Naruszenie ochrony danych osobowych w systemie MyDr EDM – informacja dla Pacjentów, ich przedstawicieli i osób upoważnionych oraz personelu

Komunikat Sedimed sp. z o.o. z siedzibą w Szczecinie (KRS: 0000940498) dotyczący naruszenia ochrony danych osobowych, do którego doszło w systemach MyDr sp. z o.o. z siedzibą w Warszawie (KRS: 0000704950) – dostawcy systemu elektronicznej dokumentacji medycznej MyDr EDM.

Stan informacji na dzień 22.09.2026 r. Komunikat jest aktualizowany.

WAŻNE: do naruszenia doszło w systemach informatycznych MyDr – zewnętrznego dostawcy oprogramowania – a nie w systemach ani w siedzibie SEDIMED. Za bezpieczeństwo systemu MyDr EDM, w tym za jego utrzymanie i tworzenie kopii zapasowych danych, odpowiada MyDr.

Jeżeli otrzymali Państwo od nas wiadomość SMS – niniejszy komunikat stanowi pełną treść zawiadomienia o naruszeniu ochrony danych osobowych w rozumieniu art. 34 RODO. Wiadomość SMS, ze względu na ograniczenia techniczne, zawiera wyłącznie informację skróconą.

CZĘŚĆ I – KOMUNIKAT

Szanowni Państwo,

informujemy o naruszeniu ochrony danych osobowych, które wystąpiło u dostawcy systemu do zarządzania danymi pacjentów MyDr EDM, tj. w MyDr sp. z o.o. z siedzibą w Warszawie (dalej: MyDr).

Zdarzenie objęło również dane osobowe przetwarzane w systemie przez Sedimed sp. z o.o. (dalej: SEDIMED).

Poniżej przedstawiamy komplet informacji o zdarzeniu: co się stało, kogo i jakich danych dotyczy naruszenie, jakie mogą być jego skutki, co warto zrobić oraz jakie działania podjęliśmy my i jakie podjął MyDr.

Pod komunikatem publikujemy odpowiedzi na najczęściej zadawane pytania (Część II).

Rozumiemy, że sytuacja budzi Państwa niepokój. Traktujemy ją z najwyższą powagą i przepraszamy za związane z nią obawy i niedogodności.

1. Co się stało?

SEDIMED korzysta z systemu MyDr EDM, czyli oprogramowania do prowadzenia elektronicznej dokumentacji medycznej, dostarczanego przez MyDr.

W ramach tej współpracy MyDr udostępnia nam system służący do prowadzenia dokumentacji medycznej oraz obsługi działalności placówki, a także odpowiada za jego utrzymanie, zabezpieczenie i tworzenie kopii zapasowych danych.

MyDr przetwarza w naszym imieniu dane wprowadzane do systemu – na podstawie zawartej umowy powierzenia przetwarzania danych osobowych. MyDr działa jako podmiot przetwarzający (procesor), a administratorem Państwa danych pozostaje SEDIMED.

Z MyDr możecie się Państwo skontaktować mailowo: dane@mydr.pl.

W dniu 2 września 2026 r. otrzymaliśmy od MyDr informację, że systemy MyDr padły ofiarą cyberataku.

Osoby nieuprawnione uzyskały dostęp do baz danych kopii zapasowych systemu MyDr EDM i pozyskały kopię zapasową bazy danych z dnia 12 kwietnia 2024 r.

W wyniku tego zdarzenia doszło do naruszenia poufności Państwa danych osobowych.

Sam cyberatak miał miejsce wcześniej i był komunikowany publicznie w sierpniu 2026 r. Informację pozwalającą ustalić, że incydent objął również dane przetwarzane przez SEDIMED, otrzymaliśmy dopiero na początku września 2026 r. – i niezwłocznie po jej otrzymaniu podjęliśmy działania opisane w dalszej części komunikatu.

Zgodnie z informacjami przekazanymi przez MyDr, incydent został opanowany, a system MyDr EDM jest zabezpieczony i działa bez zastrzeżeń.

Na moment publikacji niniejszego komunikatu nie stwierdzono, aby dane objęte incydentem zostały wykorzystane lub publicznie udostępnione.

