Wyciek danych pacjentów: co zrobić w pierwsze 72 godziny

Od kiedy liczy się 72 godziny

Artykuł 33 ust. 1 RODO mówi, że administrator zgłasza naruszenie „bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia”. Kluczowe jest słowo „stwierdzenie”. Atak mógł trwać od tygodni, ale termin biegnie od chwili, gdy placówka z rozsądną pewnością wie, że doszło do naruszenia ochrony danych osobowych.

Europejska Rada Ochrony Danych w Wytycznych 9/2022 dopuszcza krótkie postępowanie wyjaśniające po pierwszym sygnale, np. od pacjenta, dziennikarza albo z alertu systemu. W trakcie takiego sprawdzania nie można uznać, że administrator już „stwierdził” naruszenie. EROD dodaje jednak, że to wstępne postępowanie „powinno rozpocząć się możliwie jak najszybciej”. Jeśli placówka zwleka ze sprawdzeniem, UODO może uznać, że powinna była stwierdzić naruszenie wcześniej.

Naruszenie to szersze pojęcie niż kradzież bazy. RODO obejmuje też zniszczenie, utratę, zmianę i nieuprawniony dostęp do danych. Zaszyfrowanie serwera przez ransomware, zgubiony laptop z kartoteką czy wysłanie wyników badań do złego pacjenta to także naruszenia, które trzeba ocenić.

Oś czasu pierwszych 72 godzin

Podział na etapy jest praktyczny: przepis wyznacza tylko granicę 72 godzin, a kolejność działań wynika z wytycznych EROD i zdrowego rozsądku.

Kroki wyglądają inaczej, gdy system stoi u Ciebie, a inaczej, gdy dokumentację prowadzisz w programie w chmurze i nie masz dostępu do serwera.

W sieci placówek wyznacz jedną osobę, która zbiera fakty i podejmuje decyzje. Rekomendujemy, żeby była to osoba z umocowaniem zarządu, a inspektor ochrony danych doradzał jej przy ocenie ryzyka. Uzasadnienie jest proste: RODO daje IOD zadania doradcze i kontrolne (art. 39), a decyzja o zgłoszeniu i o komunikacie do pacjentów należy do administratora. Druga osoba z profilem zaufanym albo pełnomocnictwem powinna móc złożyć zgłoszenie, gdy pierwsza jest nieosiągalna.

Do 72 godzin. Jeśli ryzyko dla pacjentów nie jest mało prawdopodobne, zgłoś naruszenie. Przy danych o zdrowiu trudno uzasadnić, że ryzyka nie ma. Gdy nie znasz jeszcze wszystkich faktów, artykuł 33 ust. 4 RODO pozwala udzielać informacji „sukcesywnie”.

Gdy wyciek jest po stronie dostawcy programu

Wiele przychodni prowadzi dokumentację w programie dostawcy, często w jego chmurze. Wtedy placówka jest administratorem danych, a dostawca podmiotem przetwarzającym, któremu powierzyła dane umową. Odpowiedzialność za zgłoszenie do UODO i zawiadomienie pacjentów zostaje przy placówce.

Dostawca ma własny obowiązek z art. 33 ust. 2 RODO: „po stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki zgłasza je administratorowi”. Artykuł 28 ust. 3 lit. f wymaga, żeby umowa powierzenia zobowiązywała go do pomocy w obowiązkach z art. 32 do 36. EROD wyjaśnia, że dostawca nie ocenia ryzyka; ma ustalić, czy doszło do naruszenia, i powiadomić administratora. Według EROD administrator zasadniczo „stwierdził” naruszenie w momencie, w którym dostawca go o nim poinformował. Po wycieku z MyDr UODO dodał, że administrator przed zgłoszeniem „powinien otrzymać od ww. podmiotu przetwarzającego informację potwierdzającą, iż incydent dotyczył danych osobowych związanych z jego działalnością”.

Przy incydencie najdroższa jest pierwsza doba bez logów i bez kontaktu do dostawcy. Dlatego termin zawiadomienia w godzinach i dostęp do logów dostępu ustalałbym w umowie powierzenia, zanim cokolwiek się wydarzy.Mateusz Hauer, Hauer Power

Jaki termin wpisać do umowy. RODO nie podaje dostawcy terminu w godzinach. Rekomendujemy 24 godziny od stwierdzenia naruszenia po stronie dostawcy, z obowiązkiem przekazania tego, co już wiadomo, nawet w niepełnej formie. Formalnie zegar placówki rusza dopiero z zawiadomieniem, ale pacjenci i media nie czekają: im później placówka dostanie informację, tym większa szansa, że pierwsze telefony do rejestracji przyjdą, zanim ktokolwiek w placówce cokolwiek wie. Do umowy dopisz też kontakt awaryjny, prawo do eksportu listy pacjentów, których dotyczy incydent, i dostęp do logów dostępu do dokumentacji Twojej placówki.

