Zawiadomienie o naruszeniu ochrony danych osobowych – dnia 26.10.2026

Szanowni Państwo,
w związku z incydentem bezpieczeństwa dotyczącym systemu informatycznego MedicalData, wykorzystywanego przez naszą placówkę do przetwarzania danych osobowych pacjentów, przekazujemy informacje o zdarzeniu, jego możliwych konsekwencjach oraz działaniach, jakie można podjąć w celu ochrony swoich danych.

Na czym polegało zdarzenie?

Z informacji przekazanych przez dostawcę systemu wynika, że w okresie od 19 sierpnia do 3 września 2026 r. doszło do cyberataku, w wyniku którego osoba nieuprawniona uzyskała dostęp do infrastruktury informatycznej oraz bazy danych systemu MedicalData. Dostawca potwierdził również wyprowadzenie części wyników zapytań do bazy danych poza system. Przeprowadzona przez dostawcę analiza techniczna nie pozwoliła jednak na wiarygodne odtworzenie pełnego zakresu wyprowadzonych informacji ani ustalenie kompletnej listy osób, których dane mogły zostać objęte zdarzeniem. Nie potwierdzono skopiowania całej bazy danych, pełnych kopii zapasowych ani kompletnej dokumentacji medycznej.

Na obecnym etapie nie jesteśmy w stanie jednoznacznie ustalić, czy naruszenie objęło Państwa dane osobowe oraz jaki mógł być zakres ewentualnego nieuprawnionego dostępu do tych danych. Nie możemy jednak wykluczyć takiej możliwości. Z tego względu, kierując się potrzebą ochrony praw i interesów naszych pacjentów, zdecydowaliśmy o przekazaniu niniejszego zawiadomienia.

Jakie dane mogły zostać objęte naruszeniem?

Zgodnie z informacjami przekazanymi przez dostawcę systemu zdarzenie mogło obejmować następujące kategorie danych osobowych:

• imię i nazwisko;
• numer PESEL;
• adres zamieszkania, jeżeli znajdował się w systemie;
• numer telefonu;
• informacje dotyczące stanu zdrowia i historii leczenia, jeżeli znajdowały się w danych objętych zdarzeniem.

Zakres danych mógł być różny w odniesieniu do poszczególnych pacjentów. Nie oznacza to, że wszystkie wskazane dane każdej osoby zostały ujawnione lub skopiowane.

Jakie mogą być konsekwencje naruszenia?

Ewentualne nieuprawnione pozyskanie danych osobowych może prowadzić do ich wykorzystania w sposób naruszający Państwa prawa lub interesy. Potencjalne konsekwencje obejmują w szczególności próby podszywania się pod inną osobę, wyłudzenia informacji lub środków finansowych, kierowanie wiadomości i wykonywanie telefonów mających na celu uzyskanie dodatkowych danych, a także nieuprawnione ujawnienie informacji dotyczących zdrowia i historii leczenia. Nie można również wykluczyć naruszenia prywatności lub innych negatywnych konsekwencji związanych z ujawnieniem informacji medycznych.

Podkreślamy, że samo potencjalne objęcie danych incydentem nie oznacza, że zostały one już wykorzystane w sposób nieuprawniony. Na obecnym etapie nie posiadamy informacji potwierdzających takie wykorzystanie w odniesieniu do danych naszych pacjentów.

Jakie działania zostały podjęte?

Zgodnie z informacjami przekazanymi przez dostawcę systemu po wykryciu incydentu podjęto działania służące zabezpieczeniu infrastruktury informatycznej i ograniczeniu ryzyka ponownego nieuprawnionego dostępu. Obejmowały one w szczególności usunięcie lub zabezpieczenie wykrytych podatności i mechanizmów nieuprawnionego dostępu, zmianę danych uwierzytelniających, wdrożenie dodatkowego składnika logowania, ograniczenie dostępu do infrastruktury oraz rozszerzenie monitorowania bezpieczeństwa. Dostawca poinformował również o zgłoszeniu zdarzenia właściwym organom, w tym Prezesowi Urzędu Ochrony Danych Osobowych i CSIRT CeZ, a także o skierowaniu zawiadomienia o podejrzeniu popełnienia przestępstwa do Policji.

Niezależnie od działań dostawcy nasza placówka dokonała własnej oceny ryzyka związanego z incydentem oraz podjęła działania zmierzające do realizacji obowiązków administratora danych osobowych, w tym zawiadomienia pacjentów i zgłoszenia naruszenia Prezesowi UODO. Wystąpiliśmy również do dostawcy o przekazanie szczegółowych informacji pozwalających na ustalenie, czy naruszenie objęło dane naszych pacjentów oraz o potwierdzenie skuteczności wdrożonych zabezpieczeń.

Co mogą Państwo zrobić, aby ograniczyć potencjalne zagrożenia?

W związku z możliwością nieuprawnionego ujawnienia danych zalecamy:

• rozważenie zastrzeżenia numeru PESEL, co może ograniczyć ryzyko jego wykorzystania przez osoby nieuprawnione;
• zachowanie szczególnej ostrożności wobec niespodziewanych wiadomości e-mail, SMS oraz telefonów, zwłaszcza od osób podających się za pracowników placówek medycznych, banków lub innych instytucji;
• nieprzekazywanie nieznanym osobom haseł, kodów autoryzacyjnych, danych bankowych ani innych poufnych informacji;
• zachowanie ostrożności przy otwieraniu linków i załączników otrzymywanych w wiadomościach;
• monitorowanie rachunków bankowych, zobowiązań finansowych oraz informacji dostępnych w Internetowym Koncie Pacjenta;
• zgłaszanie podejrzanych zdarzeń właściwym instytucjom, w szczególności bankowi lub Policji, stosownie do charakteru zdarzenia.

Numer PESEL można zastrzec bezpłatnie za pośrednictwem usługi dostępnej na oficjalnej stronie administracji rządowej:
https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie

Zastrzeżenie numeru PESEL nie uniemożliwia rejestracji do lekarza, realizacji recept ani korzystania ze świadczeń zdrowotnych.

Gdzie można uzyskać dodatkowe informacje?

W przypadku pytań dotyczących niniejszego zawiadomienia, charakteru incydentu lub możliwych sposobów ochrony danych prosimy o kontakt:

Informacje o zdarzeniu będą aktualizowane w przypadku uzyskania nowych, istotnych ustaleń dotyczących zakresu naruszenia.

Zapewniamy, że traktujemy ochronę danych osobowych naszych pacjentów jako sprawę o szczególnym znaczeniu.