Co każdy powinien zrobić po wielkim wycieku danych medycznych? Wyjaśniamy

Dane medyczne należą do szczególnych kategorii danych osobowych. Hasło można zmienić, kartę płatniczą zastrzec, a konto czasowo zablokować. Informacji o diagnozie, leczeniu psychiatrycznym, ciąży, uzależnieniu, przyjmowanych lekach czy historii badań nie da się w podobny sposób wymienić na nowe. Jeżeli trafiły poza kontrolę administratora, mogą zachować znaczenie przez lata.

Najważniejsze teraz jest ustalenie, co rzeczywiście znalazło się w zbiorze dotyczącym konkretnej osoby. Inaczej reaguje się na ujawnienie adresu e-mail, inaczej na PESEL, a jeszcze inaczej na dane logowania, dokumentację medyczną lub informacje o karcie. Zmiana wszystkich haseł w panice nie zastąpi zastrzeżenia PESEL, kontaktu z bankiem ani ostrożności wobec telefonu od rzekomej przychodni. Dokładna kolejność działań znajduje się na końcu artykułu.

Co wiadomo o 19 mln rekordów, a czego jeszcze nie wiadomo

MyDr, system należący do właściciela platformy ZnanyLekarz.pl oto narzędzie do prowadzenia elektronicznej dokumentacji medycznej oraz kont zapewniających pacjentom dostęp między innymi do wizyt, e-recept, wyników badań i historii medycznej. Firma podaje też, że jej system EDM jest wykorzystywany w ponad 10 tys. przychodni. Te informacje pokazują znaczenie platformy, ale nie są dowodem, że incydent objął wszystkie dane przechowywane przez system lub wszystkie placówki.

W liczbie 19 mln rekordów, które wyciekły przed tygodniem z platformy mogą mieścić się rekordy różnego rodzaju. Rekordem bywa pojedynczy wiersz bazy, dokument, wpis w historii, wynik badania albo zdarzenie systemowe. Jedna osoba może odpowiadać za kilka, kilkadziesiąt, a czasem znacznie więcej takich pozycji. Dlatego nagłówek „19 mln rekordów” nie pozwala odpowiedzieć na trzy podstawowe pytania:

• 1. Ilu unikalnych pacjentów dotyczy zdarzenie?
• 2. Jakie dokładnie kategorie danych ujawniono?
• 3. Czy dane zostały jedynie udostępnione nieuprawnionej osobie, rzeczywiście pobrane, opublikowane, czy zaoferowane do sprzedaży?

Dopóki administrator lub właściwe instytucje nie przedstawią ustaleń, odpowiedzialny opis powinien oddzielać fakt incydentu i zgłaszaną wielkość zbioru od przypuszczeń o liczbie ofiar. Nie wolno też zakładać, że każda funkcja dostępna w MyDr odpowiada kategorii danych obecnej w wycieku.

Osoba, której dane mogły zostać naruszone, powinna sprawdzić, czy otrzymała indywidualne zawiadomienie od administratora, oraz szukać komunikatu na jego oficjalnej stronie. Przy wysokim ryzyku dla praw lub wolności człowieka zawiadomienie powinno prostym językiem opisywać charakter naruszenia, możliwe konsekwencje, środki zaradcze oraz punkt kontaktowy.[3] Wiadomości o incydencie nie należy jednak traktować automatycznie jako autentycznej. Przestępcy często wykorzystują głośne wycieki do rozsyłania fałszywych „powiadomień bezpieczeństwa”.

Dlaczego wyciek danych o zdrowiu jest groźniejszy niż samych adresów e-mail

RODO zalicza informacje o zdrowiu do szczególnych kategorii danych. Urząd Ochrony Danych Osobowych podkreśla, że ich ujawnienie może wiązać się z wysokim ryzykiem dla praw i wolności osoby, zwłaszcza gdy pozwalają ją łatwo zidentyfikować albo łączą się z numerem PESEL, adresem i danymi kontaktowymi.

Problem nie polega wyłącznie na intymności pojedynczej diagnozy. Dużą wartość ma możliwość łączenia zbiorów. Numer telefonu z jednego wycieku, adres z drugiego, PESEL z trzeciego i informacja o leczeniu z czwartego tworzą profil znacznie dokładniejszy niż każdy z tych elementów osobno.

