Sprawdź, czy Twój gabinet korzysta z systemu MyDr lub modułu dr100, przejrzyj, którzy dostawcy mają dostęp do danych pacjentów, i włącz uwierzytelnianie wieloskładnikowe na kontach z tym dostępem. Wyciek z MyDr z sierpnia 2026 roku (blisko 19 mln osób według Ministerstwa Cyfryzacji) pokazał ryzyko dostawcy: dane pacjentów wyciekają nie przez Twój gabinet, lecz przez system, z którego korzystasz.

Nie zhakowali Twojego gabinetu. Zhakowali jego dostawcę

Pacjent dzwoni do rejestracji z pytaniem, czy jego dane wyciekły, zanim gabinet w ogóle dowie się, że coś się stało. Tak wygląda ryzyko dostawcy w praktyce: nie kontrolujesz momentu, w którym problem staje się Twój. Nikt nie włamał się do Twojej sieci ani nie złamał Twojego hasła. Wyciek nastąpił u firmy, której powierzyłeś prowadzenie kartotek, a Ty dowiadujesz się o nim z mediów albo od zaniepokojonego pacjenta.

To nie jest scenariusz teoretyczny. W sierpniu 2026 roku doszło do jednego z największych wycieków danych medycznych w Polsce - z systemu MyDr, z którego korzystają tysiące placówek, w tym gabinety stomatologiczne używające dedykowanego modułu dr100. Poniżej rozdzielamy to, co wiadomo na pewno, od tego, co jest jeszcze przedmiotem śledztwa, i pokazujemy, co możesz zrobić już dziś - niezależnie od tego, jak zakończy się ta konkretna sprawa.

Co się stało (stan na 15 sierpnia 2026)

Minister cyfryzacji Krzysztof Gawkowski potwierdził 12 sierpnia 2026 roku, że wyciek może objąć blisko 19 mln osób. MyDr to jeden z największych w Polsce dostawców systemów elektronicznej dokumentacji medycznej - od 2023 roku należy do grupy Docplanner (właściciela serwisu ZnanyLekarz, przy czym są to rozdzielne systemy, które nie wymieniają danych). System obsługuje około 12 tysięcy placówek, integruje się z platformą P1 i NFZ, a moduł dr100 jest dedykowany gabinetom stomatologicznym (diagram zębowy, karta periodontologiczna).

W przejętej bazie znajdują się, według komunikatów rządowych, numery PESEL, dane kontaktowe oraz informacje o wizytach, receptach i stanie zdrowia. Analiza ujawnionej próbki wskazuje na 18 814 422 unikalne numery PESEL i około 2,5 TB danych - tę dokładną liczbę podają badacze na podstawie wykradzionej próbki, nie samo MyDr. Autentyczność wycieku sprawcy potwierdzili, publikując dane znanego polityka.

Dwie rzeczy są jeszcze nierozstrzygnięte i tak je traktuj. MyDr opisuje zdarzenie jako “celowe działanie o charakterze przestępczym” i wskazuje, że dane są “najprawdopodobniej historyczne”. Śledztwo prowadzi Centralne Biuro Zwalczania Cyberprzestępczości i na ten moment nie przesądziło ani wektora, ani ostatecznej skali. Do czasu oficjalnych ustaleń nie traktuj żadnej liczby jako pewnika ponad to, co potwierdził rząd.

To może dotyczyć Twojego gabinetu

Ryzyko nie zależy od wielkości gabinetu, tylko od tego, komu powierzasz dane. Solo-praktyka stomatologiczna z jednym fotelem, korzystająca z chmurowego systemu do kartotek, jest narażona tak samo jak sieć klinik - bo dane pacjentów i tak leżą u dostawcy. To samo dotyczy klinik medycyny estetycznej, które przechowują u zewnętrznych dostawców dane o zabiegach, zdjęcia i dane kontaktowe pacjentek.

Warto tu jedno zdanie o RODO, bez wchodzenia w doradztwo prawne: to Twój gabinet jest administratorem danych pacjentów, a dostawca oprogramowania jest procesorem - i ten podział obowiązków ma znaczenie, gdy dochodzi do naruszenia danych. Szczegóły roli administratora opisujemy w przewodniku RODO i bezpieczeństwo danych; w razie wątpliwości prawnych skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych.

Pięć rzeczy, które możesz zrobić samodzielnie

Ten wyciek jest okazją, żeby przejrzeć własne ryzyko dostawcy - niezależnie od tego, czy akurat korzystasz z MyDr. Pięć rzeczy, które zrobisz bez specjalisty:

