Kluczowe ustalenia
- Wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował 12 sierpnia 2026 r. o wycieku danych sięgającym blisko 19 mln obywateli polskich. W tym samym wystąpieniu użył jednak innej jednostki: „Wykradzionych z firmy, co potwierdza sama firma, jest 19 milionów rekordów, które wiążą się z różnymi danymi, które można ze sobą wiązać”. Rekord i osoba to nie to samo.
- Najbardziej precyzyjna liczba w całej sprawie pochodzi od atakujących: sprawcy twierdzili, że mają 18 814 422 unikatowe numery PESEL — czyli mniej niż rządowe „blisko 19 mln”.
- Ministerstwo Cyfryzacji podaje, że skradziona baza ma ponad 2 TB. Liczba 19 mln odpowiada mniej więcej połowie ludności Polski — z danych GUS wynika, że na koniec czerwca 2026 r. Polska liczyła ok. 37 243 tys. mieszkańców.
- Spółka MyDr nie potwierdziła rządowej skali. W oświadczeniu z 13 sierpnia napisała, że dane „najprawdopodobniej mają charakter historyczny — pochodzą z 2024 roku oraz lat wcześniejszych i mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów”. Własnej liczby nie podała.
- Prokuratura Okręgowa w Warszawie datuje nieuprawniony dostęp na „nie później niż w dniu 6 sierpnia 2026 roku” — co najmniej sześć dni przed publicznym ujawnieniem sprawy.
- W świetle RODO MyDr jest podmiotem przetwarzającym, a administratorami danych pacjentów są poszczególne placówki i lekarze. To na nich, a nie na spółce, spoczywa — jak wskazał UODO — obowiązek zgłoszenia naruszenia w ciągu 72 godzin.
- Centrum e-Zdrowia przekazało, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia i że nie ma informacji o nieuprawnionym dostępie do państwowego systemu P1.
- W dniu apelu ministra rządowy serwis bezpiecznedane.gov.pl zwracał po zalogowaniu błąd 404 — a danych z MyDr i tak jeszcze w nim nie było.
Kontekst i tło
MyDr to dostawca oprogramowania do obsługi gabinetów i dokumentacji medycznej. Według informacji ministra cyfryzacji korzysta z niego ok. 12 tys. placówek w Polsce — i, jak zastrzegał przedstawiciel branży w dyskusji o incydencie, nie są to wyłącznie podmioty prywatne. To wyjaśnia, dlaczego jeden atak na jedną spółkę mógł objąć dane porównywalne z połową populacji kraju: MyDr nie leczy pacjentów, tylko przechowuje dane tych, których leczy kilkanaście tysięcy innych podmiotów.
Incydent nie dotknął państwowej infrastruktury. System P1, zarządzany przez Centrum e-Zdrowia, to centralna platforma stojąca za e-receptą, e-skierowaniem, Elektroniczną Dokumentacją Medyczną oraz Internetowym Kontem Pacjenta. MyDr jest wobec niego systemem zewnętrznym — prywatnym oprogramowaniem, z którego placówki korzystają na własną rękę.
Polska ma już precedens wycieku danych medycznych. W listopadzie 2023 r. zaatakowano ALAB Laboratoria; spółka przyznała wtedy, że zagrożone mogą być dane nawet 200 tys. osób, a w darknecie opublikowano wyniki ponad 55 tys. badań. Ministerstwo Cyfryzacji opisało tamto zdarzenie komunikatem zatytułowanym „Największy wyciek danych medycznych w Polsce”. Przy skali MyDr — kilkadziesiąt razy większej — resort mówi już ostrożniej: „jeden z największych incydentów w historii Polski”.