- Dane przejęte w jednym incydencie nie muszą funkcjonować jako odrębna baza. Mogą zostać zestawione z informacjami zdobytymi wcześniej, a taki połączony zestaw pozwala znacznie dokładniej poznać potencjalną ofiarę. Szczególną kategorią są informacje związane ze zdrowiem, ponieważ nie możemy ich później zmienić tak jak hasła czy numeru karty - mówi Beniamin Szczepankiewicz, analityk cyberzagrożeń w ESET.

Trzeba przy tym zachować proporcje. Sam fakt ujawnienia danych nie oznacza, że każda osoba padnie ofiarą oszustwa, szantażu albo dyskryminacji. Skutki zależą od zakresu danych, tego, kto uzyskał do nich dostęp, oraz od późniejszego wykorzystania. Nawet Rzecznik Praw Pacjenta zaznacza, że sam cyberatak nie przesądza automatycznie o naruszeniu praw pacjenta. Placówka ma jednak obowiązek stosować aktualne i adekwatne zabezpieczenia, a brak należytej staranności może takie prawa naruszać.

Najbardziej prawdopodobny scenariusz: oszustwo

Po dużym wycieku pierwszym skutkiem nie musi być przejęcie konta. Znacznie łatwiejszy jest telefon, SMS albo e-mail skonstruowany z prawdziwych informacji. Oszust może znać imię i nazwisko, numer telefonu, nazwę placówki, specjalizację lekarza, przybliżony termin wizyty lub rodzaj świadczenia. Nie musi znać wszystkiego. Kilka zgodnych szczegółów wystarcza, by odbiorca uznał rozmowę za wiarygodną.

Paweł Pudo z DAGMA Bezpieczeństwo IT zwraca uwagę, że im więcej prawdziwych informacji wykorzystuje przestępca, tym mniej kontakt przypomina masowy phishing. Prośba o instalację aplikacji, podanie kodu, potwierdzenie operacji albo wykonanie płatności może pojawić się dopiero wtedy, gdy rozmówca zdobędzie zaufanie ofiary.

To nie jest abstrakcyjny model. Centrum e-Zdrowia w 2026 r. ostrzegało przed kampaniami podszywającymi się pod NFZ, w tym przed wiadomościami o rzekomym zwrocie kosztów leczenia, których celem było wyłudzenie danych karty.[6] Osobna kampania wymierzona w lekarzy wykorzystywała telefony od osób podających się za pracowników NFZ, ZUS lub zespołów bezpieczeństwa. Celem było przejęcie danych uwierzytelniających i możliwość wystawiania recept bez wiedzy lekarza.

Po wycieku atak może brzmieć na przykład tak:

• - „Dzwonimy z przychodni w sprawie błędu w rozliczeniu ostatniej wizyty. Proszę potwierdzić PESEL i kod z SMS-a”.
• - „NFZ zwraca pieniądze za lek. Wystarczy dopisać numer karty w formularzu”.
• - „Na koncie pacjenta wykryliśmy dostęp z obcego urządzenia. Proszę zainstalować aplikację zabezpieczającą”.
• - „Recepta wymaga ponownej autoryzacji. Link wygaśnie za godzinę”.

Prawdziwy szczegół nie potwierdza prawdziwości rozmówcy. Może jedynie dowodzić, że ktoś zdobył dane o odbiorcy.

Jak przestępcy mogą wykorzystać poszczególne rodzaje danych

Ryzyko należy dopasować do faktycznie ujawnionych informacji. Najpraktyczniejsza jest następująca mapa:

• Dane kontaktowe - imię, nazwisko, e-mail, telefon

Mogą posłużyć do spamu, smishingu, fałszywych telefonów i prób odzyskiwania kont. Same zwykle nie wystarczą do przejęcia banku, ale zwiększają wiarygodność kolejnego etapu oszustwa.

• PESEL, adres, data urodzenia, dane dokumentu

Zwiększają ryzyko podszywania się, prób zawarcia umowy, wyłudzenia finansowania albo duplikatu karty SIM. Zastrzeżenie PESEL istotnie ogranicza część tych scenariuszy, lecz nie blokuje rozmów telefonicznych, phishingu ani prób szantażu.

