Wyciek danych osobowych: gdzie i jak sprawdzić, czy Twoje dane wyciekły

Wyciek danych w systemie MyDr – dlaczego temat wrócił z impetem

W sierpniu 2026 roku doszło do poważnego incydentu w firmie MyDr, dostawcy oprogramowania do prowadzenia dokumentacji medycznej. Z systemu, z którego korzystają przychodnie i gabinety lekarskie w całej Polsce, doszło do nieuprawnionego dostępu do bazy danych. Rząd potwierdził wyciek dotyczący blisko 19 milionów obywateli, a Ministerstwo Cyfryzacji informowało o niemal 18,8 miliona osób i ponad 12 tysiącach placówek medycznych objętych incydentem. Służby nie stwierdziły dotąd, aby wykradzione dane wrażliwe zostały publicznie upublicznione, jednak ze względów bezpieczeństwa zdecydowano się prewencyjnie poinformować osoby, których numery PESEL znalazły się w wycieku.

Ten przypadek pokazuje, jak ważna jest wiedza o tym, gdzie i jak sprawdzić, czy wyciek danych osobowych dotyczy właśnie nas – zwłaszcza gdy w grę wchodzą dane związane z leczeniem, czyli informacje szczególnie wrażliwe.

L4 a prywatność: czy pracodawca wie, na co choruję?

Kalkulator alkoholu we krwi: kiedy jesteś naprawdę trzeźwy?

Twój profil zaufany może stracić ważność. Istotne dla pacjentów

Bezpieczne Dane – rządowy portal do sprawdzenia wycieku danych osobowych

Podstawowym, bezpłatnym narzędziem do weryfikacji, czy nasze dane figurują w którymś z ujawnionych zbiorów, jest portal bezpiecznedane.gov.pl. Powstał z inicjatywy Ministerstwa Cyfryzacji, rozwiązania techniczne budują specjaliści Naukowej i Akademickiej Sieci Komputerowej (NASK), a zgłoszenia nowych incydentów przyjmuje zespół CERT Polska.

W serwisie można sprawdzić cztery rodzaje danych:

• numer PESEL,
• numer telefonu,
• adres e-mail,
• login.

Po zalogowaniu profilem zaufanym, aplikacją mObywatel, bankowością elektroniczną lub e-dowodem, użytkownik trafia do sekcji „Monitorowane dane", gdzie widzi, czy jego dane pojawiły się w zarejestrowanych incydentach, jakiego rodzaju informacje mogły zostać ujawnione oraz z jakiego źródła pochodził wyciek. Warto sprawdzić nie tylko aktualnie używany adres e-mail, ale też te starsze, z których korzystaliśmy w przeszłości – to one najczęściej bywają pomijane, a wciąż mogą być powiązane z aktywnym kontem.

Jak sprawdzić, czy dane wyciekły – krok po kroku

• Weryfikacja w portalu Bezpieczne Dane przebiega w kilku prostych krokach:
• Wejdź na stronę bezpiecznedane.gov.pl.
• Wybierz opcję „Sprawdź dane – przejście do logowania".
• Zaloguj się profilem zaufanym, aplikacją mObywatel, bankowością elektroniczną lub e-dowodem.
• Otwórz sekcję „Monitorowane dane" i sprawdź poszczególne kategorie informacji.
• W razie potrzeby powtórz sprawdzenie po kilku dniach – nowo potwierdzone wycieki bywają dodawane do bazy z opóźnieniem względem oficjalnego komunikatu o incydencie.

Brak wyniku w portalu nie zawsze oznacza, że dane są bezpieczne. Jak pokazał przypadek MyDr, rząd potwierdził wyciek 12 sierpnia, a zbiór danych trafił do bazy portalu dopiero kilkanaście dni później. Dlatego przy głośnych, medialnych incydentach warto sprawdzać stan swoich danych kilkukrotnie, w odstępach kilku dni.

Co zrobić, gdy dane wyciekły

Jeśli portal potwierdzi, że nasze dane znalazły się w wycieku – albo gdy nie mamy pewności, ale dana instytucja (np. przychodnia) informowała o incydencie – warto podjąć kilka działań ochronnych:

• Zastrzeż numer PESEL w aplikacji mObywatel, przez profil zaufany lub w dowolnym urzędzie gminy. Zastrzeżenie blokuje możliwość zaciągnięcia kredytu, pożyczki czy zakupu na raty na nasze dane. Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzać rejestr zastrzeżeń numerów PESEL przed zawarciem umowy, a jeśli oszust mimo wszystko wykorzysta zastrzeżony numer, poszkodowany nie musi spłacać zaciągniętego w ten sposób zobowiązania.
• Zmień powtarzane hasła. Jedno hasło używane w kilku serwisach sprawia, że wyciek z jednej strony może otworzyć oszustom dostęp do innych kont.
• Włącz weryfikację dwuskładnikową wszędzie tam, gdzie to możliwe.
• Zachowaj czujność wobec telefonów i wiadomości od osób podszywających się pod placówkę medyczną, bank czy urząd. Sama znajomość naszych danych przez rozmówcę nie czyni go wiarygodnym.
• Jeśli podejrzewasz phishing, fałszywą stronę do płatności lub inną próbę wyłudzenia po wycieku – zgłoś to do CERT Polska.

