Wyciek danych medycznych z systemu MyDr objął blisko 19 mln Polaków – potwierdził w środę 12 sierpnia 2026 r. wicepremier i minister cyfryzacji Krzysztof Gawkowski. W przejętej przez przestępców bazie są numery PESEL, informacje o wizytach lekarskich i receptach, a z oprogramowania korzysta 12 tys. placówek ochrony zdrowia. Dobę wcześniej ten sam minister mówił, że wycieku nie da się ostatecznie potwierdzić.
Wyciek danych medycznych potwierdzono dobę po tym, jak przestępcy pokazali próbki
W poniedziałek 10 sierpnia 2026 r. o godz. 18.30 serwis Zaufana Trzecia Strona opisał, że atakujący twierdzą, iż wykradli bazę MyDr z danymi osobowymi ponad 18 mln Polek i Polaków. Na dowód przekazali redakcji zrzut wpisów dotyczących jednego z najważniejszych polityków w Polsce: z datą urodzenia, numerem PESEL, dwoma numerami telefonu i listą 25 recept. Jeden z tych numerów udało się potwierdzić w innych źródłach.
Tego samego dnia firma odpowiedziała portalowi Cyberdefence24, że „nadal prowadzimy postępowanie mające na celu ustalenie potencjalnego zakresu oraz wpływu incydentu”. We wtorek 11 sierpnia 2026 r. Krzysztof Gawkowski oświadczył, cytowany przez serwis Polityka Zdrowotna, że „na tym etapie postępowania nie można ostatecznie potwierdzić wycieku danych”. Skalę incydentu resort potwierdził dopiero nazajutrz, na konferencji prasowej w Warszawie. Trzy tygodnie wcześniej opisywaliśmy wyciek danych żołnierzy z Zegrza: PESEL-e blisko 400 wojskowych trafiły na ogólnodostępny dysk w jednostce, która uczy ochrony informacji.
19 milionów rekordów, 2 terabajty i 12 tysięcy placówek
Ministerstwo Cyfryzacji mówi o blisko 19 mln obywateli i około 2 terabajtach danych. Sprawcy podają liczbę wyższą i precyzyjniejszą: 18 814 422 unikatowe numery PESEL oraz około 2,5 TB. Wersje źródeł są rozbieżne co do wolumenu, zgadzają się co do rzędu wielkości.
Mamy do czynienia z niebywałym i bardzo dużym incydentem w zakresie bezpieczeństwa polskiej infosfery. Wykradzionych z firmy, co potwierdza sama firma, jest 19 milionów rekordów, które wiążą się z różnymi danymi
Krzysztof Gawkowski, wicepremier i minister cyfryzacji
Zakres jednego rekordu bywa różny. Minister zastrzegł, że „nie wszystkie dane są ze sobą powiązane” i że nie każdy numer PESEL łączy się z informacją o receptach. W materiale opisanym przez dziennikarzy powtarzają się jednak: imię i nazwisko, data urodzenia, numer PESEL, numer telefonu, region Narodowego Funduszu Zdrowia oraz dane recept i wizyt. W tym modelu dane pacjentów przetwarza baza zewnętrznego dostawcy, a nie serwer pojedynczej przychodni, więc jedno włamanie sięga od razu tysięcy placówek. Atakujący twierdzą, że weszli do bazy przez podatność typu XXE w certyfikatach PKCS#12, czego resort nie potwierdził. Udział obcego państwa Gawkowski wykluczył: „nic nie wskazuje na to, że mamy do czynienia z atakiem zewnętrznym, więc nie jest to atak ze strony Rosji, ani innego państwa”.
Rząd powierzył dane pacjentów zespołowi pasjonatów?
Państwo tego systemu nie kupiło ani nie zamówiło w przetargu. Dopuściło natomiast, by darmowy produkt prywatnej spółki wpiął się w rządową Platformę P1 i obsługiwał e-recepty, e-skierowania oraz e-zwolnienia w tysiącach gabinetów. Spółka MyDr powstała w 2017 r., a na własnej stronie przedstawia się w jednym zdaniu, które po 12 sierpnia 2026 r. czyta się inaczej niż w dniu, w którym je napisano.
