Wyciek danych z MyDr. Co kontroluje UODO i co może sprawdzić w Twojej placówce?

Wyciek danych z MyDr. Co się wydarzyło?

W sierpniu 2026 roku ujawniono informacje o wycieku danych z MyDr, dostawcy oprogramowania wykorzystywanego przez placówki medyczne.

Według doniesień medialnych incydent mógł dotyczyć około 12 tysięcy podmiotów leczniczych. Pojawiły się również informacje o potencjalnym naruszeniu danych nawet 18,8 miliona osób. Ostateczny zakres wycieku nie został jednak wówczas potwierdzony.

Sprawa jest szczególnie istotna ze względu na charakter przetwarzanych informacji. Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych i podlegają zwiększonej ochronie.

13 sierpnia 2026 roku Prezes UODO poinformował o rozpoczęciu kontroli w spółce MyDr.

Co UODO kontroluje w MyDr?

Zgodnie z oficjalnym komunikatem urzędu kontrola koncentruje się na trzech zagadnieniach.

1. Środki techniczne i organizacyjne

Kontrolerzy sprawdzają, jakie zabezpieczenia zastosowała spółka w celu ochrony powierzonych jej danych pacjentów.

2. Regularne testowanie zabezpieczeń

Urząd bada, czy stosowane rozwiązania były systematycznie sprawdzane pod kątem zmieniających się zagrożeń.

3. Analiza ryzyka

Kontrola obejmuje również ustalenie, czy przeprowadzona przez spółkę analiza ryzyka uwzględniała możliwe zagrożenia i czy jej wyniki rzeczywiście wykorzystano przy wdrażaniu zabezpieczeń.

To istotne rozróżnienie. Przedmiotem kontroli nie jest wyłącznie istnienie dokumentacji dotyczącej bezpieczeństwa danych, ale również praktyczne zastosowanie przewidzianych w niej rozwiązań.

Na dzień 12 października 2026 roku publicznie dostępne informacje dotyczą zakresu kontroli, a nie jej ostatecznych ustaleń.

UODO zapowiada dodatkowe kontrole placówek medycznych

16 września 2026 roku Prezes UODO Mirosław Wróblewski poinformował o rozszerzeniu kontroli w sektorze ochrony zdrowia.

Decyzja została podjęta w związku z incydentem dotyczącym MyDr oraz innymi przypadkami naruszeń ochrony danych osobowych.

Urząd zapowiedział, że do końca 2026 roku przeprowadzi dodatkowe kontrole w podmiotach sektora ochrony zdrowia, koncentrując się w szczególności na stosowanych przez nie zabezpieczeniach.

W tym celu zmieniono również plan kontroli sektorowych na 2026 rok.

Kontrole podmiotów leczniczych nie są nowością. W 2025 roku UODO badał bezpieczeństwo danych osobowych w tym sektorze, natomiast pierwotny plan na 2026 rok obejmował przede wszystkim monitoring wizyjny, w szczególności przetwarzanie danych dzieci.

Po wycieku z MyDr urząd zdecydował o rozszerzeniu działań dotyczących bezpieczeństwa danych medycznych.

Co UODO może sprawdzić w przychodni lub gabinecie?

Oficjalny komunikat z 16 września wskazuje przede wszystkim na weryfikację stosowanych zabezpieczeń danych pacjentów.

Nie zawiera jednak szczegółowej listy dokumentów ani czynności kontrolnych przewidzianych dla każdej placówki.

Zakres potencjalnej kontroli można natomiast przeanalizować na podstawie obowiązków wynikających z RODO oraz informacji o działaniach podjętych wobec MyDr.

Zabezpieczenia techniczne i organizacyjne

Art. 32 RODO zobowiązuje administratorów i podmioty przetwarzające do stosowania środków bezpieczeństwa odpowiednich do ryzyka.

W praktyce istotne mogą być między innymi zasady dostępu do dokumentacji medycznej, zabezpieczenia komputerów, ochrona kont użytkowników, wykonywanie kopii zapasowych czy sposób przechowywania danych.

Znaczenie ma nie tylko wdrożenie zabezpieczeń, ale również ich skuteczność.

Analiza ryzyka

Placówka powinna potrafić wykazać, że zidentyfikowała zagrożenia związane z przetwarzaniem danych pacjentów i odpowiednio na nie zareagowała.

Sama obecność dokumentu zatytułowanego „Analiza ryzyka” nie przesądza o spełnieniu tego obowiązku.

Istotne jest to, czy analiza odpowiada rzeczywistym warunkom funkcjonowania placówki, wykorzystywanym systemom i sposobom przetwarzania informacji.

Procedury postępowania w przypadku naruszenia danych

RODO nakłada na administratorów obowiązki związane z dokumentowaniem naruszeń ochrony danych osobowych oraz, w określonych przypadkach, ich zgłaszaniem.

Zgłoszenie do UODO jest wymagane, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Jeżeli naruszenie może powodować wysokie ryzyko, konieczne może być również zawiadomienie osób, których dane dotyczą.

Dlatego placówka powinna wiedzieć, kto odpowiada za ocenę incydentu, podjęcie decyzji o zgłoszeniu i kontakt z urzędem.

Nadzór nad dostawcami oprogramowania

Art. 28 RODO reguluje zasady powierzania przetwarzania danych innym podmiotom.

Przychodnia korzystająca z zewnętrznego systemu do obsługi pacjentów powinna zweryfikować, czy dostawca zapewnia odpowiednie gwarancje ochrony danych.

Znaczenie mają między innymi umowy powierzenia, zakres dostępu dostawcy do informacji oraz przyjęte rozwiązania organizacyjne i techniczne.

Dokumentacja i możliwość wykazania zgodności

Jedną z podstawowych zasad RODO jest rozliczalność.

