Wyciek danych w systemie zewnętrznym, a odpowiedzialność placówki medycznej. Jakie są obowiązki Administratora Danych (ADO) na przykładzie incydentu MyDr?

W sierpniu 2026 roku polskim rynkiem medycznym i IT wstrząsnęła informacja o gigantycznym wycieku danych z zewnętrznego systemu dostawcy Elektronicznej Dokumentacji Medycznej (EDM) – spółki MyDr. Incydent objął ogromną bazę danych pacjentów, w tym szczegółowe informacje dotyczące stanu zdrowia, historii leczenia, e-recept czy numerów PESEL.

Dla wielu placówek medycznych, gabinetów lekarskich oraz przychodni korzystających z rozwiązań zewnętrznych dostawców był to wyrazisty sygnał ostrzegawczy. Wielu przedsiębiorców i podmiotów medycznych wciąż żyje w błędnym przekonaniu, że w przypadku incydentu u dostawcy oprogramowania cała odpowiedzialność spoczywa wyłącznie na firmie IT.

To groźny mit. Z punktu widzenia RODO to Ty jako Administrator Danych Osobowych (ADO) odpowiadasz przed swoimi pacjentami oraz Prezesem Urzędu Ochrony Danych Osobowych (UODO).

Co dokładnie musisz zrobić, gdy u Twojego dostawcy oprogramowania dochodzi do wycieku? Jakie obowiązki nakłada na Ciebie prawo i jak uniknąć dotkliwych kar ze strony UODO?

1. Powierzenie przetwarzania danych to nie przekazanie odpowiedzialności

   Zgodnie z art. 28 RODO, korzystając z zewnętrznych systemów rejestracji pacjentów, EDM czy oprogramowania do wystawiania e-recept, placówka medyczna powierza przetwarzanie danych osobowych podmiotowi przetwarzającemu (tzw. procesorowi).

   Chociaż dostawca systemu odpowiada za stan techniczny swojej infrastruktury, statusem Administratora Danych Osobowych (ADO) nadal legitymuje się placówka medyczna lub lekarz prowadzący indywidualną praktykę.

   W praktyce oznacza to, że w przypadku naruszenia ochrony danych osobowych u dostawcy, obowiązki sprawozdawcze oraz informacyjne wobec pacjentów obciążają bezpośrednio ADO.

2. Krok po kroku: Obowiązki Administratora po powzięciu informacji o wycieku

   Gdy otrzymujesz informację o możliwym naruszeniu u swojego dostawcy oprogramowania (np. w komunikacie prasowym, powiadomieniu od dostawcy czy od samego UODO), musisz podjąć natychmiastowe działania formalno-prawne.

   Krok 1: Weryfikacja zakresu wycieku i ocena ryzyka

   Nie wystarczy biernie czekać na rozwój wypadków. Jako ADO musisz niezwłocznie dokonać i udokumentować wewnętrzną analizę ryzyka:

   • Czy dane Twoich pacjentów znajdowały się w bazie, której dotyczy wyciek?
   • Jaki był zakres wycieku? Czy dotyczył danych zwykłych (imię, nazwisko, PESEL), czy danych szczególnej kategorii – danych o zdrowiu (historia chorób, przebyte zabiegi, przyjmowane leki)?
   • Jaki jest poziom ryzyka dla praw i wolności osób fizycznych? Przetwarzanie danych medycznych niemal zawsze wiąże się z wysokim ryzykiem dla pacjentów (możliwość kradzieży tożsamości, wyłudzeń finansowych, szantażu czy dyskryminacji).

   Krok 2: Zgłoszenie naruszenia do Prezesa UODO (72 godziny)

   Jeśli z analizy wynika, że doszło do naruszenia ochrony danych osobowych, masz obowiązek zgłosić je do Prezesa UODO. Wyjątkiem jest jedynie sytuacja, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

   • Czas: Masz na to maksymalnie 72 godziny od momentu stwierdzenia naruszenia (tj. od chwili uzyskania wiarygodnej informacji o wycieku u procesora).
   • Zgłoszenie wstępne: Jeśli nie dysponujesz jeszcze pełnymi informacjami od dostawcy, nie czekaj! RODO dopuszcza złożenie tzw. zgłoszenia wstępnego, które uzupełnisz sukcesywnie w miarę napływu szczegółowych ustaleń.