MyDr to zespół pasjonatów nowych technologii, którzy od podstaw stworzyli i nadal rozwijają zaawansowane programy do prowadzenia Elektronicznej Dokumentacji Medycznej i kompleksowego zarządzania przychodniami
MyDr, opis firmy w zakładce Kim jesteśmy
Ta sama strona podaje, że flagowy produkt MyDr EDM „znalazł zastosowanie w ponad 10 tysiącach przychodniach, prowadzących działalność komercyjną oraz w tych, mających kontrakt z NFZ”, i że program „zupełnie za darmo oferuje pełen pakiet funkcjonalności”: grafik, moduły do e-recept, e-skierowań i e-zwolnień, rozwiązania telemedyczne oraz „pełną integrację z rządową Platformą P1”. W portfolio spółki jest też dr100, program dla gabinetów stomatologicznych. Minister mówił o 12 tys. placówek, firma pisze o ponad 10 tys. przychodni – to pierwsza rozbieżność, której nikt dotąd nie wyjaśnił.
Pacjent widzi tylko końcówkę tej układanki: formularz, w którym wybiera specjalizację, miasto i termin, a przełącznikiem decyduje, czy wizyta ma być prywatna, czy na NFZ. Za tym formularzem stoi baza z numerem PESEL, historią wizyt i wykazem leków.
MyDr należy do grupy Docplanner, właściciela serwisu ZnanyLekarz. Obie platformy działają na odrębnej infrastrukturze, co spółka podkreśliła po ujawnieniu incydentu. Pozostaje pytanie, na które ani grupa, ani Ministerstwo Cyfryzacji nie odpowiedziały: czy przestępcy sięgnęli wyłącznie po bazę MyDr, czy również po dane pacjentów zapisujących się na wizyty przez ZnanyLekarz.
Wcześniej Krzysztof Gawkowski mówił o miliardach wydanych na cyberbezpieczeństwo
Deklaracje resortu z ostatnich miesięcy brzmią dziś inaczej niż w dniu, w którym padały. W wywiadzie opublikowanym 23 stycznia 2026 r. przez serwis WNP minister cyfryzacji tłumaczył odparcie ataku na polską energetykę słowami: „obroniliśmy się przed nim, dzięki miliardom wydanym na cyberbezpieczeństwo przez ostatnie lata”. 25 maja na Kongresie Bezpieczeństwo Polski w Jasionce pod Rzeszowem zapowiedział, że „Polska wyda w 2026 roku ponad 5 mld zł na cyberbezpieczeństwo”, a jako dowód skuteczności podał ponad 140 mln prób wejścia na nielegalne strony zablokowanych w 2025 r.
W czerwcu 2026 r. Rada Ministrów przyjęła Strategię Cyfryzacji Państwa. Resort podał wtedy, że na cyfryzację Polska wydaje już ponad 30 mld zł rocznie, a do 2035 r. kwota ma sięgnąć 5 proc. PKB. W lipcu ten sam urząd ostrzegał, że Rosjanie podszywają się pod polskich polityków na komunikatorach. Prywatność 19 mln pacjentów zależała tymczasem od zabezpieczeń jednej spółki, a państwo dowiedziało się o włamaniu z publikacji branżowego serwisu.
To jest kompromitacja państwa. Obywatele mają prawo wiedzieć: kto zawiódł i kto za to odpowie? Bo jeśli państwo nie potrafi ochronić danych swoich obywateli, to czego właściwie potrafi dopilnować?
Redakcja NaszaPolska.pl
Co przestępcy mogą zrobić z danymi z przychodni
Dane medyczne różnią się od wykradzionej listy adresów e-mail tym, że pozwalają zbudować wiadomość, w którą ofiara uwierzy, bo jej treść zgadza się z rzeczywistością.
