Wyciek danych MyDR objął miliony Polaków. Jak sprawdzić PESEL i czy dotyczy Wyszkowa?

Aktualizacja: 2 września 2026 r.

Wyciek danych MyDR może dotyczyć danych historycznych nawet 18,8 mln osób i ponad 12 tys. placówek medycznych. Cyberatak objął system używany przez lekarzy, gabinety i przychodnie do obsługi dokumentacji pacjentów. Osoby szukające informacji pod hasłem „wyciekły dane Polaków” mogą już sprawdzić swój numer PESEL w rządowym serwisie Bezpieczne Dane. Sam wynik nie pokaże jednak pełnego zakresu informacji medycznych, które mogły zostać przejęte.

Czy problem dotyczy mieszkańców Wyszkowa? Może dotyczyć każdego mieszkańca Wyszkowa, którego dane znajdowały się w środowisku MyDR objętym incydentem. Nie decyduje o tym adres zamieszkania, lecz to, czy placówka przetwarzała dane danej osoby w tym systemie. Nie ma wiarygodnej publicznej listy pozwalającej stwierdzić, że wszyscy pacjenci konkretnej miejscowości zostali objęci zdarzeniem. Najpewniejszą odpowiedź daje indywidualne sprawdzenie numeru PESEL, a szczegóły powinien przekazać administrator danych, czyli na przykład przychodnia lub gabinet.

Wyciek danych MyDR – najważniejsze fakty

• Skala: według komunikatu Ministerstwa Cyfryzacji incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych.
• Zakres czasowy: firma potwierdziła nieuprawniony dostęp do danych historycznych przechowywanych w systemach MyDR, obejmujących okres do kwietnia 2024 r.
• Weryfikacja: od 29 sierpnia 2026 r. można sprawdzić swój PESEL w serwisie BezpieczneDane.gov.pl.
• Ważne zastrzeżenie: serwis potwierdza, czy PESEL znalazł się w zbiorze związanym z incydentem, ale nie przechowuje szczegółów dokumentacji medycznej.
• Brak potwierdzonego upublicznienia: według informacji zamieszczonej w rządowym serwisie służby nie stwierdziły dotąd publicznego udostępnienia przejętych danych.
• Postępowania: UODO kontroluje zabezpieczenia spółki, a okoliczności zdarzenia badają organy ścigania.
• Działanie ochronne: UODO i Ministerstwo Cyfryzacji wskazują przede wszystkim na zastrzeżenie numeru PESEL oraz ostrożność wobec wiadomości i telefonów.

Oficjalny komunikat rządowy z 12 sierpnia 2026 r. mówi o nieuprawnionym dostępie do danych historycznych gabinetów lekarskich. Jednocześnie wskazuje, że incydent nie zakłócił bieżącej pracy ochrony zdrowia, w tym wystawiania recept. Oznacza to, że pacjent nie powinien rezygnować z leczenia ani zakładać, że jego Internetowe Konto Pacjenta przestało działać.

Co wydarzyło się w systemie MyDR?

MyDR jest dostawcą oprogramowania używanego przez lekarzy i placówki ochrony zdrowia. Pacjent nie musiał znać nazwy tej firmy ani zakładać konta bezpośrednio w jej serwisie. Wystarczyło, że gabinet lub przychodnia korzystały z rozwiązania MyDR do obsługi danych i elektronicznej dokumentacji medycznej.

Ministerstwo Cyfryzacji poinformowało 12 sierpnia, że firma potwierdziła nieuprawniony dostęp do historycznych danych przechowywanych w jej systemach. Szacowana skala – 18,8 mln osób – opisuje możliwy zasięg incydentu, a nie identyczny zestaw informacji ujawniony w przypadku każdego pacjenta. Zakres może być różny w zależności od placówki, okresu leczenia oraz sposobu wykorzystywania oprogramowania.

To także powód, dla którego należy ostrożnie podchodzić do określenia „wyciekły dane 19 mln Polaków”. Potwierdzono przełamanie zabezpieczeń i nieuprawniony dostęp, a numery PESEL objęte zdarzeniem są prezentowane osobom zainteresowanym po zalogowaniu do rządowej usługi. Jednocześnie oficjalna strona zastrzega, że służby nie stwierdziły dotąd upublicznienia tych danych. Nie wolno więc automatycznie twierdzić, że pełna dokumentacja wszystkich 18,8 mln osób krąży publicznie w internecie.

Jakie dane mogły zostać objęte incydentem?

Potwierdzona rządowa weryfikacja dotyczy numerów PESEL znajdujących się w zbiorze związanym z incydentem. Publiczne informacje wskazują również na dane historyczne przetwarzane w związku z obsługą pacjentów. W części przypadków zakres mógł obejmować dane kontaktowe oraz informacje związane z leczeniem, receptami lub lekami. Nie oznacza to, że u każdej osoby przejęto taki sam komplet danych.