Źródło: rynekzdrowia.pl
Sprawa ALAB daje też punkt odniesienia dla tempa instytucji: zgłoszenie naruszenia wpłynęło do UODO 21 listopada 2023 r., a kontrola w spółce ruszyła 11 grudnia — czyli mniej więcej trzy tygodnie później. Różnica wobec MyDr jest jednak istotna już na starcie: ALAB samo zgłosiło naruszenie prezesowi UODO i samo złożyło zawiadomienie o podejrzeniu popełnienia przestępstwa do CBZC. W sprawie MyDr pierwsze czynności CBZC podjęło z urzędu.
Problem z jednostką, w której państwo komunikuje skalę zjawiska, nie pojawia się po raz pierwszy — o tym, co dokładnie mierzą rządowe liczniki, pisaliśmy przy okazji 100 mln przesyłek w e-Doręczeniach.
Szczegółowa analiza
Liczba, która w jednym wystąpieniu ma dwie definicje. Konferencja Gawkowskiego odbyła się 12 sierpnia po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, zwołanym w związku z atakiem na MyDr. Minister powiedział wtedy: „Doszło do nadzwyczajnego wycieku danych sięgającego blisko 19 mln obywateli polskich, którzy w różnych kategoriach korzystali ze wsparcia medycznego”. Kilka zdań dalej ta sama wielkość wróciła w zupełnie innej jednostce — jako 19 milionów rekordów. Różnica nie jest kosmetyczna. Jedna osoba generuje w systemie gabinetowym wiele rekordów: wizytę, receptę, skierowanie, wynik. Jeśli 19 mln to rekordy, liczba dotkniętych osób jest istotnie niższa. Jeśli to osoby — wyciek objął połowę kraju. Nie znaleźliśmy publicznego dokumentu Ministerstwa Cyfryzacji ani CERT Polska, który rozstrzygałby, do której z tych wielkości odnosi się liczba podana na konferencji.
Źródło: rmf24.pl
Paradoks polega na tym, że jedyna liczba opisana jednoznacznie jako liczba osób pochodzi od przestępców. Sprawcy ataku, jak podała Interia, „stwierdzili, że w ich rękach znalazło się 18 814 422 unikatowych numerów PESEL”. To wartość po deduplikacji — i o blisko 200 tys. niższa od rządowego zaokrąglenia. Rząd publicznie nie potwierdził ani nie zaprzeczył, że to właśnie ta liczba jest podstawą jego szacunku.
Firma mówi „część”, rząd mówi „jeden z największych”. Dzień po konferencji MyDr wydało oświadczenie, w którym potwierdziło atak, ale konsekwentnie zawężało jego zakres. Spółka potwierdziła, że stała się celem „zewnętrznego, celowego działania o charakterze przestępczym, którym objęta była część danych”, i dodała, że dane „najprawdopodobniej mają charakter historyczny — pochodzą z 2024 roku oraz lat wcześniejszych i mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów”. Trzy zastrzeżenia w jednym zdaniu — „najprawdopodobniej”, „mogą nie obejmować wszystkich klientów”, „ani wszystkich ich pacjentów” — sprawiają, że wersja spółki i wersja rządu formalnie się nie wykluczają, choć opisują dwa różne zdarzenia. Warto zauważyć, czego w oświadczeniu nie ma: własnej liczby.
Chronologia, którą prokuratura przesunęła wstecz. Rzecznik Prokuratury Okręgowej w Warszawie prok. Piotr Antoni Skiba przekazał, że dochodzenie dotyczy uzyskania dostępu do systemu MyDr przez nieustaloną osobę „nie później niż w dniu 6 sierpnia 2026 roku”. Publiczne ujawnienie nastąpiło 12 sierpnia — czyli co najmniej sześć dni później. Sekwencja instytucjonalna wygląda tak: pierwsze czynności CBZC podjęło z urzędu w poniedziałek 10 sierpnia, formalne dochodzenie wszczęto w środę 12 sierpnia, a nadzoruje je Prokuratura Okręgowa w Warszawie. Z opisu czynu wynika też, jak sprawa wyszła na jaw: sprawca miał ujawnić część danych osobom trzecim „poprzez przesłanie wycinka danych do redakcji serwisu Zaufana Trzecia Strona”.
