Ministerstwo Cyfryzacji chce „wykraść” dane MyDr po raz drugi. Dla dobrego PR-u

W sprawie wycieku danych 19 mln pacjentów z serwisu MyDr coś nie gra. Minister cyfryzacji Krzysztof Gawkowski odsyła Polaków do serwisu bezpiecznedane.gov.pl, żeby tam mogli sprawdzić, czy również ich dane osobowe, w tym bardzo wrażliwe dane medyczne, zostały wykradzione.

Ale ta rządowa strona obecnie (w czwartek 13 sierpnia 2026 po południu) podaje informacje, że:

Nic dziwnego, skoro z najświeższych komunikatów „dotkniętej cyberatakiem” firmy MyDr wynika, że ona sama jeszcze niewiele wie:

„Skontaktujemy się proaktywnie z klientami, których dotyczy incydent, zapewniając im wsparcie i wskazówki, gdy tylko ustalimy, które placówki i jakie dane zostały nim objęte”.

Jest to procedura obowiązkowa, wynikająca z RODO: człowiek, którego dane znalazły się w niebezpieczeństwie, musi być o tym powiadomiony.

A póki co, listy 19 mln nazwisk nikt nie zna. Pojawia się data graniczna – 2024 rok – wskazująca, że być może skradzione dane dotyczą okresu sprzed tej daty, ale po niej już nie. Ale tylko być może. Jeszcze tego nie wiemy. A ministerstwo i tak odsyła zaniepokojonych Polaków do strony rządowej, na której w dalszym ciągu niczego nie da się sprawdzić.

I co ważniejsze – nie powinno się dać, jak mówi OKO.press prawnik specjalizujący się w ochronie danych osobowych i prawie nowych technologii, dr Michał Długosz z uczelni WSB Merito.

Po co ministrowi Gawkowskiemu dane medyczne Polaków?

Agata Kołodziej, OKO.press: Eksperci zajmujący się cyberbezpieczeństwem zwracają uwagę, że zgodnie z RODO firma MyDr jest jedynie „podmiotem przetwarzającym”. A administratorem wykradzionych danych są poszczególne placówki ochrony zdrowia, które korzystały z usług MyDr. I w związku z tym MyDr nie ma prawa przekazać danych ofiar incydentu, żeby je upublicznić w serwisie bezpiecznedane.gov.pl, do którego odsyła ministerstwo. A zdaje się, takie jest od MyDr oczekiwanie Ministerstwa Cyfryzacji. O co tu chodzi? Resort cyfryzacji chce „wykraść” te dane po raz drugi?

Dr Michał Długosz, prawnik, politolog: Sprawa jest dwuwarstwowa. Zaczęła pani od RODO, ale to nie jest przepis, od którego powinniśmy zacząć. Kluczowa jest tutaj tajemnica medyczna. Dane nią objęte mogą być przetwarzane tylko i wyłącznie przez podmioty do tego uprawnione. RODO pełni tu jedynie funkcję doszczelniającą. A więc mówimy nie o wycieku danych osobowych, ale o wycieku danych medycznych, które są jednocześnie danymi osobowymi, co oznacza, że wpadamy pod dwa bardzo ściśle powiązane reżimy prawne.

I w efekcie mamy sytuację, w której dane medyczne 19 mln Polaków miałyby trafić do Ministerstwa Cyfryzacji. Czyli podmiot nieuprawniony będzie operował danymi medycznymi – bezpośrednio czy pośrednio. To jest dla mnie abstrakcyjna i zupełnie niezrozumiała sytuacja. Politycy biją pianę, a ja nie wiem, jakie informacje o moim zdrowiu i komu są teraz pokątnie przekazywane przez rząd. To jest działanie całkowicie sprzeczne z prawem.

Co to znaczy „pokątnie przekazywane przez rząd”? I kim jest nieuprawniony podmiot? Ma pan na myśli rządowy serwis bezpiecznedane.gov.pl?

Tak. Nie ma żadnej podstawy prawnej, na bazie której te wykradzione dane miałyby się pojawić w rządowym serwisie. Jeżeli placówka medyczna „wypuszcza” z rąk dane, które ma obowiązek chronić w ramach tajemnicy lekarskiej, to ona ponosi za to odpowiedzialność. To ona ma obowiązek poinformować poszkodowanych. I do tego powinna wypłacić odszkodowanie.