Rządowy portal celowo nie pokazuje dokumentacji medycznej. Informuje, czy numer PESEL znajduje się w zbiorze, natomiast dokładną odpowiedź na pytanie „co wyciekło w moim przypadku?” może przekazać administrator danych. Zwykle jest nim przychodnia, gabinet albo inna placówka, która prowadziła leczenie i powierzyła dane dostawcy systemu.

Jeśli wynik w Bezpiecznych Danych jest pozytywny, należy skontaktować się z placówką przez dane kontaktowe znalezione samodzielnie na jej oficjalnej stronie. Nie należy odpowiadać na przypadkową wiadomość z linkiem ani podawać numeru PESEL osobie dzwoniącej z nieznanego numeru.

Jak sprawdzić, czy dane wyciekły z MyDR?

1. Wpisz adres samodzielnie. Otwórz przeglądarkę i przejdź bezpośrednio na bezpiecznedane.gov.pl. Nie korzystaj z linku przesłanego SMS-em lub e-mailem.
2. Wybierz logowanie. Tożsamość można potwierdzić obsługiwaną metodą elektroniczną, między innymi aplikacją mObywatel, profilem zaufanym, e-dowodem lub bankowością elektroniczną.
3. Sprawdź wynik. Serwis poinformuje, czy Twój numer PESEL znalazł się w zbiorze objętym incydentem MyDR.
4. Nie interpretuj wyniku szerzej, niż pozwala komunikat. Pozytywny wynik nie mówi, że wszystkie dane medyczne zostały opublikowane. Negatywny wynik należy odczytywać według aktualnego stanu bazy prezentowanego przez serwis.
5. Poproś placówkę o szczegóły. Jeżeli potrzebujesz zakresu danych, skontaktuj się z przychodnią lub gabinetem, który je przetwarzał.

Serwis Bezpieczne Dane nie wymaga, aby użytkownik wpisywał PESEL na przypadkowej stronie znalezionej w reklamie lub mediach społecznościowych. To ważne, ponieważ zainteresowanie wyciekiem może zostać wykorzystane do tworzenia fałszywych „wyszukiwarek”, których prawdziwym celem jest zebranie kolejnych danych.

Mój PESEL jest w bazie MyDR. Co zrobić krok po kroku?

1. Zastrzeż numer PESEL

UODO zaleca rozważenie zastrzeżenia numeru PESEL. Bezpłatnie można to zrobić w aplikacji mObywatel, przez usługę na Gov.pl albo w dowolnym urzędzie gminy. Ministerstwo Cyfryzacji rekomenduje, aby PESEL był domyślnie zastrzeżony i odblokowywany czasowo tylko wtedy, gdy jest to potrzebne, na przykład podczas otwierania rachunku lub zawierania umowy kredytowej.

Instrukcję można sprawdzić w oficjalnym poradniku Ministerstwa Cyfryzacji dotyczącym zastrzegania PESEL. Zastrzeżenie utrudnia wykorzystanie danych do zaciągania kredytów i innych zobowiązań, nie blokuje jednak codziennego leczenia ani wystawiania recept.

2. Skontaktuj się z administratorem danych

Zapytaj placówkę, czy incydent objął dane związane z Twoim leczeniem, jaki był ich zakres i jakie środki ochronne wdrożono. UODO wyjaśnia, że to placówki medyczne będące administratorami powinny zawiadomić osoby, jeżeli analiza naruszenia wykaże wysokie ryzyko dla ich praw i wolności.

W FAQ UODO dotyczącym MyDR wskazano, że pacjent może skorzystać z praw wynikających z RODO i zwrócić się do administratora. Co do zasady odpowiedź powinna zostać udzielona w ciągu miesiąca, choć w skomplikowanych przypadkach termin może zostać przedłużony po poinformowaniu zainteresowanej osoby.

3. Uważaj na phishing medyczny

Przejęte informacje mogą ułatwiać przygotowanie wiarygodnych oszustw. Przestępca może podszyć się pod przychodnię, aptekę, NFZ, bank lub urząd i powołać się na wizytę, receptę albo konieczność „zabezpieczenia konta”. Prawdziwie brzmiący szczegół nie jest dowodem, że rozmówca reprezentuje daną instytucję.

Nie klikaj w linki do dopłaty za receptę, potwierdzenia wizyty czy sprawdzenia PESEL. Nie podawaj kodów BLIK, haseł, kodów SMS ani danych logowania. Jeśli wiadomość wygląda wiarygodnie, przerwij kontakt i samodzielnie zadzwoń na oficjalny numer placówki lub banku.