• Login, hasło, skrót hasła, token lub aktywna sesja

Mogą prowadzić do przejęcia konta, szczególnie gdy hasło było używane również w poczcie lub innych usługach. Sam reset hasła może nie wystarczyć, jeśli napastnik ma aktywną sesję, dodał własną metodę odzyskiwania albo urządzenie nadal jest zainfekowane.

• Informacje o wizytach, lekarzach, receptach, badaniach i diagnozach

Pozwalają budować bardzo przekonujące historie, naruszać prywatność, wywierać presję albo próbować szantażu. Szczególnie dotkliwe mogą być informacje o zdrowiu psychicznym, seksualnym, uzależnieniach, chorobach przewlekłych lub leczeniu osób bliskich.

• Dane finansowe albo karty

Wymagają pilnego kontaktu z bankiem. Nie należy jednak blokować karty wyłącznie dlatego, że w incydencie uczestniczył serwis medyczny. Decyzję trzeba oprzeć na zawiadomieniu o zakresie wycieku albo na wykryciu podejrzanej operacji.

• Dokumentacja dziecka lub osoby zależnej

Wymaga reakcji przedstawiciela ustawowego. Ryzyko może trwać dłużej, bo identyfikatory dziecka i część danych zdrowotnych pozostają aktualne przez wiele lat.

Czy zastrzeżenie PESEL rozwiązuje problem wycieku danych?

Nie. Zastrzeżenie PESEL jest jednym z najskuteczniejszych bezpłatnych zabezpieczeń przed częścią skutków kradzieży tożsamości, ale nie jest „wymazaniem” numeru z internetu.

Przy aktywnym zastrzeżeniu nie można między innymi otworzyć nowego rachunku bankowego, wziąć kredytu lub pożyczki, kupić towaru na raty w ramach kredytu konsumenckiego ani uzyskać duplikatu karty SIM. Instytucje finansowe mają obowiązek sprawdzać rejestr PESEL. Zastrzeżenie nie przeszkadza natomiast w wizycie u lekarza, realizacji recepty, przelewie, wypłacie z bankomatu czy korzystaniu z profilu zaufanego.[8]

Nie powstrzyma ono kogoś, kto podszywa się pod lekarza, bank albo ubezpieczyciela. Nie cofnie ujawnienia danych o zdrowiu i nie zablokuje wykorzystania prawdziwych informacji do manipulacji. Dlatego należy traktować je jako zaporę przed określoną klasą nadużyć, a nie kompletną tarczę.

Kto powinien potraktować ryzyko jako szczególnie wysokie

Większej ostrożności wymagają osoby, wobec których informacja medyczna może służyć do wywarcia presji: osoby publiczne, politycy, funkcjonariusze, żołnierze, sędziowie, przedsiębiorcy, menedżerowie oraz pracownicy mający dostęp do pieniędzy, infrastruktury lub informacji poufnych. Dotyczy to również osób pozostających w konflikcie rodzinnym lub zawodowym, ofiar przemocy i tych, których ujawnienie określonego leczenia mogłoby narazić na stygmatyzację.

W materiale przekazanym redakcji Paweł Pudo wskazuje także na potencjalne zainteresowanie obcych służb wybranymi osobami z dużej bazy. Jest to scenariusz ryzyka, a nie potwierdzony skutek opisywanego incydentu. Osoba z grupy podwyższonego ryzyka powinna poinformować służbowy zespół bezpieczeństwa, pełnomocnika ochrony informacji albo dział prawny, zanim odpowie na nietypowy kontakt odnoszący się do jej zdrowia.

Czy można usunąć dane, które już wyciekły?

Zazwyczaj nie da się zagwarantować usunięcia wszystkich kopii. Administrator może zabezpieczyć system, unieważnić tokeny, usunąć publicznie dostępny plik albo zażądać skasowania danych przez odbiorcę. Nie ma jednak technicznego sposobu, by mieć pewność, że nikt wcześniej nie wykonał kopii.

