zadawane pytania ->

Co się stało

MyDr wykrył nieautoryzowany dostęp do baz danych kopii zapasowych w systemie MyDr EDM, czyli oprogramowaniu do prowadzenia dokumentacji medycznej używanym przez placówki i gabinety medyczne w Polsce. Dochodzenie ustaliło, że kopia zapasowa bazy danych z dnia 12 kwietnia 2024 r. została pozyskana przez osoby nieuprawnione.

Znajdujemy się w końcowej fazie ustalania zakresu incydentu, w tym tego, jakie dane, jakie placówki medyczne i którzy pacjenci mogli zostać nim objęci.

System MyDr EDM jest zabezpieczony i działa normalnie.

Monitorujemy sytuację w sposób ciągły i nie znaleźliśmy żadnych dowodów na to, że dane zostały gdziekolwiek upublicznione.

Co mogę teraz zrobić?

Jakie kroki mogę podjąć, aby zminimalizować ryzyka wynikające z tego incydentu?

Prowadzony przez MyDr stały monitoring nie wykazał dotychczas żadnych przypadków publicznego ujawnienia danych. Jeśli jednak otrzymają Państwo zawiadomienie od swojej kliniki, że Państwa dane mogły być objęte naruszeniem, znajdą w nim Państwo również pomocne wskazówki dotyczące kroków, które można podjąć w ramach ostrożności.

Bez względu na to czy Państwa dane zostały objęte naruszeniem czy też nie, warto zastrzec numer PESEL (w aplikacji mobilnej mObywatel, przez Internet na stronie mObywatel.gov.pl lub osobiście w Urzędzie Gminy (Miasta)). Instytucje finansowe są obecnie zobligowane weryfikować przy zawieraniu umów, czy PESEL jest zastrzeżony, co ogranicza ryzyko użycia danych do nieuprawnionego zaciągania zobowiązań na szkodę innych osób. Zastrzeżenie PESEL nie blokuje jednak możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w urzędzie – więcej informacji pod linkiem: https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie.

Jak zastrzec swój numer PESEL?

• W aplikacji mObywatel: zaloguj się, przejdź do Usługi, wybierz Zastrzeż PESEL i potwierdź. Zastrzeżenie jest natychmiastowe.
• Online na gov.pl: Wejdź na stronę rządową, kliknij „Zastrzeż PESEL lub cofnij zastrzeżenie", zaloguj się jedną z dostępnych metod: Profil Zaufany, kwalifikowany podpis elektroniczny, e-Dowód, bankowość internetowa i postępuj zgodnie z instrukcjami, aby zastrzec numer PESEL. Usługa potwierdzi zastrzeżenie elektronicznie.
• Osobiście w dowolnym urzędzie gminy, z dokumentem tożsamości: odwiedź dowolny urząd gminy w Polsce, zabierz ważny dokument tożsamości: dowód osobisty lub paszport (albo inny akceptowany dokument tożsamości, w zależności od statusu), złóż wniosek o zastrzeżenie numeru PESEL. Urząd rozpatruje wniosek niezwłocznie i wydaje potwierdzenie zastrzeżenia.

Najczęściej zadawane pytania

Czy moje dane zostały objęte incydentem?

Incydent objął pacjentów, których dane znajdowały się w systemie MyDr EDM w dniu 12 kwietnia 2024 r. W przypadku ograniczonej liczby placówek objął on również pacjentów z anulowanymi e-skierowaniami utworzonymi po tej dacie. To, czy Państwa dane zostały objęte incydentem, zależy od tego, z jakiej placówki Państwo korzystają i jakie dane ta placówka rejestrowała. Państwa placówka może Państwa poinformować, czy i jakie Państwa dane zostały objęte incydentem, nie usługa rządowa.

Jakiego rodzaju informacje zostały objęte incydentem?

Wśród danych pacjentów objętych incydentem mogły znaleźć się: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, ubezpieczenia społecznego oraz (jeśli zostały podane) informacje dotyczące pracodawcy, lub inne dane identyfikacyjne. Zakres danych objętych incydentem mógł również zawierać dane przedstawiciela ustawowego lub osoby upoważnionej do dostępu do dokumentacji medycznej przez pacjenta. W zależności od zakresu informacji zbieranych przez klinikę może to dotyczyć takich danych jak: imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL oraz informacja o stopniu pokrewieństwa lub rodzaju relacji z pacjentem. Nie wszystko z powyższego dotyczy każdego pacjenta. To, jakie dane były na Państwa temat przechowywane, zależy od Państwa placówki oraz od zakresu opieki medycznej, z jakiej w niej Państwo korzystali.

