Komunikat w sprawie incydentu bezpieczeństwa danych osobowych – platforma MyDr
Data publikacji: [DO UZUPEŁNIENIA, np. 13 października 2026 r.]
Szanowni Pacjenci, działając zgodnie z art. 34 RODO, informujemy o naruszeniu bezpieczeństwa danych osobowych, do którego doszło u zewnętrznego dostawcy oprogramowania medycznego MyDr. Z tego oprogramowania korzystała nasza placówka. Poniżej wyjaśniamy, co się stało, jakie dane mogły zostać objęte incydentem i co możecie Państwo zrobić, aby się chronić.
Co się stało?
W sierpniu 2026 r. doszło do cyberataku na infrastrukturę firmy MyDr, która dostarcza system do prowadzenia dokumentacji medycznej i obsługi wizyt tysiącom placówek medycznych w Polsce. Incydent został potwierdzony 12 sierpnia 2026 r. przez Ministerstwo Cyfryzacji. Sprawą zajmują się organy ścigania, a Prezes Urzędu Ochrony Danych Osobowych wszczął kontrolę u dostawcy.
Firma MyDr przetwarzała dane naszych Pacjentów w naszym imieniu, jako podmiot przetwarzający. O incydencie zostaliśmy poinformowani przez dostawcę w dniu [DO UZUPEŁNIENIA]. Systemy informatyczne naszej placówki poza platformą MyDr nie zostały naruszone [DO POTWIERDZENIA].
Jakie dane mogły zostać objęte incydentem?
Według informacji przekazanych przez dostawcę i organy państwowe incydent mógł obejmować w szczególności:
- dane identyfikacyjne: imię, nazwisko, numer PESEL,
- dane kontaktowe: adres, numer telefonu, adres e-mail,
- informacje o wizytach, w tym ich terminy i miejsce udzielenia świadczenia,
- informacje o stanie zdrowia, w tym rozpoznania, zalecenia, wystawione recepty i przepisane leki.
Dostawca wskazał, że dane dotyczą w dużej mierze okresu do kwietnia 2024 r. Na dzień publikacji komunikatu nie stwierdzono, aby dane zostały upublicznione lub wystawione na sprzedaż. [DO UZUPEŁNIENIA: zakres danych i okres, który dotyczy naszej placówki, jeżeli MyDr przekazał takie informacje]
Jakie mogą być konsekwencje?
Ponieważ incydent może dotyczyć danych o zdrowiu oraz numeru PESEL, oceniamy ryzyko dla praw i wolności osób, których dane dotyczą, jako wysokie. Możliwe konsekwencje to m.in.:
- próby wyłudzenia kredytu, pożyczki lub zawarcia umowy na Państwa dane,
- wiadomości SMS, e-maile lub telefony podszywające się pod placówkę medyczną, lekarza, NFZ lub aptekę, np. z prośbą o dopłatę za wizytę, receptę lub „refundację”,
- próby szantażu z wykorzystaniem informacji o leczeniu,
- ujawnienie informacji o stanie zdrowia osobom nieuprawnionym.
Co zrobiliśmy?
- Zgłosiliśmy naruszenie Prezesowi Urzędu Ochrony Danych Osobowych w dniu [DO UZUPEŁNIENIA].
- Informujemy Pacjentów indywidualnie, wiadomością SMS, e-mailem lub listownie, oraz publikujemy niniejszy komunikat.
- Pozostajemy w kontakcie z dostawcą w celu ustalenia pełnego zakresu incydentu.
- [DO UZUPEŁNIENIA: np. zmiana dostawcy systemu, zmiana haseł, dodatkowe zabezpieczenia, weryfikacja umowy powierzenia]
Co możecie Państwo zrobić?
- Zastrzeżcie numer PESEL w aplikacji mObywatel, na stronie gov.pl lub w dowolnym urzędzie gminy. To bezpłatne i można je w każdej chwili cofnąć.
- Sprawdźcie, czy Wasze dane znalazły się w wycieku, w serwisie bezpiecznedane.gov.pl.
- Rozważcie usługę alertów BIK, która informuje o próbach zaciągnięcia zobowiązania na Wasze dane.
- Zachowajcie szczególną ostrożność wobec wiadomości i telefonów dotyczących wizyt, recept lub płatności. Nasza placówka nigdy nie prosi o dopłaty przez link w SMS-ie ani o podanie danych logowania do banku.
- W razie wątpliwości skontaktujcie się z nami bezpośrednio pod numerem podanym poniżej, a nie z numeru lub adresu z podejrzanej wiadomości.
- Podejrzane wiadomości SMS możecie przekazać bezpłatnie na numer 8080 (CERT Polska).
Kontakt
Administratorem Państwa danych osobowych jest [DO POTWIERDZENIA: Oculistic Centrum Okulistyczne Sp. z o.o. z siedzibą w Zielonej Górze, ul. Kupiecka 93/7]. W sprawach związanych z incydentem prosimy o kontakt:
- e-mail: oculistic@klinikapaczala.pl [DO POTWIERDZENIA],
- telefon: +48 690 044 446,
- Inspektor Ochrony Danych: [DO UZUPEŁNIENIA: imię i nazwisko, e-mail].
Przysługuje Państwu również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Przepraszamy za niedogodności związane z incydentem. Ochrona Państwa danych jest dla nas priorytetem i będziemy aktualizować ten komunikat w miarę uzyskiwania nowych informacji.