Kiedy zgłosić sprawę do UODO

Obowiązek zgłoszenia naruszenia ochrony danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od jego wykrycia spoczywa na administratorze danych, czyli np. na przychodni, sklepie internetowym czy firmie, która przechowywała nasze dane – nie na nas jako osobach prywatnych. Jeżeli naruszenie stwarza wysokie ryzyko dla naszych praw i wolności, administrator ma również obowiązek zawiadomić o tym bezpośrednio nas.

Skargę do Prezesa UODO warto rozważyć, gdy:

• podejrzewamy, że firma lub instytucja nieprawidłowo zabezpieczała nasze dane,
• administrator nie poinformował nas o wycieku, choć powinien był to zrobić,
• nie otrzymujemy odpowiedzi na nasze pytania dotyczące sposobu przetwarzania danych.

Skargę można złożyć elektronicznie przez platformę UODO, listownie lub osobiście w siedzibie urzędu. UODO opublikowało zaktualizowany poradnik dotyczący naruszeń ochrony danych osobowych, w którym szczegółowo opisano procedury zgłaszania incydentów i ocenę ryzyka dla osób, których dane dotyczą.

Dlaczego wyciek danych medycznych jest szczególnie groźny

Dane dotyczące zdrowia należą do tzw. szczególnych kategorii danych osobowych, objętych podwyższonym poziomem ochrony w unijnym rozporządzeniu o ochronie danych (RODO). Ich ujawnienie niesie inne ryzyko niż np. wyciek samego adresu e-mail. Informacje o leczeniu, wizytach w konkretnych poradniach czy przyjmowanych terapiach mogą być wykorzystane do wyłudzeń ukierunkowanych – oszust, który wie, że dana osoba leczy się w określonej placówce, potrafi zbudować wiarygodnie brzmiący scenariusz fałszywego telefonu czy wiadomości.

W przypadku incydentu MyDr eksperci podkreślają, że samo pojawienie się PESEL w wycieku nie oznacza automatycznie, że osoby trzecie poznały też szczegóły medyczne. Informacji o tym, jakie dokładnie dane wyciekły, może udzielić wyłącznie ich administrator – czyli konkretna przychodnia lub gabinet, z którego usług korzystaliśmy. Warto zatem, oprócz sprawdzenia PESEL w portalu rządowym, skontaktować się bezpośrednio z placówką medyczną, aby ustalić zakres incydentu.

Bibliografia

Ministerstwo Cyfryzacji / NASK / CERT Polska, Bezpieczne Dane – strona główna, gov.pl, 2026, https://bezpiecznedane.gov.pl

Ministerstwo Cyfryzacji, Chroń swoje dane z mObywatelem. Zastrzeż numer PESEL w aplikacji, gov.pl, 2026, https://www.gov.pl/web/cyfryzacja/chron-swoje-dane-z-mobywatelem-zastrzez-numer-pesel-w-aplikacji

mObywatel 2.0, Zastrzeż PESEL, gov.pl, 2026, https://www.gov.pl/web/cyfryzacja-badania-i-projektowanie-mobywatel20/zastrzez-pesel

info.mobywatel.gov.pl, Zastrzeż PESEL – usługa, 2026, https://info.mobywatel.gov.pl/uslugi/zastrzez-pesel

Urząd Ochrony Danych Osobowych, Jest już dostępny zaktualizowany poradnik dotyczący naruszeń ochrony danych osobowych, uodo.gov.pl, 2025, https://uodo.gov.pl/pl/138/3561

Biznes.gov.pl (portal administracji rządowej), Zgłoś naruszenie ochrony danych osobowych, 2026, https://www.biznes.gov.pl/pl/portal/ou889

Gmina Mucharz, Portal gov.pl (samorząd), Wyciek danych Polaków. Jak zastrzec swój PESEL?, samorzad.gov.pl, 2026, https://samorzad.gov.pl/web/gmina-mucharz/wyciek-danych-polakow-jak-zastrzec-swoj-pesel