Alert o wycieku w mObywatelu nie zdejmie z firmy obowiązku powiadomienia klientów

Państwo chce szybciej ostrzegać ludzi, że ich dane trafiły w niepowołane ręce. Portal bezpiecznedane.gov.pl ma dostać powiadomienia SMS, a docelowo połączenie z aplikacją mObywatel. Dla wielu właścicieli firm może to brzmieć jak ulga: skoro rząd i tak poinformuje obywateli, to może nie trzeba się tym zajmować samemu. To błędne założenie. Ministerstwo Cyfryzacji samo wskazuje, że za powiadomienie osób, których dane wyciekły, odpowiadają ci, którzy tymi danymi zarządzają.

Co dokładnie zapowiedział resort

Plany opisano w odpowiedzi Ministerstwa Cyfryzacji na interpelację poselską nr 19215 z 7 września 2026 r., dotyczącą wycieku z systemu MyDr. Według ministerstwa incydent objął ok. 18,8 mln osób i ponad 12 tys. placówek medycznych korzystających z oprogramowania MyDr EDM, a naruszenie dotyczyło danych historycznych zebranych do kwietnia 2024 r.

W odpowiedzi resort wymienia narzędzia, z których obywatele mogą korzystać już teraz, i te, które dopiero powstaną:

• Teraz: powiadomienia e-mailowe o wyciekach na portalu bezpiecznedane.gov.pl oraz bezpłatne zastrzeżenie numeru PESEL w mObywatelu, na gov.pl albo w urzędzie gminy.
• W planach: powiadomienia SMS oraz integracja bezpiecznedane.gov.pl z mObywatelem, tak aby ostrzeżenia o wyciekach trafiały do użytkowników przez aplikację.

Na razie to zapowiedź. Resort nie podał terminu, od którego SMS-y czy alerty w aplikacji zaczną działać.

Kto naprawdę ma obowiązek powiadomić

Najciekawsze w tej odpowiedzi jest to, jak ministerstwo opisało podział ról. Na pytanie, kiedy każdy poszkodowany dostanie indywidualną informację o zakresie wycieku, resort odpowiedział, odwołując się do RODO: MyDr jako podmiot przetwarzający powinien poinformować administratorów, czyli placówki medyczne, a to one, zależnie od okoliczności, muszą powiadomić osoby, których dane dotyczą, oraz Prezesa UODO.

To samo widać na stronie bezpiecznedane.gov.pl, gdzie wprost napisano, że szczegółowych informacji o tym, jakie dane znalazły się w wycieku, może udzielić wyłącznie ich administrator. Portal państwowy może więc zasygnalizować problem, ale nie zastąpi rozmowy firmy z jej klientami.

Co to oznacza dla właściciela sklepu albo serwisu

Większość firm w Polsce nie prowadzi własnej serwerowni. Dane klientów leżą w systemie sklepu, w CRM, w narzędziu do newslettera, w programie do faktur czy w systemie rezerwacji. Przypadek MyDr dobrze pokazuje, jak to działa w praktyce: to dostawca oprogramowania padł ofiarą ataku, ale obowiązki wobec pacjentów spoczywają na placówkach, które z tego oprogramowania korzystały.

Jeśli więc Twój dostawca SaaS zgłosi Ci incydent, nie możesz czekać, aż sprawą zajmie się ktoś inny. Musisz sam ustalić, czy dane Twoich klientów są wśród przejętych, i podjąć decyzję o zgłoszeniu oraz powiadomieniu. Fakt, że część klientów dowie się o wycieku z portalu rządowego, nie zwalnia Cię z niczego. Może za to sprawić, że klient zobaczy alert, zanim Ty zdążysz cokolwiek napisać, a wtedy cisza ze strony firmy wygląda wyjątkowo źle.

Warto też pamiętać, że z ostrzeżeń rządowych skorzystają tylko osoby, które same sięgną po portal albo aplikację. Nie każdy Twój klient to zrobi. Dla nich jedynym źródłem rzetelnej informacji o tym, co się stało i co powinni teraz zrobić, będzie Twoja wiadomość.

Jak przygotować się na incydent, zanim się wydarzy

Nie da się wykluczyć wycieku, ale da się skrócić czas reakcji. Oto lista rzeczy, które warto mieć gotowe:

1. Spis dostawców. Zapisz, którzy dostawcy przetwarzają dane Twoich klientów i jakie to dane. Bez tej listy trudno ocenić skalę incydentu u partnera.
2. Umowy powierzenia. Sprawdź, czy umowy z dostawcami określają, jak szybko i w jakiej formie mają Cię poinformować o naruszeniu.
3. Procedura na pierwsze godziny. Ustal, kto w firmie przyjmuje zgłoszenie, kto ocenia ryzyko i kto podejmuje decyzję o zgłoszeniu do UODO.
4. Szablon komunikatu do klientów. Przygotuj prosty tekst: co się stało, jakie dane mogły wyciec, co robi firma i co może zrobić klient, na przykład zastrzec PESEL w mObywatelu czy uważać na podejrzane wiadomości z prośbą o płatność.
5. Rejestr naruszeń. Zapisuj każdy incydent, także taki, który ostatecznie nie wymagał zgłoszenia. Pozwala to wykazać, że firma działała świadomie.

Mniej danych to mniejszy problem

Najlepszy sposób na ograniczenie skutków wycieku to nie zbierać danych, których nie potrzebujesz. Przejrzyj formularze na stronie: czy naprawdę musisz pytać o datę urodzenia, numer dokumentu albo pełny adres? Ustal okresy przechowywania i usuwaj stare rekordy, zamiast trzymać je latami na wszelki wypadek. W przypadku MyDr wyciekły dane historyczne, a to dobre przypomnienie, że archiwum też jest celem.

Ten sam porządek warto zrobić na stronie internetowej. Każdy skrypt reklamowy czy analityczny to kolejny podmiot, który dostaje informacje o Twoich użytkownikach. Jeśli chcesz sprawdzić, co Twoja strona uruchamia, zanim odwiedzający wyrazi zgodę, możesz to zrobić w Skanerze zgody. Mniej zbędnych narzędzi to mniej miejsc, z których dane mogą wypłynąć.

Źródło: Ministerstwo Cyfryzacji (odpowiedź na interpelację nr 19215)

wyciek danychmObywatelnaruszenie ochrony danychUODORODO