2. Gdzie doszło do naruszenia i kto za nie odpowiada?

Do naruszenia doszło w systemach MyDr – po stronie zewnętrznego dostawcy oprogramowania – a nie w systemach informatycznych ani w siedzibie SEDIMED.

Sprawcami zdarzenia są osoby nieuprawnione, które dokonały ataku na infrastrukturę MyDr.

Zgodnie z zawartą umową powierzenia przetwarzania danych oraz art. 28 i 32 RODO, to MyDr jako podmiot przetwarzający odpowiada za bezpieczeństwo systemu MyDr EDM, w tym za stosowane w nim środki techniczne i organizacyjne oraz za zabezpieczenie kopii zapasowych, w których znajdowały się Państwa dane.

SEDIMED pozostaje administratorem Państwa danych i to na nas spoczywa obowiązek poinformowania Państwa o zdarzeniu, zgłoszenia naruszenia organowi nadzorczemu oraz obsługi Państwa pytań i wniosków – i te obowiązki wykonujemy.

Informacje o przebiegu incydentu i działaniach podjętych po stronie dostawcy MyDr publikuje w komunikacie „MyDr – Informacja dla pacjentów” pod adresem: https://pacjent.mydr.pl/.

3. Kogo dotyczy naruszenie?

Naruszenie dotyczy danych osobowych wprowadzonych do systemu MyDr EDM przed 12 kwietnia 2024 r., a w nielicznych przypadkach także danych zawartych w anulowanych skierowaniach na badania medyczne wystawionych po tej dacie.

Naruszenie objęło dane osobowe następujących kategorii osób, których dane były przetwarzane przez SEDIMED w systemie:

1. pacjentów;
2. przedstawicieli prawnych pacjentów oraz osób upoważnionych do wglądu w dokumentację medyczną pacjenta;
3. personelu placówki.

Osoby, których dane zostały objęte naruszeniem i których danymi kontaktowymi dysponujemy, zawiadamiamy indywidualnie – wiadomością e-mail, listem lub wiadomością SMS.

Niniejszy komunikat kierujemy do wszystkich wymienionych wyżej grup; stanowi on także zawiadomienie dla osób, z którymi nie mamy możliwości skontaktowania się indywidualnie.

Jeżeli chcą Państwo potwierdzić, czy naruszenie dotyczy Państwa danych, albo poznać dokładny zakres danych dotyczących Państwa osoby przetwarzanych w systemie MyDr EDM – prosimy o kontakt:

Adres e-mail: rodo@sedimed.pl
Numer telefonu: +48 699 570 507

Ze względu na charakter zdarzenia weryfikujemy tożsamość osób, które się z nami kontaktują, w sposób wzmocniony. Prosimy o wyrozumiałość – służy to ochronie Państwa danych.

4. Jakiego zakresu danych dotyczy naruszenie?

Zakres danych objętych naruszeniem różni się w zależności od kategorii osób, a także od tego, jakie informacje zostały podane przy rejestracji i w toku leczenia lub współpracy.

Poniżej wskazujemy pełny katalog kategorii danych, które mogły zostać objęte naruszeniem – nie każda z nich dotyczy każdej osoby.

PACJENCI

• imię i nazwisko,
• adres zamieszkania,
• dane kontaktowe,
• numer PESEL,
• dane dotyczące zdrowia zawarte w dokumentacji medycznej prowadzonej w systemie MyDr EDM,
• dane dotyczące ubezpieczenia społecznego (jeżeli zostały podane),
• informacje dotyczące pracodawcy oraz inne dane umożliwiające identyfikację (jeżeli zostały podane).

PRZEDSTAWICIELE PRAWNI PACJENTÓW I OSOBY UPOWAŻNIONE

• imię i nazwisko,
• adres zamieszkania,
• dane kontaktowe,
• numer PESEL,
• informacja o stopniu pokrewieństwa lub rodzaju relacji z pacjentem.

PERSONEL SEDIMED

• imię i nazwisko,
• numer PESEL (personel medyczny),
• numer prawa wykonywania zawodu (PWZ) (personel medyczny),
• specjalizacja lub wykonywany zawód (personel medyczny),
• harmonogram pracy i pełniona funkcja (jeżeli zostały podane).

