Wyciek danych z MyDr – co zrobić i jak zgłosić naruszenie do UODO?

12 sierpnia 2026 r. Minister Cyfryzacji Krzysztof Gawkowski potwierdził, że cyberatak na spółkę MyDr – dostawcę systemu do elektronicznej dokumentacji pacjentów, z którego korzysta ok. 12 tysięcy podmiotów leczniczych – mógł dotyczyć danych blisko 19 milionów osób. Jeśli Twoja przychodnia, gabinet lub praktyka korzysta z MyDr, nie jesteś w tej sprawie tylko odbiorcą informacji – jako administrator danych swoich pacjentów masz teraz własne obowiązki z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), niezależnie od tego, co MyDr już zgłosiła.

Najważniejsze informacje

• Incydent jest potwierdzony: nieuprawniony dostęp do systemów MyDr wykryto nie później niż 6 sierpnia 2026 r., a 12 sierpnia 2026 r. rząd potwierdził skalę naruszenia. Śledztwo nadzoruje Prokuratura Okręgowa w Warszawie, czynności prowadzi Centralne Biuro Zwalczania Cyberprzestępczości (CBZC).
• Wyciekły m.in. numery PESEL, imiona i nazwiska, dane kontaktowe (adres, telefon, e-mail) oraz dane o stanie zdrowia – notatki z wizyt i informacje o przepisanych lekach i receptach. Według doniesień medialnych baza miała ponad 2 TB danych – to niepotwierdzone oficjalnie przez MyDr czy UODO doniesienie, nie komunikat urzędowy.
• Skala wycieku: według oficjalnego komunikatu rządowego ok. 19 milionów osób. Sprawcy ataku twierdzą, że ich baza obejmuje 18 814 422 numery PESEL – to TWIERDZENIE SPRAWCÓW, nie potwierdzony fakt, i traktuję je z dystansem.
• 13 sierpnia 2026 r. Prezes UODO zapowiedział kontrolę w spółce MyDr – sprawdzi zastosowane środki techniczne i organizacyjne oraz to, czy analiza ryzyka MyDr uwzględniała realne zagrożenia dla danych.
• 21 sierpnia 2026 r. Prezes UODO odpowiedział Naczelnej Izbie Lekarskiej, przypominając wyraźnie: stanowisko MyDr jako podmiotu przetwarzającego (także to, że MyDr uznała zgłoszenia od placówek za niewymagane) nie zwalnia administratora z własnej oceny zdarzenia i obowiązków z art. 33-34 RODO.
• Masz 72 godziny od stwierdzenia naruszenia na zgłoszenie do UODO, jeśli obowiązek zgłoszenia wystąpi – licząc co do zasady od chwili, w której dowiedziałeś się o incydencie w zakresie dotyczącym Twoich pacjentów, a nie od 6 czy 12 sierpnia. Jeśli z informacji od MyDr nie wynika jeszcze, czy naruszenie dotyczyło Twoich danych, termin ten jeszcze nie biegnie.

Dalej znajdziesz więcej informacji o tym, co się stało i co robić dalej. Jeśli już wiesz, że nie chcesz samodzielnie się tego podejmować i potrzebujesz pomocy, daj znać w formularzu poniżej.

Potrzebujesz pomocy?

Napisz krótko i zaznacz właściwe punkty – po otrzymaniu wiadomości pokierujemy Cię dalej.

Co udało Ci się zrobić?

• Wysłałem zgłoszenie wstępne do UODO
• Jeszcze nic

Zaznacz, co mam wycenić:

• Zgłoszenie do UODO
• Analiza ryzyka
• Rejestr naruszeń
• Konsultacja
• Nie wiem

Jakiej przybliżonej liczby osób dotyczy naruszenie? (jeśli wiesz)

Imię *

Adres e-mail *

💬 W czym możemy Ci pomóc?

Ważne: Twoja wiadomość jest objęta poufnością i jest chroniona tajemnicą zawodową.

