12 sierpnia 2026 r. potwierdzono nieuprawniony dostęp do danych w systemach MyDr — oprogramowania gabinetowego używanego przez ponad 12 tys. placówek. Incydent może dotyczyć nawet 18,8 mln osób i obejmuje dane historyczne, sprzed maja 2024 r. Trzy rzeczy działają od razu: zastrzeżenie numeru PESEL, ostrożność wobec telefonów i SMS-ów powołujących się na leczenie oraz śledzenie komunikatów swojej przychodni i serwisu bezpiecznedane.gov.pl.
Co wiemy o wycieku z MyDr
MyDr dostarcza przychodniom i gabinetom system elektronicznej dokumentacji medycznej — obsługuje wizyty, recepty i dokumentację pacjentów. 12 sierpnia, po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, Ministerstwo Cyfryzacji przekazało, że firma potwierdziła nieuprawniony dostęp do historycznych danych gabinetowych, gromadzonych do kwietnia 2024 r. Skala może objąć około 18,8 mln osób. Sprawę wyjaśniają służby razem z UODO, Ministerstwem Zdrowia, Prokuraturą Krajową i Centralnym Biurem Zwalczania Cyberprzestępczości.
Równie ważne jest to, czego incydent nie zrobił: według resortu nie zakłócił bieżącego udzielania świadczeń ani wystawiania recept. Przychodnie pracują normalnie. Ostrożnie trzeba natomiast traktować krążące w sieci szczegółowe listy rzekomo wykradzionych informacji — oficjalne komunikaty nie potwierdzają ani pełnego zakresu danych per pacjent, ani twierdzeń osób podających się za sprawców. Te ustalenia wciąż trwają.
MyDr to nie IKP ani P1 — co to znaczy dla pacjenta
W pierwszych dniach po każdym takim incydencie wraca to samo nieporozumienie, dlatego warto je rozbroić od razu.
MyDr ≠ IKP
MyDr to komercyjny system gabinetowy, z którego korzystają placówki. Internetowe Konto Pacjenta i centralny system e-zdrowia P1 (e-recepty, e-skierowania, zdarzenia medyczne) prowadzi państwowe Centrum e-Zdrowia — to odrębna infrastruktura. Według komunikatów Ministerstwa Cyfryzacji incydent dotyczył wyłącznie danych w systemach MyDr; nie ma podstaw, by mówić o włamaniu do IKP lub P1.
Systemy gabinetowe współpracują z P1 — lekarz pracuje w swoim programie, a wybrane informacje trafiają do centralnego systemu. Ta sama recepta mogła więc istnieć w obu miejscach. Chodzi o źródło incydentu: nieuprawniony dostęp nastąpił po stronie infrastruktury MyDr. Logowanie do IKP, wystawianie e-recept i teleporady działają na dotychczasowych zasadach.
Co zrobić krok po kroku
Rozsądna reakcja nie polega na kasowaniu kont ani wymianie numeru telefonu, tylko na zamknięciu furtek, przez które przejęte dane dają się spieniężyć.
- Zastrzeż numer PESEL — bezpłatnie w aplikacji mObywatel, na mObywatel.gov.pl albo w urzędzie gminy. Zastrzeżenie blokuje m.in. kredyty i duplikaty kart SIM, a nie przeszkadza w leczeniu, receptach ani sprawach urzędowych. Ministerstwo Cyfryzacji rekomenduje trzymać numer zastrzeżony na stałe i cofać ochronę tylko na czas konkretnej czynności.
- Przejrzyj historię weryfikacji PESEL w mObywatelu — widać tam, jakie instytucje pytały o Twój numer. Zapytanie niepowiązane z żadną Twoją sprawą wyjaśnij bezpośrednio w tej instytucji.
- Obserwuj bezpiecznedane.gov.pl — państwowa wyszukiwarka wycieków sprawdza PESEL, telefon, e-mail i login. W pierwszych dniach po ujawnieniu incydentu zbiór MyDr nie był jeszcze dodany do bazy: dane mają spływać sukcesywnie od placówek, a zasilenie bazy potwierdzi osobny komunikat. Do tego czasu negatywny wynik niczego nie przesądza — sprawdzaj komunikat na stronie głównej serwisu i ponów wyszukiwanie po jego ogłoszeniu.
- Filtruj wiadomości „z przychodni”, „z NFZ”, „od lekarza” — o tym szerzej niżej, bo to najbardziej prawdopodobny wektor ataku.
- Uporządkuj konta — sprawdź ostatnie logowania w poczcie i bankowości; powtarzane hasła zamień na unikalne i włącz logowanie dwuskładnikowe. Sam incydent MyDr nie oznacza przejęcia Twoich haseł, ale porządek w kontach odbiera wartość danym, które wyciekły.
Dlaczego wyciek danych medycznych jest inny niż wyciek numeru karty
Kartę płatniczą można zastrzec i dostać nową, hasło zmienić, numer telefonu w ostateczności wymienić. Informacji o przebytych chorobach, przyjmowanych lekach czy wystawionych receptach nie da się unieważnić. RODO zalicza dane o zdrowiu do szczególnej kategorii właśnie dlatego, że ich ujawnienie grozi nie tylko oszustwem finansowym, lecz także naruszeniem prywatności, dóbr osobistych czy stygmatyzacją.
