Wyciek danych MyDr – czego sektor medyczny i jednostki samorządu terytorialnego powinny nauczyć się z tego incydentu?
Cyberatak na dostawcę systemu wykorzystywanego przez tysiące organizacji pokazuje problem, z którym coraz częściej mierzą się zarówno sektor medyczny, jak i jednostki samorządu terytorialnego. Naruszenie bezpieczeństwa może bowiem nastąpić poza infrastrukturą administratora danych, ale jego skutki prawne i organizacyjne nie pozostają poza jego odpowiedzialnością.
Incydent dotyczący spółki MyDr jest pod tym względem szczególnie istotny dla sektora medycznego. Pokazuje nie tylko ryzyko związane z cyberatakiem na przedsiębiorcę technologicznego, ale przede wszystkim konsekwencje korzystania przez placówki medyczne z zewnętrznych systemów, w których przetwarzane są dane pacjentów, w tym dane dotyczące zdrowia.
To jednocześnie ważna lekcja dla samorządów. JST, podobnie jak podmioty działające w sektorze medycznym, korzystają z rozbudowanego ekosystemu dostawców IT, którym powierzają przetwarzanie znacznych ilości danych osobowych.
Co wydarzyło się w MyDr?
W sierpniu 2026 r. ujawniono informacje o poważnym incydencie cyberbezpieczeństwa dotyczącym MyDr – dostawcy oprogramowania wykorzystywanego przez placówki ochrony zdrowia m.in. do prowadzenia elektronicznej dokumentacji medycznej.
Spółka potwierdziła, że stała się celem zewnętrznego, celowego działania o charakterze przestępczym, którym objęta została część danych.
W przestrzeni publicznej pojawiły się informacje, że potencjalna skala zdarzenia może obejmować dane niemal 19 mln osób. Prezes Urzędu Ochrony Danych Osobowych zastrzegł jednak, że pełna skala naruszenia wymaga ustalenia. Według informacji przywoływanych przez UODO z usług MyDr mogło korzystać około 12 tys. podmiotów leczniczych.
Sprawa ma również wymiar karny. Policja poinformowała o prowadzeniu czynności dotyczących uzyskania nieuprawnionego dostępu do systemu informatycznego administrowanego przez MyDr i przechowywanych w nim informacji.
Z punktu widzenia sektora medycznego istotniejsze od samej skali zdarzenia jest jednak pytanie: co powinien zrobić podmiot leczniczy, kiedy dowiaduje się, że jego dostawca IT padł ofiarą cyberataku?
Wyciek u dostawcy nie oznacza przeniesienia odpowiedzialności administratora
Jednym z najważniejszych wniosków płynących ze sprawy MyDr jest konieczność właściwego rozumienia relacji pomiędzy administratorem danych a podmiotem przetwarzającym.
W typowym modelu placówka medyczna pozostaje administratorem danych swoich pacjentów, natomiast dostawca systemu IT może przetwarzać te dane w jej imieniu jako podmiot przetwarzający.
RODO wymaga od administratora korzystania wyłącznie z takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.
Cyberbezpieczeństwo sektora medycznego nie może więc kończyć się na zabezpieczeniu komputerów i infrastruktury samej placówki. Musi obejmować również bezpieczeństwo dostawców, którym powierzane są dane pacjentów.
Prezes UODO w związku ze sprawą MyDr przypomniał, że administratorzy, którzy powierzyli spółce dane, muszą dokonać własnej analizy ryzyka i ustalić, czy naruszenie powoduje konieczność zawiadomienia organu nadzorczego oraz osób, których dane dotyczą.
Dlaczego incydent MyDr jest szczególnie ważny dla sektora medycznego?
Sektor medyczny należy do obszarów szczególnie narażonych na dotkliwe konsekwencje naruszeń ochrony danych.
Placówki medyczne przetwarzają bowiem nie tylko podstawowe dane identyfikacyjne i kontaktowe. Przetwarzanie może obejmować również numery PESEL, informacje dotyczące wizyt, rozpoznań, wyników badań, przyjmowanych leków, historii leczenia i inne informacje o stanie zdrowia.
Dane dotyczące zdrowia należą na gruncie RODO do szczególnych kategorii danych osobowych.
Ich ujawnienie może prowadzić do konsekwencji wykraczających poza typowe ryzyka związane z naruszeniem danych. W zależności od zakresu informacji możliwe konsekwencje mogą obejmować m.in. naruszenie prywatności, dyskryminację, szkody reputacyjne, próby oszustwa, phishing czy wykorzystanie informacji do kradzieży tożsamości.
Dlatego ochrona danych w sektorze medycznym wymaga podejścia uwzględniającego nie tylko prawdopodobieństwo wystąpienia incydentu, lecz również potencjalną wagę jego skutków dla pacjentów.