📞 Telefon (opcjonalnie)

Wyślij wiadomość do Kancelarii

Co się stało w systemie MyDr?

Nieuprawniony dostęp do systemów MyDr – spółki dostarczającej oprogramowanie do elektronicznej dokumentacji pacjentów ok. 12 tysiącom podmiotów leczniczych w Polsce – stwierdzono nie później niż 6 sierpnia 2026 r. Centralne Biuro Zwalczania Cyberprzestępczości podjęło czynności z urzędu w poniedziałek, 10 sierpnia 2026 r., a formalne postępowanie uruchomiono w środę, 12 sierpnia 2026 r. Tego samego dnia Minister Cyfryzacji Krzysztof Gawkowski potwierdził, że incydent może dotyczyć danych blisko 19 milionów osób. Śledztwo nadzoruje Prokuratura Okręgowa w Warszawie.

Część przejętych informacji sprawcy przekazali w formie próbki do redakcji serwisu Zaufana Trzecia Strona – to standardowy sposób działania grupy posługującej się nazwą „Fingerprint”, która przypisuje sobie ten atak (a później również włamania do Qbusoft, aplikacji Medyc i Fakturowni). 30 sierpnia 2026 r. grupa opublikowała na komunikatorze Infosec Exchange wiadomość, w której stwierdziła: „Firma MyDr popełniła błąd, ale bardzo dobrze sobie z tym poradziła, dlatego (wykradzione) dane nie zostaną upublicznione ani sprzedane dalej”. To deklaracja samych sprawców, nie potwierdzony fakt – nie ma niezależnego sposobu zweryfikowania, czy i jak długo to zobowiązanie zostanie zachowane, ani czy dane nie trafiły już w inne ręce.

13 sierpnia 2026 r. Prezes UODO ogłosił, że przeprowadzi kontrolę w spółce MyDr – obejmie ona środki techniczne i organizacyjne zastosowane przez spółkę, regularność ich testowania wobec zmieniających się zagrożeń oraz to, czy analiza ryzyka MyDr uwzględniała realne zagrożenia dla danych pacjentów. W kolejnych dniach MyDr informowała klientów, że jest „na końcowym etapie” ustalania pełnego zakresu incydentu, zapowiadała indywidualny kontakt z placówkami i wsparcie w zgłoszeniach do organu – zastrzegając przy tym, że na razie zgłoszenia od placówek nie są wymagane. To stanowisko dostawcy, nie rozstrzygnięcie Twojego obowiązku – więcej o tym w dalszej części.

19 sierpnia 2026 r. Centrum e-Zdrowia (CeZ) zaleciło placówkom korzystającym z MyDr wymianę certyfikatów systemu P1, używanych do komunikacji z centralnymi usługami e-zdrowia (np. e-recepta, e-skierowanie) – jako środek zapobiegawczy, z terminem wymiany do 28 sierpnia 2026 r. CeZ zastrzegła, że nie doszło do naruszenia bezpieczeństwa samych centralnych usług e-zdrowia, a wymiana miała charakter prewencyjny.

Jakie dane wyciekły i ile osób dotyczy wyciek?

Według dostępnych informacji przejęta baza obejmowała imiona, nazwiska i numery PESEL (zaszyfrowane, ale – jak wskazują doniesienia branżowe – szyfrem stosunkowo łatwym do złamania), adresy, numery telefonów, adresy e-mail oraz dane o stanie zdrowia: notatki z wizyt i informacje o przepisanych lekach i receptach. Według doniesień medialnych skradziona baza miała ponad 2 terabajty danych – to informacja z mediów, nie z oficjalnego komunikatu MyDr czy UODO, więc traktuję ją z ostrożnością, podobnie jak podobne, niepotwierdzone szacunki pojawiające się przy innych incydentach.