Jak to wyglądało w 2026 r. W sprawie MyDr producent 10 sierpnia poinformował o „postępowaniu wyjaśniającym”, a 12 sierpnia UODO przypomniał placówkom obowiązki „w związku z doniesieniami medialnymi” o wycieku, który według mediów mógł dotyczyć niemal 19 mln osób. Producent określa się jako „podmiot przetwarzający dane objęte incydentem”, a do 17 września do UODO wpłynęło, według urzędu, „ponad 2 tys. zawiadomień” od administratorów. W sprawie Medyc pierwszą publiczną informację 24 września podał ośrodek leczniczy z Inowrocławia, opisany przez CyberDefence24 i Zaufaną Trzecią Stronę. Producent, Qbusoft, w komunikacie z 25 września pisze, że ataki odnotował 9 września i tego dnia zgłosił incydent do UODO, a „na obecnym etapie nie potwierdzono kradzieży dokumentacji medycznej”. Szczegóły obu spraw opisujemy w recenzjach MyDr i Medyc. Do 29 października 2026 r. UODO nie opublikował wyników kontroli.

Wniosek praktyczny: jeśli o problemie dostawcy czytasz w mediach, od razu wyślij pisemne pytanie, czy incydent dotyczy Twoich danych, i odnotuj datę. To pokaże UODO, że postępowanie wyjaśniające zacząłeś bez zwłoki. Jeśli po incydencie rozważasz zmianę programu, zacznij od tego, jak odzyskać dane i dokumentację przy rezygnacji z dostawcy.

Czy zawiadamiać pacjentów

Zgłoszenie do UODO i zawiadomienie pacjentów to dwa osobne obowiązki z różnymi progami. Do UODO zgłaszasz, gdy ryzyko nie jest mało prawdopodobne. Pacjentów zawiadamiasz, gdy naruszenie „może powodować wysokie ryzyko” dla ich praw lub wolności (art. 34 ust. 1).

Dane o zdrowiu są w RODO szczególną kategorią danych (art. 9), a ich definicja obejmuje także informację o samym korzystaniu z opieki zdrowotnej. W komunikacie po wycieku z MyDr UODO podał przykłady skutków: przy PESEL ryzyko „wyłudzenia przez osoby trzecie pożyczek”, przy danych o zdrowiu ryzyko „dyskryminacji, ostracyzmu społecznego czy też naruszenia dóbr osobistych”. W Wytycznych 01/2021 EROD opisuje szpital zaatakowany ransomware: przywrócenie danych z kopii trwało 2 dni robocze, nic nie wyciekło, a mimo to zgłoszenie do organu uznano za konieczne ze względu na szczególne kategorie danych. Bezpośrednio zawiadomić należało pacjentów, którym odwołano lub przełożono zabiegi; pozostałym wystarczał publiczny komunikat.

RODO przewiduje trzy wyjątki od zawiadomienia (art. 34 ust. 3): dane były chronione np. szyfrowaniem uniemożliwiającym odczyt, administrator później wyeliminował wysokie ryzyko albo zawiadomienie wymagałoby niewspółmiernie dużego wysiłku. W tym ostatnim przypadku zamiast indywidualnych wiadomości wydaje się publiczny komunikat.

Jak zawiadomić. Zawiadomienie ma być napisane „jasnym i prostym językiem” i zawierać co najmniej: opis charakteru naruszenia, kontakt do IOD lub innego punktu kontaktowego, możliwe konsekwencje i podjęte środki (art. 34 ust. 2). EROD ostrzega, by nie używać kanału, który przestał być bezpieczny, bo mogą go wykorzystać atakujący podszywający się pod administratora. Qbusoft w komunikacie o Medyc prosił o ostrożność wobec „telefonów, SMS-ów, wiadomości e-mail oraz stron internetowych”, które powołują się na wyciek.

Co zawiera zgłoszenie do UODO

Zgłoszenia dokonuje administrator albo jego pełnomocnik. Najwygodniej przez e-usługę na biznes.gov.pl, którą UODO wskazuje na stronie z formularzem zgłoszenia naruszenia; formularz trzeba podpisać podpisem kwalifikowanym albo profilem zaufanym. Do wyboru są trzy typy: kompletne, wstępne (gdy grozi przekroczenie 72 godzin) i uzupełniające lub zmieniające. Minimum z art. 33 ust. 3 RODO:

1. 1
   Charakter naruszeniaCo się stało, kategorie i przybliżona liczba pacjentów oraz wpisów, których dotyczy.
2. 2
   Punkt kontaktowyImię, nazwisko i kontakt do inspektora ochrony danych albo innej osoby, która udzieli informacji.
3. 3
   Możliwe konsekwencjeCo grozi pacjentom: kradzież tożsamości, ujawnienie stanu zdrowia, utrata dostępu do dokumentacji.
4. 4
   Podjęte środkiCo już zrobiono i co planujesz, żeby zatrzymać naruszenie i ograniczyć jego skutki.

Jeśli zgłaszasz po terminie, dołącz wyjaśnienie przyczyn opóźnienia. Przy wycieku u dostawcy opisz, kiedy dostawca Cię zawiadomił i kiedy dostałeś potwierdzenie, że incydent dotyczy Twoich danych.