Prezes UODO, zapowiadając kontrolę MyDr, wskazał, że przedmiotem zainteresowania organu będą m.in. zastosowane środki techniczne i organizacyjne, regularność ich testowania oraz to, czy analiza ryzyka uwzględniała możliwe zagrożenia i czy jej wyniki zostały zastosowane w praktyce.
To ważny sygnał dla całego sektora medycznego: bezpieczeństwo danych pacjentów powinno być procesem ciągłym, a nie jednorazowym działaniem wykonywanym przy wdrożeniu systemu informatycznego.
Co powinna zrobić placówka medyczna po otrzymaniu informacji o incydencie u dostawcy?
Pierwszym błędem byłoby oczekiwanie na zakończenie postępowania wyjaśniającego prowadzonego przez dostawcę.
Podmiot z sektora medycznego, będący administratorem danych, powinien uruchomić własną procedurę obsługi naruszenia, w tym w szczególności:
1. Ustalić, czy naruszenie obejmuje dane pacjentów placówki
Administrator potrzebuje tych informacji nie tylko do poznania technicznych przyczyn zdarzenia. Są one podstawą do wykonania jego własnych obowiązków wynikających z RODO.
2. Przeprowadzić i udokumentować analizę ryzyka
Nie wystarczy stwierdzenie, że „doszło do wycieku”. Trzeba ustalić, jakie informacje zostały naruszone, w jakim kontekście mogą zostać wykorzystane oraz jakie realne konsekwencje może to wywołać dla konkretnych kategorii osób.
W przypadku sektora medycznego szczególne znaczenie będzie miała obecność danych dotyczących zdrowia oraz możliwość powiązania ich z konkretną osobą.
3. Ocenić obowiązek zgłoszenia naruszenia Prezesowi UODO
Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien ocenić konieczność zgłoszenia naruszenia Prezesowi UODO.
Administrator nie może zakładać, że obowiązek ten zostanie wykonany przez dostawcę systemu.
To właśnie jedna z najważniejszych praktycznych lekcji wynikających ze sprawy MyDr: procesor powinien poinformować administratora o naruszeniu, ale to administrator dokonuje własnej oceny obowiązków wynikających z RODO.
4. Ocenić konieczność zawiadomienia pacjentów
Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, konieczne może okazać się również zawiadomienie osób, których dane dotyczą.
W sektorze medycznym komunikacja z pacjentem wymaga szczególnej staranności.
Informacja powinna jasno wskazywać, co się wydarzyło, jakie dane zostały naruszone, jakie konsekwencje mogą z tego wynikać oraz jakie konkretne działania pacjent może podjąć, aby ograniczyć ryzyko.
Komunikat o naruszeniu nie powinien być tworzony wyłącznie z perspektywy ochrony reputacji placówki. Jego podstawowym celem jest umożliwienie pacjentowi skutecznej ochrony własnych interesów.
5. Udokumentować przebieg zdarzenia i podjęte decyzje
Dokumentacja ta może mieć kluczowe znaczenie w przypadku późniejszej kontroli organu nadzorczego.
Te same pytania powinny zadać sobie jednostki samorządu terytorialnego
Wnioski płynące z incydentu MyDr nie ograniczają się do sektora medycznego.
JST korzystają z wielu zewnętrznych rozwiązań technologicznych: systemów dziedzinowych, elektronicznego obiegu dokumentów, systemów kadrowo-płacowych, platform edukacyjnych, usług chmurowych, hostingu czy systemów związanych z realizacją świadczeń społecznych.
W wielu przypadkach dostawcy uzyskują dostęp do znacznych zbiorów danych mieszkańców i pracowników.
Atak na dostawcę może więc stać się naruszeniem, którym musi zarządzić urząd.
Co więcej, w przypadku JST naruszenie danych może być tylko jednym z wymiarów zdarzenia. Trzeba równolegle przeanalizować jego konsekwencje dla cyberbezpieczeństwa i ciągłości realizacji zadań publicznych oraz ustalić, jakie dodatkowe obowiązki prawne może uruchamiać dany incydent.
Dlatego poważny cyberatak wymaga współpracy kierownictwa jednostki, osób odpowiedzialnych za IT i cyberbezpieczeństwo, inspektora ochrony danych, obsługi prawnej oraz osób odpowiadających za ciągłość działania i komunikację kryzysową.
Umowa z dostawcą IT to część systemu bezpieczeństwa
Zarówno jednostki samorządu terytorialnego, jak i sektor medyczny powinny potraktować incydent MyDr jako impuls do przeglądu umów z dostawcami technologii.
Nie chodzi przy tym wyłącznie o sprawdzenie, czy zawarto umowę powierzenia przetwarzania danych.
Należy ustalić, czy dokumentacja kontraktowa rzeczywiście umożliwia administratorowi skuteczne działanie w przypadku cyberataku.
Dla sektora medycznego istotne powinny być ponadto rozwiązania zapewniające ciągłość działania. Niedostępność kluczowego systemu może bowiem wpływać nie tylko na ochronę danych, lecz także na bieżące funkcjonowanie placówki i obsługę pacjentów.
