Pacjenci, których dane zostały objęte wyciekiem z systemów MyDr, zaczynają kierować do placówek medycznych przedsądowe wezwania do zapłaty odszkodowania. Jak ustalił „Dziennik Gazeta Prawna”, do prezesa Urzędu Ochrony Danych Osobowych wpłynęło jednocześnie ponad 2000 zgłoszeń dotyczących MyDr od administratorów danych. Do 17 września obywatele złożyli natomiast ponad 50 skarg i sygnałów związanych z incydentem. Roszczenia pacjentów stają się kolejnym problemem dla placówek, które same wskazują, że zostały poszkodowane wskutek cyberataku.
Z tego artykułu dowiesz się…
- Jakie roszczenia pacjenci kierują do placówek medycznych po wycieku danych z MyDr.
- Ile zgłoszeń i skarg związanych z incydentem trafiło do prezesa UODO.
- Jakie obowiązki wobec pacjentów mają placówki będące administratorami danych.
- Jaka może być rzeczywista skala cyberataku na MyDr i jakie działania prowadzi UODO.
Pacjenci wysyłają przychodniom przedsądowe wezwania do zapłaty
O pierwszych konsekwencjach finansowych sierpniowego wycieku informuje „Dziennik Gazeta Prawna”. Pacjenci, których informacje znalazły się wśród danych objętych incydentem, kierują do przychodni przedsądowe wezwania do zapłaty odszkodowania.
Takie pisma otrzymuje również Centrum Doradcze Prawa Medycznego, reprezentujące 52 placówki medyczne współpracujące z MyDr – wynika z informacji DGP.
Skala zgłoszeń kierowanych do UODO jest znacznie większa. Jak ustalił „Dziennik Gazeta Prawna”, do prezesa UODO wpłynęło ponad 2000 zgłoszeń dotyczących MyDr od administratorów danych. Jednocześnie do 17 września urząd otrzymał od obywateli ponad 50 skarg oraz sygnałów związanych z wyciekiem.
Do UODO zgłaszają się zatem zarówno pacjenci, jak i placówki medyczne, które powierzyły MyDr przetwarzanie danych i same czują się poszkodowane wskutek incydentu.
Placówki otrzymały listy pacjentów objętych incydentem
Biuro prasowe MyDr przekazało „Dziennikowi Gazecie Prawnej”, że każda placówka ma za pośrednictwem specjalnego narzędzia dostęp do listy osób objętych incydentem. Podmioty medyczne mają zweryfikować, które kategorie ujawnionych danych dotyczą ich konkretnych pacjentów. Informacja ta jest potrzebna administratorowi danych do własnej oceny skutków naruszenia.
Rzecznik Naczelnej Izby Lekarskiej Piotr Pistuła potwierdził w rozmowie z DGP, że NIL otrzymuje od lekarzy informacje o udostępnianiu przez MyDr list pacjentów, których dane zostały objęte wyciekiem.
MyDr przygotował również narzędzie umożliwiające placówkom wysyłanie pacjentom informacji o naruszeniu za pomocą wiadomości SMS lub e-mail.
Ma to szczególne znaczenie z punktu widzenia obowiązków wynikających z RODO. UODO już 12 sierpnia przypominał, że to poszczególne gabinety i placówki medyczne są administratorami danych pacjentów. Po uzyskaniu informacji, że incydent dotyczy danych związanych z ich działalnością, powinny przeprowadzić analizę ryzyka i ustalić, czy konieczne jest zgłoszenie naruszenia do UODO oraz zawiadomienie osób, których dane dotyczą.
Szef UODO: wyciek może dotyczyć nawet 15 tys. podmiotów medycznych
Skala incydentu może być większa, niż początkowo zakładano. Mirosław Wróblewski, prezes UODO, powiedział w rozmowie z Wyborcza.biz, że wyciek może dotyczyć nawet 15 tys. podmiotów medycznych w Polsce, a nie około 12 tys., o których informowano wcześniej.
Według prezesa UODO pacjent powinien przede wszystkim wiedzieć, z której placówki pochodzą wykradzione informacje, a następnie uzyskać od niej dokładną informację o zakresie danych objętych naruszeniem. Obowiązek ten spoczywa na administratorze danych, czyli placówce medycznej.
Zakres ujawnionych informacji może różnić się zależnie od podmiotu. Wróblewski wskazywał m.in. na diagnozy, recepty, wyniki badań oraz zalecenia lekarskie. Jak zaznaczył, znaczna część informacji pochodzi z przychodni specjalistycznych.
Dane dotyczące zdrowia mogą być szczególnie dotkliwe dla pacjentów. Prezes UODO zwracał uwagę na możliwość wykorzystania ich do profilowania i oferowania określonych produktów lub usług, a w skrajnych przypadkach również do szantażu. Dotyczą bowiem prywatnych informacji o stanie zdrowia, w tym chorób, które mogą wiązać się ze stygmatyzacją.
UODO konsultował treść SMS-ów, ale nie linki
Mirosław Wróblewski poinformował również, że UODO konsultował treść wiadomości SMS wysyłanych przez placówki za pośrednictwem platformy MyDr. Zaznaczył jednak, że urząd nie wyrażał zgody na umieszczanie w wiadomościach linków. Według jego informacji przychodnie miały techniczną możliwość ich dodawania, choć nie powinny jej mieć.
