Informacja dotycząca incydentu bezpieczeństwa w systemie MyDr

Działając jako Administrator Danych Osobowych Pacjentów, Indywidualna Praktyka Lekarska Ewa Koźmińska-Badr (Pomarańczowe Pogotowie), na podstawie art. 34 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), informuję o wystąpieniu incydentu bezpieczeństwa skutkującego naruszeniem poufności danych osobowych.

Przekazujemy niniejszą informację, ponieważ charakter zdarzenia może potencjalnie powodować ryzyko naruszenia Państwa praw lub wolności.

Co się stało?

Indywidualna Praktyka Lekarska Ewa Koźmińska-Badr (Pomarańczowe Pogotowie) korzysta z usług firmy MyDr sp. z o.o., która jako podmiot przetwarzający świadczy na rzecz naszej placówki usługi informatyczne związane z obsługą danych pacjentów i prowadzeniem dokumentacji medycznej.

Firma MyDr poinformowała, że w jej środowisku informatycznym doszło do incydentu bezpieczeństwa polegającego na nieuprawnionym dostępie osób trzecich do danych przechowywanych w systemach dostawcy. W dniu 14 września 2026 r. otrzymaliśmy oficjalne potwierdzenie, że incydent objął również dane pacjentów naszej praktyki lekarskiej.

Ważne: Informacja ta nie oznacza, że Państwa dane zostały wykorzystane czy upublicznione. Zespoły techniczne MyDr oraz zewnętrzni eksperci z zakresu cyberbezpieczeństwa stale monitorują sytuację i nie wykryli, aby jakiekolwiek dane objęte incydentem zostały upublicznione w sieci. Potwierdzono również, że incydent został trwale opanowany i nie ma dowodów na dalszy nieuprawniony dostęp do systemów dostawcy.

Kogo i jakich danych dotyczy incydent?

Według ustaleń śledczych incydent dotyczy danych przetwarzanych w systemie przed 12 kwietnia 2024 r. 

Dane, których dotyczy naruszenie, mogą obejmować, w odniesieniu do poszczególnych kategorii osób: 

Pacjenci: imię, nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia oraz dane dotyczące ubezpieczenia społecznego (jeśli zostały podane), informacje dotyczące pracodawcy danej osoby oraz inne dane umożliwiające identyfikację.

Przedstawiciele prawni pacjenta lub osoby upoważnione do wglądu w dokumentację medyczną pacjenta: imię, nazwisko, adres zamieszkania, dane kontaktowe oraz numer PESEL, a także informacja o stopniu pokrewieństwa lub rodzaju relacji z pacjentem – w zależności od zakresu danych gromadzonych i przetwarzanych przez Państwa klinikę w systemie.

Personel: imię, nazwisko oraz (a jeżeli zostały podane) dane dotyczące wykonywanej pracy (harmonogram pracy i pełniona funkcja) – w zależności od zakresu danych przetwarzanych przez Państwa placówkę w systemie w przypadku pracowników służby zdrowia dodatkowo: numery PESEL i numer prawa wykonywania zawodu (PWZ), specjalizacja lub wykonywany zawód;

Jakie mogą być potencjalne konsekwencje naruszenia?

Mimo że monitoring nie wykazał dotychczas nieuprawnionego wykorzystania danych, potencjalne ryzyka w razie wejścia w ich posiadanie przez osoby nieuprawnione obejmują:

W przypadku numeru PESEL i danych identyfikacyjnych: próbę wyłudzenia pożyczki/kredytu, zawarcia umów bez wiedzy pacjenta (kradzież tożsamości) lub próbę uzyskania dostępu do danych w placówkach medycznych weryfikujących tożsamość wyłącznie numerem PESEL.

W przypadku danych o zdrowiu: utratę poufności informacji objętych tajemnicą lekarską, próby manipulacji lub oszustwa (np. podszywanie się pod personel medyczny i oferowanie odpłatnych, alternatywnych metod leczenia) czy naruszenie dobrego imienia.

Zalecane działania i środki ostrożności dla Pacjentów

W celu zminimalizowania ryzyka negatywnych skutków rekomendujemy podjęcie następujących kroków:

1. Zastrzeżenie numeru PESEL: zalecamy bezpłatne zastrzeżenie numeru PESEL w aplikacji mObywatel lub osobiście w urzędzie gminy/miasta. Instytucje finansowe mają prawny obowiązek weryfikacji tego rejestru przed udzieleniem kredytu czy pożyczki, co skutecznie chroni przed wyłudzeniem zobowiązań. Zastrzeżenie PESEL nie blokuje rejestracji do lekarza, realizacji recept ani załatwiania spraw urzędowych).

2. Czujność wobec kontaktów telefonicznych i e-mail: Zalecamy szczególną ostrożność w przypadku prób kontaktu od nieznanych osób oferujących usługi medyczne, paramedyczne czy leki.

3. Powiadomienie innych placówek: Można poinformować inne placówki medyczne, z których usług Państwo korzystają, o ryzyku próby nieuprawnionej weryfikacji tożsamości samym numerem PESEL.

4. Zgłoszenie organom ścigania: W przypadku jakichkolwiek podejrzeń nieuprawnionego wykorzystania danych osobowych sprawę można zgłosić na Policję

Podjęte działania zaradcze i zabezpieczające

Zarówno dostawca oprogramowania MyDr, jak i nasza praktyka lekarska podjęły natychmiastowe działania

Działania MyDr sp. z o.o.: Niezwłoczne zabezpieczenie i opanowanie incydentu, zaangażowanie ekspertów z zakresu cyberbezpieczeństwa (analiza śledcza), zgłoszenie sprawy do Centralnego Biura Zwalczania Cyberprzestępczości (CBZC), CSIRT NASK, CSIRT Centrum e-Zdrowia, Ministerstwa Cyfryzacji oraz stały monitoring internetu i forów pod kątem ewentualnych wycieków.

Działania Indywidualnej Praktyki Lekarskiej Ewy Koźmińskiej-Badr:  Dokonaliśmy analizy ryzyka dla praw i wolności pacjentów, zgłosiliśmy naruszenie do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), zweryfikowaliśmy i podnieśliśmy zabezpieczenia własnego środowiska IT oraz publikujemy niniejszy komunikat w celu zapewnienia Państwu pełnej informacji i transparentności.

Kontakt i dalsze informacje

W razie pytań lub wątpliwości pozostajemy do Państwa dyspozycji:

Indywidualna Praktyka Lekarska Ewa Koźmińska-Badr (Pomarańczowe Pogotowie): Osoba do kontaktu / IOD:

Ewa Koźmińska-Badr

Adres e-mail: pomaranczowepogotowie@gmail.com

Numer telefonu: 0-505290060

Dostawca systemu (MyDr sp. z o.o.):  E-mail kontaktowy w sprawie incydentu: `dane@mydr.pl`

Najmocniej przepraszamy za zaistniałą sytuację. Bezpieczeństwo oraz poufność danych medycznych naszych Pacjentów pozostają dla nas najwyższym priorytetem.

z poważaniem

lek. Ewa Koźmińska-Badr

Indywidualna Praktyka Lekarska (Pomarańczowe Pogotowie)