Czy naruszenie zostało usunięte? Czy problem został rozwiązany?

Tak. System MyDr EDM jest zabezpieczony i pozostaje w pełni operacyjny.

Czy dane zostały upublicznione?

Obecność w bazie bezpiecznedane.gov.pl nie oznacza, że dane zostały upublicznione lub ujawnione w internecie - jak wskazuje sam portal. Nasz zespół oraz zewnętrzni eksperci ds. cyberbezpieczeństwa nadal monitorują sytuację, a dotychczasowe monitorowanie nie wykazało takiego upublicznienia.

Które organy zostały poinformowane o incydencie?

Poinformowaliśmy i ściśle współpracujemy z Centralnym Biurem Zwalczania Cyberprzestępczości, Ministerstwem Cyfryzacji, Centrum e-Zdrowia (CeZ), CSIRT NASK oraz Urzędem Ochrony Danych Osobowych (UODO).

Czy MyDr zgłosił incydent Prezesowi Urzędu Ochrony Danych Osobowych (UODO)?

Jedynymi podmiotami, które mogą oficjalnie dokonać zgłoszenia do UODO, są administratorzy danych (placówki medyczne). MyDr przekaże placówkom informacje niezbędne do dokonania zgłoszeń. Placówki muszą dokonać niezależnej oceny, czy w ich ocenie zgłoszenie do UODO jest konieczne w odniesieniu do danych, których są administratorami oraz sami wykonać ten obowiązek.

Jaką ochronę zapewnia zastrzeżony numer PESEL?

Od 1 czerwca 2024 r. banki i wiele instytucji finansowych mają obowiązek sprawdzić, czy numer PESEL jest zastrzeżony, przed udzieleniem pożyczki lub zawarciem umowy kredytu. Zastrzeżenie numeru PESEL pomaga chronić przed kradzieżą tożsamości i wyłudzeniem pożyczek zaciągniętych na Państwa dane.

Czy mogę cofnąć zastrzeżenie numeru PESEL?

Tak: przez aplikację mObywatel, online przez gov.pl albo w urzędzie gminy.

Co MyDr robi w sprawie incydentu?

Po zidentyfikowaniu incydentu bezpieczeństwa, natychmiast podjęliśmy działania, aby ograniczyć jego skutki i zabezpieczyć system. Do analizy incydentu zaangażowano wyspecjalizowaną firmę zajmującą się cyberbezpieczeństwem. Incydent zgłoszono do Centralnego Biura Zwalczania Cyberprzestępczości. Współpracujemy z Ministerstwem Cyfryzacji, Centrum e-Zdrowia oraz CSIRT NASK. Współpracujemy z Urzędem Ochrony Danych Osobowych (UODO). Nadal monitorujemy sytuację pod kątem ewentualnych oznak upublicznienia danych, których dotyczy incydent.

Jaką rolę odgrywał MyDr w procesie przetwarzania danych?

MyDr jest podmiotem przetwarzającym dane objęte incydentem.

Czy właściwi administratorzy danych (placówki) zostali już poinformowani przez MyDr, że naruszenie objęło dane osobowe ich pacjentów?

Jeszcze nie. Jesteśmy w trakcie informowania wszystkich placówek objętych incydentem.

Widziałem/am w wiadomościach informacje o tym incydencie. Czy to prawda?

Tak. Incydent jest prawdziwy i informacja o nim została opublikowana przez organy państwowe na stronie bezpiecznedane.gov.pl. Numery PESEL oznaczone tam jako objęte incydentem dotyczącym MyDr zostały, zgodnie z naszą wiedzą, przekazane do CERT NASK przez organy ścigania w ramach toczącego się postępowania karnego. Pozostajemy z nimi w kontakcie w celu weryfikacji tej informacji. Na obecnym etapie nie możemy potwierdzić, że numery PESEL oznaczone w serwisie Bezpieczne Dane jako numery objęte incydentem MyDr, w pełni odpowiadają numerom PESEL zidentyfikowanym w ramach naszego postępowania wyjaśniającego jako objęte tym incydentem. Nie możemy również potwierdzić, że wszystkie numery PESEL, w odniesieniu do których MyDr wskazano jako źródło wycieku, pochodzą z systemów MyDr. Umieszczenie danych w serwisie Bezpieczne Dane nie oznacza, że zostały one upublicznione lub ujawnione w internecie — jak wskazuje sam portal. Nasz zespół oraz zewnętrzni eksperci ds. cyberbezpieczeństwa nadal monitorują sytuację, a dotychczasowe monitorowanie nie wykazało takiego upublicznienia.

