12 sierpnia 2026 roku Polska obudziła się z informacją, że dane medyczne niemal 18 milionów obywateli mogły trafić w ręce cyberprzestępców — i przez kolejne dwa tygodnie nie dowiedzieliśmy się nic, co pozwoliłoby realnie ocenić skalę zagrożenia. Nie chodzi tylko o kolejny wyciek loginów czy haseł. Mówimy o numerach PESEL, historii wizyt lekarskich i receptach — danych, których nie można zresetować jak hasła do konta. To przypadek, który zmusza do poważnej rozmowy o tym, czy polskie prawo i procedury są w ogóle gotowe na incydenty tej skali.
Co wydarzyło się w systemach MyDr?
Firma MyDr dostarcza oprogramowanie do zarządzania placówkami medycznymi i była bezpośrednim celem cyberataku, którego skutki ujawniono publicznie 12 sierpnia 2026 roku. Osoby podające się za sprawców oświadczyły, że w przejętych zasobach znajdują się dane dotyczące prawie 19 milionów Polaków.
Rząd Rzeczypospolitej Polskiej potwierdził tę liczbę jeszcze w sierpniu 2026 roku, choć Minister Cyfryzacji Krzysztof Gawkowski zastrzegał, że mowa o milionach rekordów, a nie automatycznie o tylu unikalnych osobach — poszczególne dane da się ze sobą łączyć, co dopiero analiza bazy miała ostatecznie wyjaśnić.
Dane objęte incydentem mają charakter przede wszystkim historyczny i pochodzą z kwietnia 2024 roku lub wcześniejszego okresu. Oznacza to, że nawet osoby niekorzystające aktywnie z usług powiązanych placówek w ostatnim czasie mogą figurować w przejętym zbiorze.
Jakie dane Polaków mogły wyciec?
Zakres potencjalnie skradzionych informacji jest wyjątkowo szeroki i wrażliwy. Wśród danych wymienianych przez sprawców oraz potwierdzonych przez firmę MyDr znajdują się numery PESEL, pełne dane osobowe, szczegóły dotyczące wizyt lekarskich oraz historii recept.
Dane medyczne należą do szczególnej kategorii informacji osobowych — w unijnym rozporządzeniu RODO (Rozporządzenie o Ochronie Danych Osobowych, 2018) są traktowane jako dane wrażliwe, objęte najwyższym poziomem ochrony. Ich ujawnienie może prowadzić do dyskryminacji, szantażu lub nieuprawnionego dostępu do świadczeń zdrowotnych.
Numer PESEL stanowi w Polsce fundament tożsamości cyfrowej i administracyjnej. W przeciwieństwie do hasła do konta bankowego, którego zmiana zajmuje minuty, PESEL jest identyfikatorem stałym, przypisanym raz na całe życie — co czyni jego wyciek szczególnie poważnym i długotrwałym w skutkach.
Co robi MyDr i dlaczego tak długo czekamy na szczegóły?
Piotr Miluski, CEO MyDr, wydał oświadczenie przepraszające wszystkich pacjentów i użytkowników systemu, niezależnie od tego, czy incydent dotyczy ich danych bezpośrednio. „Wiem, że obawa o swoje dane medyczne nie jest zwykłym stresem. To jedne z najbardziej prywatnych informacji, jakie istnieją” — stwierdził Miluski w komunikacie opublikowanym w sierpniu 2026 roku.
Śledztwo prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) ciągle trwało w momencie publikacji oświadczenia. Równolegle zewnętrzni eksperci zatrudnieni przez MyDr kończyli analizę mającą precyzyjnie ustalić, które dane i w jakiej formie zostały objęte incydentem.
Firma zapowiedziała, że w najbliższych dniach od publikacji komunikatu zacznie oficjalnie informować placówki medyczne zgodnie z wymogami RODO. Placówki mają następnie przekazać informacje pacjentom — łańcuch komunikacyjny obejmujący potencjalnie 18 milionów osób jest logistycznie złożony i sam w sobie podatny na opóźnienia.
