Wyciek danych z MyDr: dlaczego przed UODO odpowiadasz Ty, a nie dostawca systemu

Brzmi ono: kto właściwie odpowiada za te dane? Intuicja podpowiada, że skoro włamano się do dostawcy, to dostawca ponosi konsekwencje. RODO mówi coś innego. I ta różnica decyduje o tym, kto w ciągu 72 godzin musi złożyć zgłoszenie do UODO, kto zawiadamia pacjentów i kto odpowiada przed nimi finansowo.

Ten artykuł nie jest kolejnym opisem incydentu. Jest odpowiedzią na pytanie, które powinien sobie zadać każdy przedsiębiorca korzystający z zewnętrznego systemu — a korzysta z niego dziś praktycznie każdy.

Co wiadomo na pewno, a co jest powtarzanym domysłem

Rzetelność ma tu znaczenie, bo w pierwszych dniach po incydencie liczby żyją własnym życiem. Stan faktyczny wygląda następująco:

Liczba 19 milionów pochodzi z przekazu medialnego i wypowiedzi politycznych — nie została oficjalnie potwierdzona ani przez UODO, ani przez prokuraturę. Sam urząd w komunikacie z 13 sierpnia napisał wprost, że skala naruszenia nie jest jeszcze w pełni znana. Według doniesień dotknięte może być około 12 tysięcy podmiotów leczniczych. Prokuratura wskazała na dostęp do imion i nazwisk, numerów PESEL, telefonów, adresów e-mail oraz informacji o wizytach, receptach i stanie zdrowia — z zastrzeżeniem, że dane mają najprawdopodobniej charakter historyczny.

Jeżeli prowadzisz placówkę medyczną, to rozróżnienie jest istotne: nie zgłaszasz do UODO tego, co przeczytałeś w portalu. Zgłaszasz to, co ustaliłeś w odniesieniu do swoich pacjentów.

Sedno sprawy: administrator to Ty, nie dostawca

RODO rozróżnia dwie role. Administrator decyduje o celach i sposobach przetwarzania danych — w tym przypadku jest nim placówka medyczna, która prowadzi dokumentację swoich pacjentów. Podmiot przetwarzający przetwarza dane na polecenie administratora — tę rolę pełni dostawca systemu.

Konsekwencja jest jednoznaczna i dla wielu firm nieprzyjemna:

• Zgłoszenie naruszenia do UODO w ciągu 72 godzin od stwierdzenia naruszenia składa administrator, czyli placówka. Nie dostawca.
• Zawiadomienie osób, których dane dotyczą, gdy ryzyko jest wysokie, również obciąża administratora.
• Roszczenia pacjentów kierowane są przeciwko administratorowi. To, że winę ponosi podwykonawca, jest kwestią rozliczeń między administratorem a dostawcą — nie tarczą wobec pacjenta.

Innymi słowy: outsourcing systemu nie jest outsourcingiem odpowiedzialności. Można zlecić przetwarzanie danych, nie można zlecić bycia administratorem. To zdanie warto powiesić w gabinecie zarządu każdej firmy, która trzyma dane klientów w cudzym systemie.

Co powinna zrobić placówka, która korzystała z MyDr

1. Ustalić na piśmie u dostawcy, jakiego zakresu danych dotyczy incydent w odniesieniu do Twojej placówki i z jakiego okresu.
2. Przeprowadzić własną analizę ryzyka dla pacjentów — to Twój dokument, nie dostawcy.
3. Ocenić obowiązek zgłoszenia do UODO i dochować terminu 72 godzin od stwierdzenia naruszenia; jeśli termin został przekroczony, zgłoszenie i tak należy złożyć wraz z wyjaśnieniem opóźnienia.
4. Ocenić obowiązek zawiadomienia pacjentów. Przy danych o stanie zdrowia i numerach PESEL próg wysokiego ryzyka jest niski.
5. Przygotować komunikat dla pacjentów i obsadzić kanał, którym będą zadawać pytania — telefon w rejestracji nie wytrzyma tego sam.
6. Zabezpieczyć dowody i korespondencję z dostawcą; przy ewentualnych roszczeniach regresowych będzie to jedyny materiał, jakim dysponujesz.
7. Sprawdzić własne konta w systemie: uprawnienia, aktywne sesje, konta byłych pracowników, dostęp serwisowy dostawcy.

Jeżeli w tym momencie nie wiesz, kto w Twojej organizacji odpowiada za punkty 2 i 3 — to jest właśnie luka, którą incydent obnażył. Zakres i formę takiej analizy opisujemy w ramach wsparcia RODO od strony IT oraz konsultingu i audytów IT.