Jeżeli są Państwo jednocześnie pacjentem SEDIMED oraz przedstawicielem prawnym lub osobą upoważnioną w odniesieniu do innego pacjenta, naruszenie może obejmować Państwa dane w obu wskazanych zakresach – w takim przypadku otrzymają Państwo od nas odrębne zawiadomienie skierowane do pacjentów.

Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych, objętych wzmożoną ochroną prawną oraz tajemnicą medyczną. Z tego względu podchodzimy do zdarzenia z najwyższą ostrożnością.

5. Jakie mogą być skutki naruszenia?

Na moment publikacji niniejszego komunikatu, zgodnie z informacjami przekazanymi przez MyDr, nie stwierdzono okoliczności sugerujących, aby Państwa dane osobowe zostały wykorzystane lub ujawnione w sposób nieuprawniony.

Z daleko idącej ostrożności wskazujemy jednak, że następstwem zdarzenia mogłoby być:

1. kradzież lub sfałszowanie tożsamości poprzez uzyskanie przez osoby trzecie kredytów w instytucjach pozabankowych (przez Internet lub telefonicznie, bez konieczności okazywania dokumentu tożsamości);
2. wyłudzenie ubezpieczenia lub środków z ubezpieczenia, co może wiązać się z próbą przypisania Państwu odpowiedzialności za dokonanie takiego oszustwa;
3. podjęcie przez osoby trzecie próby zawarcia na Państwa szkodę umów cywilnoprawnych, np. najmu nieruchomości;
4. wykorzystanie Państwa danych przez osoby trzecie w celu ukrycia własnej tożsamości, np. przy otrzymywaniu mandatu;
5. kierowanie do Państwa spersonalizowanych wiadomości wyłudzających (tzw. spear phishing) lub prób szantażu z wykorzystaniem wiedzy o stanie zdrowia albo o korzystaniu z określonych świadczeń – Państwa lub Państwa bliskich;
6. próby oszustwa polegające na kontakcie z Państwem lub Państwa bliskimi i oferowaniu alternatywnych metod leczenia zdiagnozowanych chorób, usług pseudomedycznych lub terapeutycznych;
7. naruszenie dóbr osobistych lub dyskryminację – z uwagi na to, że naruszenie objęło również dane dotyczące zdrowia, czyli dane szczególnej kategorii;
8. w przypadku personelu medycznego – podszywanie się pod Państwa z wykorzystaniem numeru prawa wykonywania zawodu (PWZ), np. przy próbach wystawiania recept lub innej dokumentacji medycznej, co może wiązać się z próbą przypisania Państwu odpowiedzialności za takie działania.

6. Co warto zrobić teraz? Zalecane działania

W celu zminimalizowania ewentualnych negatywnych skutków naruszenia zalecamy zachowanie szczególnej ostrożności, a w szczególności:

1. bezpłatne zastrzeżenie numeru PESEL:
   • w aplikacji mObywatel;
   • na stronie rządowej mobywatel.gov.pl;
   • osobiście w dowolnym urzędzie gminy;

   przy czym zwracamy uwagę, że instytucje finansowe (takie jak banki) są zobowiązane do weryfikowania statusu zastrzeżenia numeru PESEL przy zawieraniu umów wymagających potwierdzenia tożsamości, co stanowi dodatkowy mechanizm ochrony przed nieuprawnionym wykorzystaniem danych osobowych;