Co do samej skali, oficjalny komunikat rządowy z 12 sierpnia 2026 r. mówi o ok. 19 milionach osób – to liczba, na której opiera się ten artykuł. Osoby podające się za sprawców ataku deklarują dokładniejszą (i wyższą) liczbę: 18 814 422 numerów PESEL. To TWIERDZENIE SPRAWCÓW, a nie potwierdzony fakt – sprawcy mają oczywisty interes w tym, żeby swój „wynik” przedstawiać jak najbardziej spektakularnie, więc do tej konkretnej liczby podchodzę z dystansem i w artykule posługuję się przede wszystkim liczbą rządową.

Dla kogo są te wskazówki?

Ten materiał jest przede wszystkim dla Ciebie, jeśli prowadzisz gabinet, przychodnię albo praktykę i korzystasz z MyDr do prowadzenia elektronicznej dokumentacji pacjentów – niezależnie od tego, czy jesteś lekarzem, lekarzem dentystą, czy zarządzasz większą placówką z kilkoma specjalistami. Dotyczy Cię to również, jeśli korzystasz z MyDr za pośrednictwem zewnętrznej firmy obsługującej Twoją dokumentację.

Zaznaczam przy tym wprost: kancelaria obsługuje w tej sprawie wyłącznie przedsiębiorców – placówki medyczne jako administratorów danych. Nie prowadzimy spraw przeciwko gabinetom ani przychodniom.

Czy to przychodnia jest administratorem danych, a MyDr – podmiotem przetwarzającym?

Tak, co do zasady. Dane pacjentów, które wprowadzasz do systemu MyDr – dane identyfikacyjne, kontaktowe i dane o zdrowiu w rozumieniu art. 9 RODO – przetwarzasz jako administrator. To Ty, jako lekarz, przychodnia czy gabinet, decydujesz, jakie dane i w jakim celu trafiają do systemu, a MyDr jest podmiotem przetwarzającym na podstawie umowy powierzenia przetwarzania danych osobowych (art. 28 RODO) – przetwarza te dane w Twoim imieniu, na Twoje zlecenie, w zakresie funkcji, które oferuje jej oprogramowanie.

Co to oznacza dla Ciebie w tej sytuacji: art. 28 ust. 3 lit. f RODO zobowiązuje podmiot przetwarzający do pomagania administratorowi w wywiązywaniu się z obowiązków dotyczących naruszeń (art. 32-36 RODO), a art. 33 ust. 2 RODO nakazuje podmiotowi przetwarzającemu zgłosić naruszenie administratorowi bez zbędnej zwłoki. MyDr informowała swoich klientów o przebiegu incydentu – to dopiero podstawa do Twojej własnej oceny, nie koniec Twoich obowiązków. Jeśli nie masz jeszcze zawartej z MyDr umowy powierzenia (np. bo korzystasz z systemu od dawna, z konta założonego przed wdrożeniem RODO albo przed zmianą dostawcy wewnątrz Twojej placówki), umowa powierzenia przetwarzania danych osobowych porządkuje tę relację na przyszłość – choć sam obowiązek z art. 28 RODO istnieje niezależnie od tego, czy formalnie podpisaliście dokument.

Czy musisz zgłosić to naruszenie do UODO, jeśli MyDr już poinformowała o incydencie?

To jest najczęstsze nieporozumienie w tej sprawie: informacja, którą MyDr przekazała swoim klientom, oraz kontrola, którą prowadzi wobec niej Prezes UODO, dotyczą obowiązków samej MyDr jako podmiotu przetwarzającego. Nie zastępują one Twojego zgłoszenia jako administratora danych Twoich pacjentów – to są dwa odrębne obowiązki z różnych podstaw.

21 sierpnia 2026 r. Prezes UODO odpowiedział na pytania Naczelnej Izby Lekarskiej, która zgłosiła w jego imieniu wątpliwości wielu lekarzy i lekarzy dentystów korzystających z MyDr. Odpowiedź jest jednoznaczna: stanowisko podmiotu przetwarzającego – także to, że MyDr nie wymaga obecnie zgłoszeń od placówek – nie zwalnia administratora z przeprowadzenia własnej oceny zdarzenia. Prezes UODO przypomniał o obowiązkach z art. 33-34 RODO: ocenie ryzyka naruszenia praw lub wolności pacjentów i wynikających z niej obowiązkach zgłoszenia naruszenia oraz zawiadomienia osób, których dane dotyczą.

