Ważna informacja dotycząca bezpieczeństwa danych osobowych pacjentów
Komunikat Remedica
Co się wydarzyło?
Informujemy, że doszło do naruszenia ochrony danych osobowych pacjentów korzystających z usług gabinetu dermatologicznego naszej placówki.
Naruszenie nie nastąpiło w systemach informatycznych Remedica. Do incydentu doszło na serwerach naszego byłego partnera technologicznego – firmy MyDr Sp. z o.o. z siedzibą w Warszawie, dostawcy zewnętrznego oprogramowania medycznego. Z rozwiązania tego korzystaliśmy w okresie od 1 lipca 2023 roku do listopada 2025 roku, wyłącznie w gabinecie dermatologicznym, do prowadzenia rejestracji, dokumentacji medycznej oraz wystawiania e-recept. Osoby nieuprawnione wykorzystały lukę w zabezpieczeniach systemu MyDr, uzyskując dostęp do baz danych.
Ustalenia dokonane przez MyDr wskazują, że incydent obejmował zasadniczo ograniczony zakres danych sprzed 12 kwietnia 2024 r.
Kogo dotyczy naruszenie i jakie dane mogły zostać objęte incydentem?
Naruszenie może dotyczyć Pacjentów gabinetu dermatologicznego, w tym pacjentów małoletnich – w takim przypadku danymi objętymi incydentem mogą być również dane ich przedstawicieli ustawowych lub osób upoważnionych do dostępu do dokumentacji medycznej.
Wśród danych, które mogły zostać objęte incydentem, znajdują się:
- Imię i nazwisko.
- Adres zamieszkania.
- Dane kontaktowe.
- Numer PESEL.
- Dane dotyczące zdrowia.
- Dane dotyczące ubezpieczenia społecznego.
- Informacje dotyczące pracodawcy (jeśli zostały podane) lub inne dane identyfikacyjne.
W przypadku pacjentów małoletnich zakres ten może dodatkowo obejmować dane przedstawiciela ustawowego lub osoby upoważnionej, takie jak imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL oraz informację o stopniu pokrewieństwa lub rodzaju relacji z pacjentem.
Czy dane zostały wykorzystane lub upublicznione?
Zespoły MyDr oraz zewnętrzni eksperci stale monitorują sytuację i nie wykryli, aby dane objęte incydentem zostały publicznie udostępnione. Przeprowadzone analizy śledcze potwierdziły, że incydent został opanowany i nie ma dowodów wskazujących na dalszy nieuprawniony dostęp do systemów.
Mimo braku dotychczasowych sygnałów o wykorzystaniu danych, ze względu na charakter incydentu nie można wykluczyć, że w określonych okolicznościach może on wiązać się z ryzykiem dla praw lub wolności osób, których dane dotyczą. Dlatego przekazujemy poniżej informacje o możliwych konsekwencjach oraz zalecanych środkach ostrożności.
Jakie ewentualne konsekwencje zidentyfikowaliśmy?
Numer PESEL w połączeniu z imieniem, nazwiskiem i danymi kontaktowymi, w określonych sytuacjach mógłby posłużyć osobom nieuprawnionym do:
- Zaciągnięcia kredytu, pożyczki lub zawarcia innych umów bez wiedzy pacjenta.
- Uzyskania dostępu do danych zdrowia pacjenta w instytucjach medycznych, w których uwierzytelnianie następuje przy pomocy numeru PESEL.
Dane dotyczące zdrowia mogłyby zostać wykorzystane niezgodnie z prawem, w szczególności poprzez:
- Działanie w sposób niekorzystny dla pacjenta, prowadzące do naruszenia jego praw lub gorszego traktowania w środowisku zamieszkania.
- Próby dokonania oszustwa, np. poprzez kontakt z pacjentem lub jego bliskimi w celu zaoferowania alternatywnych metod leczenia zdiagnozowanych chorób.
Podkreślamy, że na obecnym etapie monitoring prowadzony przez MyDr nie wykazał żadnych przypadków wykorzystania ani publicznego ujawnienia danych.
Jakie działania może Pani/Pan podjąć?
W przypadku numeru PESEL:
- Można bezpłatnie zastrzec numer PESEL w aplikacji mObywatel, przez Internet na stronie mObywatel.gov.pl lub osobiście w Urzędzie Gminy (Miasta). Instytucje finansowe są obecnie zobowiązane weryfikować przy zawieraniu umów, czy PESEL jest zastrzeżony, co ogranicza ryzyko nieuprawnionego zaciągania zobowiązań. Zastrzeżenie PESEL nie blokuje możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w urzędzie. Więcej informacji: https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie.
- Warto poinformować inne placówki medyczne, w których korzysta Pani/Pan z usług, że osoby trzecie mogą chcieć wykorzystać numer PESEL w celu przejścia procesu autoryzacji w tych jednostkach.
W przypadku danych dotyczących zdrowia:
- W razie potwierdzenia wykorzystania danych przez osoby nieuprawnione można dochodzić ochrony swoich praw na podstawie właściwych przepisów, w tym Kodeksu cywilnego.
- Warto zachować szczególną ostrożność wobec nieznanych osób, które nie miały prawa znać historii zdrowia pacjenta, a proponują skorzystanie z oferowanych przez nie usług medycznych, pseudomedycznych lub terapeutycznych.
Niezależnie od zakresu danych, w przypadku podejrzenia ich niezgodnego z prawem wykorzystania, można zgłosić to na Policję. Informacje o sposobie zgłoszenia: https://www.gov.pl/web/gov/zglos-przestepstwo.
Jakie działania zostały już podjęte?
W celu ograniczenia negatywnych skutków incydentu MyDr Sp. z o.o. podjął następujące działania:
- Niezwłocznie opanował i zakończył incydent, a także wdrożył dodatkowe środki techniczne i organizacyjne mające zapobiegać podobnym zdarzeniom w przyszłości.
- Zaangażował wyspecjalizowaną firmę z zakresu cyberbezpieczeństwa w celu przeprowadzenia szczegółowej analizy incydentu.
- Zgłosił incydent Centralnemu Biuru Zwalczania Cyberprzestępczości Policji i ściśle z nim współpracuje.
- Współpracuje z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK i CSIRT Centrum e-Zdrowia.
- Współpracuje z Urzędem Ochrony Danych Osobowych.
- Kontynuuje monitoring systemów w celu wykrycia ewentualnych skutków incydentu i niezwłocznego reagowania na zagrożenia.
- Prowadzi stały monitoring internetu w celu wykrycia ewentualnego upublicznienia danych objętych incydentem.
Remedica, jako administrator danych osobowych pacjentów, po otrzymaniu zawiadomienia od MyDr Sp. z o.o., dokonała zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych.
Gdzie uzyskać dalsze informacje?
W przypadku dodatkowych pytań dotyczących zakresu incydentu prosimy o kontakt pod adresem: dane@mydr.pl.
W sprawach związanych z ochroną danych osobowych prosimy o kontakt z Inspektorem Ochrony Danych Osobowych Agnieszką Kurek pod adresem e-mail: iod.remedica@grupaformat.pl
Rozumiemy, że tego rodzaju informacja może budzić niepokój. Zapewniamy, że traktujemy bezpieczeństwo danych naszych Pacjentów priorytetowo i pozostajemy w stałym kontakcie z odpowiednimi instytucjami w celu monitorowania sytuacji.
Ostatnia aktualizacja: 25.09.2026 r.