2. skorzystanie z usługi Alert BIK, aby monitorować aktywność związaną z danymi kredytowymi;
3. sprawdzenie swoich danych w rządowym serwisie bezpiecznedane.gov.pl;
4. zachowanie czujności w przypadku otrzymania nieoczekiwanej korespondencji od osób trzecich powołujących się na wiedzę o Państwa badaniach, leczeniu lub dokumentacji medycznej – w szczególności jeżeli proponują skorzystanie z oferowanych przez nie usług medycznych, pseudomedycznych lub terapeutycznych;
5. ignorowanie nieoczekiwanych wiadomości, zwłaszcza od nieznanych nadawców, za pośrednictwem których nieuprawnione podmioty mogą próbować wyłudzić dodatkowe informacje, podając się za oficjalne źródło w związku z naruszeniem danych (tzw. phishing);
6. zachowanie ostrożności przy potwierdzaniu tożsamości numerem PESEL w innych podmiotach oraz przy próbach uzyskania od Państwa „potwierdzenia danych” przez telefon – co do zasady żadna placówka medyczna ani urząd nie powinny prosić o podanie pełnych danych w odpowiedzi na nieoczekiwany kontakt;
7. rozważenie zmiany danych, które uległy ujawnieniu, w zakresie, w jakim jest to możliwe (np. numeru telefonu lub adresu e-mail);
8. powiadomienie o możliwym wycieku danych instytucji finansowych, które mogą zaproponować dodatkową ochronę lub monitorowanie konta;
9. rozważenie poinformowania innych placówek medycznych, w których korzystają Państwo ze świadczeń, że osoby trzecie mogą próbować wykorzystać Państwa numer PESEL w celu przejścia procesu autoryzacji;
10. zgłoszenie sprawy na Policję w przypadku podejrzenia, że Państwa dane zostały wykorzystane niezgodnie z prawem – informacje o sposobie zgłoszenia znajdują się pod adresem: https://www.gov.pl/web/gov/zglos-przestepstwo;
11. rozważenie skorzystania ze środków ochrony dóbr osobistych przewidzianych w Kodeksie cywilnym i Kodeksie postępowania cywilnego (powództwo o zadośćuczynienie lub odszkodowanie za naruszenie dóbr osobistych);
12. skorzystanie ze wsparcia psychologicznego w sytuacjach silnego stresu lub niepokoju.

7. Uwaga na próby podszywania się pod naszą placówkę

Nigdy – w wiadomości SMS, e-mail ani przez telefon – nie prosimy o podanie numeru PESEL w celu „weryfikacji wycieku”, hasła, kodu z wiadomości SMS ani danych karty płatniczej.

Nie wysyłamy również wiadomości z linkami do logowania ani z żądaniem opłaty.

Wiadomości SMS wysyłane przez nas w związku z naruszeniem zawierają wyłącznie krótką informację i odesłanie do niniejszego komunikatu oraz do adresu kontaktowego rodo@sedimed.pl.

Jeżeli otrzymają Państwo wiadomość lub telefon rzekomo od naszej placówki, który wykracza poza ten zakres – prosimy nie podawać żadnych danych i zgłosić to nam. Pozwoli nam to ostrzec pozostałe osoby.

Informacje o zdarzeniu publikujemy wyłącznie na naszej oficjalnej stronie internetowej: www.sedimed.pl/mydr.

8. Jakie działania podjął SEDIMED?

Zgodnie z obowiązkiem prawnym ciążącym na SEDIMED naruszenie zostało zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych.

Kolejnym krokiem jest skierowanie do Państwa zawiadomień indywidualnych oraz publikacja niniejszego komunikatu.

Ponadto, SEDIMED:

1. pozostaje w stałym kontakcie z MyDr w celu uzyskania pełnych informacji o okolicznościach i zakresie naruszenia, w tym wystąpił do MyDr o szczegółowe informacje o przyczynach, przebiegu i skutkach incydentu;
2. dokonał przeglądu umowy powierzenia przetwarzania danych osobowych zawartej z MyDr;
3. wprowadził dodatkową weryfikację tożsamości pacjentów, przedstawicieli ustawowych i osób upoważnionych przy rejestracji telefonicznej oraz przy udostępnianiu dokumentacji medycznej – tak aby samo podanie numeru PESEL nie wystarczało do uzyskania informacji o leczeniu;
4. uruchomił dedykowany kanał kontaktu dla osób, których dane zostały objęte naruszeniem;
5. opublikował niniejszy komunikat wraz z odpowiedziami na najczęściej zadawane pytania na stronie www.sedimed.pl/mydr i będzie go aktualizował.

9. Jakie działania podjął MyDr?

Zgodnie z informacjami przekazanymi nam przez MyDr, w celu ograniczenia negatywnych skutków ataku MyDr – jako podmiot, w którego systemach doszło do naruszenia – podjął następujące działania:

1. opanował i zakończył incydent oraz wdrożył dodatkowe środki techniczne i organizacyjne mające zapobiegać podobnym incydentom w przyszłości;
2. zaangażował wyspecjalizowaną firmę z zakresu cyberbezpieczeństwa w celu przeprowadzenia szczegółowej analizy incydentu;
3. zgłosił incydent Centralnemu Biuru Zwalczania Cyberprzestępczości Policji i współpracuje z tą jednostką;
4. współpracuje z Ministerstwem Cyfryzacji, Centrum e-Zdrowia, CSIRT NASK oraz CSIRT Centrum e-Zdrowia;
5. współpracuje z Urzędem Ochrony Danych Osobowych;
6. kontynuuje monitoring swoich systemów w celu wykrycia ewentualnych skutków incydentu i niezwłocznego reagowania na pojawiające się zagrożenia;
7. prowadzi stały monitoring Internetu w celu ustalenia, czy dane objęte incydentem zostały upublicznione.