Zgodnie z poradnikiem Prezesa Urzędu Ochrony Danych Osobowych „Obowiązki administratorów związane z naruszeniami ochrony danych osobowych”, podmiot przetwarzający nie zgłasza naruszeń ochrony danych osobowych organowi nadzorczemu – ten obowiązek ciąży na administratorze. Od momentu, w którym MyDr przekazała Ci informacje wystarczające do stwierdzenia, że naruszenie dotyczyło danych Twoich pacjentów (albo od chwili, w której faktycznie dowiedziałeś się o incydencie z innego źródła), zaczyna biec Twój własny termin na ocenę sytuacji i, jeśli okaże się to konieczne, zgłoszenie Prezesowi UODO. Z komentarzy do pisma UODO z 21 sierpnia wynika przy tym ważne zastrzeżenie: jeżeli z informacji przekazanych przez MyDr nie wynika jeszcze, czy i w jakim zakresie naruszenie dotyczyło danych Twoich pacjentów, termin 72 godzin co do zasady jeszcze nie zaczyna biec – ale to nie jest powód, żeby nie dopytywać dostawcy i nie monitorować kolejnych komunikatów.

Ten sam poradnik w oparciu o RODO przywołuje różne rodzaje naruszeń z uwagi na ryzyko: 1) brak ryzyka, 2) ryzyko (obowiązek zgłoszenia Prezesowi UODO) oraz 3) wysokie ryzyko (obowiązek zgłoszenia Prezesowi UODO i zawiadomienia osób, których dane dotyczą).

Kategoria „brak ryzyka” jest zarezerwowana dla wąskich, jednoznacznych sytuacji: dane były już publicznie dostępne, dane były zaszyfrowane w sposób czyniący je nieczytelnymi dla osób nieuprawnionych (z nienaruszonym kluczem i kopią zapasową u administratora), albo incydentowi w pełni zaradzono, zanim doszło do jakiegokolwiek dostępu do danych. Ciężar wykazania braku ryzyka leży na administratorze – to Ty musisz być w stanie uzasadnić, że go nie ma, nie organ musi wykazać, że jest.

W przypadku incydentu w MyDr żadna z tych trzech wąskich sytuacji co do zasady nie zachodzi w oczywisty sposób: numery PESEL i dane o zdrowiu nie były danymi publicznie dostępnymi, szyfrowanie PESEL-i – według doniesień branżowych stosunkowo łatwe do złamania – nie jest tym samym co szyfrowanie czyniące dane nieczytelnymi dla osoby nieuprawnionej, a do dostępu przez osobę nieuprawnioną już doszło.

Jak ocenić ryzyko w tym konkretnym przypadku?

Poradnik UODO wskazuje okoliczności, które trzeba wziąć pod uwagę: rodzaj naruszenia, charakter i wrażliwość danych, łatwość identyfikacji osób, których dane dotyczą, dotkliwość konsekwencji dla tych osób, cechy szczególne osób i administratora oraz liczbę osób, których dane dotyczą.

Przy tym konkretnym incydencie na niekorzyść oceny „brak ryzyka” przemawia kilka faktów, które są tu wyraźniejsze niż przy wycieku zwykłych danych kontaktowych: wyciekły dane szczególnej kategorii w rozumieniu art. 9 RODO – informacje o stanie zdrowia, w tym o przepisanych lekach i receptach – a ich ujawnienie może prowadzić do konsekwencji poważniejszych niż przy typowym wycieku danych finansowych: dyskryminacji, napiętnowania, naruszenia godności czy wykorzystania informacji o chorobie w próbach wyłudzeń (np. fałszywych telefonów „w sprawie leczenia” podających się za przychodnię albo NFZ). Do tego dochodzi numer PESEL, który w połączeniu z danymi kontaktowymi bywa wykorzystywany do prób wyłudzeń kredytów czy innych oszustw – stąd rekomendacja UODO, żeby pacjenci rozważyli zastrzeżenie numeru PESEL.

