Pacjenci Gajda-Med mogą być zaniepokojeni. Placówka wydała ważny komunikat

Grupa Gajda-Med poinformowała o możliwym incydencie dotyczącym bezpieczeństwa danych w systemie MyDr EDM, wykorzystywanym przez kilka jej placówek.

Sprawa ma znaczenie również dla pacjentów z Pułtuska i regionu, ponieważ grupa prowadzi tu szpital oraz placówki medyczne. Komunikat pojawia się po ujawnieniu ogólnopolskiego cyberincydentu w firmie MyDr, który według Ministerstwa Cyfryzacji może dotyczyć danych około 18,8 mln osób. Gajda-Med podkreśla jednak, że nadal ustala, czy i w jakim zakresie zdarzenie objęło dane przetwarzane przez jej placówki. Pacjenci powinni oczekiwać kolejnych oficjalnych informacji i zachować szczególną ostrożność wobec prób wykorzystania danych osobowych.

::addons{"type":"only-with-us","color":"white"}

Gajda-Med publikuje komunikat. Trwa sprawdzanie danych

Grupa Gajda-Med poinformowała, że docierają do niej informacje dotyczące potencjalnego zdarzenia związanego z bezpieczeństwem informacji u zewnętrznego dostawcy oprogramowania MyDr EDM. System jest wykorzystywany przez kilka placówek należących do grupy. Firma pozostaje w kontakcie z dostawcą oprogramowania i prowadzi własne działania weryfikacyjne.

Na obecnym etapie Gajda-Med nie przesądza, czy dane jej pacjentów rzeczywiście znalazły się w zbiorze przejętym przez osoby nieuprawnione. Jak wynika z komunikatu grupy, sprawdzane jest zarówno to, czy zdarzenie dotyczyło przetwarzanych przez nią informacji, jak również jaki mógł być jego ewentualny zakres. Sam fakt korzystania z MyDr EDM nie oznacza automatycznie, że dane wszystkich pacjentów konkretnej placówki zostały ujawnione.

Ogromny incydent MyDr. W grę wchodzą dane milionów Polaków

Tło sprawy jest wyjątkowo poważne. Ministerstwo Cyfryzacji poinformowało 12 sierpnia 2026 roku, że w systemach firmy MyDr doszło do nieuprawnionego dostępu do historycznych danych gabinetów lekarskich przechowywanych do kwietnia 2024 roku. Według oficjalnych informacji incydent może dotyczyć około 18,8 mln osób oraz ponad 12 tys. placówek medycznych.

MyDr jest dostawcą systemu Elektronicznej Dokumentacji Medycznej wykorzystywanego przez przychodnie, gabinety i lekarzy w całej Polsce. Za pomocą systemów tego dostawcy każdego miesiąca obsługiwane są miliony wizyt i recept. Ministerstwo zapewniło jednocześnie, że incydent nie wpływa na bieżące funkcjonowanie placówek ochrony zdrowia ani m.in. możliwość wystawiania recept.

Czy dane pacjentów Gajda-Med i mieszkańców Pułtuska wyciekły?

Na razie nie ma podstaw, aby stwierdzić, że wyciek objął wszystkich lub określoną grupę pacjentów Gajda-Med. Sama grupa informuje o prowadzeniu weryfikacji. Dopiero ustalenia MyDr i poszczególnych administratorów danych powinny pokazać, których placówek, okresów oraz pacjentów zdarzenie rzeczywiście dotyczy.

Lokalne znaczenie sprawy jest jednak duże. Grupa Gajda-Med prowadzi m.in. Szpital Powiatowy i placówki medyczne w Pułtusku, które każdego roku obsługują tysiące mieszkańców regionu. Dlatego informacja o wykorzystywaniu MyDr EDM przez część placówek może budzić uzasadnione zainteresowanie pacjentów.