RODO w sektorze medycznym – zgodność formalna już nie wystarcza
Incydent MyDr pokazuje również, dlaczego RODO w sektorze medycznym nie powinno być traktowane przede wszystkim jako obowiązek dokumentacyjny.
Posiadanie polityki ochrony danych, rejestru czynności przetwarzania czy podpisanych umów powierzenia nie gwarantuje bezpieczeństwa.
Kluczowe znaczenie ma odpowiedź na bardziej praktyczne pytania:
- Czy wiemy, gdzie rzeczywiście znajdują się dane naszych pacjentów?
- Którzy dostawcy i podwykonawcy mają do nich dostęp?
- Czy regularnie oceniamy bezpieczeństwo kluczowych dostawców?
- Czy umowa zapewnia nam dostęp do informacji potrzebnych do dokonania zgłoszenia w wymaganym terminie?
- Czy potrafimy funkcjonować bez systemu dostawcy w przypadku jego awarii lub odcięcia?
- Czy przećwiczyliśmy scenariusz poważnego wycieku danych?
Dopiero odpowiedzi na te pytania pokazują rzeczywisty poziom dojrzałości organizacji w zakresie ochrony danych i cyberbezpieczeństwa.
Co warto zrobić, zanim wydarzy się incydent?
Zarówno JST, jak i organizacje działające w sektorze medycznym, powinny regularnie przeprowadzać przegląd kluczowych obszarów bezpieczeństwa.
W szczególności warto zweryfikować:
Dostawców – kto faktycznie ma dostęp do danych i jakie informacje przetwarza?
Umowy – czy administrator otrzyma odpowiednie informacje natychmiast po wykryciu incydentu?
Analizy ryzyka – czy obejmują aktualne zagrożenia, dostawców i rzeczywistą architekturę systemów?
Procedury – czy wiadomo, kto podejmuje decyzje i odpowiada za kontakt z dostawcą, UODO oraz osobami dotkniętymi naruszeniem?
Ciągłość działania – czy awaria lub odcięcie jednego dostawcy może sparaliżować działalność organizacji?
Szkolenia i ćwiczenia – czy procedury reagowania na incydenty zostały przetestowane w praktyce?
W przypadku sektora medycznego warto dodatkowo zweryfikować, czy analiza ryzyka uwzględnia szczególny charakter danych pacjentów i konsekwencje, jakie ich ujawnienie może spowodować dla konkretnych osób.
Cyberbezpieczeństwo dostawcy staje się cyberbezpieczeństwem placówki
Incydent MyDr przypomina o fundamentalnej zmianie związanej z cyfryzacją ochrony zdrowia i administracji publicznej.
Organizacja może posiadać dobrze zabezpieczoną własną infrastrukturę, aktualne procedury i przeszkolonych pracowników, a mimo to znaleźć się w centrum poważnego naruszenia wskutek cyberataku na podmiot trzeci.
Dlatego cyberbezpieczeństwo sektora medycznego oraz cyberbezpieczeństwo JST nie mogą kończyć się na granicy własnej infrastruktury informatycznej.
Dla placówek medycznych oznacza to konieczność traktowania bezpieczeństwa dostawców IT jako integralnej części ochrony danych pacjentów. Dla samorządów – jako części systemu zarządzania ryzykiem całej jednostki.
Zarówno dla JST, jak i dla sektora medycznego obowiązuje więc jedna szczególnie ważna zasada:
outsourcing systemu informatycznego może oznaczać przekazanie dostawcy części procesów technicznych, ale nie oznacza outsourcingu odpowiedzialności administratora za dane.
Dlatego warto zadać sobie pytanie nie tylko: „czy nasze systemy są bezpieczne?”, ale również:
„Czy jesteśmy przygotowani na sytuację, w której jutro nasz kluczowy dostawca poinformuje nas o wycieku danych?”
Jeżeli odpowiedź nie jest jednoznaczna, warto zawczasu przeprowadzić przegląd umów z dostawcami, procedur reagowania na incydenty, analiz ryzyka oraz stosowanych zabezpieczeń.
Dla sektora medycznego, który przetwarza jedne z najbardziej wrażliwych informacji o człowieku, takie przygotowanie staje się jednym z podstawowych elementów odpowiedzialnego zarządzania bezpieczeństwem danych.
Maria Kowalik-Sobczak
Zespół Ochrony Danych Osobowych
Kancelaria Wyrzykowscy
Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej, podatkowej ani jakiejkolwiek innej formy doradztwa. Wszelkie przedstawione w nim treści wyrażają osobiste poglądy autora oraz jego wiedzę na temat omawianych zagadnień. Autor ani wydawca nie ponoszą odpowiedzialności za ewentualne skutki wynikające z zastosowania się do informacji zawartych w artykule bez konsultacji z odpowiednim specjalistą.
Zadaj pytanie do artykułu