Medyc opinie i cena 2026: recenzja programu i wyciek danych

Jeśli szukasz opinii o Medycu w 2026 r., nie da się ich oddzielić od incydentu z września. Na każdej podstronie medyc.pl wisi (stan na 28.10.2026) pasek „Ważny komunikat dotyczący bezpieczeństwa danych”, a według komunikatów z września sprawą zajmują się UODO, Centralne Biuro Zwalczania Cyberprzestępczości i NASK. Ta recenzja zaczyna więc od tego, co wiadomo o incydencie i kto co potwierdził, a potem opisuje cennik, funkcje i umowę tak jak przy innych programach.

W systemie dla sieci około 150 placówek każda wysyłka do ZUS była podpisywana certyfikatem konkretnego lekarza w standardzie WS-Security. Medyc według producenta zapamiętuje dane logowania do eWUŚ i pokazuje w panelu certyfikat ZUS lekarza, a program, który przechowuje takie dane, trzyma w praktyce klucze do kont placówki w systemach państwowych. Po incydencie u dostawcy pytanie nie brzmi więc tylko, czy wyciekły dane pacjentów, ale też, czy trzeba wymienić certyfikaty i hasła zapisane w programie. Według komunikatu ośrodka z Inowrocławia, cytowanego przez CyberDefence24, Qbusoft „dokonał przymusowej rotacji wszystkich haseł i sekretów technicznych”; o danych dostępowych placówek trzeba zapytać producenta osobno.Z praktyki Hauer Power

Wyciek danych z Medyc: co potwierdzono, a co nie

Producent w komunikacie pisze, że „w związku z cyberatakiem na infrastrukturę Medyc doszło do nieuprawnionego dostępu do danych osobowych i ich kradzieży”. Potwierdzony zakres to według niego „imiona i nazwiska, numery PESEL, adresy zamieszkania, numery telefonów oraz adresy e-mail”, a „na obecnym etapie nie potwierdzono kradzieży dokumentacji medycznej”. Komunikat ma datę ostatniej aktualizacji 28.09.2026; do 28 października nie pojawiła się nowsza wersja.

Wersje się różnią w trzech miejscach. Po pierwsze, dane medyczne. W publicznym komunikacie producent pisze, że kradzieży dokumentacji nie potwierdzono. Ośrodek z Inowrocławia, powołując się na informacje od tego samego dostawcy, napisał pacjentom o „uruchomieniu skryptów skierowanych do tabel zawierających dane medyczne”, CyberDefence24 uznało pozyskanie wypisów za „bardzo prawdopodobne”, a blog OSOZ podaje, że producent potwierdził kradzież danych medycznych w przypadku jednej placówki. Po drugie, producent wymienia wśród powiadomionych instytucji „CSIRT NASK, Centrum e-Zdrowia”, a minister cyfryzacji 24 września pisał o braku zgłoszenia do CERT Polska (to zespół CSIRT działający w NASK) i CSIRT CeZ, czyli zespołu reagowania działającego przy Centrum e-Zdrowia; czy zgłoszenie dotarło później, nie wiadomo. Po trzecie, skala: liczby 5 mln pacjentów i 8 mln zdjęć pochodzą z deklaracji osób podających się za sprawców. Nie potwierdził ich producent ani żadna instytucja; UODO przytacza je jako doniesienia mediów, a wcześniejsze szacunki mówiły o około milionie osób.

Stan na 28.10.2026. Według CyberDefence24 (24.09.2026) luka została załatana; według komunikatu ośrodka z Inowrocławia Qbusoft ograniczył uprawnienia bazodanowe i przeprowadził rotację haseł i sekretów technicznych. Producent nie opisuje tego na swojej stronie.

Co powinna zrobić placówka, która korzysta z Medyc

Administratorem danych pacjentów jest placówka, a producent programu przetwarza je w jej imieniu. To placówka odpowiada więc za ocenę, czy incydent wymaga zgłoszenia do UODO i zawiadomienia pacjentów, a RODO wymaga zgłoszenia bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że naruszenie raczej nie powoduje ryzyka. Podmiot przetwarzający, czyli producent, ma obowiązek bez zbędnej zwłoki zawiadomić placówkę. Ośrodek z Inowrocławia poinformował swoich pacjentów sam, powołując się na stanowisko dostawcy co do zakresu i okresu danych. Jak rozłożyć te obowiązki na oś czasu, gdy wyciek jest po stronie dostawcy, opisujemy w tekście wyciek danych pacjentów: co zrobić w pierwsze 72 godziny.