UODO zaleca pacjentom objętym incydentem m.in. rozważenie zastrzeżenia numeru PESEL oraz szczególną ostrożność wobec wiadomości SMS, e-maili i prób kontaktu telefonicznego. Urząd zwraca uwagę na ryzyko phishingu oraz prób pozyskania kolejnych informacji umożliwiających np. dostęp do bankowości elektronicznej.
Pacjent żąda 30 tys. zł od trzech placówek
Roszczenia kierowane do podmiotów medycznych nie są już wyłącznie teoretycznym ryzykiem. W połowie września serwis StronaZdrowia.pl opisał przypadek pacjenta z Kostrzyna nad Odrą, który domaga się łącznie 30 tys. zł zadośćuczynienia.
Mężczyzna miał dowiedzieć się 8 września z wiadomości SMS wysłanej w imieniu przychodni Medicus w Kostrzynie nad Odrą, że jego dane zostały objęte incydentem. Cztery dni później otrzymał kolejne wiadomości dotyczące danych przetwarzanych przez placówki w Gorzowie Wielkopolskim i Pułtusku.
Pacjent wskazywał, że informacja dotarła do niego około miesiąca po ujawnieniu incydentu i że sytuacja wywołała u niego stres oraz poczucie utraty kontroli nad danymi osobowymi. Od każdej z trzech placówek oczekuje po 10 tys. zł, czyli łącznie 30 tys. zł.
Samo skierowanie roszczenia nie przesądza jednak o wypłacie takiej kwoty. Jak wskazywali prawnicy cytowani przez StronaZdrowia.pl, finansowy wynik ewentualnego sporu zależy m.in. od wykazania szkody oraz związku przyczynowego.
UODO kończy kontrolę MyDr i zapowiada kolejne kontrole w ochronie zdrowia
Kontrola prowadzona przez prezesa UODO w MyDr ma zakończyć się jeszcze we wrześniu. Urząd sprawdza przede wszystkim środki techniczne i organizacyjne stosowane przez spółkę, sposób ich testowania oraz przeprowadzoną analizę ryzyka.
Jednocześnie UODO rozszerzył działania na cały sektor ochrony zdrowia. 16 września urząd poinformował, że jeszcze w 2026 r. kontrolami zostaną objęte kolejne podmioty medyczne. Sprawdzane będą zabezpieczenia stosowane przy przetwarzaniu danych dotyczących zdrowia. UODO zmienił w tym celu plan kontroli sektorowych na 2026 r.
Mirosław Wróblewski mówił również o potrzebie zmian systemowych. W rozmowie z Wyborcza.biz wskazał, że rozmawiał z ministrem cyfryzacji Krzysztofem Gawkowskim o większej odpowiedzialności państwa za bezpieczeństwo danych zdrowotnych. Zwrócił uwagę na brak rejestru firm takich jak MyDr, które przetwarzają dane medyczne Polaków, oraz jednolitych standardów bezpieczeństwa dla takich podmiotów.
Wyciek MyDr mógł objąć dane 18,8 mln osób
Cyberatak na MyDr został ujawniony w sierpniu 2026 r. 12 sierpnia Ministerstwo Cyfryzacji poinformowało, że doszło do nieuprawnionego dostępu do historycznych danych – do kwietnia 2024 r. – gabinetów lekarskich przechowywanych w systemach MyDr. Według ówczesnych informacji incydent mógł dotyczyć blisko 19 mln osób oraz ponad 12 tys. placówek medycznych.
UODO rozpoczął kontrolę MyDr 13 sierpnia. Teraz sprawa wchodzi w kolejny etap – obok ustalania pełnej skali wycieku i kontroli zabezpieczeń pojawiają się roszczenia finansowe pacjentów wobec placówek medycznych, a same placówki kierują zgłoszenia dotyczące MyDr do organu nadzorczego.
Główne wnioski
- Do prezesa UODO wpłynęło ponad 2000 zgłoszeń dotyczących MyDr od administratorów danych, a do 17 września obywatele złożyli ponad 50 skarg i sygnałów.
- Pacjenci zaczynają kierować do placówek przedsądowe wezwania do zapłaty odszkodowania. Jeden z pacjentów domaga się łącznie 30 tys. zł od trzech placówek.
- Prezes UODO Mirosław Wróblewski wskazuje, że wyciek może dotyczyć nawet 15 tys. podmiotów medycznych w Polsce.
- Kontrola MyDr ma zakończyć się jeszcze we wrześniu, a UODO zapowiedział kolejne kontrole podmiotów medycznych w 2026 r..
Źródło:
- https://edgp.gazetaprawna.pl/prawo/artykuly/11316178,pacjenci-wnosza-skargi-na-placowki-medyczne-te-skarza-sie-na-mydr.html
- https://wyborcza.biz/biznes/7,177150,33031677,szantaz-na-dane-z-mydr-szef-uodo-te-informacje-dotycza-wszak.html
- https://stronazdrowia.pl/pacjent-zada-30-tys-zl-od-mydr-za-wyciek-danych-medycznych-jego-dane-wyciekly-z-kilku-placowek/ar/c14p2-29354171