Zakres wykradzionych informacji prokuratura opisuje jako imiona, nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane o stanie zdrowia — w tym treść notatek z wizyt lekarskich i informacje o wystawionych receptach. To dane, które w rozumieniu art. 9 RODO stanowią szczególną kategorię danych osobowych — tę objętą najdalej idącą ochroną. Premier Donald Tusk ocenił, że „motywacja zdaje się czysto kryminalna” i wiele wskazuje na próbę wyłudzenia okupu; Gawkowski dodał, że nie ma dziś przesłanek wskazujących na atak zagraniczny, a państwo okupu nie zapłaci.
Kto właściwie odpowiada — MyDr czy twoja przychodnia. Tu leży najmniej intuicyjna część sprawy. Zgodnie z regulaminem samej spółki administratorem danych o stanie zdrowia jest podmiot leczniczy, a MyDr przetwarza je na podstawie odrębnej umowy powierzenia. Prawnie oznacza to, że obowiązki z art. 33 RODO — zgłoszenie naruszenia organowi nadzorczemu „nie później niż w terminie 72 godzin po stwierdzeniu naruszenia” — spadają na każdą z tysięcy placówek osobno. UODO powiedział to wprost: obowiązek powiadomienia osób dotkniętych wyciekiem spoczywa na administratorach, którzy korzystali z usług MyDr, i to oni muszą przeprowadzić własną analizę ryzyka. Naczelna Izba Lekarska wydała lekarzom osobny komunikat przypominający o tych obowiązkach.
Nie znaczy to jednak, że spółka jest wolna od odpowiedzialności. Po pierwsze, jako podmiot przetwarzający MyDr ma obowiązek zawiadomić o wycieku administratorów, którzy powierzyli mu dane — czyli wszystkie korzystające z systemu przychodnie i gabinety. Po drugie, powierzenie przetwarzania nie wyłącza własnych obowiązków spółki w zakresie bezpieczeństwa przetwarzania z art. 32 RODO. Jak ujęto to w Business Insiderze, „outsourcing systemu nie oznacza outsourcingu całego ryzyka prawnego”. Za naruszenie tych obowiązków RODO przewiduje w art. 83 ust. 4 karę do 10 mln euro lub 2 proc. całkowitego rocznego światowego obrotu przedsiębiorstwa. Zależność działa też w drugą stronę: podmiot leczniczy jako administrator nie jest zwolniony z obowiązków RODO tylko dlatego, że naruszenie nastąpiło po stronie dostawcy oprogramowania — odpowiada również za wybór podmiotu przetwarzającego i nadzór nad nim.
Państwo zapewnia, że jego systemy są czyste — i odsyła do strony, która nie działa. Centrum e-Zdrowia oświadczyło, że „nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia” i że incydent nie wpływa na dostęp pacjentów do świadczeń, recept ani usług realizowanych w publicznym systemie zdrowia. Dodało, że nie ma informacji wskazujących na nieuprawniony dostęp do systemu P1. Ministerstwo Zdrowia opublikowało w tej sprawie odrębny komunikat, a Ministerstwo Obrony Narodowej rozesłało żołnierzom i pracownikom resortu ostrzeżenie mailem, wskazując ryzyko podszywania się i wyłudzeń. Równolegle jednak zawiodło narzędzie, do którego minister odesłał obywateli. Serwis bezpiecznedane.gov.pl po zalogowaniu wyświetlał komunikat „Nie znaleziono strony” z dużym napisem 404. I nawet gdyby działał bez zarzutu, nic by to nie dało: dane z wycieku w MyDr nie trafiły jeszcze do bazy serwisu i mają zostać w niej udostępnione dopiero po przekazaniu ich przez podmioty dotknięte cyberatakiem — czyli przez tysiące osobnych administratorów, o których mowa wyżej.