Więcej informacji na temat przebiegu incydentu i działań podjętych przez MyDr znajdą Państwo w komunikacie „MyDr – Informacja dla pacjentów”, dostępnym pod adresem: https://pacjent.mydr.pl/.

10. Co robimy, aby taka sytuacja nie powtórzyła się w przyszłości?

SEDIMED traktuje bezpieczeństwo danych osobowych priorytetowo, dlatego w związku z incydentem podejmujemy działania mające na celu dodatkowe wzmocnienie ochrony danych.

Weryfikujemy rozwiązania stosowane przez naszych dostawców oraz zaostrzamy kryteria wyboru i weryfikacji podmiotów, którym powierzamy przetwarzanie danych osobowych – w szczególności dostawców systemów informatycznych wykorzystywanych do prowadzenia dokumentacji medycznej.

Przy wyborze takich podmiotów szczególną uwagę zwracamy na stosowane przez nie środki bezpieczeństwa; preferowane są podmioty posiadające certyfikaty w zakresie bezpieczeństwa informacji (np. ISO/IEC 27001).

Ponadto dokonujemy przeglądu umów powierzenia przetwarzania danych zawartych z naszymi dostawcami oraz wzmacniamy zasady weryfikacji tożsamości osób kontaktujących się z naszą placówką.

11. Jakie prawa Państwu przysługują?

Przysługuje Państwu prawo dostępu do swoich danych osobowych, w tym prawo do uzyskania informacji o zakresie danych przetwarzanych przez SEDIMED w systemie MyDr EDM, a także prawo do sprostowania danych, ograniczenia przetwarzania oraz – w zakresie przewidzianym przepisami – sprzeciwu i usunięcia danych.

Zwracamy uwagę, że dokumentacja medyczna podlega obowiązkowi przechowywania przez okres wskazany w przepisach prawa i w tym zakresie nie może zostać usunięta.

W związku z naruszeniem przysługuje Państwu również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Moniuszki 1A, 00-014 Warszawa) oraz – na zasadach określonych w art. 82 RODO – prawo dochodzenia odszkodowania przed sądem.

12. Gdzie mogą Państwo uzyskać więcej informacji?

W przypadku jakichkolwiek pytań lub chęci przekazania nam dodatkowych informacji w związku z zaistniałym zdarzeniem prosimy o kontakt z naszym Inspektorem Ochrony Danych lub zespołem powołanym do obsługi naruszenia:

Inspektor Ochrony Danych – Roksana Lejpamer

Adres e-mail: rodo@sedimed.pl
Numer telefonu: +48 699 570 507

Jeżeli powezmą Państwo informację o wykorzystaniu Państwa danych przez osobę nieuprawnioną, prosimy o jak najszybsze przekazanie nam tej informacji.

Z uwagi na dynamikę zdarzenia dalsze aktualizacje będą publikowane na naszej stronie internetowej: www.sedimed.pl/mydr.

13. Adnotacja prawna

Przekazana informacja stanowi realizację obowiązku wynikającego z art. 34 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; RODO).

Dla osób, które otrzymały od nas wiadomość SMS, oraz dla osób, z którymi nie mamy możliwości kontaktu indywidualnego, niniejszy komunikat stanowi pełną treść zawiadomienia o naruszeniu ochrony danych osobowych.

Z wyrazami szacunku

Sedimed sp. z o.o.

CZĘŚĆ II – NAJCZĘŚCIEJ ZADAWANE PYTANIA (FAQ)

Poniżej odpowiadamy na pytania, które najczęściej zadają Państwo w związku ze zdarzeniem. Lista będzie uzupełniana.

Jeżeli nie znajdą tu Państwo odpowiedzi – prosimy o kontakt: rodo@sedimed.pl, tel. +48 699 570 507.