Prawo do usunięcia danych również nie jest absolutne. Dokumentacja medyczna podlega ustawowym okresom przechowywania - co do zasady jest to 20 lat od końca roku, w którym dokonano ostatniego wpisu, z wyjątkami przewidzianymi w przepisach. Placówka nie zawsze może więc skasować ją na żądanie pacjenta.[15] Można natomiast żądać informacji o naruszeniu, dostępu do swoich danych, sprostowania nieprawidłowości oraz wyjaśnienia, jakie środki ochronne zastosowano. Jeżeli administrator nie respektuje praw osoby, można złożyć skargę do Prezesa UODO. W sprawach dotyczących praw pacjenta pomoc oferuje również Rzecznik Praw Pacjenta.[16]

Jak rozpoznać fałszywe powiadomienie o wycieku

Wiadomość wykorzystująca temat incydentu powinna wzbudzić podejrzenie, jeżeli:

• - wymaga zalogowania przez link w SMS-ie lub e-mailu;
• - żąda pełnego PESEL-u, hasła, kodu jednorazowego, PIN-u lub danych karty;
• - nakazuje instalację aplikacji „ochronnej” albo programu do zdalnego pulpitu;
• - wywołuje presję czasu, grozi zamknięciem konta lub utratą refundacji;
• - prosi o przelew weryfikacyjny albo „bezpieczne konto”;
• - załącznik ma nietypowy format lub wymaga włączenia makr;
• - numer telefonu wygląda znajomo, ale rozmówca nie pozwala samodzielnie oddzwonić przez oficjalną centralę.

Centrum e-Zdrowia przypomina, że żadna instytucja nie wysyła zaproszenia do logowania na IKP po to, by „sprawdzić konto”. Oficjalny SMS z e-receptą zawiera czterocyfrowy kod, a nie link do logowania. Najbezpieczniej sprawdzać recepty i skierowania bezpośrednio w aplikacji mojeIKP lub po samodzielnym wpisaniu adresu pacjent.gov.pl.[9]

FAQ: najkrótsze odpowiedzi po wycieku danych medycznych

• Czy 19 mln rekordów oznacza 19 mln pacjentów?

Nie. Jedna osoba może odpowiadać za wiele rekordów. Liczbę poszkodowanych można podać dopiero po deduplikacji i ustaleniu zakresu zbioru.

• Czy każdy użytkownik MyDr powinien uznać, że wyciekły wszystkie jego dane?

Nie można tego stwierdzić bez oficjalnego zawiadomienia lub potwierdzonego zakresu incydentu. Warto zachować podwyższoną czujność, ale nie należy dopowiadać kategorii danych, których administrator nie potwierdził.

• Czy trzeba wymienić dowód osobisty?

Nie automatycznie. Zastrzeżenie PESEL i zastrzeżenie dokumentu to różne czynności. Jeżeli zawiadomienie potwierdzi ujawnienie serii i numeru dokumentu, należy zastosować zalecenia administratora oraz skonsultować dalsze kroki z urzędem lub bankiem. Nie wolno fałszywie zgłaszać fizycznie posiadanego dokumentu jako utraconego.

• Czy trzeba zmienić numer telefonu i adres e-mail?

Zwykle nie jest to pierwszy krok. Zmiana nie usuwa starego identyfikatora z wykradzionej bazy, a może utrudnić odzyskiwanie kont. Ma sens przy uporczywym nękaniu, szczególnym ryzyku osobistym albo po konsultacji ze specjalistą.

• Czy samo nowe hasło wystarczy?

Nie, jeśli wyciek dotyczył PESEL-u, danych medycznych lub kontaktowych. Nowe hasło chroni konto, ale nie unieważnia skopiowanych informacji i nie zatrzymuje oszustwa telefonicznego.

• Czy warto sprawdzić dane w internecie?

Tak, ale nie przez przypadkowe „wyszukiwarki wycieków”, które same mogą wyłudzać informacje. Rządowy serwis bezpiecznedane.gov.pl pozwala po zalogowaniu zweryfikować między innymi e-mail, telefon, login i PESEL względem danych dostępnych CERT Polska.

CO ZROBIĆ PO WYCIEKU DANYCH - INSTRUKCJA W PRAWIDŁOWEJ KOLEJNOŚCI

• 1. Najpierw potwierdź wiadomość, nie klikając jej linków

Wejdź samodzielnie na oficjalną stronę administratora albo uruchom znaną aplikację. Możesz też zadzwonić pod numer opublikowany wcześniej na stronie firmy, placówki lub instytucji. Nie korzystaj z numeru ani odnośnika podanego wyłącznie w podejrzanym SMS-ie.

