Wycieki danych z systemów dla gabinetów 2026: lista i co zrobić

Gdy dostawca oprogramowania, z którego korzysta Twój gabinet, ogłasza incydent, w pierwszej kolejności zapisz datę i źródło tej informacji, uprzedź pacjentów przed fałszywymi wiadomościami w imieniu gabinetu i poczekaj na oficjalne potwierdzenie od dostawcy, czy incydent dotyczy Twojej placówki. Od tego potwierdzenia co do zasady liczy się 72 godziny na zgłoszenie do UODO.

Od sierpnia 2026 roku incydenty ujawniło pięciu dostawców oprogramowania, z którego korzystają placówki medyczne i małe firmy. Poniżej znajdziesz ich listę, procedurę na pierwsze dni po incydencie, gotowe wzory komunikatów i to, co gabinet może zrobić, zanim przytrafi się kolejny. Tę stronę aktualizujemy przy każdym nowym incydencie.

Lista incydentów u dostawców oprogramowania (stan na 9 października 2026)

Liczby w tabeli pochodzą od producentów, instytucji państwowych albo mediów i zawsze podajemy, kto je podał. Twierdzenia sprawców traktuj ostrożnie, dopóki nie potwierdzi ich producent albo śledztwo.

Dlaczego wycieki są u dostawców, a nie w gabinetach

Gabinet z jednym fotelem i sieć klinik mają dziś ten sam problem: dokumentacja pacjentów leży w chmurze dostawcy. Atakującemu bardziej opłaca się włamać do jednego systemu z danymi tysięcy placówek niż do każdego gabinetu z osobna. Dlatego seria z ostatnich miesięcy dotyczy właśnie dostawców.

Dla gabinetu to oznacza dwie rzeczy. Po pierwsze, na sam wyciek u dostawcy nie masz wpływu, ale masz obowiązki jako administrator danych pacjentów i odpowiadasz za to, jak zareagujesz. Po drugie, część ryzyka zawsze zostaje po Twojej stronie: konta w systemie, hasła zespołu, poczta gabinetu. Incydent w IQ Dental pokazał, że przejęte konto administracyjne wystarczy, żeby pobierać dane placówek.

Czy moje dane wyciekły? (dla pacjentów)

Pacjenci zwykle nie wiedzą, z jakiego systemu korzysta ich dentysta. Najprościej zapytać w rejestracji gabinetu, czy korzysta z systemu, którego dotyczy incydent, i czy dostał od producenta informację, że incydent objął jego placówkę. Gabinet, którego to dotyczy, ma obowiązek ocenić ryzyko i, gdy jest wysokie, zawiadomić pacjentów.

Niezależnie od odpowiedzi warto zastrzec numer PESEL w aplikacji mObywatel albo na stronie gov.pl, nie klikać w linki do płatności w SMS-ach, których się nie spodziewasz, i przekazywać podejrzane SMS-y do CERT Polska na numer 8080. Przy części incydentów, na przykład przy MyDr, Ministerstwo Cyfryzacji udostępniło sprawdzenie numeru PESEL w serwisie bezpiecznedane.gov.pl.

Dostawca ogłosił incydent: co zrobić w gabinecie krok po kroku

W ciągu pierwszych 24 godzin:

1. Zapisz, kiedy i skąd się dowiedziałeś. Z mediów, od pacjenta, od dostawcy. Zachowuj całą korespondencję z dostawcą. To podstawa dokumentacji naruszenia, którą gabinet musi prowadzić niezależnie od tego, czy zgłasza sprawę do UODO (art. 33 ust. 5 RODO).
2. Ustal oficjalny kanał dostawcy. Sprawdzaj skrzynkę, na którą masz zarejestrowane konto, i stronę dostawcy. Nie odpowiadaj na maile o incydencie z nietypowych adresów i nie loguj się przez linki z takich maili. Po każdym głośnym incydencie pojawiają się fałszywe wiadomości “od dostawcy”.
3. Uprzedź pacjentów i recepcję. Wzory są niżej. Recepcja odbierze pierwsze telefony od pacjentów i powinna wiedzieć, co odpowiedzieć.