O ZDARZENIU

1. Czy dane wyciekły z Państwa przychodni?

Nie.

Do naruszenia doszło w systemach informatycznych MyDr – firmy, która dostarcza nam system do prowadzenia elektronicznej dokumentacji medycznej – a nie w systemach ani w siedzibie SEDIMED.

Osoby nieuprawnione uzyskały dostęp do baz kopii zapasowych systemu MyDr EDM i pozyskały kopię bazy danych z 12 kwietnia 2024 r.

Za bezpieczeństwo tego systemu i kopii zapasowych odpowiada MyDr.

2. Skoro dane wyciekły u MyDr, dlaczego to Państwo mnie informują?

Ponieważ to SEDIMED jest administratorem Państwa danych – MyDr przetwarza je w naszym imieniu jako podmiot przetwarzający.

Obowiązek zawiadomienia osób, których dane dotyczą, oraz zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych spoczywa na administratorze.

Nie zmienia to faktu, że samo zdarzenie nastąpiło w systemach dostawcy.

3. Kto ponosi odpowiedzialność za to zdarzenie?

Bezpośrednią przyczyną zdarzenia było przestępcze działanie osób trzecich wymierzone w infrastrukturę MyDr.

Za bezpieczeństwo systemu MyDr EDM, w tym za środki techniczne i organizacyjne oraz zabezpieczenie kopii zapasowych, odpowiada MyDr jako podmiot przetwarzający (art. 28 i 32 RODO).

4. Kiedy dowiedzieli się Państwo o naruszeniu?

Informację pozwalającą ustalić, że incydent objął również dane przetwarzane przez SEDIMED, otrzymaliśmy od MyDr na początku września 2026 r.

Sam cyberatak miał miejsce wcześniej i był komunikowany publicznie w sierpniu 2026 r., jednak wcześniej nie dysponowaliśmy potwierdzeniem, że dotyczy on danych naszych pacjentów.

5. Czy system, z którego Państwo korzystają, jest teraz bezpieczny?

Zgodnie z informacjami przekazanymi przez MyDr incydent został opanowany i zakończony, przyczyna usunięta, a system MyDr EDM jest zabezpieczony i działa bez zastrzeżeń.

Niezależnie od tego prowadzimy przegląd umowy powierzenia i zabezpieczeń stosowanych przez dostawcę oraz zaostrzyliśmy kryteria weryfikacji podmiotów, którym powierzamy dane.

CZY DOTYCZY TO MNIE

6. Otrzymałam/otrzymałem SMS od SEDIMED – czy to na pewno wiadomość od Państwa?

Nasze wiadomości SMS zawierają wyłącznie krótką informację o naruszeniu u dostawcy systemu MyDr, zalecenie zastrzeżenia numeru PESEL i zachowania ostrożności oraz odesłanie do tego komunikatu i do adresu rodo@sedimed.pl.

Nie prosimy w nich o podanie numeru PESEL, hasła, kodu SMS ani danych karty płatniczej i nie wysyłamy linków do logowania.

Wiadomość wykraczająca poza ten zakres nie pochodzi od nas.

TREŚĆ WIADOMOŚCI SMS:

SEDIMED: u dostawcy systemu MyDr doszło do naruszenia ochrony danych osobowych. Mogło objąć Pani/Pana dane, w tym PESEL i dane o zdrowiu. Zalecamy zastrzeżenie PESEL (mObywatel, urząd gminy) i ostrożność wobec podejrzanych wiadomości. Więcej: sedimed.pl/mydr. Pytania: rodo@sedimed.pl.

7. Dlaczego wiadomość SMS jest tak krótka?

Wiadomość SMS ma ograniczoną liczbę znaków i nie pomieści pełnej informacji wymaganej przepisami.

Dlatego pełną treść zawiadomienia publikujemy w niniejszym komunikacie – dla osób, które otrzymały SMS, to właśnie ten komunikat stanowi kompletne zawiadomienie o naruszeniu.

8. Nie otrzymałam/otrzymałem żadnej wiadomości. Czy to znaczy, że mnie to nie dotyczy?

Niekoniecznie.

Zawiadomienia indywidualne kierujemy do osób, których danymi kontaktowymi dysponujemy.