Zrób spis dostawców z dostępem do danych. Wypisz każdy system i firmę, które przechowują lub przetwarzają dane Twoich pacjentów: oprogramowanie do kartotek, rejestracja online, poczta, księgowość, laboratorium, dostawca RTG/CBCT. Do każdego dopisz, do jakich danych ma dostęp.
Włącz uwierzytelnianie wieloskładnikowe na wszystkich kontach z tym dostępem. To pojedyncza zmiana, która najczęściej zatrzymuje przejęcie konta - nawet gdy hasło wycieknie gdzie indziej.
Sprawdź, co widać z zewnątrz. Strona gabinetu, panel rejestracji online, skrzynki pocztowe, panele logowania dostawców - to jest powierzchnia, którą atakujący widzą bez żadnego włamania. Spójrz na nią oczami osoby z zewnątrz.
Ustal, kto Cię poinformuje w razie incydentu. Sprawdź w umowach z dostawcami, w jakim czasie i jakim kanałem mają zgłosić Ci naruszenie. Jeśli nie wiesz, kto powinien zadzwonić, gdy coś się stanie, dowiesz się z mediów - tak jak przy MyDr.
Zadaj dostawcy konkretne pytania o bezpieczeństwo. Gdzie fizycznie leżą dane, czy są szyfrowane, jak często testują kopie zapasowe, czy masz prawo audytu. Dobry dostawca odpowie bez wykrętów.

Czego nie zobaczysz sam - i gdzie pomagamy

Cztery z tych pięciu kroków zrobisz samodzielnie w jedno popołudnie. Problem jest z trzecim: to, co widać z zewnątrz, najtrudniej ocenić z wnętrza własnego gabinetu, bo nie wiesz, czego szukać. W skanach, które prowadzimy dla małych placówek, powracające słabe punkty to nieaktualne panele logowania wystawione do internetu, poczta bez ochrony przed podszywaniem i zapomniane usługi zdalnego dostępu - rzeczy, których właściciel zwykle nie ma jak zauważyć.

To jest dokładnie luka, którą zamyka zewnętrzna ocena podatności: przegląd placówki okiem specjalisty, pokazujący, co atakujący widzi z zewnątrz, zanim to wykorzysta. Dla gabinetów stomatologicznych opisujemy ten zakres w przewodniku dla gabinetów. Zakres i ceny usług znajdziesz w cenniku.

Aktualizacja

15 sierpnia 2026. Ministerstwo Cyfryzacji zasila danymi z incydentu rządowy serwis bezpiecznedane.gov.pl - po zalogowaniu profilem zaufanym sprawdzisz, czy Twój numer PESEL znalazł się w zgłoszonym wycieku. Rekomendowane jest zastrzeżenie numeru PESEL, a UODO ostrzega przed falą phishingu wykorzystującego wykradzione dane. Ten wpis zaktualizujemy, gdy śledztwo CBZC albo MyDr podadzą nowe, potwierdzone ustalenia.

FAQ: najczęstsze pytania o wyciek z MyDr

Czy wyciek z MyDr dotyczy mojego gabinetu?

Dotyczy Cię, jeśli Twój gabinet korzysta z systemu MyDr lub modułu dr100 do prowadzenia kartotek pacjentów. Sprawdź, jakiego oprogramowania używasz na co dzień do rejestracji i dokumentacji. Nawet jeśli używasz innego systemu, wyciek jest sygnałem, żeby przejrzeć wszystkich dostawców mających dostęp do danych pacjentów.

Co to jest dr100?

dr100 to moduł systemu MyDr dedykowany gabinetom stomatologicznym - obejmuje między innymi interaktywny diagram zębowy i kartę periodontologiczną. Jeśli Twój gabinet stomatologiczny prowadzi dokumentację w dr100, korzysta z oprogramowania dostawcy objętego sierpniowym wyciekiem.

Co zrobić, gdy dane pacjentów wyciekły u dostawcy oprogramowania?

Ustal, którego dostawcy dotyczy wyciek i jakich danych, i skontaktuj się z nim po oficjalne stanowisko. Włącz uwierzytelnianie wieloskładnikowe na kontach z dostępem do danych, poinformuj zespół o ryzyku phishingu i sprawdź, czy jako administrator danych masz obowiązki zgłoszeniowe - tu skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych.

Jak sprawdzić, czy moje dane są w wycieku?

Wejdź na rządowy serwis bezpiecznedane.gov.pl i zaloguj się profilem zaufanym - usługa pokazuje, czy Twój numer PESEL znalazł się w zgłoszonym incydencie. Ministerstwo Cyfryzacji zasila tę bazę danymi w miarę postępu weryfikacji, więc jeśli teraz nie widać wyniku, sprawdź ponownie później.

Czy to ja odpowiadam za wyciek u mojego dostawcy?

Za samo zabezpieczenie systemu odpowiada dostawca jako procesor, ale Twój gabinet pozostaje administratorem danych pacjentów i ma własne obowiązki, gdy dochodzi do naruszenia. To jest pytanie o odpowiedzialność prawną, a nie techniczną - odpowiedź w konkretnym przypadku daje radca prawny lub Inspektor Ochrony Danych, nie firma od bezpieczeństwa.

Chcesz zobaczyć, co widać z zewnątrz w Twoim gabinecie - zanim zobaczy to ktoś inny? Zamów bezpłatny PreScan: pasywny skan placówki widzianej z internetu, raport w 24 godziny, bez logowania i bez zobowiązań.

Materiał informacyjny, nie jest to porada prawna. Stan faktyczny na 15 sierpnia 2026 roku; fakty rządowe oddzielamy od twierdzeń sprawców, a sprawa jest przedmiotem śledztwa. W kwestiach obowiązków administratora danych skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych.