MyDr to polska firma technologiczna dostarczająca oprogramowanie do elektronicznej dokumentacji medycznej i zarządzania placówkami ochrony zdrowia. Od stycznia 2023 roku należy do grupy Docplanner, właściciela portalu ZnanyLekarz. W sierpniu 2026 roku systemy MyDr zostały zaatakowane, a sprawę wycieku danych badają państwowe służby.
Czym zajmuje się MyDr?
MyDr tworzy narzędzia dla lekarzy, gabinetów, przychodni i innych podmiotów medycznych. Najważniejszym produktem firmy jest MyDr EDM, czyli system do prowadzenia Elektronicznej Dokumentacji Medycznej. Oprogramowanie działa w chmurze, przez przeglądarkę lub aplikację, dlatego placówka nie musi instalować programu na lokalnych komputerach.
Według informacji przedstawianych przez firmę z rozwiązań MyDr korzystało około 12 tys. placówek. System wspiera między innymi:
- Elektroniczną Dokumentację Medyczną – zapisywanie historii wizyt, diagnoz, zaleceń i innych informacji dotyczących pacjenta.
- Dokumenty elektroniczne – wystawianie e-recept, e-skierowań i e-zwolnień.
- Organizację pracy placówki – prowadzenie kalendarza, rejestrację pacjentów i planowanie wizyt.
- Integrację z systemami publicznymi – między innymi z systemem P1 oraz eWUŚ, a także obsługę wybranych rozliczeń z NFZ.
- Kontakt z pacjentem – rezerwowanie wizyt, także zdalnych, oraz przekazywanie próśb o przedłużenie e-recepty.
Oznacza to, że MyDr nie jest przede wszystkim serwisem dla pacjentów, lecz dostawcą zaplecza informatycznego dla podmiotów medycznych. Pacjent może korzystać z funkcji dostępnych w aplikacji lub serwisie, ale dane są przetwarzane w związku z obsługą wizyt przez placówki korzystające z systemu.
Do kogo należy MyDr?
MyDr powstało w 2017 roku jako niezależna polska spółka. Na początku 2023 roku firma została przejęta przez Docplanner, międzynarodową grupę technologiczną znaną w Polsce przede wszystkim jako właściciel portalu ZnanyLekarz. Z danych rejestrowych wynika, że Docplanner Subholdings B.V. przejęła 100 proc. udziałów MyDr.
Połączenie obu działalności pozwoliło grupie łączyć umawianie wizyt znane z ZnanyLekarz z oprogramowaniem do prowadzenia dokumentacji i zarządzania pracą gabinetu. MyDr działa więc jako spółka należąca do większej grupy zajmującej się cyfrowymi usługami dla ochrony zdrowia.
Co wydarzyło się w sierpniu 2026 roku?
W sierpniu 2026 roku systemy MyDr stały się celem zewnętrznego cyberataku. Ministerstwo Cyfryzacji informowało o danych dotyczących blisko 19 mln osób. Według przekazywanych informacji skradzono bazę o rozmiarze przekraczającym 2 TB, a dane mogły dotyczyć między innymi pacjentów placówek korzystających z systemu.
MyDr podało, że dane objęte incydentem najprawdopodobniej mają charakter historyczny, czyli pochodzą z 2024 roku i lat wcześniejszych. Spółka zaznaczyła też, że incydent może nie obejmować wszystkich jej klientów ani wszystkich pacjentów tych placówek. Dokładny zakres i rodzaj ujawnionych informacji pozostawał przedmiotem analizy śledczej.
Sprawę badają między innymi Centralne Biuro Zwalczania Cyberprzestępczości i prokuratura. Sytuację monitorują także właściwe instytucje państwowe, w tym Centrum e-Zdrowia i Urząd Ochrony Danych Osobowych. Według komunikatu Centrum e-Zdrowia incydent nie oznaczał naruszenia bezpieczeństwa centralnych usług e-zdrowia.
Na moment publikowanych komunikatów nie potwierdzono, aby skradzione dane zostały publicznie opublikowane lub wystawione na sprzedaż. Nie należy jednak utożsamiać tej informacji z potwierdzeniem, że zakres ryzyka został już ostatecznie ustalony. Dochodzenie i analiza danych nadal mogą zmienić szczegółowy obraz zdarzenia.
Co mogą zrobić osoby zaniepokojone wyciekiem?
Osoby, które obawiają się wykorzystania swoich danych, powinny korzystać przede wszystkim z oficjalnych komunikatów. Ministerstwo Cyfryzacji wskazywało następujące działania:
- Zastrzeż numer PESEL w aplikacji mObywatel lub za pośrednictwem właściwego kanału administracji publicznej.
- Sprawdzaj komunikaty na stronie bezpiecznedane.gov.pl, zwłaszcza informacje o uruchomieniu możliwości weryfikacji, czy dane konkretnej osoby znalazły się w analizowanym zbiorze.
- Monitoruj aktywność na kontach internetowych, poczcie elektronicznej i usługach finansowych.
- Nie odpowiadaj na podejrzane SMS-y, e-maile ani telefony, w których ktoś żąda dodatkowych danych, kodów logowania lub pieniędzy.
- Stosuj unikalne hasła i uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne.
Samo korzystanie z systemu MyDr nie oznacza, że dane każdej osoby znalazły się wśród informacji objętych incydentem. Dokładny zakres zależy między innymi od placówki, okresu korzystania z systemu i rodzaju zapisów przechowywanych w danym miejscu.
MyDr jest więc dostawcą oprogramowania dla sektora medycznego, a nie instytucją prowadzącą centralny państwowy system zdrowia. Incydent z sierpnia 2026 roku dotyczył infrastruktury spółki i jest odrębną kwestią od codziennego działania systemów publicznego e-zdrowia.
Informacje dotyczące zakresu incydentu, postępowania służb i możliwości weryfikacji danych mogą się zmieniać. W sprawach związanych z podejrzeniem kradzieży tożsamości należy skontaktować się z właściwymi organami ścigania.
