Wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził wyciek danych blisko 19 mln osób - część doniesień podaje dokładniejszą liczbę: 18,8 mln numerów PESEL. Źródłem nie jest żaden rejestr rządowy ani Narodowy Fundusz Zdrowia, tylko firma MyDr - dostawca platformy IT i systemu elektronicznej dokumentacji medycznej (EDM) dla placówek ochrony zdrowia. Ta różnica nie zmienia jednak tego, co realnie znalazło się w rękach nieznanych osób.
Co się stało - wyciek danych MyDr
Skradziona baza ma liczyć ponad 2 TB danych. Skala ofiar wynika ze skali samego dostawcy - z oprogramowania MyDr korzysta około 12 tys. placówek ochrony zdrowia w Polsce: przychodnie, gabinety, punkty podstawowej opieki zdrowotnej. Gawkowski powiedział, że "mamy do czynienia z jednym z największych incydentów w historii Polski", i mówił o "nadzwyczajnym wycieku danych, sięgającym blisko 19 milionów polskich obywateli". Wskazał też, że z dużą dozą pewności jest to działanie cyberprzestępców, a nie obcego państwa - to jednak ustalenie z pierwszego dnia, nie wniosek zamkniętego śledztwa.
Stan wiedzy na 12 sierpnia 2026 r. Sprawa jest w toku, a obraz może się zmieniać z dnia na dzień.
Jeżeli okaże się, że Twoje dane rzeczywiście wyciekły, administrator ma obowiązek zawiadomić Cię o tym bez zbędnej zwłoki, zgodnie z RODO. Naruszenie można też zgłosić samodzielnie do UODO przez formularz zgłoszenia naruszenia.
Jakie dane wyciekły
W zakresie są rzeczy, których spodziewamy się po każdym dużym wycieku: imię, nazwisko, PESEL, adres, telefon. I rzeczy, które podnoszą stawkę - przyjmowane leki, recepty, wizyty lekarskie, choroby.
Hasło da się zmienić w minutę. PESEL - nie. Numer, który każdy Polak nosi od urodzenia, jest kluczem do dziesiątek usług: banku, urzędu, ZUS-u, systemu ochrony zdrowia. Gdy wycieka hasło, zamykasz jedną furtkę i otwierasz nową. Gdy wycieka PESEL razem z historią chorób, furtki nie da się wymienić - klucz zostaje ten sam do końca życia.
To samo dotyczy historii medycznej. Nie da się cofnąć faktu, że ktoś obcy wie, jakie leki bierzesz albo na co się leczysz. Nie ma odpowiednika przycisku "zresetuj hasło" dla przeszłości pacjenta.
Różnica między tym wyciekiem a wcześniejszymi nie leży w samej liczbie ofiar. Leży w tym, że dane są nieodwracalne.
Widać to najlepiej, gdy rozłożyć zakres wycieku na kategorie i zapytać przy każdej o jedno: czy da się to wymienić.
| Dane | Czy da się wymienić | Co z tego wynika |
|---|---|---|
| Hasło do konta | tak, w minutę | zmień je i temat jest zamknięty |
| Numer telefonu | tak, z zachodem | wymiana kosztuje, ale jest możliwa |
| Adres zamieszkania | tylko przeprowadzką | w praktyce zostaje na lata |
| Numer PESEL | nie | zamiast wymiany - zastrzeżenie |
| Historia leczenia | nie | zostaje czujność, nic więcej |
Jest jeszcze jeden wymiar, o którym mówi się rzadziej: wstyd i stygmatyzacja. Informacja o leczeniu psychiatrycznym, uzależnieniu czy chorobie przewlekłej w złych rękach to gotowy materiał do szantażu albo dyskryminacji. Kradzież pieniędzy da się policzyć i zrekompensować. Tego rodzaju szkody - nie zawsze.
Co realnie grozi zwykłej osobie
Klasyczne ryzyka są znane: wyłudzenie kredytu na skradzioną tożsamość, zawarcie umowy na czyjeś dane, próby wyłudzeń w urzędach czy u operatorów telekomunikacyjnych. To ryzyka realne, ale nie nowe - towarzyszą każdemu dużemu wyciekowi numerów PESEL.
Nowe i poważniejsze jest co innego: phishing szyty na miarę. Przestępca, który zna Twoje nazwisko, PESEL, adres, a do tego wie, jakie leki bierzesz i u jakiego lekarza się leczysz, brzmi wiarygodnie jak nikt wcześniej. To już nie jest anonimowy e-mail "z banku" pełen literówek - to rozmowa, która zna szczegóły Twojego życia.
Kilka realistycznych scenariuszy, jakich można się spodziewać w najbliższych tygodniach:
- Telefon rzekomo z przychodni: "Dzień dobry, dzwonię w sprawie Pana recepty na [nazwa leku]. System wymaga potwierdzenia numeru PESEL, żeby ją zrealizować." Nazwa leku jest prawdziwa - stąd wiarygodność.
- SMS rzekomo z NFZ: "Wykryliśmy nieautoryzowaną wizytę na Pani koncie pacjenta. Kliknij link, aby zweryfikować dane." Link prowadzi do strony zbierającej login do bankowości albo numer karty.
- E-mail rzekomo od lekarza prowadzącego, z prawdziwym nazwiskiem specjalisty widocznym w wycieku, z prośbą o "potwierdzenie zgody na przetwarzanie danych" przez formularz zewnętrzny.
Wspólny mianownik jest jeden: atakujący nie musi już zgadywać. Ma gotowy materiał na wiarygodną legendę.