1. 1
   Zakres dla Twojej placówkiPoproś producenta na piśmie o informację, czyje dane i z jakiego okresu zostały pobrane w Twojej instancji.
2. 2
   Ocena i zgłoszenieZ inspektorem ochrony danych oceń ryzyko i zdecyduj o zgłoszeniu do UODO i zawiadomieniu pacjentów.
3. 3
   Dane dostępoweZmień hasła do programu i do eWUŚ zapisane w systemie, a u lekarzy sprawdź, czy certyfikaty ZUS wymagają wymiany.
4. 4
   Umowa powierzeniaSprawdź, czy masz podpisaną umowę powierzenia obejmującą dane medyczne, i jakie terminy powiadamiania o incydentach przewiduje.

Pacjentom warto przekazać ostrzeżenie producenta: ostrożność wobec telefonów, SMS-ów, e-maili i stron powołujących się na Medyc lub wyciek. CyberDefence24 zaleca też zastrzeżenie numeru PESEL, np. w aplikacji mObywatel. To nie jest porada prawna; przy ocenie obowiązków pomoże inspektor ochrony danych placówki.

Najczęstsze błędy placówek po incydencie u dostawcy

• Uznanie komunikatu producenta za własne zgłoszenie. Producent zgłasza incydent jako podmiot przetwarzający; ocena i ewentualne zgłoszenie do UODO w imieniu placówki to obowiązek placówki.
• Usunięcie konta przed pobraniem danych. Według regulaminu Medyc usunięcie konta usuwa powiązane dane, a dokumentację trzeba przechowywać latami.
• Zostawienie starych haseł. Hasło do eWUŚ zapisane w programie i hasła użytkowników warto zmienić niezależnie od działań producenta.
• Brak umowy powierzenia obejmującej dane medyczne. Bez niej trudno ustalić, w jakim czasie i w jakim zakresie dostawca miał Cię poinformować.

Ile kosztuje Medyc: cennik 2026

Medyc kosztuje od 60 zł do 300 zł netto miesięcznie za konto, zależnie od roli. Strona nie mówi wprost, czy opłata dotyczy osoby, ale w pytaniach producent pisze o „płacąc wyłącznie za aktywnie korzystających specjalistów”, a w 2021 r. wycena zależała „od liczby osób korzystających z programów”.

Cennik medyc.pl odczytany 28.10.2026. Producent podaje ceny netto i słowo „od”, a cen dodatków (telemedycyna, magazyn, ZnanyLekarz, SMS) nie publikuje.

Jak zmieniały się ceny Medyc

Kwoty netto miesięcznie z kopii strony medyc.pl/cennik w Internet Archive. W 2021 r. istniał też pakiet „Lekarz NFZ” za 150 zł.

Abonament stoi w miejscu od września 2023 r., za to minimalna cena migracji danych wzrosła w tym czasie dwukrotnie, a od 2021 r. ponad trzynastokrotnie. Kto planuje przejście na Medyc, płaci dziś więcej na starcie. Cennik dotyczy przenosin do Medyc; ceny eksportu przy odejściu producent nie podaje.

Czy Medyc jest darmowy?

Producent oferuje darmowy moduł rejestracji pacjentów i darmowy test. Na stronie marketingowej test trwa 30 dni, ale regulamin serwisu mówi o okresie próbnym „14 (czternastu) dni”, więc długość testu ustal przy zakładaniu konta. Producent obiecuje też zwrot pieniędzy w ciągu pierwszych 30 dni po wdrożeniu, jeśli użytkownicy nie będą zadowoleni.

Funkcje i integracje Medyc

Zakres jest szeroki jak na program w tej cenie, szczególnie w gabinecie z jednym lekarzem, który w pakiecie za 120 zł dostaje e-dokumenty i rozliczenia z NFZ. Obowiązki przy centralnej e-rejestracji i to, co musi umieć program, opisujemy w przewodniku po CeR, a raportowanie zdarzeń w tekście o zdarzeniach medycznych w P1.

Jak działa Medyc i gdzie są dane

Medyc działa w przeglądarce. Producent deklaruje na stronie głównej infrastrukturę „Microsoft Azure (lokalizacja UE)”, dostępność „na poziomie 99,99%”, niezależne kopie zapasowe i logowanie z 2FA; Azure wskazywała też Zaufana Trzecia Strona, cytowana przez ITwiz. Tych parametrów nie ma jednak w regulaminie serwisu, więc nie są zobowiązaniem umownym, dopóki nie znajdą się w Twojej umowie. Publiczna strona statusu działa pod adresem status.medyc.pl, ale nie pokazuje historii incydentów.

Certyfikatu ISO/IEC 27001 producenta na stronie nie znaleźliśmy. Strona deklaruje „zgodność z RODO i HIPAA”, przy czym HIPAA to amerykańska regulacja, która w Polsce nie ma zastosowania.

