Najważniejsze
- •Pacjent żąda 30 000 zł zadośćuczynienia od spółki MyDr w związku z wyciekiem danych osobowych i medycznych.
- •Cyberatak na dostawcę oprogramowania SaaS mógł objąć nawet 18,8 mln osób oraz ponad 12 tysięcy placówek medycznych.
- •Państwowe systemy P1 oraz Internetowe Konto Pacjenta (IKP) nie zostały naruszone – atak dotyczył prywatnej infrastruktury MyDr.
- •Sprawą zajmuje się UODO, a podstawą prawną roszczeń pacjentów jest art. 82 RODO.
Przemysław Kamiński wezwał spółkę MyDr do zapłaty 30 tys. zł zadośćuczynienia za wyciek danych medycznych i numerów PESEL. Incydent mógł objąć dane nawet 18,8 mln osób.
Przemysław Kamiński z Kostrzyna nad Odrą skierował do spółki MyDr przedsądowe wezwanie do zapłaty 30 tys. zł zadośćuczynienia. Sprawa dotyczy cyberataku, w którego wyniku nieuprawnione osoby uzyskały dostęp do archiwalnych danych medycznych oraz numerów PESEL. To pierwsze ujawnione formalne roszczenie finansowe sformułowane po wycieku z systemu oprogramowania, z którego korzysta ponad 12 tys. placówek medycznych w Polsce.
Mężczyzna wysłał pismo listem poleconym, wyznaczając spółce MyDr 14 dni na uregulowanie należności. W uzasadnieniu żądania powołał się na silny stres, poczucie zagrożenia oraz utratę kontroli nad własnymi danymi osobowymi. Zarzucił dostawcy oprogramowania również opóźnienie w przekazaniu informacji o naruszeniu. Pacjent otrzymał powiadomienia o wycieku danych przetwarzanych w trzech placówkach: przychodni Medicus w Kostrzynie nad Odrą, Centrum Medycznym Medi Raj w Gorzowie Wielkopolskim oraz Szpitalu Powiatowym Gajda Med w Pułtusku.
Skala cyberataku i reakcja instytucji
Spółka MyDr potwierdziła cyberatak ujawniony w sierpniu 2026 r. Z ustaleń Ministerstwa Cyfryzacji wynika, że hakerzy uzyskali dostęp do historycznych baz danych sięgających 12 kwietnia 2024 r. Incydent może dotyczyć nawet 18,8 mln osób oraz ponad 12 tys. podmiotów leczniczych. Zakres wycieku obejmuje m.in. numery PESEL oraz szczegółowe informacje o stanie zdrowia. Na ten moment brak jednak potwierdzonych dowodów świadczących o tym, że skradzione bazy opublikowano w sieci lub wykorzystano do wyłudzeń.
Masowa wysyłka powiadomień SMS pod nagłówkiem „Twoje Dane” wywołała dezorientację wśród pacjentów, którzy masowo kontaktowali się z przychodniami. W związku ze sprawą Urząd Ochrony Danych Osobowych (UODO) prowadzi obecnie w spółce MyDr kontrolę dotyczącą stosowanych zabezpieczeń oraz oceny ryzyka. Urząd zaznaczył jednocześnie, że treść wysyłanych do pacjentów wiadomości była z nim wcześniej uzgadniana.
Podstawa prawna i odpowiedzialność
Cyberatak dotknął wyłącznie prywatną infrastrukturę dostawcy. Hakerzy nie przełamali zabezpieczeń państwowego systemu P1 (obsługującego e-recepty) ani Internetowego Konta Pacjenta. Spółka MyDr dostarcza oprogramowanie w modelu SaaS, dlatego z prawnego punktu widzenia formalnymi administratorami danych osobowych pacjentów pozostają placówki medyczne korzystające z jej usług.
Przedsądowe wezwanie stanowi pismo prywatne i nie obliguje automatycznie spółki do wypłaty żądanej kwoty. Dochodzenie roszczeń odszkodowawczych na podstawie art. 82 RODO wymaga wykazania szkody majątkowej lub krzywdy moralnej oraz bezpośredniego związku przyczynowego z naruszeniem. Dalszy rozwój sprawy zależy od oficjalnej odpowiedzi MyDr oraz ewentualnej decyzji pacjenta o skierowaniu pozwu do sądu.
Skala i zakres cyberataku na MyDr
Słownik pojęć
- SaaS (Software as a Service)
- Model świadczenia usług oprogramowania przez internet, w którym aplikacja jest przechowywana na serwerach dostawcy, a użytkownik korzysta z niej przez przeglądarkę lub aplikację.
- RODO
- Ogólne rozporządzenie o ochronie danych – unijne rozporządzenie regulujące zasady przetwarzania danych osobowych i prawa osób, których dane dotyczą.
- UODO
- Urząd Ochrony Danych Osobowych – polski organ nadzorczy dbający o przestrzeganie przepisów o ochronie danych osobowych.
- Administrator danych osobowych (ADO)
- Osoba lub podmiot, który ustala cele i sposoby przetwarzania danych osobowych (w tym przypadku poszczególne placówki medyczne).
- Zadośćuczynienie
- Świadczenie pieniężne mające na celu rekompensatę doznanej krzywdy niemajątkowej (np. stresu, cierpienia psychicznego, poczucia zagrożenia).
- Przedsądowe wezwanie do zapłaty
- Oficjalne pismo wzywające dłużnika do spełnienia świadczenia (np. zapłaty kwoty) pod rygorem skierowania sprawy na drogę sądową.