Gdy dostawca potwierdzi, że incydent dotyczy Twojej placówki:

4. Zgłoś naruszenie do UODO w ciągu 72 godzin. Szczegóły liczenia terminu są w następnej sekcji. Jeśli nie masz jeszcze wszystkich informacji, zgłoś to, co wiesz, i uzupełniaj zgłoszenie później.
5. Oceń, czy zawiadomić pacjentów. Gdy naruszenie może powodować wysokie ryzyko dla pacjentów, a przy PESEL i informacjach o leczeniu zwykle tak jest, gabinet zawiadamia ich bez zbędnej zwłoki (art. 34 RODO). Dostawcy często przekazują gabinetom gotowe materiały do takiego zawiadomienia.

W pierwszym tygodniu:

6. Zabezpiecz to, co jest po Twojej stronie. Włącz weryfikację dwuetapową w systemie dostawcy i na skrzynkach pocztowych, przejrzyj konta użytkowników i uprawnienia administratora, zmień hasła, które mogły być używane także gdzie indziej.
7. Zadaj dostawcy pytania na piśmie. Jakie dane Twojej placówki objął incydent, co dostawca zmienił, żeby się nie powtórzył, i kiedy ostatnio ktoś z zewnątrz testował jego aplikację. Odpowiedzi zachowaj w dokumentacji naruszenia.

Zgłoszenie do UODO: od kiedy liczyć 72 godziny

Gabinet jest administratorem danych swoich pacjentów, a dostawca oprogramowania podmiotem przetwarzającym. Administrator zgłasza naruszenie do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 ust. 1 RODO). Podmiot przetwarzający ma obowiązek bez zbędnej zwłoki poinformować administratora o naruszeniu (art. 33 ust. 2 RODO).

Według wytycznych Europejskiej Rady Ochrony Danych 9/2022, gdy naruszenie nastąpiło u podmiotu przetwarzającego, administrator co do zasady stwierdza je w momencie, w którym ten go o nim poinformował. Informacja z mediów nie uruchamia terminu automatycznie, ale gabinet powinien od razu zacząć ustalać, czy incydent go dotyczy. Bezpieczniejszą drogą, gdy sprawa jest niejasna, jest zgłoszenie od razu i uzupełnianie go etapami (art. 33 ust. 4 RODO).

Każda sytuacja jest trochę inna, a od oceny ryzyka zależy też zawiadomienie pacjentów. Decyzję podejmij z Inspektorem Ochrony Danych lub radcą prawnym.

Wzory komunikatów dla pacjentów i recepcji

Zanim skopiujesz, sprawdź, czy gabinet sam wysyła pacjentom linki do płatności, na przykład do zadatku. Jeśli tak, zamień zdanie “nigdy nie prosimy o płatność przez link” na: “Jeśli otrzymają Państwo prośbę o płatność, której się Państwo nie spodziewają, prosimy nie klikać w link, tylko zadzwonić do rejestracji.”

Na stronę, do social mediów i do poczekalni

W związku z doniesieniami o wyciekach danych z systemów medycznych przypominamy: nasz gabinet nigdy nie prosi o płatność przez link w SMS-ie ani w wiadomości e-mail i nigdy nie prosi o podanie hasła, kodu BLIK czy danych karty przez telefon. Jeśli otrzymają Państwo taką wiadomość podpisaną naszą nazwą, prosimy nie klikać w link i zadzwonić do rejestracji pod numer podany na naszej stronie. Podejrzany SMS można bezpłatnie przekazać do CERT Polska na numer 8080.

SMS do pacjentów

Wzór jest bez polskich znaków, żeby zmieścił się w jednym SMS-ie, jeśli nazwa gabinetu ma do 25 znaków.

