12 sierpnia 2026 r. Ministerstwo Cyfryzacji przekazało informację o cyberataku na system wykorzystywany do prowadzenia elektronicznej dokumentacji pacjentów. Spółka MyDr potwierdziła nieuprawniony dostęp do zasobów i szacuje, że incydent może dotyczyć 19 mln osób. System obsługiwał około 12 tys. placówek, a przejęte dane mają obejmować numery PESEL, część danych kontaktowych oraz wybrane informacje medyczne.
Jak sprawdzić, czy PESEL znalazł się w przejętej bazie?
Rząd uruchomił serwis bezpiecznedane.gov.pl, dostępny od 29 sierpnia 2026 r., służący do weryfikacji, czy dany numer PESEL znajduje się w przejętym zbiorze. Logowanie do serwisu odbywa się przez mObywatel, profil zaufany, e-dowód albo bankowość elektroniczną. Serwis informuje jedynie o obecności numeru PESEL w zbiorze i nie pokazuje pełnego zakresu ujawnionych danych medycznych.
W komunikatach rząd zaleca zastrzeżenie numeru PESEL w aplikacji mObywatel osobom, które obawiają się naruszenia. Jeśli potrzebna jest precyzyjna informacja o tym, jakie konkretnie dane pacjenta przetwarzała dana placówka w systemie MyDr, administratorem tych danych pozostaje przychodnia lub gabinet — do nich należą formalne zapytania o zakres przetwarzania.
Kto bada incydent i jakie działania są prowadzone?
Centralne Biuro Zwalczania Cyberprzestępczości prowadzi postępowanie pod nadzorem Prokuratury Okręgowej w Warszawie. Urząd Ochrony Danych Osobowych kontroluje zabezpieczenia stosowane przez MyDr. Spółka informuje, że prowadzi monitorowanie dark webu i współpracuje z zewnętrznymi ekspertami ds. cyberbezpieczeństwa.
MyDr przekazała, że przejęte zasoby najprawdopodobniej mają charakter archiwalny — pochodzą głównie z 2024 r. i wcześniejszych lat — oraz że na obecnym etapie nie ma dowodów na publiczne upublicznienie danych. Firma zadeklarowała wsparcie dla swoich klientów w zgłoszeniach do organów ochrony danych i zapowiedziała, że skontaktuje się proaktywnie z placówkami i osobami objętymi incydentem, gdy ustali ich zakres.
Niektóre podmioty medyczne — w tym lecznica Larmed z Krakowa — rozesłały do pacjentów wiadomości e-mail i SMS z informacją, że doszło do naruszenia danych przez system MyDr. Analizy śledcze spółki mają potwierdzić opanowanie incydentu i brak dalszego nieuprawnionego dostępu.
Czynności śledcze prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie.
