Wycieki danych medycznych w 2026: czego uczą MyDr, Enel-Med i FELG Dent

W ciągu kilku tygodni doszło do kilku głośnych incydentów dotyczących danych pacjentów w Polsce. Dla właścicieli przychodni, gabinetów i laboratoriów to nie jest wiadomość z drugiej strony świata, tylko sygnał, że ich własne dane i systemy też mogą być celem. Zebraliśmy fakty z komunikatów i doniesień mediów oraz wyciągnęliśmy z nich wnioski, które można zastosować w placówce od razu.

Co wiemy o incydentach

• MyDr: Ministerstwo Cyfryzacji poinformowało o incydencie 13 sierpnia 2026 r. Według doniesień wyciekły m.in. dane o lekach i receptach, a sprawa może dotyczyć danych blisko 19 mln osób oraz około 12 tys. podmiotów medycznych korzystających z platformy. Śledztwo prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem prokuratury.
• Medyc (Qbusoft): informacje o wycieku pojawiły się 24 września 2026 r. Według portali branżowych skala może wynosić około 5 mln osób, ale firma tej liczby nie potwierdziła. Mogły wyciec m.in. dane kontaktowe i numery PESEL. Prezes UODO zapowiedział kontrolę Qbusoft.
• Enel-Med: spółka poinformowała o wykryciu cyberataku 24 września 2026 r. i potwierdziła, że osoby nieuprawnione uzyskały dostęp do części danych pacjentów. Według spółki wyciek może dotyczyć około 3% bazy pacjentów. Zgłoszenia trafiły m.in. do CBZC, CERT Polska i Prezesa UODO.
• FELG Dent (FELG Software): według doniesień z 2 października 2026 r. firma, która dostarcza oprogramowanie dla gabinetów stomatologicznych, potwierdziła atak i żądanie okupu. Sprawca twierdzi, że ma dostęp do około 10% bazy. Według doniesień mogło to dotyczyć danych ponad 2 mln osób, w tym numerów PESEL, danych medycznych oraz szczegółów e-recept.
• NFZ i system eWUŚ: w komunikacie z 6 października 2026 r. Narodowy Fundusz Zdrowia poinformował o akcie oskarżenia dotyczącym nieuprawnionego dostępu do systemu eWUŚ w marcu 2024 r. Dostęp uzyskano przez konta pracowników lub współpracowników dwóch świadczeniodawców, a dane dotyczyły około 11,1 mln osób (imię, nazwisko, PESEL i informacja o prawie do świadczeń). NFZ podkreśla, że zabezpieczenia jego systemów nie zostały złamane.

W większości tych spraw wyciek nie wziął się z błędu pojedynczej przychodni, tylko z dostawcy oprogramowania albo z nadużycia kont dostępowych. To nie zwalnia jednak placówek z odpowiedzialności, o czym piszemy poniżej.

Pierwszy wniosek: dostawca oprogramowania to Twoje ryzyko

Placówka, która korzysta z systemu gabinetowego, aplikacji do rejestracji czy elektronicznej dokumentacji medycznej, jest administratorem danych swoich pacjentów, a dostawca działa jako podmiot przetwarzający. Zgodnie z RODO administrator odpowiada za to, żeby wybierać wyłącznie dostawców zapewniających odpowiednie gwarancje ochrony danych, i musi mieć z nimi umowę powierzenia przetwarzania (art. 28). Nawet jeśli do wycieku doszło po stronie dostawcy, to placówka musi ocenić skutki dla swoich pacjentów i spełnić swoje obowiązki.

W praktyce warto sprawdzić, czy umowa z dostawcą określa zasady zgłaszania incydentów, jak szybko dostawca ma informować placówkę, gdzie przechowywane są dane i jakie zabezpieczenia stosuje. W NFZ-owskim komunikacie wprost zaznaczono, że świadczeniodawcy są niezależnymi administratorami danych i sami decydują o zabezpieczeniach stosowanych w swoich programach.