Redakcja IWD Partner: Dwutygodniowa cisza po wycieku tej skali to coś więcej niż organizacyjna nieporadność — to objaw systemowej luki między tempem cyberataków a tempem procedur powiadamiania ofiar. Porównując ten incydent do głośnego wycieku danych z brytyjskiej NHS w 2024 roku, tamtejsze służby opublikowały szczegółowy raport dla pacjentów w ciągu 96 godzin. Pytanie, które powinniśmy zadać głośno: czy polskie prawo i infrastruktura reagowania na incydenty są zaprojektowane dla świata, w którym takie ataki zdarzają się raz na dekadę, czy dla rzeczywistości 2026 roku?
Jak MyDr planuje poinformować 18 milionów osób?
Firma przyjęła celowo szerokie podejście do procesu informowania — jak ujął to Miluski: „Wolimy poinformować zbyt szeroką grupę osób niż zbyt wąską, ponieważ uważamy, że każdy zasługuje na to, aby wiedzieć i móc odpowiednio zareagować.” Taka strategia jest zgodna z duchem RODO, choć w praktyce oznacza, że część powiadomionych osób może nie być realnie zagrożona.
Placówki medyczne mają otrzymać od MyDr gotowe materiały komunikacyjne oraz wsparcie merytoryczne na każdym etapie procesu informowania. Łańcuch: firma technologiczna → placówka medyczna → pacjent to jednak trzy ogniwa, z których każde może wydłużyć czas dotarcia informacji do osoby bezpośrednio zainteresowanej.
Miluski zaznaczył w oświadczeniu, że do chwili jego publikacji w sierpniu 2026 roku nie wykryto, aby dane objęte incydentem zostały publicznie udostępnione. Monitorowanie ciemnych zasobów sieci — tzw. dark web — jest jednak procesem ciągłym i niepewnym: fakt, że czegoś nie znaleziono dziś, nie wyklucza pojawienia się danych jutro lub za miesiąc.
Dlaczego wyciek danych MyDr ma znaczenie?
Incydent dotyczący MyDr jest prawdopodobnie największym wyciekiem danych medycznych w historii Polski pod względem liczby potencjalnie dotkniętych osób. Dla porównania: liczba 18 milionów odpowiada blisko połowie populacji kraju, szacowanej przez Główny Urząd Statystyczny na około 37,6 miliona mieszkańców według danych z 2024 roku.
Europejski Inspektor Ochrony Danych wielokrotnie wskazywał, że dane medyczne są szczególnie atrakcyjnym celem dla cyberprzestępców ze względu na ich trwałą wartość na czarnym rynku — rekordy zdrowotne osiągają ceny wielokrotnie wyższe niż dane finansowe, ponieważ mogą być wykorzystywane latami do różnych form oszustwa.
Dla zwykłego pacjenta skutki praktyczne mogą obejmować próby wyłudzeń, fałszywe ubezpieczenia zdrowotne wystawiane na skradzione dane osobowe czy socjotechniczne ataki phishingowe precyzyjnie skrojone pod konkretne historię medyczne. Oznacza to, że zagrożenie nie kończy się z chwilą opanowania ataku przez firmę — rozciąga się na lata.
Powiązane pojęcia technologiczne
- RODO (GDPR) — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 2018 roku, nakładające na organizacje obowiązek ochrony danych osobowych i powiadamiania o ich wycieku w ciągu 72 godzin od wykrycia incydentu.
- PESEL — jedenastocyfrowy numer identyfikacyjny nadawany każdemu obywatelowi Polski, zawierający datę urodzenia i płeć; jego ujawnienie jest szczególnie niebezpieczne ze względu na niezmienność.
- Dark web — część internetu niedostępna przez standardowe przeglądarki, wymagająca specjalnego oprogramowania (np. Tor); popularne miejsce handlu skradzionymi danymi osobowymi i medycznymi.
- CBZC (Centralne Biuro Zwalczania Cyberprzestępczości) — polska jednostka policyjna powołana w 2022 roku, specjalizująca się w ściganiu przestępstw w cyberprzestrzeni, w tym ataków na infrastrukturę krytyczną.
- Dane wrażliwe — kategoria danych osobowych objęta wzmożoną ochroną prawną na mocy RODO; obejmuje m.in. dane o stanie zdrowia, przekonaniach religijnych i przynależności etnicznej.
Na podstawie materiałów źródłowych.