Co zrobić krok po kroku, jeśli korzystasz z MyDr?

Część działań możesz wykonać sam, od razu, jeszcze przed formalną oceną ryzyka – to nie czeka na decyzję o zgłoszeniu do UODO.

• Zmień hasło do konta w MyDr na nowe, unikalne, niepowtarzane w innych serwisach, i zrób to dla wszystkich pracowników z dostępem do systemu.
• Włącz weryfikację dwuskładnikową w MyDr, jeśli jeszcze jej nie masz, i sprawdź, czy wszyscy pracownicy z dostępem rzeczywiście z niej korzystają.
• Wymień certyfikaty systemu P1, jeśli jeszcze tego nie zrobiłeś zgodnie z zaleceniem Centrum e-Zdrowia z 19 sierpnia 2026 r. – sprawdź też u dostawcy, czy Twoje obecne certyfikaty nie wygasły.
• Sprawdź listę pracowników z dostępem do konta MyDr i wyjaśnij każdy dostęp, którego nie rozpoznajesz – część doniesień o tym incydencie wskazuje, że sprawcy wykorzystywali właśnie przejęte konta pracowników placówek medycznych.
• Uprzedź pacjentów i personel, żeby byli ostrożni wobec telefonów czy wiadomości podających się za przychodnię, NFZ albo MyDr i proszących o dane osobowe, kody czy płatności – to typowy scenariusz wykorzystania takiego wycieku.
• Oceń ryzyko dla swojej sytuacji i udokumentuj tę ocenę – niezależnie od tego, czy zgłoszenie do UODO okaże się obowiązkowe, dokumentowanie naruszeń jest samodzielnym obowiązkiem z art. 33 ust. 5 RODO.
• Zdecyduj o zgłoszeniu do UODO w terminie 72 godzin od stwierdzenia naruszenia, jeśli ocena ryzyka na to wskazuje (patrz wyżej) – a jeśli ryzyko jest wysokie, rozważ też zawiadomienie pacjentów, których dane mogły być objęte wyciekiem.

Pełną procedurę zgłoszenia naruszenia do UODO – co dokładnie musi zawierać zgłoszenie, jak wygląda formularz na biznes.gov.pl i co zrobić, gdy 72 godziny to za mało, żeby zebrać wszystkie fakty – opisałam krok po kroku w artykule naruszenie ochrony danych osobowych – co zrobić. Poniżej skupiam się na tym, co jest specyficzne dla tego konkretnego incydentu.

Najczęstsze błędy po informacji o wycieku u dostawcy

• Zakładanie, że stanowisko MyDr (że zgłoszenia od placówek nie są obecnie wymagane) zwalnia Cię z własnego obowiązku oceny i ewentualnego zgłoszenia.
• Liczenie 72 godzin od dnia potwierdzenia incydentu przez rząd (12 sierpnia), a nie od chwili, w której Ty faktycznie stwierdziłeś, że naruszenie dotyczy danych Twoich pacjentów.
• Czekanie z działaniami zabezpieczającymi (zmiana hasła, 2FA, wymiana certyfikatów P1) na wynik formalnej oceny ryzyka – to są czynności, które można wykonać od razu, niezależnie od dalszej analizy.
• Mylenie tego incydentu z późniejszym, odrębnym postępowaniem dotyczącym danych z systemu eWUŚ z 2024 r. – to inna sprawa, z inną skalą i inną prokuraturą, patrz ramka wyżej.

Kiedy warto zlecić pomoc?

