Wyciek danych z MyDr – za co grozi kara i co zrobić już dziś?

12 sierpnia 2026 roku wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził, że wyciek danych z MyDr, dostawcy oprogramowania do elektronicznej dokumentacji medycznej, może obejmować dane blisko 19 milionów osób. Ten tekst odpowiada na pytania, które od tamtej pory padają w każdej organizacji przetwarzającej dane osobowe na dużą skalę. Co bym zrobił w takiej sytuacji? Za co po takim incydencie regulator naprawdę nakłada karę i czy mogę zrobić coś dziś, by ją obniżyć?

Piszę o tym, bo podejrzewam, że każdy, kto odpowiada w swojej organizacji za bezpieczeństwo informacji, przeczytał doniesienia z ostatnich dni i zadał sobie po cichu to samo pytanie: co bym zrobił, gdyby w niedzielę rano zadzwonił telefon i ktoś powiedział, że nasza baza jest w sieci. Przy wyjątkowej skali incydentu sam mechanizm nie jest wyjątkowy. Różnica między firmą, która wyjdzie z takiej sytuacji z reputacyjnym siniakiem, a firmą, która wyjdzie z niej z rekordową karą, zależy od decyzji i działań podejmowanych na długo przed atakiem oraz od dokumentów, które przygotowujemy na co dzień.

W skrócie

• Warto pamiętać, że kary nie nakłada się za to, że staliśmy się ofiarą ataku, ale za niezgodność z przepisami i zaniedbanie obowiązków, które ułatwiły atak. Regulator ocenia stan zabezpieczeń w dniu incydentu.

• Właściwym punktem odniesienia w tym konkretnym przypadku jest RODO, bo obowiązuje ono bez żadnego okresu przejściowego od 2018 r. Obowiązki z ustawy o KSC po nowelizacji należy wdrożyć dopiero do 3 kwietnia 2027 roku, a kary z niej mogą być nakładane dopiero od 3 kwietnia 2028 roku.

• Udokumentowana analiza zgodności z planem naprawczym działa na Waszą korzyść od dnia przyjęcia planu, nawet jeśli prace jeszcze trwają.

• Osobom, które obawiają się, że mogły zostać dotknięte wyciekiem (wiedzą, że ich lekarze korzystają z tej platformy), doradzamy następującą kolejność: najpierw zastrzeżcie numer PESEL, a dopiero potem sprawdźcie, czy Wasze dane zostały ujawnione w serwisie bezpiecznedane.gov.pl.

Co dokładnie wydarzyło się w MyDr i jakiej skali dotyczy wyciek

MyDr to platforma elektronicznej dokumentacji medycznej (EDM), obsługująca około 12 tysięcy placówek ochrony zdrowia w Polsce, przez którą przechodzi około 3 milionów wizyt i 2,7 miliona recept miesięcznie. Według komunikatu ministra cyfryzacji z konferencji prasowej skala incydentu to około dwóch terabajtów informacji i danych blisko 19 milionów osób, czyli mniej więcej połowy populacji naszego kraju.

Sprawcy deklarują pozyskanie 18 814 422 unikatowych numerów PESEL wraz z danymi identyfikacyjnymi, numerami telefonów i informacjami o receptach, a także zawartością wewnętrznych systemów spółki. Według analizy portalu Zaufana Trzecia Strona wektorem wejścia była podatność typu XXE w obsłudze certyfikatów PKCS#12, która pozwoliła przejąć klucz dostępowy do repozytorium kodu, a stamtąd wejść do infrastruktury chmurowej. Ministerstwo Cyfryzacji uruchomiło Połączone Centrum Operacyjne Cyberbezpieczeństwa, a Urząd Ochrony Danych Osobowych przypomniał administratorom o obowiązku zgłoszenia naruszenia w ciągu 72 godzin.

Dlaczego w tej sprawie właściwym punktem odniesienia jest RODO, a nie UKSC jak twierdzi minister

Podczas konferencji minister Gawkowski, w odpowiedzi na pytanie o stan zabezpieczeń po stronie MyDR, przywołał ustawę o krajowym systemie cyberbezpieczeństwa jako punkt odniesienia dla analizy prowadzonej przez służby. Tymczasem ocenę prawną tego incydentu wyznacza RODO, ponieważ naruszenie dotyczy danych osobowych, a obowiązek stosowania środków odpowiednich do ryzyka wiąże administratorów i podmioty przetwarzające od 2018 roku bez okresu przejściowego.

