Informacja dla pacjentów o naruszeniu ochrony danych osobowych w systemie MyDr EDM

Data publikacji: 15 października 2026 r.

Co się wydarzyło?

W dniu 2 września 2026 r. otrzymaliśmy od MyDr sp. z o.o., dostawcy systemu i podmiotu przetwarzającego dane na nasze zlecenie, informację o cyberataku na jego infrastrukturę.

Zgodnie z ustaleniami przekazanymi przez MyDr nieuprawniona osoba trzecia uzyskała dostęp do środowiska chmurowego i skopiowała kopię zapasową bazy danych z dnia 12 kwietnia 2024 r. W odniesieniu do ograniczonej liczby osób incydent mógł objąć również dane zawarte w anulowanych skierowaniach wystawionych po tej dacie.

12 kwietnia 2024 r. jest datą kopii zapasowej, a nie datą cyberataku. Według informacji przekazanych naszej placówce nieuprawniona aktywność miała miejsce w okresie od 24 czerwca do 1 lipca 2026 r.

Zdarzenie spowodowało naruszenie poufności danych – dostęp do nich uzyskała osoba nieuprawniona.

Kogo dotyczy naruszenie?

Naruszenie dotyczy pacjentów naszej placówki, których dane znajdowały się w zbiorze objętym incydentem, w tym pacjentów małoletnich. Mogło również objąć dane ich przedstawicieli ustawowych i osób upoważnionych do dostępu do dokumentacji medycznej.

Sam fakt korzystania z usług naszej placówki nie oznacza, że dane danej osoby zostały objęte naruszeniem. W celu uzyskania informacji dotyczących Państwa sytuacji prosimy o kontakt z naszym Inspektorem Ochrony Danych wskazanym poniżej.

Jakie dane zostały objęte naruszeniem?

W zależności od informacji zapisanych w systemie zakres danych mógł obejmować:

• imię i nazwisko;
• numer PESEL i datę urodzenia;
• adres zamieszkania lub pobytu;
• numer telefonu i adres e-mail;
• dane dotyczące zdrowia zawarte w dokumentacji medycznej;
• informacje dotyczące ubezpieczenia społecznego i pracodawcy;
• informacje o przedstawicielu ustawowym lub osobie upoważnionej do dostępu do dokumentacji medycznej, w tym o jej relacji z pacjentem.

Zakres danych może być różny dla poszczególnych osób. Nie oznacza to, że w odniesieniu do każdego pacjenta naruszenie objęło wszystkie wymienione informacje.

Jakie mogą być konsekwencje?

Ze względu na możliwość połączenia danych identyfikacyjnych, numeru PESEL i informacji dotyczących zdrowia naruszenie może powodować wysokie ryzyko dla praw i wolności osób, których dotyczy.

Możliwe konsekwencje obejmują w szczególności:

• podszywanie się pod Państwa i próby zawierania umów lub zaciągania zobowiązań finansowych na Państwa dane;
• próby uzyskania dodatkowych informacji, w tym medycznych, przy wykorzystaniu skradzionych danych;
• oszukańcze telefony, wiadomości SMS lub e-maile, których nadawcy mogą podszywać się pod placówkę medyczną, MyDr, bank albo instytucję publiczną;
• wykorzystanie informacji o zdrowiu do uwiarygodnienia oszustwa, np. oferty rzekomego leczenia lub żądania zapłaty;
• naruszenie prywatności, utratę kontroli nad danymi, stres, dyskryminację lub szkody finansowe.

Są to możliwe skutki naruszenia, a nie potwierdzenie, że wystąpiły one w Państwa przypadku.

Jakie działania podjęto?

Nasza placówka zgłosiła naruszenie Prezesowi Urzędu Ochrony Danych Osobowych oraz przeanalizowała informacje przekazane przez MyDr pod kątem ryzyka dla osób objętych zdarzeniem.

Zgodnie z informacjami otrzymanymi od MyDr dostawca, przy wsparciu zewnętrznych ekspertów ds. cyberbezpieczeństwa, podjął działania obejmujące m.in.:

• odizolowanie systemów objętych incydentem i zablokowanie wykorzystanych ścieżek dostępu;
• odtworzenie środowiska serwerowego od podstaw;
• zresetowanie haseł i kluczy dostępu oraz unieważnienie aktywnych sesji;
• wzmocnienie kontroli dostępu oraz mechanizmów wykrywania zagrożeń;
• monitorowanie internetu, w tym tzw. dark webu, pod kątem ewentualnego ujawnienia danych.

MyDr poinformował również o zgłoszeniu sprawy Centralnemu Biuru Zwalczania Cyberprzestępczości oraz współpracy z właściwymi zespołami reagowania na incydenty.

Według informacji przekazanych przez MyDr, na dzień powiadomienia naszej placówki nie stwierdzono dowodów publicznego udostępnienia danych w internecie. Nie zmienia to faktu, że doszło do ich skopiowania przez osobę nieuprawnioną, dlatego zalecamy zachowanie ostrożności.

Co mogą Państwo zrobić?

1. Zastrzec numer PESEL, jeżeli mają Państwo możliwość skorzystania z tej usługi – w aplikacji mObywatel, przez serwis gov.pl lub w urzędzie miasta/gminy. Zastrzeżenie ogranicza ryzyko nieuprawnionego wykorzystania danych do zaciągania zobowiązań, ale nie eliminuje wszystkich zagrożeń.
2. Zachować ostrożność wobec telefonów i wiadomości, zwłaszcza zawierających prośby o dopłatę do wizyty, potwierdzenie danych, podanie kodu BLIK, hasła lub kodu autoryzacyjnego. Znajomość Państwa danych lub informacji o leczeniu nie potwierdza wiarygodności rozmówcy.
3. Weryfikować podejrzane prośby niezależnym kanałem – np. dzwoniąc do placówki lub banku na numer znaleziony samodzielnie na ich oficjalnej stronie. Prosimy nie korzystać w tym celu z numerów i linków zawartych w podejrzanej wiadomości.
4. Kontrolować rachunki bankowe i korespondencję dotyczącą nieznanych umów, pożyczek lub wezwań do zapłaty. Można również rozważyć korzystanie z alertów o próbach zaciągnięcia zobowiązań na Państwa dane.
5. W razie podejrzenia wykorzystania danych niezwłocznie skontaktować się z bankiem lub inną właściwą instytucją, a w przypadku podejrzenia przestępstwa zawiadomić Policję.

Jeżeli sprawa dotyczy dziecka, prosimy jego przedstawiciela ustawowego o szczególną ostrożność wobec kontaktów wykorzystujących dane dziecka lub informacje o jego leczeniu.

Gdzie uzyskać więcej informacji?

W sprawach dotyczących naruszenia i Państwa danych prosimy o kontakt z Inspektorem Ochrony Danych naszej placówki:

Piotr Walania
E-mail: piotr.walania@centrumergon.pl
Telefon: 602 364 290

Można również skierować korespondencję na adres:

Oculistic Centrum Okulistyczne sp. z o.o.
ul. Ułańska 5a
65-001 Zielona Góra
z dopiskiem „Inspektor Ochrony Danych”.

Przed udzieleniem informacji dotyczących konkretnej osoby możemy poprosić o niezbędne potwierdzenie tożsamości.

Informacje dostawcy systemu dotyczące incydentu są dostępne na stronie pacjent.mydr.pl. MyDr udostępnił również adres do pytań dotyczących zdarzenia: dane@mydr.pl.

Mają Państwo prawo wystąpić do naszej placówki o dostęp do swoich danych i uzyskanie informacji o ich przetwarzaniu, a także wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.