Zatrzymajmy się tutaj. Odpowiedzialność ponosi placówka medyczna, a nie podmiot przetwarzający, czyli MyDr, który został zhakowany?

Dokładnie tak. I mamy te placówki medyczne, które powinny trzymać te dane za zębami, a nagle okazuje się, że są one przekazywane bez żadnej podstawy prawnej do podmiotu zewnętrznego.

Czyli do rządowego serwisu?

Tak. I tutaj trzeba być precyzyjnym, bo mamy już w tej sprawie konkretny przepis – art. 34 RODO nakłada na administratora obowiązek zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, gdy może ono powodować wysokie ryzyko naruszenia jej praw lub wolności. To jest gotowa, obowiązująca podstawa prawna. Więc pytanie brzmi: po co rząd ingeruje bez żadnej podstawy prawnej w coś, co już jest uregulowane wprost przez ten przepis?

Słyszałem wypowiedź ministra, który zapowiedział, że rząd otworzy stronę, na której obywatele będą mogli sami potwierdzić, że są ofiarami wycieku danych. I to budzi u mnie dwa zasadnicze problemy.

Jakie?

Po pierwsze – jak niby mam to zrobić? Skąd mam wiedzieć, że moje dane wyciekły, skoro nikt mi tego nie zakomunikował? To odwraca logikę art. 34 RODO o 180 stopni – to administrator, czyli placówka medyczna, ma obowiązek poinformować mnie o naruszeniu, a nie ja mam sam to ustalać i deklarować.

Po drugie – jeśli dane, które mam „rozpoznać” na tej stronie, będą z konieczności fragmentaryczne, bo przecież nie można mi pokazać cudzych danych medycznych, to całkiem możliwe, że nie rozpoznam w nich siebie i zadeklaruję, że to nie ja – mimo że moje dane faktycznie wyciekły. A to może się potem obrócić przeciwko mnie w sądzie, jako dowód, że sam nie byłem pewien, czy w ogóle doszło do naruszenia moich danych.

Zgodnie z RODO o wycieku moich danych ma mnie poinformować ten, kto dopuścił się ich wypuszczenia.

Czyli placówka medyczna?

Tak. I to ona powinna ona również zaproponować zadośćuczynienie.

Zaraz, zaraz. Czy jeśli moje dane wypłynęły, to nie muszę najpierw udowodnić, że doszło do konkretnej szkody, żeby zadośćuczynienie dostać? Sam fakt wycieku oznacza, że powinnam oczekiwać na propozycję rekompensaty ze strony podmiotu medycznego? A od podmiotu przetwarzającego – w tym przypadku MyDr – też?

W zasadzie tak. I to od obu.

Tymczasem wbrew trzem reżimom prawnym – RODO, tajemnicy medycznej i ochronie prywatności – okazuje się, że to jakiś podmiot rządowy będzie w szalonym trybie dysponował danymi o tym, czy jesteśmy chorzy, czy nie. Ja nie wiem, czemu to ma służyć, bo zgodnie z RODO o tym, że moje dane wypłynęły, ma mnie poinformować ten, kto dopuścił się tego wypuszczenia tych danych.

Mówił Pan o tym, że nie ma podstawy prawnej do przekazywania informacji o wykradzionych danych osobowych i medycznych rządowemu serwisowi. Ale znalazłam wyjaśnienie, że być może użyto pewnego wybiegu, żeby rząd uzyskał te dane zgodnie z prawem.

Otóż serwis Zaufania Trzecia Strona, który o samym wycieku danych poinformował, spekuluje, że danych może zażądać na podstawie Kodeksu Postępowania Karnego prokuratura prowadząca postępowanie, a gdy je otrzyma, może je przekazać, gdzie uzna za stosowne. Czy z punktu widzenia prawnika to ma sens?

Mózg mi się lekko ugotował, jak to usłyszałem, bo to jest bardzo pokrętna logika. Na jakiej podstawie prawnej i po co prokuratura miałaby przekazywać wrażliwe dane medyczne na zewnątrz, do celów niezwiązanych z samym postępowaniem karnym? Kodeks postępowania karnego służy do ścigania przestępców i zabezpieczania dowodów, a nie do dystrybucji baz danych obywateli pomiędzy resortami w celach informacyjnych.