Ryzyko nie kończy się za tydzień, gdy temat zniknie z nagłówków. Wykradzione bazy krążą między przestępcami miesiącami, a czasem latami, odsprzedawane dalej i wykorzystywane falami. Podwyższoną czujność wobec niespodziewanych wiadomości o zdrowiu, receptach i wizytach warto utrzymać długo po tym, jak sprawa przestanie być na pierwszych stronach.
Warto też pomyśleć o bliskich, którzy bywają mniej czujni - rodzicach, dziadkach. Rozmowa, w której "przychodnia" zna nazwisko lekarza rodzinnego i nazwę leku na nadciśnienie, dla starszej osoby brzmi przekonująco jak nigdy dotąd. To dobry moment, żeby o tym zagrożeniu porozmawiać z całą rodziną, a nie zakładać, że dotyczy wyłącznie własnej skrzynki mailowej.
Czy moje dane wyciekły
Oficjalne miejsce do sprawdzenia prowadzi Ministerstwo Cyfryzacji razem z NASK i CERT Polska pod adresem bezpiecznedane.gov.pl - korzystanie jest darmowe. Mechanizm działa inaczej, niż podpowiada intuicja: serwis nie ma pola, w które wpisuje się PESEL. Trzeba się zalogować przez węzeł krajowy - profil zaufany, e-dowód albo bankowość elektroniczną - i dopiero po zalogowaniu system sprawdza, czy Twój numer telefonu, adres e-mail, login czy PESEL pojawiają się w wycieku.
Taki projekt nie jest przypadkiem. Serwis, który miałby zbierać PESEL-e wpisywane do formularza, sam stałby się kolejną dużą bazą wrażliwych danych do obrony. Logowanie przez węzeł krajowy przenosi ten problem na infrastrukturę identyfikacji obywateli, która już istnieje i już jest zabezpieczona.
bezpiecznedane.gov.pl nie działa - co zrobić w międzyczasie
W chwili pisania tego tekstu adres bezpiecznedane.gov.pl przekierowuje na stronę z komunikatem "Przerwa techniczna" i informacją, że trwają prace konfiguracyjne. Efekt jest taki, że miliony ludzi szukają odpowiedzi na pytanie, czy ich dane wyciekły, a oficjalne narzędzie akurat nie odpowiada.
To dokładnie warunki, w których rosną fałszywe strony podszywające się pod sprawdzarkę. Wraca tu mechanizm logowania opisany wyżej: prawdziwa strona każe Ci się zalogować przez węzeł krajowy. Fałszywa każe wpisać PESEL wprost w pole formularza. Jeśli strona prosi o wklepanie numeru PESEL, żeby "zweryfikować, czy jesteś na liście" - to nie jest bezpiecznedane.gov.pl, niezależnie od tego, jak bardzo przypomina stronę rządową.
Nikt wiarygodny nie potrzebuje Twojego PESEL-u wpisanego w formularz, żeby powiedzieć Ci, że PESEL Ci wyciekł. Dopóki oficjalny serwis nie wróci do stabilnego działania, bezpieczniejszym punktem startu jest nasz przewodnik: co robić po wycieku danych niż pierwszy wynik z wyszukiwarki.
Jeden krok ma pierwszeństwo przed resztą
Zastrzeżenie numeru PESEL to pojedyncza czynność z największym realnym efektem po tym wycieku - przez mObywatela, bankowość elektroniczną albo w urzędzie gminy. Usługa jest bezpłatna, a od 1 czerwca 2024 roku banki mają obowiązek weryfikować status zastrzeżenia, więc zastrzeżony numer utrudnia zawarcie umowy kredytu na Twoje dane.
Pełną listę kroków, razem z instrukcją bezpiecznego sprawdzenia wycieku w oficjalnym serwisie, rozpisaliśmy w narzędziu o tym, co robić po wycieku danych. Sami nie prowadzimy bazy wycieków i nie pytamy Cię o żadne dane - kierujemy do oficjalnych kanałów i pokazujemy kolejność działań.
Jeśli po drodze trafisz na telefon, SMS albo e-mail, który wygląda jak próba wyłudzenia, zgłoś to i sprawdź listę znanych ostrzeżeń, zanim klikniesz cokolwiek w niepewnej wiadomości.
Hasło da się zresetować w minutę. PESEL i historia leczenia zostają z Tobą do końca życia - stąd te kilkanaście minut poświęcone dziś na zastrzeżenie numeru i sprawdzenie wycieku waży więcej, niż się wydaje.
Powiązane pojęcia
- Phishing - jak działa wyłudzanie danych i po czym poznać wiadomość, która udaje instytucję
- RODO - obowiązki administratora wobec osób, których dane wyciekły
- Incydent bezpieczeństwa - czym formalnie jest incydent i jak wygląda jego obsługa
Źródła
- Money.pl, "Wielki wyciek danych. 19 milionów Polaków" - źródło cytatów ministra i liczby 12 tys. placówek (odczyt 12.08.2026)
- CyberDefence24, "Bezprecedensowy wyciek danych milionów Polaków. Potwierdzenie z rządu" (odczyt 12.08.2026)
- Rzeczpospolita, "Wyciekły dane blisko 19 milionów Polaków. Rząd odsyła do strony, która nie działa" (odczyt 12.08.2026)
- Serwis Bezpieczne Dane, bezpiecznedane.gov.pl - opis usługi z archiwum Wayback Machine oraz komunikat o przerwie technicznej sprawdzony na żywo (odczyt 12.08.2026)
- Serwis Gov.pl, "Zastrzeż swój numer PESEL lub cofnij zastrzeżenie" - bezpłatność usługi i obowiązek weryfikacji przez banki od 1 czerwca 2024 (odczyt 12.08.2026)
- Urząd Ochrony Danych Osobowych, formularz zgłoszenia naruszenia ochrony danych osobowych