Z tego wynika praktyczny wniosek: działania ochronne ograniczają możliwość wykorzystania danych, a nie cofają sam wyciek. I drugi, mniej oczywisty — czujność musi trwać dłużej niż medialny szum. Dane medyczne nie tracą wartości po tygodniu; mogą uwiarygodniać oszustwa jeszcze wiele miesięcy po incydencie.
Prawa pacjenta: co placówka musi zakomunikować
Administratorami danych są w tym incydencie poszczególne gabinety i placówki korzystające z MyDr — i to na nich ciążą obowiązki wobec pacjentów. Naruszenie stwarzające ryzyko dla praw i wolności osób placówka zgłasza Prezesowi UODO, w miarę możliwości w ciągu 72 godzin (art. 33 RODO). Gdy ryzyko jest wysokie, musi też bez zbędnej zwłoki zawiadomić samych pacjentów (art. 34 RODO) — opisując charakter naruszenia, kontakt do inspektora ochrony danych, możliwe konsekwencje i zalecane środki. Taką wiadomość warto zachować.
Pacjent może również sam zapytać placówkę, czy korzystała z MyDr i czy jego dane objęto incydentem; przysługuje mu dostęp do danych, ich kopia i sprostowanie. Usunięcia całej dokumentacji żądać się nie da — placówka przechowuje ją na podstawie przepisów, co do zasady przez 20 lat od ostatniego wpisu. Jeśli administrator ignoruje pytania lub prawa pacjenta, kolejnym krokiem jest skarga do Prezesa UODO.
Fałszywe SMS-y „z przychodni” — jak je rozpoznać
Z perspektywy pacjenta, który dostał taki komunikat, największym realnym zagrożeniem po wycieku nie jest włamanie do państwowego systemu, lecz telefon lub SMS wykorzystujący prawdziwe dane. Oszust znający nazwisko, numer telefonu i na przykład fakt niedawnej wizyty potrafi zbudować przekaz nie do odróżnienia od prawdziwego: „przychodnia” prosząca o dopłatę do wizyty, „NFZ” żądający potwierdzenia danych, „lekarz” przysyłający link do wyników.
Zasady obronne są proste. Nie podawaj przez telefon kodów autoryzacyjnych, haseł, danych karty ani kodów BLIK — placówki medyczne o nie nie proszą. Nie loguj się przez linki z niespodziewanych wiadomości; adresy IKP, banku czy bezpiecznedane.gov.pl wpisuj samodzielnie. Znajomość Twoich danych nie dowodzi, że rozmówca jest tym, za kogo się podaje — mógł je po prostu wyczytać z wycieku. W razie wątpliwości rozłącz się i zadzwoń do placówki na numer z jej oficjalnej strony, a podejrzane SMS-y przekaż bezpłatnie do CERT Polska na numer 8080.
Najczęściej zadawane pytania
Czy moje recepty są teraz publicznie dostępne?
Nie ma podstaw, by tak twierdzić. Potwierdzono nieuprawniony dostęp do danych w systemach MyDr, ale wyciek nie oznacza, że informacje są wyszukiwalne w internecie dla każdego. Oznacza utratę kontroli nad danymi i dostęp osób nieuprawnionych — to poważne naruszenie prywatności, tylko innego rodzaju niż publiczna publikacja.
Skąd będę wiedzieć, że wyciek objął właśnie moje dane?
Z dwóch źródeł. Placówka, która ustali wysokie ryzyko dla swoich pacjentów, ma obowiązek zawiadomić ich indywidualnie na podstawie art. 34 RODO. Niezależnie od tego zbiór MyDr ma trafić do wyszukiwarki bezpiecznedane.gov.pl — po komunikacie o zasileniu bazy sprawdzisz tam swój PESEL, telefon i e-mail.
Czy powinienem zmienić numer telefonu?
Zwykle nie ma takiej potrzeby. Zmiana numeru nie usuwa pozostałych ujawnionych danych, a wymaga aktualizacji w bankach, urzędach i placówkach. Ważniejsze jest zastrzeżenie PESEL — chroni m.in. przed wydaniem duplikatu karty SIM. Wymianę numeru rozważ dopiero przy uporczywych, ukierunkowanych próbach oszustwa.
Czy trzeba zmienić hasło do IKP?
Oficjalne komunikaty nie dają podstaw, by uznać, że loginy lub hasła do IKP zostały przejęte — incydent dotyczył systemów MyDr, nie państwowego P1. Mechaniczna zmiana wszystkich haseł nie jest konieczna; wymień je tam, gdzie używasz tego samego hasła w kilku usługach, i wszędzie tam, gdzie zauważysz podejrzane logowania.
Stan na sierpień 2026. Sprawa incydentu MyDr rozwija się — aktualne ustalenia publikują Ministerstwo Cyfryzacji, UODO i serwis bezpiecznedane.gov.pl.