To nie jest historia o ochronie zdrowia

Łatwo potraktować sprawę MyDr jako problem branży medycznej. To błąd. Zamień w powyższym opisie „przychodnia” na dowolną inną firmę, a „system EDM” na to, z czego faktycznie korzystasz:

• system ERP lub handlowo-magazynowy utrzymywany przez producenta,
• CRM w modelu SaaS z bazą wszystkich klientów i historią rozmów,
• biuro rachunkowe z pełnymi danymi kadrowo-płacowymi Twoich pracowników,
• hosting sklepu internetowego wraz z bazą zamówień i adresów,
• zewnętrzna kancelaria, firma kurierska, dostawca systemu rekrutacyjnego.

W każdym z tych przypadków administratorem jesteś Ty. Włamanie u dostawcy jest Twoim naruszeniem ochrony danych, z Twoim terminem 72 godzin i Twoją odpowiedzialnością wobec klientów. Sprawa MyDr jest po prostu największą polską ilustracją tego mechanizmu — po cyberatakach, które opisywaliśmy wcześniej przy okazji Herbapolu Lublin i Jaguar Land Rover.

Warto też pamiętać o kierunku, w którym idą przepisy. Regulacje wdrażające dyrektywę NIS2 kładą wyraźny nacisk na bezpieczeństwo łańcucha dostaw — czyli na to, żeby firma odpowiadała nie tylko za własną infrastrukturę, ale też za weryfikację podmiotów, którym powierza dane i procesy. Kto dziś nie potrafi wymienić swoich krytycznych dostawców IT, ten za chwilę będzie musiał się z tego tłumaczyć na piśmie. Więcej w naszym przewodniku: Dyrektywa NIS2 w Polsce — co musi wiedzieć każdy przedsiębiorca.

Dwanaście pytań, które trzeba zadać dostawcy — najlepiej przed podpisaniem umowy

To jest ta część artykułu, którą warto wydrukować. Kolejność nie jest przypadkowa: pytania od 1 do 4 rozstrzygają, czy w ogóle da się z takim dostawcą rozmawiać.

1. Czy mamy podpisaną umowę powierzenia przetwarzania danych i czy jej treść odpowiada temu, co faktycznie robi system?
2. W jakim czasie dostawca zobowiązuje się poinformować nas o naruszeniu? Termin musi realnie mieścić się w naszych 72 godzinach — „niezwłocznie” nie jest terminem.
3. Gdzie fizycznie znajdują się dane i kto ma do nich dostęp, łącznie z podwykonawcami dostawcy?
4. Czy mamy prawo audytu i czy ktokolwiek z tego prawa kiedykolwiek skorzystał?
5. Jak wyglądają kopie zapasowe: częstotliwość, retencja, czy są odseparowane od środowiska produkcyjnego, kiedy ostatnio testowano odtworzenie?
6. Czy dostęp administracyjny do systemu jest chroniony uwierzytelnianiem wieloskładnikowym?
7. Czy dostawca prowadzi logi dostępu do danych i jak długo je przechowuje?
8. Czy przeprowadzane są testy bezpieczeństwa i kiedy odbył się ostatni?
9. Czy dostawca posiada certyfikację systemu zarządzania bezpieczeństwem informacji?
10. Jak wygląda plan ciągłości działania, jeśli system będzie niedostępny przez tydzień?
11. W jakim formacie i w jakim czasie odzyskamy nasze dane przy zakończeniu współpracy?
12. Czy dostawca ma ubezpieczenie od odpowiedzialności cywilnej obejmujące incydenty cybernetyczne?

Brak odpowiedzi na pytanie 2 i 5 to w praktyce sygnał, że w razie incydentu zostaniesz sam z terminem, którego nie da się dotrzymać. Weryfikację dostawców i stanu własnej infrastruktury realizujemy w ramach audytu bezpieczeństwa, a bieżącą kontrolę zapewnia monitoring IT.

Czego ten incydent nie da się naprawić technologią

Warto powiedzieć to wprost, bo firmy IT chętnie sprzedają w takich momentach kolejne pudełko. Żaden firewall po stronie przychodni nie zapobiegłby włamaniu do serwerowni dostawcy. Ryzyko dostawcy ogranicza się inaczej: umową, wyborem dostawcy, ograniczeniem zakresu powierzanych danych i przygotowaną procedurą na wypadek incydentu. Technologia domyka to od strony Twojej sieci — UTM, kontrola dostępu, kopie zapasowe poza systemem dostawcy — ale nie zastąpi decyzji organizacyjnych.