4. Zabezpiecz najważniejsze konta

Zmień hasło wszędzie tam, gdzie było ono powtarzane, zwłaszcza w poczcie elektronicznej i usługach związanych ze zdrowiem. Każde ważne konto powinno mieć unikalne hasło. Włącz uwierzytelnianie dwu- lub wieloskładnikowe, jeżeli usługa je oferuje. Sama obecność PESEL w bazie nie oznacza automatycznie wycieku hasła, ale powtórzone hasła zawsze zwiększają skutki ewentualnego przejęcia konta.

5. Monitoruj próby wykorzystania danych

Sprawdzaj historię użycia i weryfikacji numeru PESEL w mObywatelu, obserwuj rachunki bankowe i nietypowe powiadomienia o logowaniu. Zachowuj podejrzane wiadomości, numery telefonów i zrzuty ekranu. Podejrzany SMS, stronę lub e-mail można zgłosić przez usługę CERT Polska, do której prowadzi oficjalny formularz incydent.cert.pl.

MyDR a Wyszków – czy problem dotyczy mieszkańców Wyszkowa?

Tak, wyciek danych MyDR może dotyczyć mieszkańców Wyszkowa, ale nie z powodu samego zameldowania lub miejsca zamieszkania. Znaczenie ma to, czy dane konkretnej osoby były przetwarzane w systemie objętym incydentem. Mieszkaniec Wyszkowa mógł korzystać z gabinetu w Warszawie, Ostrołęce, Pułtusku lub innej miejscowości i właśnie tam jego dane mogły zostać wprowadzone do MyDR. Z drugiej strony leczenie w placówce w Wyszkowie nie oznacza automatycznie, że dane znalazły się w przejętym zbiorze.

Na dzień aktualizacji artykułu nie ma wiarygodnego, kompletnego publicznego wykazu placówek z Wyszkowa, na podstawie którego można potwierdzić lub wykluczyć naruszenie u konkretnego pacjenta. Nie należy więc tworzyć lokalnej listy na podstawie domysłów, wyglądu strony rejestracji ani nieaktualnych katalogów oprogramowania.

Mieszkańcy Wyszkowa powinni wykonać te same trzy kroki co pozostali pacjenci: sprawdzić PESEL w serwisie Bezpieczne Dane, zastrzec numer w razie obaw oraz zapytać placówkę, która prowadziła dokumentację. Jeśli ktoś leczył się w wielu miejscach, może potrzebować kontaktu z więcej niż jednym administratorem.

Kto powinien poinformować pacjenta o wycieku?

W modelu opisanym przez UODO administratorem danych pacjentów pozostaje gabinet, przychodnia lub inna placówka medyczna, a MyDR jest podmiotem przetwarzającym powierzony zbiór. To administrator analizuje ryzyko i – gdy jest ono wysokie – powinien bez zbędnej zwłoki zawiadomić osobę, której dane dotyczą.

Brak wiadomości nie powinien być jednak traktowany jako ostateczne potwierdzenie, że problem danej osoby nie dotyczy. Placówki nadal mogą ustalać zakres zdarzenia. Z drugiej strony samo otrzymanie ogólnego komunikatu od przychodni nie przesądza, jaki zestaw danych został objęty incydentem. Liczy się treść indywidualnego zawiadomienia oraz wynik w oficjalnym serwisie.

Prezes UODO rozpoczął kontrolę MyDR, obejmującą między innymi zastosowane środki techniczne i organizacyjne, analizę ryzyka oraz regularne testowanie zabezpieczeń. Aktualne komunikaty urzędu znajdują się na stronie UODO o kontroli spółki MyDR.

Dlaczego trzeba uważać na sensacyjne nagłówki?

Fraza „wyciekły dane Polaków” dobrze opisuje powagę zdarzenia, ale nie zastępuje informacji o zakresie i statusie postępowania. Liczba 18,8 mln nie oznacza, że każdej z tych osób skradziono identyczną dokumentację. Pozytywny wynik dla numeru PESEL nie dowodzi, że dane zostały już wykorzystane do przestępstwa. Potwierdzony nieuprawniony dostęp nie jest też tym samym co publiczne opublikowanie bazy.

Materiał Interii o cyberataku na MyDR trafnie kieruje użytkowników do państwowej weryfikacji i przypomina o zastrzeżeniu PESEL. Ostateczne informacje dotyczące zakresu danych konkretnego pacjenta powinny jednak pochodzić z oficjalnego portalu oraz od administratora, a nie z artykułu prasowego.