Prezes UODO milczy

Chce Pan przez to powiedzieć, że serwis bezpiecznedane.gov.pl, do którego wszyscy teraz odsyłają Polaków, włącznie z ministrem, nie ma ani prawa mieć danych, po które 19 mln ludzi chce się tam zgłosić, ani nie ma takiej potrzeby, bo to placówki medyczne same mają obowiązek się z poszkodowanymi skontaktować? Czyli, że w ten sposób Ministerstwo Cyfryzacji chce jedynie pokazywać swoją sprawczość i to w dodatku nielegalnie?

Dokładnie tak. A tymczasem zastanawia mnie, dlaczego w tej sprawie milczy Prezes Urzędu Ochrony Danych Osobowych. Wobec tego, co się dzieje, ze strony UODO powinien paść bardzo mocny, stanowczy komunikat i zatrzymanie niezrozumiałych działań rządu. No ale to wiemy przecież, że na takich stanowiskach nominacje są polityczne, więc...

W każdym razie sytuacja z wyciekiem z systemów MyDr bez wątpienia wywoła gigantyczną lawinę prawną. Przypuszczam, że niebawem ruszą bardzo poważne postępowania. W grę wchodzą tu konkretne przepisy ustawy o ochronie danych osobowych – chociażby artykuł 107, który jest przepisem karnym przewidującym odpowiedzialność za nielegalne przetwarzanie danych.

Z drugiej strony mamy artykuł 101, określający warunki nakładania przez Prezesa UODO potężnych administracyjnych kar finansowych w drodze postępowania administracyjnego. Do tego dochodzi kwestia złamania tajemnicy medycznej. Pacjenci zyskują pełne prawo do żądania odszkodowań oraz dochodzenia ochrony dóbr osobistych z tytułu naruszenia prywatności i upublicznienia ich najbardziej intymnych danych. Skala tego zjawiska może być dla systemu koszmarem. Fala pozwów może dotyczyć zarówno samej spółki MyDr, jak i poszczególnych placówek medycznych, które z jej usług korzystały.

Dlaczego nie dmuchamy na mleko, zanim wykipi?

Pyta Pan, gdzie jest prezes UODO. A ja widzę w serwisach informacyjnych, że UODO zabiera głos. Urząd informuje na przykład, że zbada zachowanie firmy po incydencie, sprawdzi należytą staranność w informowaniu ofiar i tak dalej. Tylko to nasuwa mi inne pytanie: wszystko to dotyczy działań UODO dopiero wtedy, gdy mleko już się rozleje.

Z analizy innych incydentów opisanych na stronie Urzędu wynika, że w przypadkach, w których doszło do wycieków, analiza ryzyka albo w ogóle nie została przeprowadzona, albo była bardzo słabo zrobiona. Dlaczego więc nikt tego nie pilnuje, żeby zadbać, by do wycieków danych nie dochodziło, a zamiast tego skupiamy się wyłącznie na sprzątaniu skutków katastrof? Dlaczego UODO nie pilnuje prewencyjnie, czy te analizy ryzyka w poszczególnych podmiotach w ogóle istnieją i czy są wystarczające?

Aby to wyjaśnić, musimy się trochę cofnąć. Unia Europejska traktuje podmioty rynkowe jak profesjonalistów. Mówi im: prowadzicie działalność, więc robicie to na własną odpowiedzialność i ponosicie pełne konsekwencje, jeśli wasze zabezpieczenia okażą się niewystarczające.

Unia nie narzuca sztywnych standardów i nakazów w stylu: „tego wam nie wolno”, a „to macie zrobić dokładnie w takim stopniu”. Ochrona danych osobowych oraz prawo nowych technologii – czyli całe cyberbezpieczeństwo – opierają się właśnie na tym modelu. Państwo i Unia Europejska nie biorą na siebie żadnej odpowiedzialności, lecz w całości przerzucają ją na uczestników rynku.

Czyli to, że UODO nie działa prewencyjnie, mimo że widać, że firmy nie robią tego, co trzeba i potem pozostaje sprzątać po nich bałagan, jest ok, bo Unia tego nie wymaga?

UODO nie ma nawet do tego odpowiednich narzędzi.