Ustawa o krajowym systemie cyberbezpieczeństwa, po nowelizacji z 23 stycznia 2026 roku, weszła w życie 3 kwietnia 2026 roku, ale jej harmonogram dopiero się rozkręca. Do 3 października 2026 roku podmioty kluczowe i ważne mają złożyć wniosek o wpis do wykazu. Obowiązki bezpieczeństwa trzeba wdrożyć do 3 kwietnia 2027 roku, pierwszy obowiązkowy audyt przypada na 3 kwietnia 2028 roku, a kary pieniężne, zgodnie z komunikatem Ministerstwa Cyfryzacji, mogą być nakładane dopiero po upływie 2 lat od wejścia ustawy w życie.

W poprzednim stanie prawnym operatorami w sektorze ochrony zdrowia były podmioty lecznicze wskazywane decyzją administracyjną, nie dostawcy oprogramowania działający na ich rzecz. W ogóle zarządzanie łańcuchem dostaw było wówczas jedynie dobrą praktyką, a nie twardym wymogiem.

Trudno dziś powoływać się na ustawę o KSC jako na źródło wymagań, jak uczynił to minister Gawkowski. Rozumiem pokusę, bo Ministerstwo Cyfryzacji, jako organ koordynujący krajowy system cyberbezpieczeństwa i firmujący własną nowelizację, mówi o narzędziu, które sam współtworzył, chętniej niż o cudzym. Skutek uboczny jest jednak taki, że menedżer, który usłyszy w telewizji, że „ustawa o KSC tego wymaga", może z tego wyprowadzić wniosek, że do kwietnia 2027 roku może spać względnie spokojnie, tymczasem RODO obowiązuje dzisiaj i to ono na dziś wyznacza rzeczywistą ekspozycję jego organizacji.

Za co organizacja realnie dostaje karę po wycieku danych

Organ nadzorczy ocenia trzy rzeczy:

• czy organizacja rozpoznała ryzyko,

• jakie środki wobec niego wdrożyła

• i jak reagowała po incydencie.

Wysokość kary zależy od charakteru i wagi naruszenia, stopnia zawinienia, kategorii danych oraz działań podjętych w celu ograniczenia szkody. RODO przewiduje dla naruszeń obowiązków bezpieczeństwa górny pułap w wysokości 10 milionów euro albo 2% rocznego światowego obrotu. Dane medyczne należą do kategorii szczególnej, więc waga naruszenia jest z definicji wysoka.

W praktyce organ odtwarza po incydencie, co organizacja wiedziała o własnym ryzyku i co z tą wiedzą zrobiła, a odpowiedzi układają się w trzy typowe scenariusze.

1. W pierwszym przypadku istnieje aktualna analiza ryzyka, ewidencja zidentyfikowanych podatności, plan postępowania z ryzykiem z priorytetami i terminami (wykorzystujemy podejście oparte na ryzyku) oraz dowody wdrażania zabezpieczeń w kolejności wynikającej z tych priorytetów, a atak po prostu wyprzedził domknięcie zaplanowanych działań.

2. W drugim przypadku nie ma wcale analizy ryzyka, więc organizacja nie zna własnych podatności i narusza art. 32 RODO niezależnie od tego, czy ktokolwiek wykorzystał te podatności.

3. W trzecim przypadku podatność została zidentyfikowana i opisana, po czym nikt nie wdrożył zabezpieczenia ani nie udokumentował formalnej akceptacji ryzyka na właściwym szczeblu zarządczym.

Pierwszy stan świadczy o należytej staranności i obniża wymiar kary, drugi opisuje zaniechanie, a trzeci wypada najgorzej, ponieważ dowodzi udokumentowanej świadomości zagrożenia, za którą nie poszło ani działanie, ani formalna decyzja o jego zaniechaniu. Milcząca bezczynność wobec znanego ryzyka pozostaje decyzją, tyle że podjętą bez właściciela (choć w takim przypadku odpowiedzialnym jest zawsze administrator danych – a więc zwykle zarząd), bez daty i bez uzasadnienia, które organ nadzorczy mógłby wziąć pod uwagę.