Drugi wniosek: konta pracowników to furtka do danych

Sprawa eWUŚ pokazuje, że nie zawsze trzeba łamać zabezpieczenia systemu, żeby pobrać dane. Czasem wystarczy dostęp przez konto osoby, która ma do niego uprawnienia. Dlatego w placówce medycznej szczególnie ważne jest zarządzanie uprawnieniami:

• każda osoba powinna mieć własne konto i dostęp tylko do tych danych, których potrzebuje do pracy,
• konta osób, które odeszły z pracy albo zmieniły stanowisko, trzeba natychmiast wyłączać lub ograniczać,
• warto korzystać z uwierzytelniania dwuskładnikowego wszędzie, gdzie system na to pozwala,
• logi dostępu powinny być przeglądane, a nietypowe zapytania, na przykład masowe odpytywanie bazy, powinny wzbudzać reakcję,
• pracownicy powinni znać zasadę, że dostępu do danych pacjentów nie wolno udostępniać nikomu, także współpracownikom.

Trzeci wniosek: zgłoszenie naruszenia ma swój termin

Zgodnie z art. 33 RODO administrator zgłasza naruszenie ochrony danych Prezesowi UODO bez zbędnej zwłoki, jeśli to możliwe w ciągu 72 godzin od jego stwierdzenia, o ile naruszenie może powodować ryzyko dla praw lub wolności osób. Dane o zdrowiu i numery PESEL to dane, przy których to ryzyko jest zwykle wysokie. W takiej sytuacji art. 34 wymaga też zawiadomienia samych pacjentów.

To administrator, czyli placówka, odpowiada za decyzję o zgłoszeniu. Jeśli dostawca prosi, żeby poczekać z zawiadomieniem do czasu własnych ustaleń, nie zmienia to terminu, który biegnie dla placówki. W takiej sytuacji najlepiej skonsultować się z inspektorem ochrony danych albo prawnikiem i udokumentować swoją decyzję.

Czwarty wniosek: UODO zapowiada kontrole w ochronie zdrowia

Prezes UODO zapowiedział szersze kontrole w placówkach sektora ochrony zdrowia, które mają sprawdzić, jak chronią dane pacjentów. To znaczy, że w najbliższym czasie rośnie prawdopodobieństwo, że placówka zostanie poproszona o pokazanie dokumentacji. Jak wygląda kontrola i co warto przygotować, opisujemy w osobnym artykule.

Lista kontrolna dla placówki medycznej, którą możesz sprawdzić w tym tygodniu

• Czy masz aktualny rejestr czynności przetwarzania, który obejmuje system gabinetowy, rejestrację i e-recepty?
• Czy masz podpisane umowy powierzenia ze wszystkimi dostawcami oprogramowania i usług IT, w tym z firmą od systemu gabinetowego?
• Czy wiesz, kto w placówce ma jakie uprawnienia w systemach i czy lista jest aktualna?
• Czy konta byłych pracowników zostały wyłączone?
• Czy masz procedurę reagowania na naruszenie, którą pracownicy znają i potrafią zastosować w ciągu doby?
• Czy pracownicy byli szkoleni z ochrony danych w ostatnim roku i czy masz na to dowody?
• Czy wiesz, jak skontaktować się z dostawcą systemu w razie incydentu i kogo wtedy zawiadomić w placówce?
• Czy wyznaczono Inspektora Ochrony Danych, jeśli placówka tego wymaga, i czy zgłoszono go do UODO?

Co mogą zrobić pacjenci

Jeśli jesteś pacjentem i obawiasz się, że Twoje dane mogły wyciec, NFZ zaleca m.in. zastrzeżenie numeru PESEL (możliwe przez portal gov.pl), założenie konta w systemie informacji kredytowej z alertami o zapytaniach oraz ostrożność wobec nieznanych wiadomości i połączeń, w których ktoś powołuje się na Twoje dane.

Jak możemy pomóc placówkom z Łodzi i województwa łódzkiego

Pomagamy przychodniom, gabinetom i laboratoriom w Łodzi, województwie łódzkim i w całej Polsce uporządkować dokumentację, sprawdzić umowy z dostawcami oprogramowania, przygotować procedury na wypadek incydentu i zadbać o gotowość na kontrolę UODO. Jeśli chcesz wiedzieć, jak wygląda Twoja placówka na tle tych wymagań, zacznij od bezpłatnej, 30-minutowej konsultacji.