Zapisz zawiadomienie, datę jego otrzymania, pełne nagłówki e-maila i zrzuty ekranu. Ustal dokładnie, czy wymieniono PESEL, dane kontaktowe, loginy, hasła, aktywne sesje, informacje zdrowotne, dane dokumentu lub płatności. Od tego zależy dalsza reakcja.

• 2. Jeżeli ujawniono PESEL osoby pełnoletniej, zastrzeż go bez zwłoki

Zrobisz to bezpłatnie w aplikacji mObywatel, w serwisie gov.pl lub w urzędzie gminy. Usługa jest przeznaczona dla osób pełnoletnich. Zastrzeżenie działa od razu i można je czasowo cofnąć, gdy jest to potrzebne do konkretnej czynności.[8]

Nie cofaj zastrzeżenia na prośbę osoby dzwoniącej do Ciebie. Bank, policja, NFZ ani pracownik „działu bezpieczeństwa” nie potrzebują, abyś podczas rozmowy odblokował PESEL.

• 3. Zabezpiecz pieniądze i możliwość zaciągania zobowiązań

Włącz powiadomienia o transakcjach i nowych operacjach w aplikacji banku. Sprawdź historię rachunku, karty i płatności odroczonych. Jeżeli widzisz nieznaną operację, natychmiast skontaktuj się z bankiem przez numer z aplikacji, strony banku lub odwrotu karty.

Możesz pobrać Raport BIK, aby sprawdzić istniejące zobowiązania, oraz rozważyć płatne Alerty BIK, które informują o zapytaniach kredytowych i części prób zawarcia umowy. Alerty nie zastępują zastrzeżenia PESEL i nie działają wstecz.

• 4. Sprawdź IKP i dokumentację medyczną

Zaloguj się do Internetowego Konta Pacjenta lub mojeIKP własną drogą, nie z wiadomości. Przejrzyj historię leczenia, recepty, skierowania oraz zdarzenia medyczne. Nieznanej recepty, wizyty albo dokumentu nie ignoruj. Skontaktuj się z placówką, której nazwa widnieje przy wpisie, oraz z Centrum e-Zdrowia lub Rzecznikiem Praw Pacjenta, jeśli sprawy nie da się wyjaśnić.

Sprawdź też, komu wcześniej udzielono upoważnień do danych. Cofnij dostęp osobie, której już nie rozpoznajesz albo której nie chcesz go dalej udzielać.

• 5. Przygotuj rodzinę na wiarygodnie brzmiące telefony

Powiedz bliskim, że ktoś może znać prawdziwe informacje o zdrowiu, adresie lub wizytach. Ustalcie prostą zasadę: żadnych kodów, instalacji aplikacji, przelewów ani potwierdzania operacji podczas połączenia przychodzącego. Rozmowę należy przerwać, a następnie samodzielnie zadzwonić do instytucji.

W rodzinie warto ustalić osobne hasło do potwierdzania tożsamości w sytuacji nagłej. Nie może to być imię zwierzęcia, data urodzenia ani informacja dostępna w mediach społecznościowych.

• 6. Zgłoś próbę wykorzystania danych i zachowaj dowody

Podejrzany SMS można bezpłatnie przekazać na numer 8080. Inne incydenty zgłasza się przez incydent.cert.pl. Jeśli doszło do utraty pieniędzy, szantażu, podszywania się lub próby wyłudzenia, skontaktuj się także z bankiem i policją. Centralne Biuro Zwalczania Cyberprzestępczości zaleca po wycieku monitorowanie alertów logowania, zastrzeżenie PESEL, unikalne hasła i weryfikację dwuetapową.

Nie usuwaj wiadomości, numerów rachunków, historii połączeń ani plików przed wykonaniem kopii dowodowej. Nie negocjuj samodzielnie z osobą, która grozi ujawnieniem danych o zdrowiu. W przypadku szantażu przerwij kontakt i zgłoś sprawę organom ścigania.

