+48 797 875 481
ul. Majora Raginisa 5/U1, 71-625 Szczecin
Umów wizytę

Informacja o naruszeniu ochrony danych w systemie MyDr

Data publikacji: 4 września 2026 r.
Ostatnia aktualizacja: 8 września 2026 r.

Najważniejsze wyjaśnienie

Opisany incydent bezpieczeństwa nastąpił w środowisku informatycznym MyDr – zewnętrznego dostawcy systemu medycznego wykorzystywanego przez nasze praktyki. Incydent nie dotyczył strony internetowej glabowscy.pl ani systemu informatycznego prowadzonego samodzielnie przez Gabinety Głąbowscy.

Zawiadomienia otrzymują Państwo od konkretnego lekarza, ponieważ zgodnie z RODO jest on administratorem danych swoich pacjentów i ma obowiązek przekazać informacje o naruszeniu. Fakt, że wiadomość została wysłana przez lekarza, nie oznacza, że cyberatak został przez niego spowodowany.

Był to ogólnopolski incydent dotyczący systemu wykorzystywanego przez tysiące gabinetów i placówek medycznych. Według informacji publicznie podanych przez Ministerstwo Cyfryzacji incydent mógł dotyczyć danych blisko 19 mln osób przetwarzanych przez około 12 tys. podmiotów medycznych.

Administratorzy danych

Niniejszy komunikat publikują dwaj odrębni administratorzy danych:

  • Indywidualna Specjalistyczna Praktyka Lekarska Sylwia Jadwiga Słuczanowska-Głąbowska, ul. Siewna 2, 72-003 Wołczkowo – w odniesieniu do danych swoich pacjentów;

  • Indywidualna Specjalistyczna Praktyka Lekarska Wojciech Głąbowski, ul. Siewna 2, 72-003 Wołczkowo – w odniesieniu do danych swoich pacjentów.

Każda z praktyk jest odrębnym administratorem danych. MyDr sp. z o.o. przetwarzała dane jako zewnętrzny dostawca systemu medycznego.

Co się wydarzyło?

Zgodnie z zawiadomieniem przekazanym przez MyDr nieuprawniona osoba trzecia uzyskała dostęp do środowiska informatycznego MyDr i skopiowała zawartość przechowywanej w chmurze bazy danych.

Baza zawierała zasadniczo dane zapisane przed 12 kwietnia 2024 r. W przypadku ograniczonej liczby osób incydent mógł również obejmować dane zawarte w anulowanych skierowaniach wystawionych po tej dacie.

MyDr poinformowała, że incydent został opanowany, system zabezpieczono oraz nie stwierdzono dalszego nieuprawnionego dostępu. System MyDr pozostaje sprawny.

Co wiadomo, a czego obecnie nie można ustalić?

Analiza przeprowadzona przez MyDr potwierdziła uzyskanie nieuprawnionego dostępu i skopiowanie zawartości bazy danych. Nie była to zatem wyłącznie hipotetyczna możliwość dostępu do systemu.

Zakres informacji dotyczących konkretnej osoby zależy jednak od tego, jakie jej dane były zapisane w systemie MyDr. Nie wszystkie wymienione w dalszej części komunikatu kategorie danych dotyczą każdego pacjenta.

Na podstawie dostępnych informacji nie można obecnie ustalić:

  • czy sprawca oddzielnie otwierał lub analizował rekord konkretnej osoby;

  • czy zapoznał się z każdym polem zawierającym jej dane;

  • czy dane konkretnej osoby zostały przez niego później wykorzystane;

  • czy zostały przekazane kolejnym osobom.

Na dzień przekazania nam końcowego zawiadomienia MyDr informowała, że nie posiada dowodów na publiczne udostępnienie całej bazy ani na wykorzystanie danych objętych incydentem. Nie można jednak całkowicie wykluczyć ich wykorzystania w przyszłości.

Kogo dotyczy naruszenie?

Incydent dotyczy osób wskazanych przez MyDr, których dane znajdowały się w systemie w związku z korzystaniem z usług jednej z naszych praktyk, rejestracją albo umówieniem wizyty.

Może to obejmować również osoby, które umówiły wizytę, ale ostatecznie z niej nie skorzystały, jeżeli ich dane zostały wcześniej zapisane w systemie.

Osoby wskazane przez MyDr powiadamiamy indywidualnie za pomocą dostępnych danych kontaktowych – pocztą elektroniczną albo wiadomością SMS. Jeżeli otrzymali Państwo taką wiadomość, oznacza to, że MyDr wskazała Państwa jako osoby objęte incydentem w związku z jedną z naszych praktyk.

Jakie dane mogły zostać objęte naruszeniem?

Zakres danych może być różny w przypadku poszczególnych osób. W zależności od informacji zapisanych w systemie naruszenie mogło obejmować:

  • imię i nazwisko;

  • adres zamieszkania;

  • numer telefonu i adres e-mail;

  • numer PESEL i inne dane umożliwiające identyfikację;

  • informacje dotyczące wizyt i udzielonych świadczeń;

  • informacje dotyczące zdrowia, rozpoznań, zaleceń, recept, skierowań lub dokumentacji medycznej – jeżeli zostały zapisane;

  • informacje dotyczące ubezpieczenia społecznego lub pracodawcy – jeżeli zostały podane;

  • dane przedstawicieli prawnych pacjentów albo osób upoważnionych do dostępu do dokumentacji medycznej, w tym informacje o rodzaju relacji z pacjentem – jeżeli takie dane zostały zapisane.

