na podstawie art. 34 ust. 3 lit. c RODO* uprzejmie informujemy, że system MyDr EDM, dostarczany przez MyDr sp. z o.o. z siedzibą w Warszawie, w którym prowadzimy terminarz wizyt i dokumentację medyczną, padł ofiarą cyberataku.
Z informacji przekazanych przez MyDr wynika, że nieuprawniona osoba trzecia uzyskała dostęp do ich środowiska i skopiowała zawartość bazy danych. Incydent mógł objąć dane przechowywane w systemie MyDr według stanu na 12 kwietnia 2024 r., a w ograniczonej liczbie przypadków — również dane zawarte w anulowanych skierowaniach wystawionych po tej dacie.
W dniu 2 września 2026 r. MyDr sp. z o.o. poinformowała nas, że naruszenie ochrony danych osobowych, do którego doszło w ich środowisku, objęło również dane naszych pacjentów.
Kogo dotyczy naruszenie?
Osób, których dane znajdowały się w środowisku MyDr przed 12 kwietnia 2024 r. (pacjentów, ich przedstawicieli ustawowych i osób upoważnionych do dokumentacji, a także personelu), oraz nielicznych osób, dla których po tej dacie wystawiono i anulowano skierowanie.
Jakie dane mogły zostać objęte naruszeniem?
Zakres danych objętych incydentem może różnić się w zależności od osoby i informacji przechowywanych na jej temat w systemie MyDr. Zakresem tym mogą być objęte w szczególności:
imię i nazwisko,
numer PESEL,
adres zamieszkania,
numer telefonu,
informacje o udzielonych świadczeniach zdrowotnych,
informacje znajdujące się w dokumentacji medycznej, w tym m.in. informacje o stanie zdrowia, przeprowadzonych badaniach, rozpoznaniach, stosowanych lekach, zaleceniach, receptach lub wystawionych dokumentach.
Objęcie danych konkretnej osoby naruszeniem nie oznacza jednak automatycznie, że wszystkie dotyczące jej dane znajdujące się w systemie zostały upublicznione lub wykorzystane przez osoby nieuprawnione. MyDr prowadzi obecnie działania monitorujące publicznie dostępne źródła pod kątem ewentualnego ujawnienia danych objętych incydentem; według informacji przekazanych przez MyDr, na dzień publikacji niniejszego komunikatu nie stwierdzono ich publicznego udostępnienia.
Jakie mogą być konsekwencje?
W zależności od charakteru i zakresu danych objętych incydentem może istnieć m.in. ryzyko:
w przypadku objęcia incydentem numeruPESEL, w szczególności w połączeniu z innymi danymi identyfikacyjnymi — kradzieży tożsamości, podszywania się pod daną osobę, prób zaciągania zobowiązań, uzyskania dostępu do kont lub usług albo wyłudzenia dalszych danych, haseł lub kodów autoryzacyjnych;
w przypadku objęcia incydentem danych dotyczącychzdrowia lub leczenia — ich nieuprawnionego wykorzystania, które mogłoby prowadzić do naruszenia prywatności lub innych praw danej osoby, w szczególności przez użycie tych informacji w sposób dla niej niekorzystny albo do uwiarygodnienia oszustwa, np. w kontakcie z nią lub jej bliskimi i oferowaniu rzekomych metod leczenia.
Z uwagi na charakter zdarzenia oraz zakres informacji przekazanych przez MyDr sp. z o.o., nie można całkowicie wykluczyć wystąpienia opisanych wyżej zagrożeń. Zostały one wskazane jako potencjalne skutki naruszenia, aby umożliwić osobom, których dane mogą być objęte incydentem, podjęcie odpowiednich środków ostrożności.
Co zalecamy?