Formalna ocena ryzyka, decyzja o zgłoszeniu do UODO, przygotowanie samego zgłoszenia i decyzja o zawiadomieniu pacjentów to już analiza prawna konkretnej sytuacji – a przy danych o zdrowiu stawka tej oceny jest wyższa niż przy typowym wycieku danych kontaktowych czy finansowych. Warto to zlecić, jeśli nie masz pewności, jak sklasyfikować ryzyko w Twoim przypadku, albo jeśli chcesz mieć udokumentowaną, przemyślaną decyzję na wypadek późniejszej kontroli UODO w firmie – która w przypadku placówek medycznych korzystających z MyDr jest tym bardziej prawdopodobna, że Prezes UODO zapowiedział już kontrole sektorowe przetwarzania danych o zdrowiu do końca 2026 r. Taki incydent bywa też dobrym momentem, żeby sprawdzić szerzej, jak wygląda wdrożenie RODO w Twojej placówce – nie tylko w zakresie samego MyDr – zobacz też obsługę incydentu i zgłoszenia do UODO – z dokładnym zakresem i cennikiem.

Jak wygląda współpraca?

Jeśli chcesz, żebym oceniła ryzyko dla Twojej konkretnej sytuacji i pomogła przygotować zgłoszenie do UODO (albo podjąć decyzję, że nie jest ono konieczne) – skontaktuj się z nami albo zobacz obsługę incydentu i zgłoszenia do UODO – z dokładnym zakresem i cennikiem. Sprawy z zakresu RODO prowadzone są przez radcę prawnego Kingę Konopelko.

Napisz, jakich pacjentów i jakiego zakresu danych dotyczyło Twoje konto w MyDr oraz czy masz już włączone zabezpieczenia z listy powyżej – na tej podstawie zaproponuję zakres pracy i dalsze kroki.

Potrzebujesz pomocy?

Napisz krótko i zaznacz właściwe punkty – po otrzymaniu wiadomości pokierujemy Cię dalej.

Co udało Ci się zrobić?

• Wysłałem zgłoszenie wstępne do UODO
• Jeszcze nic

Zaznacz, co mam wycenić:

• Zgłoszenie do UODO
• Analiza ryzyka
• Rejestr naruszeń
• Konsultacja
• Nie wiem

Jakiej przybliżonej liczby osób dotyczy naruszenie? (jeśli wiesz)

Imię *

Adres e-mail *

💬 W czym możemy Ci pomóc?

Ważne: Twoja wiadomość jest objęta poufnością i jest chroniona tajemnicą zawodową.

📞 Telefon (opcjonalnie)

Wyślij wiadomość do Kancelarii

FAQ – najczęściej zadawane pytania

Nie zdążyłem złożyć zgłoszenia do UODO w terminie – co zrobić?

Zgłoś naruszenie jak najszybciej, nawet po terminie – RODO wprost to przewiduje: jeżeli zgłoszenia nie można złożyć w ciągu 72 godzin, dołącza się do niego wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 zdanie drugie RODO). Spóźnione zgłoszenie z rzetelnym uzasadnieniem to zupełnie inna sytuacja niż brak zgłoszenia w ogóle – to właśnie brak reakcji, a nie samo przekroczenie terminu, UODO ocenia najsurowiej. Chcesz skorzystać z pomocy przy zgłoszeniu do UODO i przygotowaniu pozostałej dokumentacji incydentu? Napisz do nas.

Jeśli nie zdążyłem złożyć zgłoszenia w terminie, czy nadal muszę to zrobić?

Tak – przekroczenie terminu 72 godzin nie zwalnia Cię z obowiązku zgłoszenia, jeśli ocena ryzyka wskazuje, że zgłoszenie było konieczne. Obowiązek z art. 33 RODO istnieje niezależnie od terminu – znika dopiero wtedy, gdy faktycznie złożysz zgłoszenie (ewentualnie spóźnione, z wyjaśnieniem przyczyn), albo gdy ocena ryzyka wykaże, że zgłoszenie nie było wymagane. Zaniechanie zgłoszenia, które było obowiązkowe, może skutkować administracyjną karą pieniężną.