Wyciek danych MyDR – najczęściej zadawane pytania

1. Co to jest wyciek danych MyDR?

To incydent cyberbezpieczeństwa, w którym doszło do nieuprawnionego dostępu do historycznych danych przechowywanych w systemach firmy MyDR, dostawcy oprogramowania dla lekarzy i placówek medycznych.

2. Ilu osób może dotyczyć cyberatak na MyDR?

Ministerstwo Cyfryzacji podało, że zdarzenie może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych. Jest to szacowany możliwy zasięg incydentu, a nie potwierdzenie identycznego zakresu danych u każdej osoby.

3. Jak sprawdzić, czy mój PESEL wyciekł z MyDR?

Należy wejść bezpośrednio na bezpiecznedane.gov.pl, zalogować się obsługiwaną metodą potwierdzenia tożsamości i sprawdzić informację dotyczącą numeru PESEL.

4. Czy serwis Bezpieczne Dane pokazuje całą dokumentację medyczną?

Nie. Portal informuje o obecności numeru PESEL w zbiorze związanym z incydentem. Szczegółowy zakres danych może podać ich administrator, na przykład przychodnia lub gabinet.

5. Czy wszystkie dane 18,8 mln osób zostały opublikowane w internecie?

Nie ma takiego potwierdzenia. Oficjalny serwis podaje, że przełamanie zabezpieczeń jest potwierdzone, ale służby nie stwierdziły dotąd upublicznienia przejętych danych.

6. Czy musiałem mieć konto w MyDR, aby incydent mnie dotyczył?

Nie. Dane mogły być przetwarzane przez placówkę korzystającą z oprogramowania MyDR, nawet jeśli pacjent nie znał nazwy dostawcy i nie zakładał u niego osobnego konta.

7. Czy problem dotyczy mieszkańców Wyszkowa?

Może dotyczyć mieszkańców Wyszkowa, których dane były przetwarzane w środowisku objętym incydentem. Miejsce zamieszkania samo w sobie nie przesądza wyniku; należy sprawdzić PESEL i skontaktować się z właściwą placówką.

8. Czy istnieje lista placówek z Wyszkowa objętych wyciekiem?

Nie ma wiarygodnego, kompletnego publicznego wykazu pozwalającego rozstrzygnąć sytuację każdego pacjenta w Wyszkowie. Nie należy opierać decyzji na nieoficjalnych listach krążących w sieci.

9. Co zrobić, jeśli mój PESEL znajduje się w bazie?

Należy rozważyć zastrzeżenie PESEL, skontaktować się z administratorem danych, zachować szczególną ostrożność wobec telefonów i wiadomości oraz zabezpieczyć najważniejsze konta unikalnymi hasłami i MFA.

10. Czy zastrzeżenie PESEL blokuje recepty albo wizytę u lekarza?

Nie. Zastrzeżenie PESEL nie uniemożliwia korzystania ze świadczeń zdrowotnych ani realizowania recept. Służy przede wszystkim ograniczeniu ryzyka wykorzystania tożsamości do określonych czynności, takich jak zaciągnięcie zobowiązania.

11. Czy powinienem zmienić wszystkie hasła?

W pierwszej kolejności zmień hasła powtarzane w wielu usługach oraz zabezpiecz pocztę i najważniejsze konta. Używaj różnych haseł i włącz uwierzytelnianie wieloskładnikowe. Sam wynik dotyczący PESEL nie przesądza, że hasło zostało przejęte.

12. Kto powinien poinformować mnie o zakresie naruszenia?

Informację powinien przekazać administrator danych, najczęściej przychodnia, gabinet lub inna placówka medyczna. To ten podmiot zna zakres danych związanych z konkretnym pacjentem.

13. Czy trzeba od razu składać skargę do UODO?

UODO wskazuje, że nie ma potrzeby składać indywidualnej skargi wyłącznie po to, by urząd zbadał sam incydent, ponieważ kontrola MyDR już trwa. Pacjent może najpierw zwrócić się do administratora o realizację swoich praw, a skargę rozważyć, jeśli odpowiedź nie nadejdzie lub będzie niewystarczająca.

14. Jak rozpoznać fałszywą wiadomość o wycieku MyDR?

Podejrzana jest wiadomość żądająca kliknięcia linku, podania PESEL, hasła, kodu SMS, BLIK-a albo dokonania dopłaty. Informację należy potwierdzić samodzielnie na oficjalnej stronie lub telefonicznie w placówce, korzystając z numeru znalezionego niezależnie.

15. Czy pozytywny wynik oznacza, że ktoś już wykorzystał moje dane?

Nie. Wynik potwierdza obecność PESEL w zbiorze związanym z incydentem, ale nie dowodzi, że dane zostały opublikowane albo użyte do oszustwa. Jest sygnałem, aby wdrożyć środki ostrożności i ustalić szczegóły z administratorem.