Nie mogłem/am sprawdzić swojego numeru PESEL — strona się nie wczytywała.

Usługa rządowa odnotowuje bardzo duże obciążenie. To jedyne miejsce, w którym można dokonać sprawdzenia, dlatego sugerujemy spróbować ponownie później. Nie możemy dokonać tego sprawdzenia w Państwa imieniu. Na obecnym etapie nie możemy potwierdzić, że numery PESEL oznaczone w serwisie Bezpieczne Dane jako numery objęte incydentem MyDr, w pełni odpowiadają numerom PESEL zidentyfikowanym w ramach naszego postępowania wyjaśniającego jako objęte tym incydentem. Nie możemy również potwierdzić, że wszystkie numery PESEL, w odniesieniu do których MyDr wskazano jako źródło wycieku, pochodzą z systemów MyDr. Umieszczenie danych w serwisie Bezpieczne Dane nie oznacza, że zostały one upublicznione lub ujawnione w internecie — jak wskazuje sam portal. Nasz zespół oraz zewnętrzni eksperci ds. cyberbezpieczeństwa nadal monitorują sytuację, a dotychczasowe monitorowanie nie wykazało takiego upublicznienia.

Nigdy nie słyszałem/am o MyDr. Dlaczego MyDr ma moje dane?

MyDr EDM to oprogramowanie do prowadzenia dokumentacji medycznej używane przez placówki i gabinety medyczne. Jeśli Państwa placówka z niego korzysta, Państwa dokumentacja jest przechowywana w tym systemie. To Państwa placówka decyduje, co jest rejestrowane, i pozostaje odpowiedzialna za Państwa dane; MyDr obsługuje system w imieniu placówki.

Dlaczego moja placówka się ze mną nie skontaktowała?

W najbliższych dniach rozpoczniemy powiadamianie placówek medycznych, które korzystały z naszego systemu i zostały dotknięte naruszeniem. Placówki następnie skontaktują się z pacjentami, których dane zostały objęte incydentem, przekazując szczegóły dotyczące incydentu oraz zalecane dalsze kroki mailem, SMS-em lub listownie. Możliwe jest również, że w przypadku gdy indywidualne zawiadomienie jest niemożliwe (np. z powodu braku danych kontaktowych) albo wymagałoby niewspółmiernie dużego wysiłku, placówka może opublikować publiczny komunikat: na przykład na swojej stronie internetowej. Mogą również istnieć przypadki, że Państwa placówka nie korzystała z naszych usług, nie była dotknięta naruszeniem, lub naruszenie nie objęło Państwa danych.

Czy zostanę oficjalnie poinformowany/a?

Jeśli Państwa placówka ustali, że Państwa dane zostały objęte incydentem, skontaktuje się z Państwem bezpośrednio - mailem, SMS-em lub listownie. Dokładamy starań, aby odbyło się to jak najszybciej. Możliwe jest również, że w przypadku gdy indywidualne zawiadomienie jest niemożliwe (np. z powodu braku danych kontaktowych) albo wymagałoby niewspółmiernie dużego wysiłku, placówka może opublikować publiczny komunikat: na przykład na swojej stronie internetowej.

Jeśli nadal mają Państwo pytania

W związku z tym incydentem utworzyliśmy dedykowany punkt kontaktowy dla pacjentów objętych naruszeniem: dane@mydr.pl, aby odpowiadać na pytania dotyczące incydentu. Ze względu na dużą liczbę otrzymywanych wiadomości czas odpowiedzi może być wydłużony. Uprzejmie prosimy o cierpliwość.

W sprawach dotyczących dokumentacji medycznej lub leczenia prosimy o kontakt bezpośrednio z Państwa placówką medyczną.

Informacja dotycząca przetwarzania Państwa danych osobowych:

Poniższe zasady dotyczą wyłącznie przetwarzania Państwa danych osobowych w korespondencji, którą kierują Państwo do nas bezpośrednio, i opisują cel tego przetwarzania oraz związane z nim obowiązki prawne.