Czy muszę zgłosić do UODO wyciek danych z MyDr, jeśli MyDr już o nim informowała?

Tak, może się okazać, że musisz – informacja od MyDr i kontrola, którą wobec niej prowadzi Prezes UODO, dotyczą obowiązków samej MyDr i nie zastępują Twojego zgłoszenia jako administratora danych Twoich pacjentów. To, czy zgłoszenie jest obowiązkowe w Twoim przypadku, zależy od oceny ryzyka dla konkretnych danych, które przetwarzałeś w systemie.

Od kiedy liczy się 72 godziny na zgłoszenie naruszenia po informacji od MyDr?

Termin liczy się od chwili, w której Ty jako administrator stwierdziłeś naruszenie dotyczące Twoich pacjentów – w praktyce najczęściej od momentu otrzymania od MyDr informacji wystarczających do takiego stwierdzenia, nie od 6 czy 12 sierpnia 2026 r., kiedy incydent wykryto i potwierdzono publicznie. Jeśli MyDr nie przekazała Ci jeszcze informacji pozwalających stwierdzić, że naruszenie dotyczyło Twoich danych, ten termin co do zasady jeszcze nie biegnie.

Czy muszę poinformować swoich pacjentów o wycieku danych z MyDr?

Obowiązek zawiadomienia osób, których dane dotyczą (art. 34 RODO), powstaje, gdy naruszenie może powodować dla nich wysokie ryzyko – a przy danych o zdrowiu, w zależności od zakresu i okoliczności konkretnego przypadku, często do tego dochodzi.

Czy dane medyczne (recepty, wizyty) rzeczywiście wyciekły, czy to tylko PESEL i dane kontaktowe?

Według dostępnych informacji wyciek obejmował – obok PESEL-i i danych kontaktowych – również dane o stanie zdrowia: notatki z wizyt i informacje o przepisanych lekach i receptach. Dokładny zakres, jakiego konkretnie pacjenta dotyczy, ustala i podaje administrator, czyli przychodnia lub gabinet korzystający z MyDr.

Co powinna zrobić przychodnia, jeśli korzysta z MyDr?

Co najmniej: zmienić hasła do kont w MyDr, włączyć weryfikację dwuskładnikową, sprawdzić listę pracowników z dostępem, wymienić certyfikaty systemu P1 zgodnie z zaleceniem CeZ, ocenić ryzyko i udokumentować tę ocenę, a następnie – jeśli ocena na to wskazuje – zgłosić naruszenie do UODO w terminie 72 godzin i rozważyć zawiadomienie pacjentów.

Czy brak zgłoszenia tego naruszenia może skutkować karą?

Brak zgłoszenia naruszenia, które podlegało zgłoszeniu, jest zagrożony administracyjną karą pieniężną na podstawie art. 83 RODO – w tej kategorii obowiązków do 10 mln EUR lub 2% rocznego światowego obrotu, stosuje się kwotę wyższą. Kara nie grozi za sam fakt bycia klientem dostawcy, który padł ofiarą ataku hakerskiego, tylko za brak reakcji administratora na obowiązki z art. 33-34 RODO.

Czy muszę mieć podpisaną umowę powierzenia z MyDr?

Obowiązek z art. 28 RODO istnieje niezależnie od tego, czy formalny dokument został podpisany – ale jeśli korzystasz z MyDr od dawna i nie masz takiej umowy w dokumentacji, warto to uporządkować.

O autorze

Kinga Konopelko jest radcą prawnym specjalizującym się w ochronie danych osobowych i obsłudze prawnej e-commerce. Pomaga przedsiębiorcom i placówkom medycznym ocenić ryzyko po incydentach bezpieczeństwa, przygotować zgłoszenia do UODO i uporządkować dokumentację RODO.

Ten artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady prawnej. Każda sytuacja wymaga indywidualnej oceny. Jeśli potrzebujesz wsparcia w swojej sprawie, skontaktuj się z nami.

Stan prawny na: 2026-10-06