Nie oznacza to, że wszystkie wymienione kategorie danych dotyczą każdej osoby.

Informację o tym, jakie dane konkretnej osoby były przechowywane w systemie przez daną praktykę, można uzyskać, kontaktując się z nami. Ze względów bezpieczeństwa przed przekazaniem szczegółowych informacji możemy poprosić o potwierdzenie tożsamości.

Jakie mogą być konsekwencje naruszenia?

Gdyby dane zostały wykorzystane przez osoby nieuprawnione, możliwe konsekwencje mogą obejmować:

  • próby podszywania się pod osobę, której dane dotyczą;

  • próby wyłudzenia kredytu, pożyczki, zawarcia umowy lub uzyskania innego świadczenia;

  • próby uzyskania dostępu do informacji dotyczących zdrowia w systemach, w których do potwierdzenia tożsamości wykorzystywany jest numer PESEL;

  • kierowanie wiarygodnie wyglądających wiadomości, telefonów lub ofert wykorzystujących znajomość danych osobowych albo informacji medycznych;

  • nieuprawnione ujawnienie informacji dotyczących zdrowia;

  • naruszenie prywatności lub dóbr osobistych, a w szczególnych sytuacjach również ryzyko dyskryminacji albo gorszego traktowania.

Jak można ograniczyć ryzyko?

1. Zastrzeżenie numeru PESEL

Numer PESEL można bezpłatnie zastrzec w aplikacji mObywatel, w serwisie mObywatel.gov.pl albo osobiście w urzędzie gminy. Zastrzeżenie można w każdej chwili cofnąć.

Oficjalna instrukcja:
https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie

2. Sprawdzenie danych w rządowym serwisie

W serwisie BezpieczneDane.gov.pl można sprawdzić, czy numer PESEL znajduje się wśród danych objętych incydentem związanym z MyDr:

https://bezpiecznedane.gov.pl/

Serwis potwierdza obecność numeru PESEL w zbiorze, ale nie pokazuje pełnego zakresu danych dotyczących zdrowia ani nie wskazuje konkretnej placówki, z której pochodziły dane.

3. Zachowanie ostrożności wobec wiadomości i telefonów

Prosimy uważać na nieoczekiwane wiadomości SMS, wiadomości e-mail i połączenia telefoniczne, szczególnie od osób powołujących się na informacje o wizytach, leczeniu, receptach albo danych osobowych.

Nie należy przekazywać telefonicznie ani za pośrednictwem otrzymanych linków haseł, kodów autoryzacyjnych, danych logowania lub informacji bankowych.

4. Dokładne sprawdzanie tożsamości rozmówcy

Sama znajomość imienia, nazwiska, numeru PESEL, informacji o lekarzu lub historii leczenia nie oznacza, że kontaktuje się z Państwem uprawniona osoba.

W razie wątpliwości należy zakończyć rozmowę i samodzielnie skontaktować się z placówką, bankiem albo urzędem, korzystając z numeru znajdującego się na oficjalnej stronie danej instytucji.

5. Monitorowanie rachunków i zobowiązań

Warto zwracać uwagę na nietypowe operacje na rachunkach, nieoczekiwane umowy, korespondencję dotyczącą zobowiązań oraz zapytania kredytowe.

W przypadku podejrzenia wykorzystania danych należy niezwłocznie skontaktować się z właściwą instytucją i zgłosić sprawę Policji.

Jakie działania podjęła MyDr?

Zgodnie z przekazanymi nam informacjami MyDr:

  • opanowała incydent i zabezpieczyła system;

  • wdrożyła dodatkowe środki techniczne i organizacyjne;

  • zaangażowała zewnętrznych ekspertów do spraw cyberbezpieczeństwa;

  • zgłosiła zdarzenie Centralnemu Biuru Zwalczania Cyberprzestępczości;

  • współpracuje między innymi z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, NASK, właściwymi zespołami CSIRT oraz Urzędem Ochrony Danych Osobowych;

  • prowadzi monitoring mający wykryć ewentualne upublicznienie lub wykorzystanie danych.

Jakie działania podjęli administratorzy danych?

Po otrzymaniu zawiadomienia od MyDr każda z naszych praktyk:

  • przeanalizowała otrzymane informacje i zakres naruszenia;

  • podjęła działania związane ze zgłoszeniem naruszenia Prezesowi Urzędu Ochrony Danych Osobowych;

  • rozpoczęła indywidualne powiadamianie osób wskazanych przez MyDr za pomocą dostępnych adresów e-mail i numerów telefonów;

  • opublikowała niniejszy komunikat dla osób, z którymi nie było możliwości skontaktowania się bezpośrednio;

  • dokumentuje zdarzenie i odpowiada na indywidualne pytania pacjentów.

Gdzie można uzyskać więcej informacji?

MyDr uruchomiła punkt kontaktowy przeznaczony dla osób, których dane dotyczą:

e-mail: [email protected]
strona informacyjna: https://pacjent.mydr.pl

W sprawach dotyczących danych przetwarzanych przez nasze praktyki można również kontaktować się z Gabinetami Głąbowscy:

telefon: +48 797 875 481
e-mail: [email protected]
adres gabinetu: ul. Majora Raginisa 5/U1, 71-625 Szczecin

Podczas kontaktu prosimy wskazać, czy sprawa dotyczy danych przetwarzanych przez praktykę Sylwii Jadwigi Słuczanowskiej-Głąbowskiej, czy przez praktykę Wojciecha Głąbowskiego.