Administrator danych: NZOZ „ADA-MED.” Sp. z o.o., ul. Czapliniecka
93/95, Bełchatów (budynek przychodni Megamed, gabinet 32)
Data publikacji komunikatu: 24.09.2026
Szanowni Państwo,
informujemy o naruszeniu ochrony danych osobowych, do którego doszło u dostawcy systemu dokumentacji medycznej, z którego korzysta nasza poradnia.
Co się stało
Dokumentacja medyczna pacjentów naszej poradni jest prowadzona w systemie MyDr EDM, dostarczanym przez MyDr sp. z o.o. W sierpniu 2026 r. spółka poinformowała, że nieuprawniona osoba uzyskała dostęp do jej środowiska w chmurze i skopiowała z niego zawartość bazy danych.
Naruszenie nie nastąpiło w naszej poradni ani nie wynikało z działania naszego personelu. Nastąpiło po stronie dostawcy systemu informatycznego.
Według informacji przekazanych nam przez MyDr sp. z o.o.:
- skopiowane dane pochodzą sprzed 12 kwietnia 2024 r., a w przypadku ograniczonej liczby osób obejmują także dane zawarte w anulowanych skierowaniach;
- podatność, która umożliwiła atak, została usunięta, a system pozostaje sprawny;
- na dzień 24.09.2026 spółka nie stwierdziła dowodów na to, aby skopiowane dane zostały upublicznione.
Zastrzegamy, że są to ustalenia dostawcy systemu, a nie nasze własne. Sytuację monitorujemy i zaktualizujemy ten komunikat, jeżeli otrzymamy nowe informacje.
Jakie dane mogły zostać ujawnione
Pacjenci: imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, dane dotyczące ubezpieczenia społecznego oraz informacje o pracodawcy (jeżeli zostały podane), dane zawarte w skierowaniach, a także inne dane umożliwiające identyfikację.
Przedstawiciele prawni pacjenta oraz osoby upoważnione do wglądu w dokumentację medyczną: imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL oraz informacja o stopniu pokrewieństwa lub rodzaju relacji z pacjentem.
Ponieważ nasza poradnia prowadzi wyłącznie diagnostykę i leczenie chorób gruczołów wydzielania wewnętrznego, sama obecność danych osoby w tym zbiorze wskazuje na korzystanie z opieki endokrynologicznej. Jest to informacja o stanie zdrowia i traktujemy ją jako objętą naruszeniem niezależnie od pozostałych danych.
Jakie mogą być skutki
Ujawnienie tych danych może wiązać się z ryzykiem, że osoby trzecie podejmą próbę:
- zaciągnięcia na Państwa dane pożyczki w instytucji pozabankowej — przez internet lub telefonicznie, bez okazywania dokumentu tożsamości;
- zawarcia na Państwa szkodę umów cywilnoprawnych;
- wyłudzenia świadczenia z ubezpieczenia;
- posłużenia się Państwa danymi w celu ukrycia własnej tożsamości;
- wykorzystania informacji o stanie zdrowia w sposób naruszający Państwa prywatność — w szczególności do kontaktu z Państwem lub Państwa bliskimi z ofertą „alternatywnych metod leczenia” rozpoznanej choroby, albo w sposób prowadzący do gorszego traktowania w otoczeniu.
Co zalecamy zrobić
1. Zastrzec numer PESEL. W aplikacji mObywatel albo osobiście w dowolnym urzędzie gminy. Zastrzeżenie blokuje m.in. zawarcie umowy kredytu na Państwa dane i można je w każdej chwili czasowo cofnąć, gdy będzie potrzebne. Zastrzeżenia numeru PESEL osoby małoletniej dokonuje rodzic lub opiekun prawny.
2. Zachować ostrożność wobec nieoczekiwanego kontaktu. Po tym incydencie nasilają się próby podszywania się pod placówki medyczne, apteki i system e-recepty. Prosimy nie otwierać linków z wiadomości, których się Państwo nie spodziewają, i nie podawać danych osobom dzwoniącym z własnej inicjatywy.
Nigdy nie prosimy SMS-em ani telefonicznie o hasła, dane karty płatniczej ani o jakiekolwiek opłaty.
3. Rozważyć założenie konta w biurze informacji kredytowej lub gospodarczej, wraz z alertami o zapytaniach o Państwa dane.
4. Sprawdzić numer PESEL na rządowej stronie bezpiecznedane.gov.pl, gdzie udostępniono narzędzie weryfikacji dla osób objętych tym incydentem.
5. Poinformować nas oraz policję, jeżeli dowiedzą się Państwo o wykorzystaniu danych przez osobę nieuprawnioną. Przy kradzieży tożsamości szybkość reakcji ma kluczowe znaczenie.
Co zrobiliśmy
- zgłosiliśmy naruszenie Prezesowi Urzędu Ochrony Danych Osobowych w dniu 9.09.2026;
- przeprowadziliśmy: przegląd i ograniczenie uprawnień dostępu do systemu; wymuszenie zmiany haseł; przegląd umowy powierzenia przetwarzania danych zawartej z dostawcą;
- udokumentowaliśmy okoliczności naruszenia oraz podjęte działania w wewnętrznym rejestrze naruszeń ochrony danych.
Kontakt
W związku z tym incydentem został udostępniony dedykowany, pojedynczy punkt kontaktowy dla pacjentów: dane@mydr.pl, aby odpowiadać na ich pytania dotyczące zakresu incydentu.
Dodatkowe informacje mogą uzyskać Państwo, kontaktując się z naszym Inspektorem Ochrony Danych: iod.ada-med@abi-tech.pl
Prawo do wniesienia skargi
Przysługuje Państwu prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
Całą sytuację traktujemy bardzo poważnie. Przepraszamy Państwa za to zdarzenie oraz za związany z nim niepokój.