• 7. Obserwuj skutki dłużej niż przez kilka dni

Dane mogą zostać użyte po miesiącach, gdy zainteresowanie medialne osłabnie. Przez dłuższy czas kontroluj alerty bankowe, próby odzyskiwania kont, nowe umowy i nietypową korespondencję. Okresowo sprawdzaj również IKP i wynik w bezpiecznedane.gov.pl. Nie oznacza to życia w ciągłym alarmie. Chodzi o stałe, proste zabezpieczenia i reagowanie na konkretny sygnał.

 

NA KONIEC: BLOKADA DOSTĘPU, ZMIANA HASEŁ I PODWÓJNE UWIERZYTELNIANIE

Nie istnieje jeden centralny przycisk, który „zablokuje wszystkie hasła”. Każde konto trzeba zabezpieczyć u jego operatora. Jeżeli podejrzewasz zainfekowanie telefonu lub komputera, nie zmieniaj haseł na tym urządzeniu. Przestań używać go do logowania, a przy oznakach aktywnego ataku odłącz od sieci. Hasła zmień na innym, zaufanym urządzeniu. Podejrzany sprzęt zaktualizuj, przeskanuj narzędziem ochronnym lub oddaj do sprawdzenia specjaliście.

Następnie działaj w tej kolejności:

• 1. Zablokuj konto lub rozpocznij procedurę odzyskiwania, jeśli widzisz nieznane logowanie, zmianę adresu e-mail, numeru telefonu albo metody odzyskiwania.
• 2. Zabezpiecz główną skrzynkę e-mail jako pierwszą. To za jej pomocą można resetować hasła do wielu innych usług. Ustaw nowe, unikalne hasło i wyloguj wszystkie pozostałe sesje.
• 3. Zmień hasło w serwisie objętym incydentem, jeżeli administrator potwierdził wyciek danych logowania, wymusił reset albo dostrzegasz podejrzaną aktywność. Jeżeli to samo lub podobne hasło było używane gdzie indziej, zmień je we wszystkich tych miejscach - zaczynając od bankowości, kont zdrowotnych, operatora komórkowego i mediów społecznościowych.
• 4. Nie zmieniaj profilaktycznie wszystkich unikalnych haseł tylko dlatego, że wyciekły inne dane. CERT Polska i NIST nie zalecają cyklicznej zmiany bez oznak kompromitacji. Zmiana jest potrzebna po ujawnieniu, ponownym użyciu hasła lub podejrzeniu przejęcia.[13][14]
• 5. Użyj menedżera haseł. Dla każdego konta wygeneruj osobne, losowe hasło. Jeżeli musisz zapamiętać hasło samodzielnie, CERT Polska rekomenduje co najmniej 14 znaków i kilka nieoczywistych słów zamiast krótkiego schematu z przewidywalną cyfrą i znakiem specjalnym.[13]
• 6. Włącz uwierzytelnianie dwuetapowe lub wieloskładnikowe wszędzie, gdzie jest dostępne. Najlepszą ochronę przed phishingiem dają klucze bezpieczeństwa i poprawnie wdrożone klucze dostępu, czyli passkeys. Aplikacja uwierzytelniająca z kodami jednorazowymi jest dobrym wyborem, choć kod nadal można wyłudzić. SMS jest słabszy, ale zwykle lepszy niż brak drugiego składnika. NIST wskazuje, że metody wymagające ręcznego wpisania kodu nie są odporne na phishing, podczas gdy mechanizmy oparte na kluczu kryptograficznym mogą taką odporność zapewniać.[14]
• 7. Wyloguj wszystkie inne urządzenia i sesje, usuń nierozpoznane urządzenia, aplikacje połączone oraz klucze dostępu. Sprawdź reguły przekazywania poczty, dodatkowe adresy odzyskiwania i numery telefonu. Napastnik może zachować dostęp mimo zmiany hasła, jeżeli wcześniej dodał własną metodę odzyskiwania.
• 8. Wygeneruj nowe kody odzyskiwania po włączeniu 2FA i przechowuj je poza skrzynką e-mail - najlepiej w menedżerze haseł albo w bezpiecznej kopii offline. Stare kody unieważnij.
• 9. Nigdy nie przekazuj kodu 2FA osobie dzwoniącej, nawet jeżeli zna Twoje dane medyczne. Kod służy do zatwierdzenia czynności wykonywanej przez Ciebie. Konsultant nie potrzebuje go do „anulowania ataku”.
• 10. Po zakończeniu zapisz, które konta zostały zmienione, kiedy zakończono sesje i gdzie przechowujesz kody odzyskiwania. W stresie łatwo pominąć jedno z kont albo utracić do niego dostęp.