Tę różnicę da się przeliczyć na pieniądze i dlatego przemawia ona do zarządu lepiej niż jakikolwiek slajd o zagrożeniach. Udokumentowana analiza luk z planem naprawczym, terminami i właścicielami działań kosztuje ułamek tego, o czym mówimy przy karach z RODO. Kupuje coś, czego nie da się kupić po incydencie — dowód, że organizacja wiedziała, co robi, i robiła to w kolejności wynikającej z ryzyka.

Co warto sprawdzić we własnej organizacji w najbliższych tygodniach

Zacznijcie od analizy zgodności, nawet jeśli wiecie, że wypadnie źle. W analizach luk prowadzonych w spółkach objętych obowiązkami uKSC powtarza się jedno ustalenie — zabezpieczenia techniczne są zwykle w rozsądnym stanie, a organizacja przegrywa na etapie dokumentacji decyzji, bo nikt nie zapisał, dlaczego przyjęto dany poziom ochrony i kto go zaakceptował.

Trzy obszary warto sprawdzić w pierwszej kolejności.

1. Umowy powierzenia przetwarzania z dostawcami oprogramowania i usług chmurowych oraz to, czy zawierają realne uprawnienia kontrolne, a nie tylko oświadczenie o zgodności. Certyfikat ISO 27001 u dostawcy jest informacją o istnieniu systemu zarządzania, nie o poziomie ochrony konkretnych danych — normy ISO dopuszczają świadomą akceptację ryzyka, więc certyfikat i akceptowana luka mogą współistnieć bez sprzeczności.

2. Procedura zgłoszenia naruszenia: kto stwierdza naruszenie, w którym momencie rozpoczyna bieg 72 godzin i kto podpisuje zgłoszenie w piątek o dwudziestej drugiej.

3. Gotowość komunikacyjną wobec osób, których dane dotyczą, bo przy skali liczonej w milionach zawiadomienie indywidualne staje się skomplikowaną operacją logistyczną.

Co przekazać pracownikom i klientom dotkniętym wyciekiem

Kolejność działań dla osoby fizycznej jest odwrotna do intuicyjnej, ponieważ zaczyna się od zabezpieczenia, a dopiero potem przechodzi się do sprawdzania, czy dane rzeczywiście wyciekły.

1. Zastrzeż numer PESEL w aplikacji mObywatel albo w dowolnym urzędzie gminy. W mObywatelu operacja trwa kilkanaście sekund i blokuje zaciągnięcie kredytu oraz zawarcie umowy na dane zastrzeżone.

2. Sprawdź swoje dane w rządowym serwisie bezpiecznedane.gov.pl, pamiętając, że w pierwszych dniach po ogłoszeniu incydentu serwis może być niedostępny z powodu obciążenia, a uzupełnianie bazy zależy od zgłoszeń z poszczególnych placówek.

3. Traktuj brak potwierdzenia jako brak informacji, nie jako informację o bezpieczeństwie. Przy skali odpowiadającej połowie populacji kraju rozsądniej jest założyć, że dane już krążą w obiegu.

Do tego dochodzi zdrowa nieufność wobec każdego kontaktu, którego się nie spodziewamy, a zwłaszcza takiego, w którym rozmówca zna nasz numer PESEL, stan zdrowia i historię wizyt. Znajomość naszych danych nie jest potwierdzeniem, że osoba, która do nas dzwoni, jest wiarygodna, a to jest chyba najtrwalszą konsekwencją tego incydentu.

Jeden dostawca, tysiące podmiotów, wspólna ekspozycja

Incydent w MyDr pokazuje jak na dłoni, że dostawca oprogramowania obsługujący tysiące podmiotów staje się pojedynczym punktem koncentracji ryzyka dla całego sektora, niezależnie od tego, jak dobrze zabezpieczony jest każdy z tych podmiotów osobno. Z perspektywy zarządzania ryzykiem operacyjnym oznacza to tylko tyle, że ekspozycja organizacji obejmuje stan zabezpieczeń podmiotów, na które nie macie bezpośredniego wpływu, ale to Wy odpowiadacie przed organem nadzorczym za to, czy sprawdziliście, w jaki sposób zabezpieczają informacje chronione.

Wracając więc do pytania, które każdy z nas zadał sobie w tym tygodniu — odpowiedź na „co bym zrobił, gdyby to nas dotyczyło" ma postać dokumentu z datą, listą luk, terminami i nazwiskami osób odpowiedzialnych. Do 3 kwietnia 2027 roku jest mniej czasu niż się wydaje. Warto zrobić rachunek sumienia już dziś.