Jeżeli w systemie nie było Państwa aktualnego numeru telefonu ani adresu e-mail, wiadomość mogła nie dotrzeć.

Prosimy o kontakt – potwierdzimy, czy naruszenie dotyczy Państwa danych:

E-mail: rodo@sedimed.pl
Telefon: +48 699 570 507

9. Byłam/byłem u Państwa pacjentem tylko raz, kilka lat temu. Czy to mnie dotyczy?

Naruszenie obejmuje dane wprowadzone do systemu MyDr EDM przed 12 kwietnia 2024 r. – również dane archiwalne.

Jednorazowa wizyta w tym okresie mogła oznaczać wprowadzenie Państwa danych do systemu.

Prosimy o kontakt, jeżeli chcą Państwo to potwierdzić:

E-mail: rodo@sedimed.pl
Telefon: +48 699 570 507

10. Jestem przedstawicielem ustawowym dziecka – co z danymi mojego dziecka?

Naruszenie mogło objąć zarówno dane pacjenta (dziecka), jak i Państwa dane jako przedstawiciela prawnego – w tym imię, nazwisko, adres, dane kontaktowe, numer PESEL oraz informację o rodzaju relacji z pacjentem.

Zalecenia opisane w komunikacie warto zastosować odpowiednio także do danych dziecka, w szczególności zastrzeżenie numeru PESEL dziecka.

11. Jestem/byłem członkiem personelu SEDIMED – czy moje dane też zostały objęte?

Tak, naruszenie objęło również dane personelu.

W przypadku personelu medycznego mogło obejmować imię i nazwisko, numer PESEL, numer prawa wykonywania zawodu (PWZ), specjalizację lub wykonywany zawód, a także harmonogram pracy i pełnioną funkcję.

Szczegółowe zalecenia otrzymali Państwo w odrębnym zawiadomieniu.

ZAKRES DANYCH I RYZYKO

12. Jakie dokładnie moje dane zostały objęte naruszeniem?

Zakres zależy od tego, jakie informacje zostały wprowadzone do systemu przy rejestracji i w toku leczenia.

Pełny katalog kategorii wskazaliśmy w tabeli w Części I.

Jeżeli chcą Państwo poznać zakres danych dotyczący konkretnie Państwa osoby – prosimy o kontakt:

E-mail: rodo@sedimed.pl
Telefon: +48 699 570 507

13. Czy wyciekła moja dokumentacja medyczna – wyniki badań, rozpoznania, recepty?

Naruszenie objęło dane dotyczące zdrowia zawarte w dokumentacji medycznej prowadzonej w systemie MyDr EDM w zakresie, w jakim były tam przetwarzane przed 12 kwietnia 2024 r., a w nielicznych przypadkach także dane z anulowanych skierowań na badania wystawionych po tej dacie.

Zakres jest indywidualny – potwierdzimy go na Państwa wniosek:

E-mail: rodo@sedimed.pl
Telefon: +48 699 570 507

14. Czy moje dane są dostępne w internecie lub w darknecie?

Zgodnie z informacjami przekazanymi przez MyDr, prowadzony przez tę spółkę monitoring nie wykazał dotychczas przypadków publicznego udostępnienia danych objętych incydentem.

SEDIMED nie ma możliwości samodzielnej weryfikacji tej informacji.

15. Czy wyciekło moje hasło do konta pacjenta?

Nie otrzymaliśmy od MyDr informacji, aby naruszenie objęło hasła lub inne dane uwierzytelniające.

Niezależnie od tego zalecamy – jako dobrą praktykę – niepowtarzanie tych samych haseł w różnych serwisach oraz włączenie logowania dwuskładnikowego w bankowości elektronicznej i poczcie.

16. Czy ktoś może wystawić receptę na moje dane albo skorzystać z leczenia jako ja?

Nie możemy wykluczyć prób podszycia się pod Państwa z wykorzystaniem numeru PESEL.

Dlatego zalecamy zastrzeżenie numeru PESEL i ostrożność przy potwierdzaniu tożsamości przez telefon, a także rozważenie poinformowania innych placówek, w których korzystają Państwo ze świadczeń.

W naszej placówce sam numer PESEL nie wystarczy już do uzyskania informacji o leczeniu.