Regulamin, umowa powierzenia i eksport danych

Publiczny regulamin dotyczy serwisu, a właściwą umowę abonamentową podpisuje się po okresie próbnym; jej wzoru nie ma na stronie. Trzy rzeczy w regulaminie są istotne przy wyborze programu medycznego:

• Powierzenie danych. Rozdział „Powierzenie przetwarzania danych osobowych” wymienia dane takie jak „nick w portalu społecznościowym lub forum internetowym” i treść postów zawierających „Słowo kluczowe”. Nie ma w nim mowy o dokumentacji medycznej ani numerach PESEL. Placówka potrzebuje osobnej umowy powierzenia obejmującej dane pacjentów.
• Eksport i wyjście. Regulamin nie opisuje wypowiedzenia, eksportu ani terminu przekazania danych. Mówi za to, że po usunięciu konta „wszystkie informacje umieszczone w Serwisie” powiązane z kontem „również zostaną usunięte”. Producent w pytaniach zapewnia, że nie blokuje przychodni długą umową. Przy przejściu z innego programu do Medyc obiecuje „bezproblemowy eksport niezbędnych informacji”, ale o eksporcie przy odejściu od Medyc strona milczy.
• Zmiana regulaminu. Operator może go zmienić „w każdym czasie”, a brak zgody użytkownika oznacza rozwiązanie umowy.

Producent oferuje też archiwizację danych medycznych dla placówek, które kończą działalność albo zmieniają dostawcę, przypominając, że dokumentację trzeba co do zasady przechowywać co najmniej 20 lat (ustawa o prawach pacjenta przewiduje wyjątki). Ceny usługi nie podaje.

Migracja do Medyc

Producent deklaruje przeniesienie danych „z każdego systemu innej firmy” i wymienia ponad 20 dostawców, od których najczęściej migruje, m.in. MyDr, Medfile, Mediportę, Versum, Booksy, KAMSOFT i Comarch Optimed24. Proces według strony: umowa, przekazanie bazy, wycena, a przed migracją właściwą jednomiesięczna umowa poufności i bezpłatna migracja testowa. Testowe przeniesienie danych na kopii to dobra praktyka i warto z niej skorzystać, prosząc o listę rekordów, które nie przeszły. Jak przygotować przenosiny, opisujemy w tekście o migracji danych pacjentów.

Bezpłatna migracja testowa to też dobry moment, żeby zapytać o drogę w drugą stronę: skoro producent umie przyjąć bazę z ponad 20 programów, powinien umieć opisać, w jakim formacie wyda dane, gdy placówka zechce odejść. Jak wygląda odcinanie się od zewnętrznej platformy w praktyce, opisujemy w case study migracji na własny model danych.

Wsparcie

Producent obiecuje dedykowanego opiekuna dostępnego telefonicznie, mailowo i na czacie oraz reakcję na usterkę „średnio w 30 minut”. Godzin pracy wsparcia na obecnej stronie nie znaleźliśmy. Według producenta obsługę programu pracownik opanowuje „w jedno popołudnie”, a płatnych szkoleń strona nie wymienia.

Medyc opinie

Niezależnych, weryfikowalnych opinii użytkowników praktycznie nie ma. Na stronie producenta są opinie wybrane przez niego samego i hasło o „ponad 8000 zadowolonych specjalistów”. Aplikacja mobilna ma w App Store jedną ocenę, a karta w Google Play, do której linkuje medyc.pl, nie istnieje.

Zalety i wady Medyc w skrócie

Pytania do producenta przed zakupem

Część z nich dotyczy każdego programu w chmurze, część wynika z wrześniowego incydentu.

1. 1
   Po incydencieJakie zmiany w zabezpieczeniach wdrożono od września 2026 r. i czy zostały sprawdzone przez niezależny audyt?
2. 2
   Umowa powierzeniaCzy umowa powierzenia obejmuje dane medyczne i PESEL, kto jest podwykonawcą i w jakim czasie dostanę informację o incydencie?
3. 3
   WyjścieW jakim formacie i w jakim terminie dostanę wszystkie dane po wypowiedzeniu umowy?
4. 4
   Cena pełnaIle kosztują SMS-y, moduł CeR, ZnanyLekarz i telemedycyna dla mojej liczby kont?
5. 5
   SLA w umowieCzy deklarowana dostępność 99,99% i czas reakcji są zapisane w umowie?

Medyc a alternatywy

Pełne zestawienie jest w rankingu programów do gabinetu lekarskiego i przychodni. Programy w chmurze o podobnym profilu:

Ceny według cenników producentów z 27 i 28.10.2026, netto albo brutto tak, jak podaje producent. Dla pojedynczego gabinetu własny system zwykle nie ma sensu ekonomicznego.

FAQ