Zmiana hasła zamyka jedną drogę. Zastrzeżenie PESEL zamyka inną. Weryfikacja rozmówcy, monitoring finansów i kontrola historii leczenia chronią przed kolejnymi. Po wycieku danych medycznych bezpieczeństwo nie opiera się na jednym ruchu, lecz na kilku barierach, z których każda zatrzymuje inny rodzaj nadużycia.

Źródła:

[1] Jarosław Babraj, „Danych o zdrowiu nie da się unieważnić. Co się może stać po dużym wycieku z MyDr?”, materiał przekazany redakcji, z wypowiedziami Beniamina Szczepankiewicza z ESET i Pawła Pudo z DAGMA Bezpieczeństwo IT, 13 sierpnia 2026.

[2] MyDr, „MyDr - zaloguj się do swojego zdrowia” oraz „MyDr EDM: system medyczny dla placówek”, dostęp 14 sierpnia 2026, 

[3] Urząd Ochrony Danych Osobowych, decyzja DKN.5131.15.2024, omówienie obowiązku zawiadomienia z art. 34 RODO, 

[4] Urząd Ochrony Danych Osobowych, decyzja DKN.5131.6.2024, omówienie wysokiego ryzyka związanego z ujawnieniem danych o zdrowiu,

[5] Rzecznik Praw Pacjenta, „Brak adekwatnych środków zabezpieczających dostęp do danych medycznych oraz ich przetwarzania jest niezgodny z prawami pacjenta”, 13 lipca 2026,

[6] Centrum e-Zdrowia, „Nowa fala phishingu - cyberoszuści podszywają się pod NFZ”, 12 lutego 2026, 

[7] Centrum e-Zdrowia, „Cyberprzestępcy atakują lekarzy! Próby przejęcia tożsamości i wystawiania recept bez autoryzacji”, 4 marca 2026, 

[8] Ministerstwo Cyfryzacji, „Zastrzeż PESEL” oraz „Jak chronić swoje dane z mObywatelem?”, dostęp 14 sierpnia 2026, https://info.mobywatel.gov.pl/uslugi/zastrzez-pesel i h

[9] Pacjent.gov.pl, „Twoje bezpieczne IKP”, dostęp 14 sierpnia 2026, 

[10] NASK i Ministerstwo Cyfryzacji, „Bezpieczne dane”, dostęp 14 sierpnia 2026, 

[11] Biuro Informacji Kredytowej, „Wyciek danych? Podpowiadamy, co robić - krok po kroku”, dostęp 14 sierpnia 2026, 

[12] Centralne Biuro Zwalczania Cyberprzestępczości, „Dowiedziałeś się, że Twoje dane wyciekły? Oto działania jakie powinieneś podjąć”, 17 stycznia 2025, 

[13] CERT Polska, „Zadbaj o bezpieczne hasła i logowanie” oraz „Kompleksowo o hasłach”, aktualizacja rekomendacji długości hasła w czerwcu 2025, dostęp 14 sierpnia 2026, 

[14] David Temoshok et al., NIST SP 800-63B-4: Digital Identity Guidelines - Authentication and Authenticator Management, National Institute of Standards and Technology, 1 sierpnia 2025, 

[15] Rzecznik Praw Pacjenta, „Prawo pacjenta do dokumentacji medycznej - w jakich warunkach powinna być przechowywana dokumentacja medyczna pacjentów przez podmioty udzielające świadczeń zdrowotnych?”, dostęp 14 sierpnia 2026, 

[16] Urząd Ochrony Danych Osobowych, „Jak złożyć skargę do Prezesa UODO?”, 11 marca 2022, https://uodo.gov.pl/pl/138/2252; Rzecznik Praw Pacjenta, „Na kłopoty: Rzecznik Praw Pacjenta”, dostęp 14 sierpnia 2026,

 

Pobierz ebook "Książka o Egipcie, jakiego nie pokazują wycieczki. Śladami starożytnych królowych i polskich archeologów"