Interpelacja w sprawie cyberataku i wycieku danych zdrowotnych nawet 19 mln Polaków

Szanowny Panie Ministrze,

12 sierpnia 2026 r. opinia publiczna została poinformowana o jednym z najpoważniejszych incydentów cyberbezpieczeństwa dotyczących danych polskich obywateli. Według informacji przekazanych przez wiceprezesa Rady Ministrów, ministra cyfryzacji Pana Krzysztofa Gawkowskiego, w wyniku cyberataku na systemy firmy MyDr mogło dojść do wycieku danych dotyczących nawet 19 milionów osób.

Skala zdarzenia budzi ogromny niepokój. Szczególnie istotny jest charakter informacji, które mogły znaleźć się w rękach cyberprzestępców. Chodzi bowiem nie tylko o dane identyfikacyjne, ale również o dane związane ze zdrowiem pacjentów, w tym potencjalnie informacje dotyczące historii leczenia, wizyt, wystawianych recept oraz przyjmowanych leków.

Wyciek danych o takiej skali rodzi poważne ryzyko dalszych przestępstw, w szczególności kradzieży tożsamości, prób wyłudzeń, phishingu oraz oszustw wykorzystujących wiedzę o stanie zdrowia konkretnych osób.

W związku z powyższym zwracam się do Pana Ministra z następującymi pytaniami:

Ilu dokładnie obywateli dotyczy przedmiotowy incydent i na jakiej podstawie Ministerstwo Cyfryzacji oszacowało skalę możliwego wycieku na blisko 19 milionów osób?

Jakie dokładnie kategorie danych zostały wykradzione lub mogły zostać wykradzione? Czy obejmują one numery PESEL, adresy zamieszkania, numery telefonów, adresy e-mail, historię leczenia, informacje o diagnozach, chorobach, wizytach lekarskich, wystawionych receptach, przyjmowanych lekach, zwolnieniach lekarskich lub skierowaniach?

Czy ministerstwo posiada wiedzę, kiedy dokładnie doszło do włamania do systemów MyDr, kiedy atak został wykryty oraz kiedy o zdarzeniu zostały poinformowane właściwe organy państwa?

Jak długo cyberprzestępcy mogli posiadać nieuprawniony dostęp do infrastruktury informatycznej oraz danych pacjentów?

Czy skradzione dane zostały już opublikowane, wystawione na sprzedaż lub przekazane osobom trzecim? Czy polskie służby posiadają informacje wskazujące, że przestępcy próbują wykorzystać je do wyłudzeń lub innych przestępstw?

Czy przed cyberatakiem systemy MyDr były przedmiotem kontroli, audytów lub testów bezpieczeństwa prowadzonych przez instytucje państwowe? Jeżeli tak, kiedy przeprowadzono ostatnią taką kontrolę i jakie były jej wyniki?

Czy w toku dotychczasowych czynności stwierdzono zaniedbania po stronie administratora lub podmiotów odpowiedzialnych za bezpieczeństwo systemu?

Jakie konkretne działania podejmie państwo w celu ochrony osób, których dane zostały skradzione, poza rekomendacją zastrzeżenia numeru PESEL?

Kiedy każda osoba poszkodowana otrzyma indywidualną informację o tym, czy jej dane wyciekły oraz jaki dokładnie zakres jej danych został przejęty?

Czy rząd planuje zapewnić poszkodowanym bezpłatne narzędzia umożliwiające monitorowanie prób wykorzystania ich danych, w szczególności prób zaciągania zobowiązań finansowych lub kradzieży tożsamości?

Jakie działania zostaną podjęte wobec około 12 tysięcy placówek medycznych korzystających z przedmiotowego oprogramowania, aby zweryfikować bezpieczeństwo ich systemów i zapobiec kolejnym incydentom?

Czy po tym zdarzeniu Ministerstwo Cyfryzacji planuje przeprowadzenie nadzwyczajnych audytów cyberbezpieczeństwa systemów informatycznych wykorzystywanych przez podmioty ochrony zdrowia do przetwarzania danych medycznych milionów obywateli?

Czy rząd zamierza dokonać zmian prawnych lub wprowadzić dodatkowe standardy bezpieczeństwa dla prywatnych podmiotów przetwarzających na tak dużą skalę dane dotyczące zdrowia obywateli?

Kto ponosi odpowiedzialność za nadzór nad bezpieczeństwem tak dużych zbiorów danych medycznych i czy w ocenie Pana Ministra obecny system nadzoru okazał się wystarczający?

Jakie konsekwencje prawne, administracyjne lub finansowe mogą zostać wyciągnięte wobec podmiotów odpowiedzialnych za ewentualne zaniedbania, jeżeli zostaną one potwierdzone?

Wyciek danych dotyczących nawet 19 milionów obywateli, w tym danych związanych ze zdrowiem, nie może być traktowany jak zwykły incydent informatyczny. Mamy do czynienia z potencjalnym naruszeniem bezpieczeństwa informacji dotyczących ogromnej części polskiego społeczeństwa. Obywatele mają prawo wiedzieć, jakie ich dane znalazły się w rękach przestępców, dlaczego zabezpieczenia okazały się niewystarczające oraz jakie konkretne działania podejmie państwo, aby ograniczyć skutki tego zdarzenia.

Magdalena Filipek-Sobczak Poseł na Sejm Rzeczypospolitej Polskiej