CO ROBIĆ

17. Co powinnam/powinienem zrobić w pierwszej kolejności?

Przede wszystkim zastrzec numer PESEL – w aplikacji mObywatel, na stronie mobywatel.gov.pl, w banku lub w urzędzie gminy.

Następnie zachować szczególną ostrożność wobec nieoczekiwanych wiadomości i telefonów dotyczących zdrowia, recept, badań, dopłat lub „weryfikacji danych”.

Pełną listę zaleceń zawiera Część I komunikatu.

18. Czy zastrzeżenie numeru PESEL utrudni mi korzystanie z leczenia lub załatwianie spraw?

Nie.

Zastrzeżenie numeru PESEL dotyczy przede wszystkim zawierania umów wymagających potwierdzenia tożsamości, np. kredytów i pożyczek.

Nie ogranicza korzystania ze świadczeń zdrowotnych, a samo zastrzeżenie można w każdej chwili czasowo cofnąć.

19. Czy sprawdzę swoje dane w rządowym serwisie?

Tak, zachęcamy do sprawdzenia serwisu bezpiecznedane.gov.pl.

20. Otrzymałam/otrzymałem podejrzaną wiadomość lub telefon „z przychodni”. Co robić?

Prosimy nie podawać żadnych danych, nie klikać w linki i nie potwierdzać numeru PESEL.

Prosimy zachować wiadomość lub numer telefonu i zgłosić to nam:

rodo@sedimed.pl

W razie podejrzenia przestępstwa można zgłosić sprawę Policji: https://www.gov.pl/web/gov/zglos-przestepstwo, a incydent także do CERT Polska.

PRAWA I ROSZCZENIA

21. Czy mogę dowiedzieć się, jakie dokładnie dane mnie dotyczące były przetwarzane w systemie?

Tak.

Mają Państwo prawo dostępu do danych.

Wniosek prosimy kierować na adres rodo@sedimed.pl.

Odpowiadamy niezwłocznie, jednak ze względu na dużą liczbę otrzymywanych wiadomości czas odpowiedzi może być wydłużony.

Uprzejmie prosimy o cierpliwość.

Ze względu na bezpieczeństwo wniosek wymaga potwierdzenia tożsamości.

22. Czy mogę żądać usunięcia moich danych?

Mogą Państwo złożyć taki wniosek, jednak dokumentacja medyczna podlega obowiązkowi przechowywania przez okres wskazany w przepisach o prawach pacjenta i w tym zakresie nie może zostać usunięta.

Każdy wniosek rozpatrujemy indywidualnie.

23. Czy mogę złożyć skargę do organu nadzorczego?

Tak.

Skargę można wnieść do Prezesa Urzędu Ochrony Danych Osobowych:

ul. Moniuszki 1A
00-014 Warszawa

Naruszenie zostało przez nas zgłoszone temu organowi.

24. Czy przysługuje mi odszkodowanie?

Na podstawie art. 82 RODO każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów RODO, ma prawo uzyskać od podmiotu odpowiedzialnego, tj. administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.

Na obecną chwilę nie wykryto żadnych podejrzanych działań, które mogłyby spowodować szkodę u osób objętych wyciekiem danych.

SEDIMED wskazuje, że do ataku hackerskiego doszło na serwerach zarządzanych przez MyDr, czego skutkiem był wyciek danych osobowych z placówek medycznych w całej Polsce, w tym naszej.

Podkreślamy, że do ataku nie doszło na serwerach zarządzanych przez SEDIMED.

GDZIE SZUKAĆ INFORMACJI

25. Gdzie znajdę aktualne informacje o sprawie?

Aktualizacje publikujemy na naszej stronie internetowej:

www.sedimed.pl/mydr

Informacje dotyczące samego incydentu po stronie dostawcy MyDr publikuje w komunikacie „MyDr – Informacja dla pacjentów” pod adresem:

https://pacjent.mydr.pl/

26. Czy nadal mogę umawiać się na wizyty i korzystać z Państwa usług?

Tak.

Placówka pracuje normalnie, a system działa bez zakłóceń.

Prosimy jedynie o wyrozumiałość wobec wzmocnionej weryfikacji tożsamości przy rejestracji telefonicznej i przy wydawaniu dokumentacji medycznej – wprowadziliśmy ją, aby chronić Państwa dane.