   Krok 3: Zawiadomienie pacjentów (osób, których dane dotyczą)

   Jeśli naruszenie stwarza wysokie ryzyko naruszenia praw lub wolności pacjentów – co w przypadku wycieku danych medycznych jest regułą – masz prawny obowiązek zawiadomić ich bez zbędnej zwłoki.

   Zawiadomienie skierowane do pacjenta musi być napisane prostym, zrozumiałym językiem i zawierać:

   1. Opis charakteru naruszenia.
   2. Dane kontaktowe Twojego Inspektora Ochrony Danych (IOD) lub innego punktu kontaktowego.
   3. Opis możliwych konsekwencji wycieku (np. ryzyko podszycia się pod pacjenta, wyłudzenie kredytu).
   4. Środki ostrożności, jakie pacjent powinien podjąć (np. zastrzeżenie numeru PESEL, zmiana haseł, zachowanie ostrożności przed wiadomościami phishingowymi).
   5. Opis działań podjętych przez Ciebie w celu zminimalizowania negatywnych skutków incydentu.

   Wskazówka: Forma zawiadomienia zależy od skali. Może to być e-mail, SMS, pismo polecone, a w sytuacjach, gdy indywidualny kontakt wymagałby niewspółmiernie dużego wysiłku – oficjalny, publiczny komunikat na stronie internetowej placówki oraz w siedzibie (np. na tablicy ogłoszeń w rejestracji).

   Krok 4: Wpis do wewnętrznego Rejestru Naruszeń

   Nawet jeśli uznasz, że dany incydent nie wymagał zgłoszenia do UODO, musisz wpisać każde zdarzenie do wewnętrznej ewidencji (Rejestru Naruszeń Ochrony Danych) wraz z dokładnym uzasadnieniem swojej decyzji. Brak udokumentowania analizy to prosta droga do kary pieniężnej podczas ewentualnej kontroli.

3. Jakie konsekwencje grożą za ignorowanie obowiązków?

   Samo padnięcie ofiarą ataku hakerskiego przez podmiot zewnętrzny nie zawsze oznacza karę dla Administratora – kluczowe jest to, czy prawidłowo zarządzał ryzykiem oraz czy dopełnił obowiązków po wykryciu incydentu.

   Zaniechanie zgłoszenia wycieku do UODO lub nie poinformowanie pacjentów grozi:

   • Administracyjnymi karami pieniężnymi nakładanymi przez UODO (sięgającymi do 10 mln EUR lub 2 % rocznego obrotu).
   • Roszczeniami cywilnymi pacjentów o odszkodowanie lub zadośćuczynienie za szkody majątkowe i niemajątkowe (krzywdę psychiczną wynikającą ze stresu po wycieku danych wrażliwych).
   • Utratą zaufania i kryzysem wizerunkowym, który dla placówki medycznej bywa groźniejszy niż sama kara finansowa.

Jak zabezpieczyć swoją placówkę na przyszłość? Wnioski z wycieku MyDr

Wyciek danych z systemów takich jak MyDr dobitnie pokazuje, jak ważna jest prewencja prawna:

• Przejrzyj umowy powierzenia przetwarzania danych (DPA): Upewnij się, że umowy z dostawcami oprogramowania gwarantują natychmiastowe informowanie o naruszeniach oraz precyzują zakres ich odpowiedzialności.
• Wdrożenie procedury reagowania na incydenty: Twoja placówka powinna posiadać jasny plan działania – Kto analizuje ryzyko? Kto redaguje pismo do UODO? Kto wysyła komunikaty do pacjentów?
• Audyt dostawców oprogramowania: Weryfikuj, czy dostawca posiada odpowiednie certyfikaty bezpieczeństwa i poddaje się regularnym audytom.

Potrzebujesz pomocy w analizie ryzyka lub przygotowaniu zgłoszenia do UODO?

Zastosowanie przepisów RODO w obliczu incydentu bezpieczeństwa wymaga działania pod presją czasu i doskonałej znajomości praktyki Urzędu Ochrony Danych Osobowych.

W Kancelarii Radcy Prawnego Ewa Wiśniewska pomagam przedsiębiorcom i placówkom medycznym w:

• Audycie umów powierzenia przetwarzania danych osobowych.
• Przygotowywaniu zgłoszeń naruszeń do Prezesa UODO i komunikacji do pacjentów.
• Reprezentacji przed UODO oraz sądami w sprawach z zakresu ochrony danych osobowych.

Skontaktuj się z nami poprzez Kontakt | Kancelaria Radcy Prawnego Ewa Wiśniewska i zadbaj o bezpieczeństwo prawne swojej firmy.