[Gabinet]: Nie prosimy o platnosc linkiem w SMS ani o kod BLIK. Taki SMS w naszym imieniu to oszustwo, prosimy nie klikac. Tel. [numer]

Odpowiedź recepcji, gdy dostawca jeszcze nie potwierdził zakresu

Dziękujemy za pytanie. Producent systemu, z którego korzystamy, poinformował o incydencie i sprawdza, których placówek dotyczy. Gdy dostaniemy od niego potwierdzenie, poinformujemy pacjentów, których to dotyczy. Już teraz warto zastrzec numer PESEL w aplikacji mObywatel. I proszę pamiętać: nigdy nie prosimy o płatność przez link w SMS-ie ani o dane karty przez telefon.

Odpowiedź recepcji, gdy gabinet nie korzysta z systemu objętego incydentem

Dziękujemy za pytanie. Nasz gabinet nie korzysta z systemu, którego dotyczy ten incydent, więc nie objął on dokumentacji prowadzonej u nas. Jeśli leczy się Pani/Pan także w innych placówkach, warto zapytać tam. Niezależnie od tego warto zastrzec numer PESEL w aplikacji mObywatel.

Nie mów “na pewno nie wyciekły” ani “tak, wyciekły”, dopóki dostawca nie potwierdzi zakresu.

Jak przygotować gabinet na kolejny incydent u dostawcy

Kolejne incydenty są kwestią czasu, więc warto przygotować się, zanim dotkną Twojego systemu. Sześć rzeczy, które zrobisz bez specjalisty:

1. Weryfikacja dwuetapowa wszędzie, gdzie są dane pacjentów. W systemie gabinetowym, na poczcie, w rejestracji online, w księgowości. Jeśli Twój dostawca jej nie oferuje, zapytaj, kiedy ją wprowadzi.
2. Porządek w kontach. Każdy pracownik ma własny login, uprawnienia administratora ma jedna lub dwie osoby, konta byłych pracowników są usuwane w dniu odejścia.
3. Umowa powierzenia z każdym dostawcą. Sprawdź, czy masz podpisaną umowę powierzenia przetwarzania danych (art. 28 RODO) i w jakim czasie dostawca ma Cię poinformować o naruszeniu. Jeśli w umowie nie ma konkretnego terminu, poproś o niego.
4. Ochrona poczty przed podszywaniem. Ustawione rekordy SPF, DKIM i DMARC sprawiają, że oszust nie wyśle maila, który w skrzynce pacjenta wygląda, jakby przyszedł z Twojej domeny. Po wycieku to jedna z najczęstszych dróg oszustwa.
5. Pytania do dostawcy, zanim coś się stanie. Kiedy ostatnio aplikację i jej API testował ktoś z zewnątrz? Czy środowisko demonstracyjne jest oddzielone od danych prawdziwych pacjentów? Czy dostawca wymusza weryfikację dwuetapową? Jak szybko wykrywa incydenty? Certyfikat ISO 27001 dotyczy systemu zarządzania bezpieczeństwem i nie potwierdza, że w aplikacji nie ma błędów.
6. Plan na pierwszy dzień. Kto w gabinecie dzwoni do dostawcy, kto kontaktuje się z Inspektorem Ochrony Danych, kto mówi recepcji, co odpowiadać pacjentom. Jedna kartka wystarczy, ważne, żeby była spisana przed incydentem.

Te sześć kroków to wycinek większego planu. Pozostałe zabezpieczenia gabinetu, od kopii zapasowych dokumentacji po oddzielenie RTG od sieci rejestracji, opisujemy w przewodniku po cyberbezpieczeństwie gabinetu stomatologicznego.

Co możemy sprawdzić w Twoim gabinecie

Systemu dostawcy nie przetestujesz sam, ale to, co jest po stronie gabinetu, da się sprawdzić z zewnątrz: czy poczta jest chroniona przed podszywaniem, czy adresy i hasła zespołu krążą w znanych wyciekach, czy panele logowania albo usługi zdalnego dostępu są widoczne z internetu. CyberAudyt prowadzą pentesterzy, którzy pracują z gabinetami na co dzień. Wynik dostajesz jako raport po polsku z planem napraw i jego omówieniem. Ceny są stałe i jawne, znajdziesz je w cenniku.