UODO: placówki muszą sprawdzić, czy naruszenie dotyczy ich pacjentów

Do sytuacji oficjalnie odniósł się również Urząd Ochrony Danych Osobowych. UODO przypomina, że placówki, które powierzyły MyDr przetwarzanie informacji, muszą przeanalizować ryzyko i ustalić, czy doszło do naruszenia dotyczącego danych, za które odpowiadają. Jeżeli naruszenie może powodować wysokie ryzyko dla osób fizycznych, administrator ma obowiązek zawiadomić również osoby, których dane dotyczą.

Informacja dla pacjentów powinna wskazywać m.in. charakter zdarzenia, możliwe konsekwencje i działania ograniczające ryzyko. UODO jako jeden z możliwych środków zabezpieczających w sytuacji ujawnienia imienia, nazwiska i PESEL wskazuje zastrzeżenie numeru PESEL. Przy danych dotyczących zdrowia potencjalne konsekwencje mogą być szczególnie poważne ze względu na ich wrażliwy charakter.

Co powinien zrobić pacjent Gajda-Med?

Przede wszystkim warto śledzić oficjalne komunikaty Gajda-Med i nie zakładać automatycznie, że każda osoba korzystająca z placówki znalazła się w wykradzionym zbiorze. Ministerstwo Cyfryzacji zapowiedziało, że po identyfikacji danych informacje będą sukcesywnie trafiały do serwisu bezpiecznedane.gov.pl. Tam będzie można sprawdzić, czy konkretną osobę obejmuje incydent.

Rozsądnym środkiem ostrożności jest również zastrzeżenie PESEL. Należy też szczególnie uważać na SMS-y, telefony i wiadomości e-mail od osób podszywających się pod przychodnie, lekarzy lub instytucje publiczne. W przypadku dużych wycieków przestępcy mogą próbować wykorzystywać prawdziwe dane pacjenta do uwiarygodnienia fałszywej wiadomości.

To nie pierwszy duży wyciek danych medycznych

Problem bezpieczeństwa danych medycznych pojawiał się już wcześniej. WPU24 informowało m.in. o wycieku danych z laboratoriów ALAB i późniejszych działaniach związanych z ujawnieniem skradzionych informacji. Czytelnicy mogą wrócić do materiałów: „ALAB potwierdza kradzież. CERT chce pomóc” oraz „To już pewne, przestępcy mają nasze dane w garści”.

Więcej o skali działalności Gajda-Med można przeczytać w materiale „Szpital Gajda-Med w liczbach za 2025 rok”. Powiązanie tych publikacji wzmacnia kontekst dotyczący Gajda-Med, Pułtuska, bezpieczeństwa danych oraz ochrony pacjentów.

::addons{"type":"alert"}

FAQ – wyciek danych MyDr i Gajda-Med

Czy dane pacjentów Gajda-Med zostały wykradzione?

Na obecnym etapie Gajda-Med informuje, że weryfikuje, czy i w jakim zakresie incydent MyDr obejmował dane przetwarzane przez jej placówki. Nie ma więc podstaw, aby twierdzić, że dane wszystkich pacjentów zostały przejęte.

Ilu osób dotyczy incydent MyDr?

Ministerstwo Cyfryzacji podało, że nieuprawniony dostęp do historycznych danych może dotyczyć około 18,8 mln osób oraz ponad 12 tys. placówek medycznych. Chodzi o dane przechowywane do kwietnia 2024 roku.

Czy szpital i przychodnie działają normalnie?

Według Ministerstwa Cyfryzacji incydent dotyczący MyDr nie wpływa na bieżące funkcjonowanie placówek ochrony zdrowia, w tym możliwość wystawiania recept.

Jak sprawdzić, czy moje dane znalazły się w wycieku?

Ministerstwo Cyfryzacji zapowiedziało sukcesywne umieszczanie informacji w serwisie bezpiecznedane.gov.pl. Proces identyfikowania danych może potrwać ze względu na skalę incydentu.

Czy warto zastrzec numer PESEL?

UODO wskazuje zastrzeżenie numeru PESEL jako jeden ze środków ograniczających ryzyko w przypadku ujawnienia danych obejmujących imię, nazwisko i numer PESEL.