Jeżeli wyciek obejmuje dane pozwalające powiązać konkretną osobę z placówką medyczną, wizytą czy innym elementem korzystania z ochrony zdrowia, przestępca dostaje bardzo silne narzędzie do stworzenia wiarygodnego oszustwa
Beniamin Szczepankiewicz, analityk zagrożeń, ESET
Katalog nadużyć da się wyprowadzić z dwóch źródeł: z ostrzeżeń ekspertów bezpieczeństwa i z listy czynności, które ustawodawca objął rejestrem zastrzeżeń numeru PESEL. Skoro państwo kazało bankom, notariuszom i operatorom sprawdzać ten rejestr, to właśnie tam widziało ryzyko:
- wniosek o kredyt, pożyczkę, leasing albo zakupy na raty złożony na cudzy numer PESEL
- otwarcie rachunku bankowego, przez który później przechodzą pieniądze z oszustw
- wyrobienie duplikatu karty SIM, co otwiera drogę do kodów autoryzacyjnych wysyłanych SMS-em
- czynność notarialna przy sprzedaży nieruchomości dokonana na cudze dane
- SMS i e-mail podszywające się pod przychodnię, w których zgadza się nazwisko, placówka i data wizyty
- próba wymuszenia pieniędzy pod groźbą ujawnienia informacji o leczeniu
Ostatni punkt nie jest hipotezą. Przy wycieku z sieci ALAB Laboratoria w listopadzie 2023 r. grupa RA World zażądała okupu liczonego w setkach tysięcy dolarów, wyznaczyła termin na 31 grudnia, a po jego upływie opublikowała część danych pacjentów. Chodziło wtedy o około 200 tys. rekordów. Baza MyDr jest blisko stukrotnie większa.
Poniższe zestawienie pokazuje, jakie kategorie danych opisali dziennikarze badający bazę i jakie zastosowania wskazują eksperci bezpieczeństwa.
| Kategoria danych | Co obejmuje | Zastosowanie wskazywane przez ekspertów |
|---|---|---|
| Imię, nazwisko, data urodzenia | podstawowa identyfikacja pacjenta | uwiarygodnienie wiadomości podszywającej się pod przychodnię |
| Numer PESEL | 18 814 422 unikatowe numery według sprawców | wniosek kredytowy, rachunek bankowy i duplikat karty SIM na cudze dane |
| Numer telefonu | kontakt zapisany w systemie placówki | SMS phishingowy z treścią pasującą do realnej wizyty |
| Region NFZ i powiązanie z placówką | oddział wojewódzki, przychodnia pacjenta | wskazanie konkretnej placówki w treści oszustwa |
| Dane recept i wizyt | wypisane leki, daty wizyt | ukierunkowane oszustwo i presja oparta na informacji o leczeniu |
Ostatni wiersz jest najtrudniejszy do odwrócenia. Numer telefonu da się zmienić, a numer PESEL zastrzec w aplikacji mObywatel albo w urzędzie gminy; informacji o tym, że ktoś od lat wykupuje leki na cukrzycę, wycofać się nie da.
Warto mieć stale zastrzeżony numer PESEL, monitorować historię kredytową i regularnie sprawdzać raport BIK, a przede wszystkim zachować zwiększoną czujność wobec prób wyłudzeń wykorzystujących prawdziwe informacje na nasz temat
Paweł Pudo, DAGMA Bezpieczeństwo IT
Co dalej: śledztwo, kontrola UODO i roszczenia pacjentów
Sprawą zajmują się Centralne Biuro Zwalczania Cyberprzestępczości, prokuratura oraz Połączone Centrum Operacyjne Cyberbezpieczeństwa. Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski pozostaje w stałym kontakcie z resortem, a wykradzione rekordy mają trafić do rządowej bazy Bezpieczne Dane. Do zapłacenia okupu minister odniósł się jednym zdaniem: „będziemy was bezwzględnie ścigali, nikt w Polsce nie będzie płacić żadnych okupów”. Terminu zakończenia kontroli ani decyzji o karze administracyjnej resort nie podał.