Bezpłatnie zastrzec numer PESEL: w aplikacji mobilnej mObywatel, przez Internet na stronie mObywatel.gov.pl lub osobiście w Urzędzie Gminy (Miasta). Instytucje finansowe są obecnie zobligowane weryfikować przy zawieraniu umów, czy PESEL jest zastrzeżony, co ogranicza ryzyko użycia danych do nieuprawnionego zaciągania zobowiązań na szkodę innych osób. Zastrzeżenie PESEL nie blokuje jednak możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w urzędzie – więcej informacji pod linkiem: https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie;
Zachować ostrożność wobec wiadomości i telefonów nawiązujących do wizyt, recept, badań lub tego incydentu; nie klikać w linki, nie podawać kodów ani haseł;
Podejrzane wiadomości SMS zawierające link można przekazać do CERT Polska na numer 8080. W przypadku próby wyłudzenia danych lub pieniędzy należy rozważyć również zawiadomienie Policji;
Włączyć weryfikację dwuetapową w poczcie e-mail, bankowości elektronicznej oraz innych wykorzystywanych serwisach i usługach internetowych
Ponadto można poinformować inne placówki medyczne, w których świadczone są dla Państwa usługi, iż osoby trzecie mogą chcieć wykorzystać Państwa PESEL w celu przejścia procesu autoryzacji w tych jednostkach.
W związku z incydentem istnieje ryzyko, że osoby nieuprawnione będą próbowały podszywać się pod naszą placówkę, dlatego przypominamy, że jako Administrator nie będziemy prosić Państwa o podawanie haseł, kodów SMS, danych logowania ani danych kart płatniczych, jak również nakłaniać do wykonania przelewu.
W razie otrzymania takiej wiadomości lub telefonu prosimy przerwać kontakt, a następnie samodzielnie zadzwonić lub napisać, korzystając z oficjalnych danych kontaktowych dostępnych na naszej stronie internetowej, aby sprawdzić, czy kontakt rzeczywiście pochodzi od nas. W przypadku potwierdzenia próby podszywania się, wyłudzenia lub oszustwa należy zgłosić sprawę Policji.
Co zrobiliśmy?
Po pierwszych publicznych informacjach o ataku, w sierpniu 2026 r., niezwłocznie podjęliśmy działania zabezpieczające oraz zastosowaliśmy dodatkowe środki służące ograniczeniu potencjalnego ryzyka nieuprawnionego dostępu do systemu. Po otrzymaniu powiadomienia od MyDr sp. z o.o. zgłosiliśmy naruszenie Prezesowi UODO, przeprowadziliśmy analizę ryzyka dla praw i wolności osób fizycznych, zawiadamiamy osoby, których dane dotyczą, w tym indywidualnie — za pośrednictwem poczty elektronicznej, tradycyjnej, jak i telefonicznie — o ile dysponujemy ich danymi kontaktowymi umożliwiającymi skuteczne przekazanie informacji.
Ponadto MyDr sp. z o.o. oświadczyła, że incydent został opanowany, Spółka zaangażowała dodatkowych ekspertów z zakresu cyberbezpieczeństwa, zawiadomiła Centralne Biuro Zwalczania Cyberprzestępczości i współpracuje z Urzędem Ochrony Danych Osobowych, Ministerstwem Cyfryzacji oraz Centrum e-Zdrowia.
Kontakt
Pytania o zakres incydentu i techniczne okoliczności zdarzenia w systemie MyDr można przesyłać na: dane@mydr.pl. Dodatkowo MyDr opracował odpowiedzi na najczęstsze zadawane pytania, które są dostępne pod linkiem: https://pacjent.mydr.pl.
Ponadto można się z nami skontaktować z użyciem poniższych danych: MEDFEMINA POZNAŃ PROSTA SPÓŁKA AKCYJNA, Borowska 262, 50-558 Wrocław, Polska, poznan@medfemina.pl
Ponadto można się również kontaktować z naszym Inspektorem ochrony danych osobowych: Pawłem Malinowskim, pod adresem: iod.poznan@medfemina.pl.
Dalsze informacje
Na bieżąco analizujemy informacje otrzymywane w związku z incydentem.
Jeżeli otrzymamy nowe, istotne i potwierdzone informacje mające znaczenie dla naszych pacjentów, niniejszy komunikat zostanie odpowiednio zaktualizowany.
Prosimy o zachowanie zwiększonej ostrożności, w szczególności o rozważenie zastrzeżenia numeru PESEL oraz zwracanie uwagi na nietypowe telefony, wiadomości i próby pozyskania dodatkowych danych lub pieniędzy.
MEDFEMINA POZNAŃ PROSTA SPÓŁKA AKCYJNA, Borowska 262, 50-558 Wrocław, Polska
*Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych, zwane: „RODO”).