Kto jest odpowiedzialny za Państwa dane

Dane przekazane nam obecnie w korespondencji dotyczącej incydentu — administratorem danych osobowych przekazanych podczas kontaktu sprawie tego incydentu jest MyDr sp. z o.o., ul. Puławska 465, 02-844 Warszawa, KRS 0000704950.

Państwa dane osobowe, w tym dokumentacja medyczna i inne dane osobowe przechowywane w systemie MyDr EDM są przetwarzane przez nas w imieniu Państwa placówki, która jest ich administratorem; w tym zakresie działamy wyłącznie na polecenie placówki i nie możemy z własnej inicjatywy uzyskiwać do nich dostępu, udostępniać ich ani ich usuwać.

Poniższe informacje dotyczą wyłącznie danych przekazanych nam przez Państwa w korespondencji dotyczącej incydentu.

W jakim celu i na jakiej podstawie je wykorzystujemy

W celu odpowiedzi na Państwa zapytanie oraz w celu zachowania dowodu udzielenia odpowiedzi — dane przetwarzamy na podstawie naszego prawnie uzasadnionego interesu polegającego na obsłudze korespondencji (art. 6 ust. 1 lit. f RODO).

W celu ustalenia, dochodzenia lub obrony przed roszczeniami prawnymi, jakie mogą zostać wobec nas skierowane przez pacjentów lub placówki medyczne w związku z tym incydentem — dane przetwarzamy na podstawie naszego prawnie uzasadnionego interesu polegającego na możliwości obrony przed roszczeniami (art. 6 ust. 1 lit. f RODO).

W celu obsłużenia, udokumentowania i współpracy z Prezesem Urzędu Ochrony Danych Osobowych i innymi organami — nasze obowiązki prawne (art. 6 ust. 1 lit. c RODO w związku z art. 33 i art. 33 ust. 5 RODO).

Jeśli Państwa wiadomość zawiera dane dotyczące zdrowia lub inne dane szczególnej kategorii, przetwarzamy je wyłącznie w zakresie niezbędnym do ustalenia, dochodzenia lub obrony przed roszczeniami prawnymi (art. 9 ust. 2 lit. f RODO). Prosimy o nieprzesyłanie nam takich informacji, ponieważ nie są nam one potrzebne do udzielenia odpowiedzi na ogólne pytania dotyczące incydentu.

Jak długo przechowujemy dane

Państwa dane osobowe przechowujemy przez okres dziesięciu lat od zakończenia roku kalendarzowego, w którym doszło do incydentu, po czym są one usuwane.

Okres ten odpowiada najdłuższemu możliwemu terminowi, w którym w niektórych przypadkach mogłoby zostać wobec nas wniesione roszczenie odszkodowawcze związane z incydentem na gruncie prawa polskiego. W tym okresie dane są przechowywane w sposób ograniczony, dostępny wyłącznie dla osób, którym jest to niezbędne do obsługi roszczenia lub zapytania organu nadzorczego.

Kto jeszcze ma do nich dostęp

Nasi pracownicy zajmujący się obsługą incydentu, nasi dostawcy usług IT i bezpieczeństwa działający na podstawie umowy oraz nasi doradcy prawni. W razie potrzeby możemy udostępnić informację Prezesowi Urzędu Ochrony Danych Osobowych, Policji lub innym organom. Nie udostępniamy Państwa korespondencji Państwa placówce, chyba że wyrażą Państwo taką prośbę lub jest to niezbędne, aby udzielić Państwu odpowiedzi.

Państwa prawa

Mają Państwo prawo dostępu do swoich danych, ich sprostowania lub usunięcia, ograniczenia ich przetwarzania, wniesienia sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie, a także — w zakresie, w jakim ma to zastosowanie — prawo do przenoszenia danych. Mogą Państwo również wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Moniuszki 1A, 00-014 Warszawa.

Aby skorzystać z któregokolwiek z powyższych praw lub skontaktować się z naszym Inspektorem Ochrony Danych, prosimy o wiadomość na adres iod.mydr@docplanner.com.

Gabinet lek. Tomasza Krawczyka: telefon 505-551-549, e-mail gabinet@krawczyk-psychiatra.pl, ul. Władysława Syrokomli 44, 43-603 Jaworzno.