18 września 2026

Szanowni Państwo,

na prośbę Specjalistycznej Praktyki Lekarskiej – Wojciecha Kaźmierskiego, będącej administratorem danych osobowych pacjentów przyjmowanych przez lek. Wojciecha Kaźmierskiego w naszej placówce, publikujemy poniższą informację o naruszeniu ochrony danych osobowych.

Naruszenie nastąpiło w infrastrukturze teleinformatycznej MyDr sp. z o.o. z siedzibą w Warszawie — dostawcy systemu rejestracji pacjentów i elektronicznej dokumentacji medycznej — w następstwie cyberataku. Zdarzenie nie nastąpiło w systemach NZOZ Nasza Poliklinika Pokotyckich sp. z o.o. ani w systemach praktyki.

Kogo dotyczy niniejsza informacja
Informacja kierowana jest do pacjentów, których dane były przetwarzane w systemie MyDr w związku ze świadczeniami udzielanymi przez lek. Wojciecha Kaźmierskiego w naszej placówce do 12 kwietnia 2024 roku. Otrzymanie lub zapoznanie się z niniejszą informacją nie oznacza, że dane danej osoby zostały wykorzystane — oznacza, że mogły znaleźć się w zbiorze objętym incydentem.

Samo korzystanie z usług przychodni nie oznacza, że dane danej osoby zostały objęte naruszeniem. Przychodnia jako podmiot leczniczy oraz pozostali przyjmujący w niej lekarze nie korzystali z systemu MyDr, w związku z czym incydent nie obejmuje danych przetwarzanych w ramach pozostałych udzielanych w placówce świadczeń.

Zakres incydentu
Według informacji dostawcy, przywołanych w zawiadomieniu z 8 września 2026 r., incydent objął dane sprzed 12 kwietnia 2024 r., z wyjątkiem nielicznych przypadków, w których mógł dotyczyć również danych zawartych w anulowanych skierowaniach na badania wystawionych po tej dacie. Naruszenie mogło obejmować: imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia i ubezpieczenia społecznego, a także — jeżeli zostały podane — informacje o pracodawcy oraz inne dane identyfikacyjne.

Dostawca informuje, że incydent został opanowany, systemy zabezpieczono, a prowadzony monitoring sieci nie wykazał dotychczas przypadków upublicznienia ani wykorzystania danych objętych incydentem.

Możliwe konsekwencje

• posłużenie się numerem PESEL w celu dokonania działań bezprawnych w tym prób zaciągania zobowiązań;

• próba uzyskania dostępu do danych o stanie zdrowia w placówkach uwierzytelniających pacjenta numerem PESEL;

• naruszenie dóbr osobistych lub gorsze traktowanie w środowisku zamieszkania w razie ujawnienia danych o zdrowiu;

• próby oszustwa, w tym oferowanie rzekomych alternatywnych metod leczenia rozpoznanych schorzeń.

Zalecane działania
1. Zastrzeżenie numeru PESEL — bezpłatnie w aplikacji mObywatel, na stronie mObywatel.gov.pl albo w urzędzie gminy (miasta): https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie
2. Poinformowanie innych placówek medycznych o ryzyku posłużenia się Państwa numerem PESEL przez osoby nieuprawnione.
3. Zachowanie czujności wobec niezamawianych połączeń i wiadomości dotyczących leczenia. Nie należy przekazywać haseł, kodów BLIK, danych kart płatniczych ani danych osobowych i medycznych osobom, których tożsamości nie udało się potwierdzić. Wątpliwy kontakt warto zweryfikować bezpośrednio w placówce, korzystając ze znanych danych kontaktowych.
4. Zgłoszenie sprawy Policji w razie podejrzenia bezprawnego wykorzystania danych: https://www.gov.pl/web/gov/zglos-przestepstwo
5. W razie potwierdzenia wykorzystania danych przez osoby nieuprawnione — dochodzenie ochrony swoich praw wobec sprawców na podstawie właściwych przepisów, w tym Kodeksu cywilnego.

Działania podjęte
Administrator zgłosił naruszenie Prezesowi Urzędu Ochrony Danych Osobowych oraz wystąpił do dostawcy o szczegółowe wskazanie zakresu danych objętych incydentem; pacjenci, których dane mogły zostać objęte naruszeniem, zawiadamiani są indywidualnie. Dostawca zgłosił incydent Centralnemu Biuru Zwalczania Cyberprzestępczości, współpracuje z właściwymi instytucjami oraz prowadzi monitoring systemów i sieci. Sprawa prowadzona jest pod nadzorem Prokuratury Okręgowej w Warszawie, a Prezes Urzędu Ochrony Danych Osobowych prowadzi kontrolę u dostawcy.

Kontakt
W sprawach dotyczących zakresu incydentu po stronie dostawcy: dane@mydr.pl
W sprawach dotyczących publikacji niniejszego komunikatu — NZOZ Nasza Poliklinika Pokotyckich sp. z o.o. w Sulęcinie, rejestracja@naszapoliklinika.pl
W sprawach dotyczących naruszenia oraz realizacji praw przysługujących na podstawie RODO — administrator danych: Specjalistyczna Praktyka Lekarska – Wojciech Kaźmierski, dane.wk2026@gmail.com

Pacjentom przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.

O ewentualnych istotnych nowych ustaleniach będziemy informować w oddzielnych komunikatach lub aktualizując niniejszy ze stosownym dopiskiem "AKTUALIZACJA".

Bądź na bieżąco z wiadomościami z naszej placówki