Gdańsk, 8 października 2026 r.
Kogo dotyczy ten komunikat
Komunikat kierujemy do pacjentów smartHeart, których dokumentacja była przetwarzana w systemie MyDr EDM przed 12 kwietnia 2024 r., a także do ich przedstawicieli ustawowych i osób upoważnionych do dostępu do dokumentacji medycznej. Osoby, dla których posiadamy adres e-mail, numer telefonu lub adres korespondencyjny, zostały zawiadomione indywidualnie. Niniejszy komunikat kierujemy do osób, z którymi nie mogliśmy skontaktować się bezpośrednio.
Co się stało
System naszego podmiotu przetwarzającego, MyDr Sp. z o.o. z siedzibą w Warszawie, padł ofiarą cyberataku. Nieuprawniona osoba trzecia uzyskała dostęp do środowiska chmurowego MyDr i skopiowała kopię bazy danych datowaną na 12 kwietnia 2024 r. oraz nieliczne późniejsze pliki. Incydent miał miejsce między 24 czerwca a 1 lipca 2026 r.
Nie oznacza to, że Państwa dane zostały odczytane, wykorzystane lub upublicznione. Według stanu na dzień publikacji tego komunikatu monitoring prowadzony przez MyDr nie wykazał, aby dane objęte incydentem zostały opublikowane w Internecie lub w inny sposób udostępnione publicznie.
Jakich danych mógł dotyczyć incydent
Imię i nazwisko, adres zamieszkania, dane kontaktowe, numer PESEL, dane dotyczące zdrowia, dane dotyczące ubezpieczenia społecznego oraz — jeśli zostały podane — informacje o pracodawcy lub inne dane identyfikacyjne. W przypadku przedstawicieli ustawowych i osób upoważnionych: imię i nazwisko, dane kontaktowe, ewentualnie adres zamieszkania, numer PESEL oraz informacja o rodzaju relacji z pacjentem.
Możliwe konsekwencje
Numer PESEL w połączeniu z imieniem, nazwiskiem i danymi kontaktowymi mógłby zostać wykorzystany przez osoby nieuprawnione do zaciągnięcia kredytu lub pożyczki bez Państwa wiedzy albo do uzyskania dostępu do Państwa danych medycznych tam, gdzie uwierzytelnienie następuje przy pomocy numeru PESEL. Dane dotyczące zdrowia mogłyby zostać wykorzystane w sposób dla Państwa niekorzystny lub do prób oszustwa, na przykład przez kontakt z ofertą „alternatywnego leczenia”.
Co mogą Państwo zrobić
Zalecamy bezpłatne zastrzeżenie numeru PESEL — w aplikacji mObywatel, na stronie mObywatel.gov.pl lub w urzędzie gminy. Zastrzeżenie nie blokuje rejestracji u lekarza ani realizacji recepty. Warto też zachować ostrożność wobec kontaktów od osób, które nie powinny znać Państwa historii zdrowia. W razie podejrzenia nieuprawnionego wykorzystania danych można zgłosić to Policji.
Co już zrobiliśmy
MyDr opanował incydent, odtworzył środowisko serwerowe od podstaw, zresetował hasła i klucze dostępu, zgłosił sprawę Centralnemu Biuru Zwalczania Cyberprzestępczości i współpracuje z CSIRT NASK oraz Centrum e-Zdrowia. smartHeart Sp. z o.o. zgłosił naruszenie Prezesowi Urzędu Ochrony Danych Osobowych i zawiadomił indywidualnie wszystkie osoby, dla których posiada dane kontaktowe.
Kontakt
Inspektor ochrony danych: Sylwia Rydlewska, sylwia.rydlewska@smartheart.pl
Administrator: smartHeart Sp. z o.o., ul. Eugeniusza Węgrzyna 4/U1, 80-175 Gdańsk, kontakt@smartheart.pl, tel. +48 732 99 33 77
Pytania o zakres incydentu po stronie podmiotu przetwarzającego: dane@mydr.pl
Przysługuje Państwu prawo wniesienia skargi do Prezesa UODO, ul. Stanisława Moniuszki 1A, 00-014 Warszawa.