Najtańszym zabezpieczeniem, jakie możesz wdrożyć w tym tygodniu, jest lista: jacy dostawcy przetwarzają dane naszych klientów, jakie dokładnie dane, na podstawie jakiej umowy i kto u nas odpowiada za kontakt z nimi w razie incydentu. Większość firm nie ma takiej listy. Jej przygotowanie zajmuje jedno popołudnie.

A jeśli jesteś pacjentem, nie przedsiębiorcą

Instytucje publiczne rekomendują w tej sytuacji kilka prostych kroków. Zastrzeż numer PESEL — w aplikacji mObywatel lub w urzędzie gminy; to skutecznie blokuje zaciągnięcie kredytu na Twoje dane. Zachowaj wzmożoną ostrożność wobec wiadomości i telefonów dotyczących wizyt, recept czy „weryfikacji danych medycznych” — po każdym dużym wycieku następuje fala prób wyłudzeń wykorzystujących prawdziwe szczegóły. Status swoich danych możesz sprawdzić w serwisie bezpiecznedane.gov.pl, a komunikaty urzędu publikowane są na stronie UODO.

FAQ

Kto zgłasza naruszenie do UODO, gdy włamano się do dostawcy systemu?

Administrator danych, czyli firma lub placówka korzystająca z systemu. Dostawca jako podmiot przetwarzający ma obowiązek niezwłocznie poinformować administratora, ale to administrator składa zgłoszenie do UODO w ciągu 72 godzin od stwierdzenia naruszenia.

Czy umowa z dostawcą zwalnia moją firmę z odpowiedzialności za wyciek?

Nie. Umowa powierzenia reguluje wzajemne rozliczenia i może dawać podstawę do roszczeń wobec dostawcy, ale wobec osób, których dane dotyczą, odpowiada administrator. Powierzenie przetwarzania nie przenosi roli administratora.

Minęło więcej niż 72 godziny. Czy zgłaszać?

Tak. Zgłoszenie po terminie należy złożyć wraz z wyjaśnieniem przyczyn opóźnienia. Brak zgłoszenia jest oceniany surowiej niż zgłoszenie spóźnione.

Skąd wiadomo, czy dane mojej firmy lub moich klientów faktycznie wyciekły?

Ustala to administrator na podstawie informacji od dostawcy, własnych logów i zakresu danych przetwarzanych w systemie. Doniesienia medialne nie są podstawą do oceny — ani do jej zaniechania.

Czy 19 milionów osób to potwierdzona liczba?

Nie. Liczba pojawiła się w przekazie medialnym i wypowiedziach politycznych, natomiast UODO w komunikacie z 13 sierpnia 2026 roku wskazał, że skala naruszenia nie jest jeszcze w pełni znana. Prowadzona jest kontrola w spółce oraz śledztwo prokuratorskie.

Jak często weryfikować dostawców IT?

W praktyce sprawdza się przegląd raz w roku dla wszystkich dostawców przetwarzających dane oraz każdorazowo przy zmianie zakresu usługi, zmianie podwykonawcy po stronie dostawcy lub po każdym zgłoszonym incydencie.

Sprawdź, na kogo naprawdę wystawiasz swoje dane

Jeżeli nie masz pewności, którzy dostawcy przetwarzają dane Twoich klientów i co się stanie, gdy któryś z nich padnie ofiarą ataku — pomożemy to uporządkować. Zaczynamy od inwentaryzacji dostawców i przeglądu umów powierzenia, a kończymy na procedurze reagowania, którą da się wykonać w 72 godziny. Umów bezpłatną konsultację.

Materiał ma charakter informacyjny i nie stanowi porady prawnej. W sprawach dotyczących konkretnego naruszenia warto skonsultować się z inspektorem ochrony danych lub prawnikiem.

Przeczytaj także

• Dyrektywa NIS2 w Polsce – co musi wiedzieć każdy przedsiębiorca
• Bezpieczeństwo IT małych firm – najczęstsze zagrożenia
• Obsługa informatyczna dla biur rachunkowych – bezpieczeństwo danych klientów
• Audyt IT przed rozpoczęciem outsourcingu – kiedy warto?

Autor artykułu

Michał Szapiel

W zalewie informacji czuję się jak ryba w wodzie. Uwielbiam wyszukiwać technologiczne perełki i nietuzinkowe rozwiązania, które realnie usprawniają biznes. Praca w Agile i SCRUM to dla mnie standard, ale to pasja do pisania o technologii, grafice i programowaniu napędza mnie do działania. Codziennie czytam, testuję i wdrażam nowinki, którymi dzielę się tutaj z Tobą.

Opublikowano: 24 sierpnia 2026 · Zaktualizowano: 10 września 2026