Osobną ścieżką są roszczenia pacjentów. Artykuł 82 RODO daje prawo do odszkodowania za szkodę wynikłą z naruszenia ochrony danych, a Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 11 kwietnia 2024 r. w sprawie C-741/21 przesądził, że samo naruszenie przepisów nie wystarczy – trzeba wykazać szkodę, choć jej wysokość nie ma znaczenia i nie obowiązuje żaden próg minimalny. Utrata kontroli nad własnymi danymi może być uznana za szkodę niemajątkową, a ciężar dowodu spoczywa na administratorze danych, nie na poszkodowanym.
Co ustalili śledczy
Postępowanie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. Z ustaleń śledczych wynika, że do nieuprawnionego dostępu doszło nie później niż 6 sierpnia 2026 roku. Pierwsze czynności CBZC podjęło z urzędu 10 sierpnia, a formalne dochodzenie wszczęto 12 sierpnia. Część pozyskanych danych sprawcy ujawnili, przesyłając wycinek redakcji serwisu Zaufana Trzecia Strona.
Prokuratura potwierdziła zakres przejętych informacji: imiona i nazwiska, numery PESEL, numery telefonów, adresy e-mail, a także dane dotyczące zdrowia pacjentów, w tym treść notatek z wizyt lekarskich oraz informacje o wystawionych receptach. Śledczy zastrzegają jednocześnie, że nie ma dziś podstaw, by wskazać potwierdzoną liczbę poszkodowanych. Liczba 18,8 mln pochodzi z komunikatu Ministerstwa Cyfryzacji i dotyczy danych historycznych do kwietnia 2024 roku, a Urząd Ochrony Danych Osobowych podkreśla, że pełna skala naruszenia pozostaje nieustalona.
Dlaczego numeru PESEL nie sprawdzisz jeszcze w rządowym serwisie
Na obecnym etapie numery PESEL pacjentów obsługiwanych przez system MyDr nie są publikowane w serwisie bezpiecznedane.gov.pl. CBZC wyjaśnia, że upublicznienie tych informacji teraz mogłoby utrudnić czynności procesowe i operacyjne. Oznacza to, że pacjent nie ma dziś narzędzia, którym samodzielnie sprawdzi, czy jego dane znalazły się w wykradzionej bazie.
Administratorami danych pacjentów są placówki ochrony zdrowia korzystające z usług MyDr, a nie sama spółka. To na przychodniach, gabinetach i sieciach medycznych spoczywa obowiązek zawiadomienia osób, których dotyczy naruszenie. W praktyce jedynym źródłem informacji dla pacjenta pozostaje więc komunikat od własnej placówki. Do UODO wpłynęło już blisko tysiąc takich zgłoszeń, a urząd spodziewa się kolejnych.
Policja zaleca w tej sytuacji trzy rzeczy: zastrzeżenie numeru PESEL w aplikacji mObywatel, przez serwis Gov.pl albo w urzędzie, zmianę haseł do portali pacjenta i innych serwisów, w których używano tego samego hasła, oraz włączenie uwierzytelniania dwuskładnikowego. Podejrzane wiadomości SMS można bezpłatnie przekazywać do CERT Polska pod numer 8080.
Kontrola UODO i pytanie o odszkodowania
Prezes Urzędu Ochrony Danych Osobowych zapowiedział kontrolę w spółce MyDr 13 sierpnia. Urząd zbada, jakie środki techniczne i organizacyjne wdrożono do ochrony danych, czy przeprowadzono rzetelną analizę ryzyka i czy jej wyniki rzeczywiście zastosowano w praktyce. Postępowanie potrwa miesiące — wymaga zbadania dokumentacji, aspektów technicznych i zapewnienia kontrolowanemu podmiotowi prawa do wypowiedzenia się.
Jeśli podmiot zarabia duże pieniądze na przetwarzaniu danych milionów pacjentów, musi ponosić konsekwencje za brak ich należytej ochrony
Mirosław Wróblewski, prezes UODO
Wróblewski ma za sobą decyzje, które pokazują skalę możliwych sankcji: 1,5 mln zł kary dla spółki medycznej po ataku hakerskim i ponad 1,1 mln zł dla szpitala położniczo-ginekologicznego za nieprawidłowości przy monitoringu. Odpowiedzialności placówek medycznych urząd nie wyklucza, ale priorytetem jest kontrola podmiotu przetwarzającego dane na zlecenie.
