Prezes UODO odpowiada w sprawie incydentu dotyczącego MyDr

Prezes Naczelnej Izby Lekarskiej zwrócił się do Prezesa Urzędu Ochrony Danych Osobowych o doprecyzowanie obowiązków lekarzy, lekarzy dentystów oraz podmiotów leczniczych korzystających z systemu MyDr w związku z incydentem dotyczącym bezpieczeństwa danych.

Powodem wystąpienia Naczelnej Izby Lekarskiej były liczne pytania kierowane przez lekarzy i lekarzy dentystów prowadzących praktyki zawodowe oraz podmioty lecznicze korzystające z systemu elektronicznej dokumentacji medycznej MyDr. Wątpliwości pojawiły się po publikacji komunikatów Prezesa Urzędu Ochrony Danych Osobowych oraz spółki MyDr, które mogły być odmiennie interpretowane przez administratorów danych.

Prezes UODO w komunikacie z 12 sierpnia 2026 r. przypomniał administratorom korzystającym z usług MyDr o konieczności przeprowadzenia analizy ryzyka naruszenia praw lub wolności osób fizycznych oraz o wynikających z niej obowiązkach związanych ze zgłoszeniem naruszenia i zawiadomieniem osób, których dane dotyczą.

Jednocześnie MyDr informowało swoich klientów, że na tym etapie nie muszą podejmować żadnych działań oraz że zgłoszenia ze strony placówek nie są obecnie wymagane. Spółka zapowiedziała indywidualny kontakt z klientami objętymi incydentem.

W ocenie samorządu zawodowego zestawienie obu komunikatów rodzi po stronie lekarzy stan niepewności co do treści ciążących na nich obowiązków, przy czym niepewność ta dotyczy obowiązków obwarowanych krótkim terminem zawitym oraz sankcją administracyjną.

Naczelna Izba Lekarska zwróciła się do Prezesa UODO m.in. o wyjaśnienie:

• czy informacja podmiotu przetwarzającego, że zgłoszenie nie jest wymagane, może zwolnić administratora z przeprowadzenia własnej oceny sytuacji;
• od jakiego momentu należy liczyć 72-godzinny termin na zgłoszenie naruszenia, jeżeli lekarz nie otrzymał indywidualnej informacji od dostawcy systemu;
• czy w przypadku braku informacji o tym, czy dane pacjentów konkretnej placówki zostały objęte incydentem, należy dokonać zgłoszenia wstępnego;
• jakie znaczenie dla oceny ryzyka ma brak dowodów na publiczne opublikowanie danych;
• czy zapowiedź kontaktu ze strony dostawcy systemu jest wystarczająca z punktu widzenia obowiązków podmiotu przetwarzającego;
• jak powinien postąpić administrator, który nie może uzyskać informacji o zakresie danych objętych naruszeniem;
• czy możliwe jest wydanie przez UODO dodatkowych, jednoznacznych wytycznych skierowanych bezpośrednio do podmiotów wykonujących działalność leczniczą.

NIL zwróciła również uwagę na sytuację lekarzy prowadzących jednoosobowe praktyki zawodowe, którzy często nie posiadają odrębnych struktur zajmujących się ochroną danych osobowych i muszą podejmować decyzje na podstawie informacji przekazywanych przez dostawcę oprogramowania.

Celem wystąpienia było uzyskanie jednoznacznych wskazówek pozwalających lekarzom i lekarzom dentystom prawidłowo wykonać obowiązki wynikające z RODO, bez ryzyka przekroczenia ustawowych terminów.

Odpowiedź Prezesa Urzędu Ochrony Danych Osobowych.