---

Zacznij od bezpłatnego PreScanu: w 24 godziny sprawdzimy, czy ktoś może wysłać maila w imieniu Twojego gabinetu i czy adresy zespołu krążą w znanych wyciekach. Bez logowania i bez zobowiązań.

FAQ: wycieki danych u dostawców oprogramowania dla gabinetów

Które systemy dla gabinetów miały wyciek danych w 2026 roku?

Od sierpnia 2026 roku incydenty ujawnili: MyDr (system EDM z modułem dr100 dla stomatologów), Medyc (Qbusoft), Fakturownia, FELG Dent i IQ Dental. Skala jest bardzo różna: od blisko 19 mln osób w MyDr według Ministerstwa Cyfryzacji do 36 placówek w IQ Dental. Aktualną listę prowadzimy na tej stronie.

Kto odpowiada za wyciek danych u dostawcy oprogramowania?

Za zabezpieczenie systemu odpowiada dostawca jako podmiot przetwarzający. Gabinet pozostaje administratorem danych pacjentów i odpowiada za własne obowiązki: umowę powierzenia z dostawcą, reakcję na naruszenie, zgłoszenie do UODO i zawiadomienie pacjentów, gdy ryzyko jest wysokie. Ocenę konkretnej sytuacji zostaw Inspektorowi Ochrony Danych lub radcy prawnemu.

Od kiedy liczy się 72 godziny na zgłoszenie wycieku do UODO?

Według wytycznych EROD 9/2022 przy naruszeniu u podmiotu przetwarzającego termin liczy się co do zasady od chwili, gdy dostawca poinformuje gabinet o naruszeniu. Informacja z mediów nie uruchamia terminu automatycznie, ale gabinet powinien od razu zacząć to ustalać. Zgłoszenie można złożyć wcześniej i uzupełniać etapami.

Jak sprawdzić, czy moje dane wyciekły od dentysty?

Zapytaj w rejestracji, z jakiego systemu korzysta gabinet i czy dostał od producenta potwierdzenie, że incydent go dotyczy. Gabinet objęty incydentem ocenia ryzyko i, gdy jest wysokie, zawiadamia pacjentów. Przy części incydentów sprawdzenie PESEL udostępnia serwis bezpiecznedane.gov.pl. Niezależnie od tego warto zastrzec PESEL w mObywatelu.

Czy zmienić system gabinetowy po wycieku?

Nie decyduj w pierwszym tygodniu po incydencie. Zadaj dostawcy na piśmie pytania o przyczynę, zmiany po incydencie, zewnętrzne testy aplikacji i weryfikację dwuetapową, a decyzję oprzyj na odpowiedziach. Dostawca, który rzetelnie wyjaśnia incydent i wprowadza zmiany, bywa bezpieczniejszy od takiego, o którym po prostu jeszcze nic nie wiadomo.

Historia aktualizacji

9 października 2026. Pierwsza wersja strony: MyDr, Medyc, Fakturownia, FELG Dent i IQ Dental. Listę uzupełniamy przy każdym nowym incydencie.

Źródła

• Niebezpiecznik: incydent w IQ Dental
• Dentonet: cyberatak na IQ Dental
• Sekurak: incydent bezpieczeństwa w FELG Software
• Zaufana Trzecia Strona: relacja sprawcy wycieku z FELG Dent
• infodent24: cyberatak na FELG Dent
• Benchmark: cyberatak na Medyc, UODO zapowiada kontrolę w Qbusoft
• Chip: wyciek z systemu Medyc
• UODO: zapowiedź kontroli po wycieku z systemu Medyc
• Bankier: cyberatak na systemy Fakturowni
• mp.pl: wyciek danych blisko 19 mln Polaków z systemu MyDr
• Europejska Rada Ochrony Danych: wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych osobowych (PDF)
• gov.pl: zgłaszanie podejrzanych SMS-ów do CERT Polska na numer 8080

Materiał informacyjny, nie jest to porada prawna. Stan faktyczny na 9 października 2026 roku; liczby podajemy z atrybucją do producentów, instytucji i mediów. W kwestiach obowiązków administratora danych skonsultuj się z Inspektorem Ochrony Danych lub radcą prawnym.