Ważny komunikat dotyczący naruszenia danych osobowych naszych pacjentek

FEM CENTRUM MEDYCZNE sp. z o.o. informuje, że w środowisku informatycznym MyDr sp. z o.o., z którego FEM Medical Clinic korzysta jako zewnętrznej platformy informatycznej, doszło do cyberataku i naruszenia ochrony danych osobowych części naszych pacjentów.
Incydent miał miejsce w systemach MyDr i nie był skutkiem włamania do infrastruktury informatycznej FEM. MyDr przetwarza jednak część danych pacjentów na rzecz FEM, co jest nierozłączne w przypadku wykorzystania oprogramowania do prowadzenia przychodni medycznej.
W dniu 14 września 2026 r. MyDr przekazało FEM zindywidualizowaną informację potwierdzającą, że incydent objął dane części pacjentów FEM związane z anulowanymi e-skierowaniami. Według informacji przekazanych FEM naruszenie dotyczy 28 osób.

Zakres danych objętych naruszeniem może różnić się w odniesieniu do poszczególnych osób i może obejmować dane zawarte w anulowanym e-skierowaniu – m.in. imię i nazwisko, adres zamieszkania, dane kontaktowe, datę urodzenia, numer PESEL. Jeśli pacjentka w dniu wystawienia skierowania posiadała przedstawiciela ustawowego, informacje zawarte w skierowaniach mogą również obejmować jego imię i nazwisko, adres zamieszkania oraz dane kontaktowe.
Naruszenie także w ograniczonym zakresie dotyczyło danych dotyczących zdrowia – czyli rozpoznania jednostki chorobowej będącej powodem wystawienia skierowania. Incydent dotyczący naszych pacjentów objął jedynie dane z anulowanych e-skierowań, a więc nie mamy dzisiaj powodu do podejrzenia, że naruszono dane medyczne zawarte w wizytach, opisach badań obrazowych, wynikach badań laboratoryjnych lub innych.

FEM przeprowadziło własną ocenę zdarzenia. Zgłosiliśmy to naruszenie Prezesowi UODO a także indywidualnie zawiadamiamy osoby zidentyfikowane przez MyDr jako objęte naruszeniem. W zawiadomieniu każda z tych osób otrzyma informację dotyczącą zakresu danych odnoszącego się do jej przypadku oraz zalecanych działań.

MyDr poinformowało, że incydent został opanowany i nie ma obecnie dowodów wskazujących,
aby dane objęte incydentem zostały publicznie udostępnione lub aby nadal trwał nieuprawniony
dostęp do systemów. Nie oznacza to jednak, że ryzyko związane z nieuprawnionym dostępem
do danych można całkowicie wykluczyć. Mimo, że prowadzony przez MyDr stały monitoring nie wykazał dotychczas żadnych przypadków wykorzystania ani publicznego ujawnienia danych, nie można wykluczyć, że, ze względu na charakter incydentu, w określonych okolicznościach może on potencjalnie wiązać się z wysokim ryzykiem dla praw lub wolności osób, których dane zostałyby niewłaściwie wykorzystane. Aby pomóc Państwu zachować bezpieczeństwo na wypadek zmiany okoliczności, przekazujemy informacje o ewentualnych konsekwencjach oraz zalecanych środkach ostrożności, które mogą pomóc w ochronie danych osobowych i ograniczeniu potencjalnych skutków incydentu.

Możliwe konsekwencje
Wśród danych objętych naruszeniem mógł znajdować się numer PESEL, który w połączeniu z imieniem i nazwiskiem oraz danymi kontaktowymi, w określonych sytuacjach, mógłby posłużyć osobom nieuprawnionym do działań niezgodnych z prawem. Możliwe konsekwencje mogą
obejmować
• próby podszywania się pod pacjenta,
• próby wyłudzenia lub zawarcia umowy (np. kredytu, pożyczki) z wykorzystaniem danych bez wiedzy pacjenta,
• uzyskania dostępu do danych zdrowia w instytucjach medycznych, w których uwierzytelnianie osób następuje przy pomocy numeru PESEL
• inne próby nieuprawnionego wykorzystania numeru PESEL
Incydent mógł również dotyczyć danych dotyczących zdrowia, których nieuprawnione użycie może naruszać prawa pacjenta, w szczególności, gdyby osoby trzecie próbowały wykorzystać te informacje:
• w sposób niekorzystny dla pacjenta, w tym prowadzący do naruszenia praw lub do gorszego traktowania w środowisku zamieszkania;
• w celu dokonania oszustwa, np. poprzez kontakt z pacjentem lub jego bliskimi w celu zaoferowania alternatywnych metod leczenia zdiagnozowanych u pacjenta chorób.
Raz jeszcze chcemy podkreślić, że warto zachować ostrożność i czujność, jednak na obecnym etapie prowadzony przez MyDr monitoring nie wykazał żadnych przypadków wykorzystania ani publicznego ujawnienia danych.

Co rekomendujemy
W przypadku numeru PESEL:
• można bezpłatnie zastrzec numer PESEL w aplikacji mobilnej mObywatel, przez Internet na stronie mObywatel.gov.pl lub osobiście w Urzędzie Gminy (Miasta). Instytucje finansowe są obecnie zobligowane weryfikować przy zawieraniu umów, czy PESEL jest zastrzeżony, co ogranicza ryzyko użycia danych do nieuprawnionego zaciągania zobowiązań na szkodę innych osób. Zastrzeżenie PESEL nie blokuje jednak możliwości rejestracji u lekarza, realizacji recepty czy załatwienia sprawy w urzędzie – więcej informacji na oficjalnej stronie gov.pl dotyczącej: zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie ;
• można poinformować inne placówki medyczne, w których świadczone są dla pacjenta usługi, iż osoby trzecie mogą chcieć wykorzystać PESEL w celu przejścia procesu autoryzacji w tych jednostkach.
W przypadku danych dotyczących zdrowia:
• w razie potwierdzenia wykorzystania danych przez osoby nieuprawnione każdy pacjent może dochodzić względem nich ochrony swoich praw na podstawie właściwych przepisów, w tym Kodeksu Cywilnego;
• warto zachować szczególną ostrożność wobec wszelkich kontaktów z nieznanymi osobami, które nie miały prawa znać historii zdrowia pacjenta, a które proponują skorzystanie z oferowanych przez nie usług medycznych, pseudomedycznych lub terapeutycznych.
Bez względu na zakres danych osobowych, w przypadku podejrzenia, że zostały one wykorzystane niezgodnie z prawem, można zgłosić to na Policję.
Informacje o sposobie zgłoszenia znajdują się pod adresem oficjalnym gov.pl dotyczącym: zglos-przestepstwo.

W przypadku pytań dotyczących działań FEM prosimy o kontakt: kontakt@fem.clinic lub kontakt telefoniczny 22 150 21 21.
MyDr opisuje podjęte przez siebie działania szerzej w swoim materiale. W przypadku pytań dotyczących technicznego zakresu incydentu MyDr uruchomiło dedykowany adres: dane@mydr.pl oraz stronę informacyjną: www.pacjent.mydr.pl
MyDr wskazuje ten adres jako punkt kontaktowy dla osób objętych incydentem.

Fem Medical Clinic