A nie moglibyśmy ich sobie stworzyć? To, że Unia tego nie nakazuje, nie oznacza przecież, że nie możemy wprowadzić takich rozwiązań w ramach krajowego prawodawstwa.

Unia Europejska kreuje generalną regułę: zapewnijcie najwyższe możliwe bezpieczeństwo. Podmioty rynkowe mają ten standard dowieźć. Jeśli dojdzie do włamania i wycieku danych, a systemy przestaną działać, sprawa zwykle trafia do sądu lub przed organ kontrolny. Wtedy prezes takiej spółki musi udowodnić, że zrobił absolutnie wszystko, co było technologicznie i ludzko możliwe. Jeśli to wykaże, sąd lub urząd może zwolnić go z odpowiedzialności. Jeśli jednak oskarżyciel udowodni, że technologia pozwalała na wdrożenie lepszych rozwiązań, a firma tego zaniechała, podmiot zostaje uznany za nieprofesjonalny i ponosi karę. Ten mechanizm opiera się na ocenie następczej.

Wszystko sprowadza się do tego, że państwo i Unia umywają ręce. Spychają odpowiedzialność na podmioty prywatne lub jednostki sektora finansów publicznych, ponieważ nie da się kontrolować każdego. Nie da się postawić policjanta przy każdym przedsiębiorcy, bo nie ma na to sił, środków ani możliwości. Być może rozwój sztucznej inteligencji i technologii w przyszłości na to pozwoli, ale dziś to czysta fikcja.

Skoro z oficjalnych komunikatów UODO wynika, że w ukaranych podmiotach tych analiz ryzyka zazwyczaj w ogóle nie było, a liczba incydentów stale rośnie, to co to oznacza? Czy kary finansowe są zbyt małe i nie działają motywująco? Bo przecież UODO wkłada całkiem sporo wysiłku, żeby te rynkowe podmioty uczyć, na czym polega system ochrony danych i jak go skutecznie stosować, więc brakiem wiedzy nie tak łatwo się zasłaniać.

To bardziej skomplikowane. W nauce o prawie istnieje dynamicznie rozwijająca się dziedzina, jaką jest ekonomiczna analiza prawa. Mówi ona o kosztach, jakie prawo generuje. To, o co pani pyta, to właśnie koszt prawa, który w całości został przeniesiony na uczestników rynku. Proszę zauważyć, że każde nowe unijne uregulowanie – czy to RODO, czy prawo nowych technologii – oznacza dla firm gigantyczne dodatkowe koszty, procedury i formalizmy.

Sam zawodowo zajmuję się prawem nowych technologii oraz projektami badawczo-naukowymi. Proszę mi uwierzyć, że w tym momencie nawet my, prawnicy, często nie wiemy, jakie mechanizmy gwarancji bezpieczeństwa wprowadzać, żeby było idealnie. Idziemy do przodu, robimy wszystko, co w naszej mocy, a na koniec i tak może się okazać, że wymyślony przez nas standard jest niewystarczający w zderzeniu z nowymi zagrożeniami.

Unia wychodzi z założenia: jest pomysł regulacji, więc go wdrażamy. Jednak rynek nie ma sił ani środków, by to udźwignąć. Gdybyśmy chcieli w stu procentach zrealizować wszystkie procedury, które narzuca nam Bruksela, musielibyśmy popaść w skrajną paranoję. Doszliśmy do momentu potężnej inflacji prawa – prawa, którego fizycznie nie da się w pełni dowieźć.

Mój kolega, który jest radcą prawnym i prowadzi własną kancelarię, jest załamany. Po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa jego firma stała się tzw. podmiotem kluczowym. Dostał gigantyczną listę nowych obowiązków i zwyczajnie pyta, skąd ma wziąć pieniądze na ich techniczną realizację.

To wyjaśnia, dlaczego w podmiotach rynkowych brakuje rzetelnych analiz ryzyka i dlaczego nikt nie jest w stanie upilnować, aby one powstawały?

Dokładnie tak. Skala tych wymagań jest już tak gigantyczna, że nikt na rynku tego nie ogarnia i nie dowozi. Tym bardziej że nakładają się na siebie skomplikowane regulacje unijne oraz ich specyficzne, lokalne wdrożenia przez kraje członkowskie. Przemysł legislacyjny po prostu oderwał się od rzeczywistości. I mówię to jako prawnik.