MyDr to polska firma technologiczna, która dostarcza placówkom medycznym oprogramowanie do prowadzenia Elektronicznej Dokumentacji Medycznej i zarządzania pracą gabinetów. Nie jest przychodnią ani świadczeniodawcą, lecz dostawcą systemu informatycznego i podmiotem przetwarzającym dane w imieniu korzystających z niego placówek. Od 2023 roku MyDr należy do grupy Docplanner, właściciela portalu ZnanyLekarz.
Czym jest MyDr?
MyDr powstała w 2017 roku jako firma specjalizująca się w rozwiązaniach informatycznych dla lekarzy, przychodni i innych podmiotów leczniczych. Jej głównym produktem jest MyDr EDM, czyli system wspierający prowadzenie dokumentacji medycznej oraz organizację codziennej pracy placówki.
W praktyce lekarz lub przychodnia korzysta z narzędzia do zapisywania informacji o wizytach, obsługi pacjentów i wystawiania dokumentów elektronicznych. MyDr nie prowadzi leczenia pacjentów. Dostarcza infrastrukturę i oprogramowanie, w którym placówki mogą przechowywać oraz przetwarzać dane związane ze świadczeniami zdrowotnymi.
Pod względem prawnym firma pełni rolę podmiotu przetwarzającego. Administratorem danych pacjentów pozostaje co do zasady placówka, która korzysta z systemu i decyduje o celach oraz sposobach przetwarzania informacji.
Do kogo należy MyDr?
Na początku 2023 roku MyDr została przejęta przez Docplanner, grupę technologiczną znaną w Polsce przede wszystkim jako właściciel portalu ZnanyLekarz. Przejęcie objęło całość udziałów w spółce. MyDr działa obecnie jako część grupy Docplanner, łączącej narzędzia do umawiania wizyt z systemami używanymi do obsługi dokumentacji medycznej.
Co robi system MyDr?
Oprogramowanie jest przeznaczone zarówno dla pojedynczych praktyk lekarskich, jak i większych przychodni czy centrów medycznych. Najważniejsze funkcje systemu obejmują:
- Elektroniczną Dokumentację Medyczną – zapisywanie historii wizyt, diagnoz, zaleceń i innych informacji medycznych.
- Dokumenty elektroniczne – wystawianie e-recept, e-skierowań i e-zwolnień.
- Obsługę rejestracji – prowadzenie kalendarza wizyt, rezerwacji oraz danych kontaktowych pacjentów.
- Integrację z systemami publicznymi – przekazywanie zdarzeń medycznych do systemu P1, a także obsługę wybranych procesów związanych między innymi z eWUŚ i rozliczeniami z NFZ.
System działa w chmurze, więc użytkownik nie musi instalować go lokalnie na komputerze. Według informacji przekazywanych przez firmę z rozwiązania korzystały tysiące placówek medycznych, a platforma obsługiwała miliony wizyt miesięcznie.
Co wiadomo o incydencie bezpieczeństwa MyDr?
W sierpniu 2026 roku systemy MyDr padły ofiarą cyberataku. Ministerstwo Cyfryzacji poinformowało o wycieku danych dotyczących blisko 19 milionów osób. Według przekazanych informacji skradzono bazę o wielkości przekraczającej 2 TB. Firma wskazywała, że dane objęte incydentem najprawdopodobniej mają charakter historyczny i pochodzą z 2024 roku oraz wcześniejszych lat. Nie muszą więc obejmować wszystkich klientów MyDr ani wszystkich pacjentów obsługiwanych przez korzystające z systemu placówki.
Na etapie publikowanych komunikatów nie dało się jeszcze ostatecznie potwierdzić pełnego rodzaju i zakresu ujawnionych informacji. Wśród danych, które mogły znajdować się w systemach, wymieniano między innymi dane identyfikacyjne i kontaktowe, numery PESEL, informacje o wizytach, receptach oraz stanie zdrowia. Dokładne ustalenia miały zależeć od analizy śledczej.
Incydent badają Centralne Biuro Zwalczania Cyberprzestępczości i prokuratura. Swoją kontrolę zapowiedział również Urząd Ochrony Danych Osobowych. Sprawdzane są między innymi zastosowane zabezpieczenia techniczne i organizacyjne oraz sposób przeprowadzania analizy ryzyka.
Istotne jest rozróżnienie między systemem MyDr a centralnymi usługami państwowymi. Centrum e-Zdrowia poinformowało, że nie doszło do naruszenia bezpieczeństwa centralnych systemów e-zdrowia, w tym P1. Incydent dotyczył infrastruktury prywatnego dostawcy oprogramowania, a nie samego państwowego systemu. Nie oznacza to jednak, że dane przechowywane w systemie MyDr nie mogły zawierać informacji wykorzystywanych przy obsłudze świadczeń zdrowotnych.
Co może zrobić pacjent?
Zakres incydentu jest ustalany, ale podstawowe działania ograniczające ryzyko można podjąć niezależnie od tego, czy dana osoba korzystała z placówki używającej MyDr. Najważniejsze kroki to:
- Zastrzeżenie numeru PESEL w aplikacji mObywatel lub innym udostępnionym kanale administracji.
- Używanie silnych i unikalnych haseł do poczty, bankowości oraz innych usług internetowych.
- Włączenie uwierzytelniania wieloskładnikowego wszędzie, gdzie jest dostępne.
- Ostrożność wobec phishingu – nieklikanie w podejrzane linki i nieprzekazywanie danych osobom kontaktującym się przez telefon, SMS lub e-mail bez potwierdzenia ich tożsamości.
Warto też obserwować komunikaty Ministerstwa Cyfryzacji, Centrum e-Zdrowia, UODO i samej firmy. Sam fakt, że placówka korzystała z określonego systemu, nie przesądza jeszcze o tym, jakie dane konkretnego pacjenta zostały objęte incydentem.
Artykuł nie stanowi porady prawnej ani porady dotyczącej cyberbezpieczeństwa. W przypadku podejrzenia wykorzystania danych skontaktuj się z właściwą instytucją lub specjalistą.