KSC i CSIRT: kogo dotyczy drugie zgłoszenie

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252, ogłoszona 2 marca 2026 r.) weszła w życie po upływie miesiąca od ogłoszenia, czyli 3 kwietnia 2026 r. Nakłada na podmioty kluczowe i ważne osobny obowiązek zgłaszania incydentów poważnych. Według art. 11 ust. 1 taki podmiot zgłasza wczesne ostrzeżenie „nie później niż w ciągu 24 godzin od momentu jego wykrycia”, zgłoszenie incydentu w ciągu 72 godzin, a sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. Podmioty, które spełniały kryteria w dniu wejścia w życie nowelizacji, mają 12 miesięcy na wdrożenie obowiązków z rozdziału 3, do którego należy art. 11, czyli do 3 kwietnia 2027 r.; dawni operatorzy usług kluczowych zgłaszają incydenty po 6 miesiącach. Zgłoszenie trafia do właściwego CSIRT; przepisy przejściowe kierują część zgłoszeń do CSIRT MON, NASK lub GOV, więc aktualny adres dla ochrony zdrowia potwierdź w komunikacie Ministra Zdrowia lub Centrum e-Zdrowia.

Według art. 11 ust. 1 i 2b ustawy o KSC po nowelizacji oraz art. 33 i 34 RODO.

Podmiot leczniczy jest w załączniku nr 1 do ustawy, ale obowiązki zależą od wielkości. Podmiot leczniczy będący przedsiębiorcą podlega KSC od progu średniego przedsiębiorstwa z unijnej definicji: co najmniej 50 osób albo jednocześnie ponad 10 mln euro rocznego obrotu i ponad 10 mln euro sumy bilansowej. Podmiot leczniczy, który nie jest przedsiębiorcą, jest podmiotem ważnym przy zatrudnieniu od 50 do 249 osób, a kluczowym od 250 osób (art. 5 ust. 8). Mała przychodnia i indywidualna praktyka lekarska co do zasady nie podlegają KSC. Placówka spoza KSC może zgłosić incydent do CERT Polska przez formularz na stronie incydent.cert.pl; to nie zastępuje zgłoszenia do UODO. Terminy i progi zebraliśmy w kalendarzu obowiązków placówki na 2026 i 2027 r.

Rejestr naruszeń i dokumentacja

Artykuł 33 ust. 5 RODO wymaga, by administrator dokumentował „wszelkie naruszenia”, także te, których nie zgłasza do UODO. EROD zaleca wewnętrzny rejestr naruszeń; może on być częścią rejestru czynności przetwarzania, jeśli wpisy są wyraźnie oznaczone. Uzasadnienie decyzji EROD każe udokumentować „w szczególności w przypadku niezgłoszenia naruszenia”. Tak może wyglądać jeden wpis (dane fikcyjne):

Czego nie robić w pierwszych dniach

• Nie czyść systemu przed zabezpieczeniem dowodów. Reinstalacja serwera albo usunięcie logów może zatrzeć jedyny ślad tego, jakie dane wyszły. Bez tego trudno ustalić zakres i trudno wykazać, że naruszenie było mniejsze.
• Nie pisz do pacjentów przed oceną. Pochopny komunikat z błędnym zakresem trudno odwołać, a wiadomość wysłana skompromitowanym kanałem może pomóc oszustom.
• Nie zakładaj, że dostawca zgłosi za Ciebie. Zgłoszenie dostawcy dotyczy jego roli; obowiązek placówki jako administratora zostaje.
• Nie płać okupu bez rozmowy z prawnikiem i organami ścigania. Zapłata nie usuwa naruszenia ani obowiązku jego zgłoszenia.
• Nie wysyłaj danych pacjentów do zewnętrznych narzędzi, żeby szybko je przeanalizować. Wklejenie listy pacjentów do czatu AI albo arkusza w prywatnej chmurze to kolejne powierzenie, o czym piszemy przy ChatGPT i RODO w medycynie oraz danych pacjentów w Excelu.

Procedura przed incydentem

Gdzie trzymać logi i jak długo. Rekomendujemy trzymać logi dostępu poza systemem, którego dotyczą, z prawem zapisu bez prawa usuwania dla administratorów tego systemu. Atakujący, który przejmie konto administratora, może bowiem skasować ślady razem z danymi. Okres przechowywania ustal z IOD tak, by logi sięgały dalej wstecz niż czas między atakiem a jego wykryciem. W sprawie Medyc, według komunikatu ośrodka z Inowrocławia cytowanego przez CyberDefence24, dane wykradziono 22 i 23 sierpnia, a wykryto to w nocy z 8 na 9 września.

Techniczną stronę tych zabezpieczeń, czyli szyfrowanie, podpis, audyt zdarzeń i ochronę API, opisujemy w tekście o bezpieczeństwie systemu medycznego.

FAQ

Podsumowanie

O tym, czy placówka zdąży w 72 godziny, decyduje głównie to, co przygotowała wcześniej: umowa z dostawcą, kontakty i logi, z których da się ustalić, czyje dane wyszły. Tę ostatnią część warto sprawdzić, zanim będzie potrzebna.

Szerszy kontekst systemów i automatyzacji dla placówek znajdziesz na stronie AI i systemy dla medycyny.