Prezes UODO zwraca uwagę, że pod względem wrażliwości danych jest to największy znany incydent w historii Polski. Pod względem samej skali ustępuje tylko sprawie wyborów kopertowych, gdy dane wszystkich dorosłych obywateli przekazano Poczcie Polskiej bez podstawy prawnej — z tą różnicą, że tam nie było działalności przestępczej, a tu jest.
Co do roszczeń, stanowisko urzędu jest jednoznaczne: każda osoba, której dane naruszono, ma prawo dochodzić odszkodowania za straty materialne i niematerialne na podstawie artykułu 82 RODO. To indywidualne postępowania przed sądami cywilnymi. Wróblewski zaznacza, że w Polsce korzysta się z tego uprawnienia rzadko w porównaniu z innymi państwami Unii Europejskiej.
Najczęstsze pytania
Jak sprawdzić, czy moje dane wyciekły?
Na razie nie da się tego sprawdzić samodzielnie. Numery PESEL pacjentów obsługiwanych przez system MyDr nie są publikowane w serwisie bezpiecznedane.gov.pl — CBZC wyjaśnia, że ich upublicznienie utrudniłoby czynności procesowe. Obowiązek zawiadomienia poszkodowanych spoczywa na placówkach medycznych, które były administratorami danych, więc jedynym źródłem informacji pozostaje komunikat od własnej przychodni. Niezależnie od tego warto zastrzec numer PESEL w aplikacji mObywatel, przez Gov.pl albo w urzędzie.
Co ktoś może zrobić z moim numerem PESEL?
Numer PESEL w połączeniu z imieniem, nazwiskiem i datą urodzenia pozwala podszyć się pod właściciela przy czynnościach opartych na weryfikacji tożsamości: wniosku o kredyt lub pożyczkę, otwarciu rachunku, wypłacie gotówki powyżej trzykrotności minimalnego wynagrodzenia, czynności notarialnej i wydaniu duplikatu karty SIM. Zastrzeżenie numeru w rejestrze zamyka tę drogę, a kredyt udzielony mimo zastrzeżenia nie obciąża poszkodowanego.
Czym jest firma MyDr?
MyDr to założona w 2017 r. spółka z grupy Docplanner, dostawca systemu elektronicznej dokumentacji medycznej dla przychodni. Na własnej stronie opisuje się jako „zespół pasjonatów nowych technologii” i podaje, że jej darmowy program MyDr EDM działa w ponad 10 tys. przychodni oraz jest w pełni zintegrowany z rządową Platformą P1. Minister cyfryzacji mówił o 12 tys. placówek.
Czy przysługuje odszkodowanie za wyciek danych?
Podstawą jest artykuł 82 RODO. Zgodnie z wyrokiem Trybunału Sprawiedliwości Unii Europejskiej z 11 kwietnia 2024 r. w sprawie C-741/21 poszkodowany musi wykazać szkodę, ale przepisy nie ustanawiają progu jej wysokości, a szkodą niemajątkową może być sama utrata kontroli nad danymi. To administrator danych ma udowodnić, że nie ponosi odpowiedzialności za naruszenie.
Gdzie zgłosić wyciek danych osobowych?
Naruszenia ochrony danych osobowych rozpatruje prezes Urzędu Ochrony Danych Osobowych, do którego wnosi się skargę na administratora. Podejrzenie przestępstwa zgłasza się policji lub prokuraturze; incydentem z systemu MyDr zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości.
Czy rząd zapłaci okup przestępcom?
Krzysztof Gawkowski wykluczył taką możliwość 12 sierpnia 2026 r.: „będziemy was bezwzględnie ścigali, nikt w Polsce nie będzie płacić żadnych okupów”. Resort nie ujawnił, czy sprawcy wystąpili wobec firmy z żądaniem finansowym.