Zastrzeżenie PESEL: chroni portfel, nie kartotekę. Gawkowski zaapelował, by każdy zastrzegł numer PESEL, stosował trudne hasła i dwuskładnikową weryfikację logowania — „to jest pierwsza, podstawowa, elementarna higiena cyfrowa”. Rada jest sensowna, ale trzeba wiedzieć, co dokładnie daje. Zastrzeżony PESEL uniemożliwia zawarcie umowy kredytu lub pożyczki, wypłatę z banku powyżej trzykrotności minimalnego wynagrodzenia, wydanie duplikatu karty SIM oraz część czynności notarialnych. Wszystkie te zabezpieczenia dotyczą pieniędzy i tożsamości formalnej. Żadne nie dotyczy tego, co faktycznie wyciekło z MyDr. Jak ujęło to Radio ZET: „Numer PESEL możemy zastrzec, hasło zmienić, kartę bankową unieważnić. Nie możemy natomiast zmienić historii swojej choroby, przyjmowanych leków czy informacji o leczeniu”. Realne ryzyko po tym wycieku to phishing medyczny — wiadomości podszywające się pod przychodnię, lekarza czy NFZ, uwiarygodnione znajomością prawdziwej recepty albo terminu wizyty. Przed tym zastrzeżenie numeru nie chroni w żadnym stopniu.
Co pozostaje otwarte. Nie udało nam się ustalić w niezależnych źródłach, kiedy naruszenie zostało formalnie zgłoszone prezesowi UODO ani czy dochowano 72-godzinnego terminu — według stanu na 12 sierpnia czynności organów nie były zakończone. Nie znaleźliśmy też publicznie opisanej metody wyliczenia liczby 19 mln. Trzecim niedomkniętym wątkiem jest wektor wejścia: część mediów sugerowała, że do przejęcia dostępu wystarczyło jedno kliknięcie, ale nie potwierdziliśmy tego w materiale źródłowym.
Podsumowanie
Rząd i firma opisują to samo zdarzenie tak, że obu wersji nie da się ze sobą zestawić. Minister cyfryzacji mówił 12 sierpnia o wycieku dotyczącym blisko 19 mln obywateli, ale w tym samym wystąpieniu podał, że wykradziono 19 mln rekordów — a rekord to nie to samo co osoba. Spółka MyDr potwierdziła włamanie, lecz twierdzi, że objęło ono część danych — najprawdopodobniej historycznych, z 2024 roku i lat wcześniejszych — i że mogło nie dotyczyć wszystkich jej klientów ani wszystkich ich pacjentów. Własnej liczby nie podała. Jedyna wielkość opisana wprost jako liczba osób — 18 814 422 unikatowe numery PESEL — pochodzi od samych sprawców.
Pewne jest natomiast to, co wyciekło: imiona, nazwiska, numery PESEL, telefony, adresy e-mail oraz dane o stanie zdrowia, w tym notatki z wizyt i informacje o receptach. Prokuratura ustaliła, że nieuprawniony dostęp nastąpił najpóźniej 6 sierpnia, czyli co najmniej sześć dni przed poinformowaniem opinii publicznej. Państwowe systemy — e-recepta, e-skierowanie, Internetowe Konto Pacjenta — według Centrum e-Zdrowia nie zostały naruszone.
Dla pacjenta praktyczny wniosek jest dwuczęściowy. Zastrzeżenie numeru PESEL warto zrobić, bo blokuje kredyty, pożyczki i duplikat karty SIM na cudze dane, ale nie chroni przed tym, co jest istotą tego wycieku: ujawnieniem historii leczenia. Sprawdzenie własnych danych na rządowej stronie bezpiecznedane.gov.pl w dniu apelu ministra nie było możliwe — serwis zwracał błąd, a zbiór z MyDr i tak nie był do niego wgrany. Trafi tam dopiero wtedy, gdy prześlą go poszczególne placówki, bo to one, a nie dostawca oprogramowania, są w świetle prawa administratorami tych danych.
