Wyciek danych MyDr — pomoc prawna

Jeśli Twoja placówka prowadziła dokumentację medyczną w systemie MyDr EDM — teraz lub w przeszłości — incydent z sierpnia 2026 r. dotyczy Ciebie jako administratora danych pacjentów. Według komunikatów UODO z usług MyDr mogło korzystać około 12 tys. podmiotów leczniczych, a skala wycieku według doniesień medialnych obejmuje dane około 19 mln osób.

Kancelaria KAM MedLex pomaga placówkom medycznym w całej Polsce przejść przez obowiązki wynikające z RODO. Zajmujemy się wszystkim — od pierwszej analizy powiadomienia od dostawcy aż po ewentualną kontrolę Prezesa UODO i roszczenia pacjentów.

Dlaczego odpowiedzialność spoczywa na placówce, a nie tylko na MyDr?

Na gruncie RODO to placówka medyczna jest administratorem danych pacjentów, a MyDr był podmiotem przetwarzającym. Powierzenie przetwarzania co do zasady nie przenosi odpowiedzialności na dostawcę. Prezes UODO przypomniał, że każdy administrator osobno przeprowadza własną analizę ryzyka i ma najwyżej 72 godziny na zgłoszenie od stwierdzenia naruszenia. Zapewnienia dostawcy, że pomoże w zgłoszeniach, nie zwalniają placówki z tych obowiązków.

Dodatkowo Prezes UODO zapowiedział, że jeszcze przed końcem 2026 roku zaostrzone kontrole obejmą kolejne placówki sektora ochrony zdrowia.

Nie korzystasz już z MyDr? Incydent może Cię nadal dotyczyć

Wiele placówek, które zmieniły system kilka lat temu, otrzymuje dziś powiadomienia o naruszeniu. Dane archiwalne pacjentów mogły pozostać w środowisku dostawcy. Pomagamy ustalić, czy umowa powierzenia przewidywała usunięcie lub zwrot danych po jej zakończeniu i jakie obowiązki ciążą na placówce w takiej sytuacji.

Zakres usługi

• Analiza i ocena ryzyka. Weryfikujemy treść powiadomień od MyDr, zakres danych objętych incydentem i przeprowadzamy ocenę ryzyka naruszenia praw pacjentów.
• Zgłoszenie do UODO. Przygotowujemy zgłoszenie naruszenia ochrony danych (art. 33 RODO) albo jego uzupełnienie, jeśli zgłoszenie wstępne zostało już złożone.
• Zawiadomienie pacjentów. Opracowujemy treść zawiadomień indywidualnych (art. 34 RODO) oraz komunikat na stronę internetową placówki — zrozumiały i niebudzący niepotrzebnego niepokoju.
• Dokumentacja naruszenia. Prowadzimy rejestr i dokumentację incydentu wymaganą przez art. 33 ust. 5 RODO — to pierwszy dokument, o który zapyta kontroler.
• Przygotowanie do kontroli UODO. Przeglądamy umowę powierzenia, rejestr czynności przetwarzania, analizę ryzyka i procedury; wskazujemy luki i pomagamy je uzupełnić przed kontrolą.
• Obsługa pytań, skarg i roszczeń pacjentów. Przygotowujemy odpowiedzi na żądania pacjentów, reprezentujemy placówkę w sporach o odszkodowanie (art. 82 RODO) i analizujemy możliwość dochodzenia regresu od dostawcy.
• Działania naprawcze i zmiana systemu. Weryfikujemy umowę z nowym dostawcą EDM, doradzamy przy migracji dokumentacji i szkolimy personel, m.in. z rozpoznawania phishingu podszywającego się pod placówkę.

Dla kogo?

Usługa jest dla podmiotów leczniczych i praktyk zawodowych, które korzystały z MyDr EDM: przychodni POZ, poradni specjalistycznych, klinik medycyny estetycznej, gabinetów stomatologicznych, fizjoterapeutycznych i psychologicznych, laboratoriów oraz praktyk lekarskich i pielęgniarskich.

Jak pracujemy?

Obsługujemy placówki z całej Polski zdalnie: dokumenty przekazujesz elektronicznie, a konsultacje odbywają się online lub telefonicznie. W Lublinie spotykamy się także stacjonarnie.

Kancelaria łączy prawo medyczne i ochronę danych osobowych z praktyczną znajomością systemów dokumentacji medycznej. Radca prawny Kamila Anioł uczestniczyła we wdrożeniu elektronicznej dokumentacji medycznej w jednej z największych sieci medycznych w Polsce i od kilkunastu lat pracuje jako analityk rozwoju oprogramowania dla gabinetów lekarskich. Pełni też funkcję inspektora ochrony danych w podmiotach leczniczych.

Zastrzeżenie

Kancelaria KAM MedLex nie jest powiązana z MyDr sp. z o.o. Nazwa systemu została użyta wyłącznie w celu opisania zakresu usługi.