Polska integruje dane z wycieku MyDr z rządowym portalem dla 19 mln obywateli

Uruchomienie rządowego portalu weryfikacyjnego

29 sierpnia 2026 r. polski rząd zaktualizował portal weryfikacyjny bezpiecznedane.gov.pl, dodając informacje o wycieku danych z firmy informatycznej MyDr. Incydent objął dane osobowe 19 mln polskich obywateli korzystających z 12 tys. publicznych i prywatnych placówek medycznych. Duże zainteresowanie użytkowników zmusiło system do wprowadzenia wirtualnej kolejki w celu zarządzania obciążeniem serwerów. Dostęp do platformy jest bezpłatny, a uwierzytelnienie odbywa się przez aplikację mObywatel, bankowość elektroniczną, dowód osobisty lub profil zaufany.

System pozwala sprawdzić, czy numer PESEL, numer telefonu lub adres e-mail danej osoby pojawiły się w przejętych bazach. Polskie służby bezpieczeństwa potwierdziły, że mimo włamania do systemów MyDr, nie znaleziono dowodów na publiczne udostępnienie skradzionych plików w sieci.

Zakres ujawnionych informacji

Portal rządowy zapewnia jedynie potwierdzenie, czy identyfikatory osobowe danej osoby były częścią wycieku. Nie przechowuje dokumentacji medycznej, historii recept ani notatek z wizyt. Pacjenci poszukujący szczegółów dotyczących konkretnych danych medycznych muszą kontaktować się bezpośrednio ze swoimi przychodniami. Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski wyjaśnił ograniczenia prawne dotyczące państwowego narzędzia weryfikacji.

Przepisy ustawowe jasno określają, jakie kategorie danych mogą być przetwarzane w portalu Bezpieczne Dane. Państwo, a konkretnie CSIRT NASK, który zarządza tym systemem, nie może żądać od administratorów ani podmiotów przetwarzających żadnych informacji dotyczących historii leczenia, procedur medycznych czy recept pacjentów. Będą tam tylko zwykłe, podstawowe dane, które pozwalają obywatelom na identyfikację i ustalenie, czy wyciek ich dotyczy: nazwisko, data urodzenia, adres zamieszkania, płeć, miejsce urodzenia, numer telefonu i numer PESEL. To minimalny zestaw informacji, który umożliwia weryfikację na zasadzie tak lub nie: twoje dane wyciekły lub nie wyciekły.

Chronologia i dostęp do systemu

Incydent bezpieczeństwa rozpoczął się na początku sierpnia 2026 r., gdy nieuprawnione osoby włamały się do systemu elektronicznej dokumentacji medycznej obsługiwanego przez MyDr. Sprawcy próbowali skontaktować się z firmą 5 sierpnia, lecz po braku odpowiedzi udostępnili dane portalowi Zaufana Trzecia Strona 10 sierpnia. Ministerstwo Cyfryzacji publicznie potwierdziło wyciek 12 sierpnia, zalecając obywatelom podjęcie kroków zapobiegawczych, podczas gdy zespoły techniczne i policja przygotowywały rejestr weryfikacyjny.

Śledztwa i zalecenia dotyczące bezpieczeństwa

Centralne Biuro Zwalczania Cyberprzestępczości prowadzi śledztwo pod nadzorem Prokuratury Okręgowej w Warszawie. Postępowanie dotyczy nieuprawnionego dostępu do systemu informatycznego oraz bezprawnego przekazania danych, za co grozi kara do trzech lat pozbawienia wolności. Urząd Ochrony Danych Osobowych rozpoczął kontrolę administracyjną w MyDr w celu oceny środków technicznych, kontroli organizacyjnych i procedur analizy ryzyka.

Wiceminister cyfryzacji Dariusz Standerski zapowiedział reformy legislacyjne mające zwiększyć odpowiedzialność ustawową organizacji przetwarzających dane medyczne. Wiceminister Michał Gramatyka bronił harmonogramu uruchomienia portalu przed krytyką dotyczącą opóźnień, wskazując na konieczność koordynacji z organami ścigania. Ministerstwo Zdrowia oraz agencje cyberbezpieczeństwa zalecają obywatelom zastrzeżenie numeru PESEL w aplikacji mObywatel lub na stronie gov.pl, aby zapobiec nieautoryzowanym zobowiązaniom finansowym, aktywację uwierzytelniania wieloskładnikowego oraz monitorowanie podejrzanych telefonów i prób phishingu.