Interpelacja w sprawie wycieku danych z firmy MyDr sp. z o.o.

Panie Ministrze,

w dniu 12 sierpnia 2026 r. Ministerstwo Cyfryzacji poinformowało o wycieku danych, będącego konsekwencją ataku cyfrowego na firmę MyDr sp. z o.o., zarządzającą zasobami informatycznymi około 12 tys. placówek służby zdrowia. Przedmiotem nieuprawnionego dostępu stało się 19 milionów numerów PESEL, tj. danych osobowych, oraz około 30 milionów rekordów dotyczących wypisanych recept oraz udzielonych porad medycznych, tj. danych wrażliwych.

W związku z powyższym proszę o udzielenie odpowiedzi na następujące pytania:

1. Kiedy doszło do ataku cyfrowego na zasoby informatyczne zarządzane przez podmiot MyDr sp. z o.o.?

2. Kiedy wyżej wymieniony podmiot poinformował o wycieku danych osobowych i danych wrażliwych UODO?

3. Dlaczego fakt wycieku danych osobowych i danych wrażliwych około 19 milionów obywateli RP i obywateli innych państw, którym nadano numer PESEL nie były przedmiotem alertu RCB?

4. Kiedy i jaki podmiot przeprowadzał w firmie MyDr sp. z o.o. tzw. testy penetracyjne? Jakie były wyniki przeprowadzonych testów?

5. Czy dane osobowe i dane wrażliwe, będące przedmiotem ataku cyfrowego na firmę MyDr sp. z o.o. są dostępne w internecie lub tzw. darknecie?

6. Czy wśród skradzionych danych osobowych i danych wrażliwych znajdują się rekordy, dot. funkcjonariuszy służb specjalnych pozostających w służbie czynnej lub na emeryturze?

7. Czy Policja i Agencja Bezpieczeństwa Wewnętrznego prowadzą czynności w sprawie wycieku danych z firmy MyDr?

Z poważaniem