Oznacza to, że administrator musi nie tylko przestrzegać przepisów, ale również potrafić wykazać ich przestrzeganie.

Dokumentacja powinna więc odpowiadać rzeczywistym procesom funkcjonowania placówki.

Powyższe zagadnienia wynikają z obowiązków przewidzianych w RODO. Nie stanowią opublikowanej przez UODO szczegółowej listy kontrolnej przygotowanej specjalnie na potrzeby kontroli po wycieku z MyDr.

Kto odpowiada za dane pacjentów: przychodnia czy dostawca oprogramowania?

To jedno z najważniejszych pytań, jakie pojawiają się w związku z incydentem.

W komunikacie z 13 sierpnia UODO wskazał, że MyDr występuje jako podmiot przetwarzający dane, których administratorami są korzystające z jego usług placówki medyczne.

Oznacza to, że powierzenie danych zewnętrznemu dostawcy nie zwalnia przychodni z obowiązków administratora.

Placówka nadal odpowiada za realizację własnych obowiązków wynikających z RODO, w tym za ocenę naruszenia oraz wymagane prawem zgłoszenia i zawiadomienia.

Jednocześnie dostawca oprogramowania ponosi odpowiedzialność za przestrzeganie obowiązków dotyczących podmiotów przetwarzających.

Nie oznacza to zatem, że za incydent odpowiada wyłącznie przychodnia. Zakres odpowiedzialności obu stron zależy od ich obowiązków i okoliczności konkretnego naruszenia.

Gdzie mogą pojawić się problemy?

W kontekście zapowiedzianych kontroli szczególnej uwagi wymagają sytuacje, w których formalnie przyjęte zasady ochrony danych nie odpowiadają rzeczywistemu funkcjonowaniu placówki.

Przykładowo:

- Pracownicy posiadają indywidualne upoważnienia, ale w praktyce korzystają ze wspólnych kont.

- Placówka ma procedurę tworzenia kopii zapasowych, ale nie sprawdza możliwości odzyskania danych.

- Analiza ryzyka została sporządzona kilka lat temu i nie uwzględnia aktualnie wykorzystywanego oprogramowania.

- Z dostawcą systemu podpisano umowę powierzenia, ale nikt nie weryfikuje stosowanych przez niego zabezpieczeń.

- Istnieje procedura obsługi naruszeń, ale pracownicy nie wiedzą, komu zgłosić podejrzenie incydentu.

Są to przykłady potencjalnych nieprawidłowości, a nie ustalenia z kontroli MyDr.

Pokazują jednak różnicę między formalnym spełnianiem obowiązków a rzeczywistym bezpieczeństwem danych pacjentów.

Co warto sprawdzić w swojej placówce?

W związku z zapowiedzią dodatkowych kontroli warto odpowiedzieć na kilka podstawowych pytań.

1. Czy wiemy, jakie dane pacjentów przetwarzamy i w jakich systemach?

2. Czy dostęp do dokumentacji medycznej mają wyłącznie osoby upoważnione?

3. Czy komputery, konta użytkowników i systemy są odpowiednio zabezpieczone?

4. Czy wykonujemy kopie zapasowe i wiemy, jak przywrócić dane w przypadku awarii?

5. Czy analiza ryzyka uwzględnia obecnie wykorzystywane rozwiązania informatyczne?

6. Czy mamy aktualne umowy powierzenia danych z dostawcami usług?

7. Czy pracownicy wiedzą, co zrobić w przypadku podejrzenia naruszenia danych?

8. Czy potrafimy wykazać, że przyjęte procedury rzeczywiście funkcjonują?

Nie każda placówka potrzebuje rozbudowanej infrastruktury informatycznej. Zakres stosowanych zabezpieczeń powinien odpowiadać charakterowi działalności, skali przetwarzania danych oraz zidentyfikowanym zagrożeniom.

Bezpieczeństwo danych pacjentów to nie tylko dokumentacja RODO

Wyciek danych z MyDr pokazuje, jak duże znaczenie dla bezpieczeństwa informacji medycznych mają rozwiązania technologiczne oraz sposób współpracy placówek z zewnętrznymi dostawcami.

Jednocześnie zapowiedź dodatkowych kontroli UODO zwraca uwagę na kwestię, która w codziennym zarządzaniu przychodnią może schodzić na dalszy plan.

Posiadanie dokumentacji RODO nie jest równoznaczne z zapewnieniem bezpieczeństwa danych pacjentów.

Można mieć podpisane umowy, opracowane procedury i komplet wymaganych dokumentów, a mimo to nie wiedzieć, czy komputery są właściwie zabezpieczone, kto faktycznie ma dostęp do danych lub czy w razie awarii możliwe będzie ich odzyskanie.

Dlatego warto spojrzeć na ochronę danych nie tylko jako na obowiązek prawny, ale również jako na jeden z elementów zarządzania placówką medyczną.

Ostatecznie najważniejsze pytanie nie brzmi, czy przychodnia posiada dokumentację dotyczącą bezpieczeństwa.

Brzmi: czy stosowane zabezpieczenia rzeczywiście chronią dane pacjentów?

Źródła

1. Urząd Ochrony Danych Osobowych, 13 sierpnia 2026 r., „Prezes UODO skontroluje spółkę MyDr”.

2. Urząd Ochrony Danych Osobowych, 16 września 2026 r., „Dodatkowe kontrole UODO w podmiotach sektora ochrony zdrowia”.

3. Urząd Ochrony Danych Osobowych, 8 stycznia 2026 r., „Plan kontroli sektorowych UODO na rok 2026”.

4. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), w szczególności art. 5, 24, 28, 32, 33 i 34.

Artykuł ma charakter informacyjny i nie stanowi indywidualnej porady prawnej.