KOMUNIKAT BEZPIECZEŃSTWA

Dotyczy: Incydentu naruszenia ochrony danych w centralnej infrastrukturze dostawcy oprogramowania medycznego MyDr Sp. z o.o.

Data publikacji: 7 września 2026 r. Placówka / Administrator: Indywidualna Specjalistyczna Praktyka Lekarska Piotr Sitek, ul. Górnych Wałów 22, 44-100 Gliwice

Niniejszy komunikat publikowany jest w trybie art. 34 ust. 1 oraz ust. 3 lit. c Ogólnego Rozporządzenia o Ochronie Danych (RODO) w celu poinformowania pacjentów o incydencie bezpieczeństwa, do którego doszło na serwerach zewnętrznego dostawcy Elektronicznej Dokumentacji Medycznej – spółki MyDr Sp. z o.o. z siedzibą w Warszawie.

1. Bezpieczeństwo gabinetu i sprzętu lokalnego • Systemy komputerowe, urządzenia oraz sieć lokalna w gabinecie lekarskim nie uległy awarii, naruszeniu ani atakowi. • Incydent miał miejsce wyłącznie w zewnętrznej chmurze obliczeniowej dostawcy oprogramowania (MyDr Sp. z o.o.) i dotyczy podmiotów leczniczych w całym kraju korzystających z tego systemu. • Zgodnie z oficjalnymi analizami śledczymi (forensic) przeprowadzonymi przez ekspertów na zlecenie MyDr, brak jest jakichkolwiek dowodów na to, że pobrana przez osoby nieuprawnione baza została upubliczniona w sieci Internet.

2. Zakres incydentu u dostawcy Zgodnie z informacjami przekazanymi przez MyDr Sp. z o.o., incydentem objęte zostały dane wprowadzone do centralnego systemu przed 12 kwietnia 2024 r. (oraz dane dotyczące niektórych anulowanych skierowań wystawionych po tej dacie).

W przypadku tutejszej praktyki system był wykorzystywany głównie do czynności technicznych (rejestracja, obsługa e-recept oraz skierowań). Zdarzenie mogło objąć dane identyfikacyjne (imię, nazwisko, PESEL, dane teleadresowe) oraz informacje medyczne zwiazanych z konsultacją oraz informacji o wystawionych skierowaniach czy receptach

1. Rekomendowane działania ochronne (Zastrzeżenie PESEL) Niezależnie od faktu, że skopiowane z serwerów MyDr dane nie zostały upublicznione, w celach prewencyjnych zaleca się bezpłatne zastrzeżenie numeru PESEL: • Zastrzeżenia można dokonać natychmiastowo i bezpłatnie w aplikacji mObywatel lub osobiście w dowolnym Urzędzie Gminy/Miasta. • Zgodnie z przepisami prawa instytucje finansowe (banki, firmy pożyczkowe) mają bezwzględny obowiązek weryfikacji tego rejestru przed udzieleniem kredytu czy pożyczki. • Ważne: Zastrzeżenie numeru PESEL w żaden sposób nie blokuje rejestracji do lekarza, realizacji recept w aptece, wykonywania badań ani załatwiania spraw urzędowych.

Zaleca się również standardową czujność wobec ewentualnych nietypowych wiadomości SMS, połączeń telefonicznych czy ofert handlowych.

1. Działania naprawcze podjęte przez dostawcę IT Firma MyDr Sp. z o.o. poinformowała o odizolowaniu naruszonego środowiska, wygaszeniu sesji, zmianie poświadczeń dostępowych, postawieniu nowej infrastruktury serwerowej oraz powiadomieniu Centralnego Biura Zwalczania Cyberprzestępczości (CBZC), NASK, CSIRT Centrum e-Zdrowia i Prezesa Urzędu Ochrony Danych Osobowych. Gabinet dochował formalności przewidzianych przepisami RODO.

2. Oficjalny punkt informacyjny i kontakt Wszelkich szczegółowych wyjaśnień technicznych dotyczących przebiegu ataku na serwerownię, wdrożonych zabezpieczeń oraz statusu bezpieczeństwa danych udziela bezpośrednio podmiot odpowiedzialny za infrastrukturę – MyDr Sp. z o.o.: • Dedykowany serwis informacyjny dla pacjentów: https://pacjent.mydr.pl • Dedykowany adres e-mail: dane@mydr.pl

Wnioski formalne dotyczące danych przetwarzanych w tutejszej praktyce przyjmowane są wyłącznie w formie pisemnej drogą elektroniczną na adres e-mail gabinetu z dopiskiem Wniosek RODO - pulmonolog@piotrsitek.pl. Ze względów bezpieczeństwa oraz z uwagi na tajemnicę medyczną informacje dotyczące danych osobowych nie są udzielane telefonicznie (wymagana jest uprzednia weryfikacja tożsamości).