Kancelaria Radcy Prawnego Ewa Hassa

21/08/2026

Wyjątkowa prelegentka, wyjątkowe spotkanie, wyjątkowa wiedza oraz atmosfera 💙
Chylę czoła i dziękuję za inicjatywę, pomysł i organizację tego szkolenia 👏
Oby więcej tego rodzaju wspierających szkoleń 😎

„W życiu trzeba się skupić jedynie na trzech rzeczach: na tym, co muszę, co chcę i co lubię”- Ewa Wojdyłło – Osiatyńska   Szanowni Państwo, Dbając nie tylko o rozwój […]

19/08/2026

Lekarze i placówki medyczne nie mogą automatycznie zakładać, że za wyciek danych po cyberataku na system MyDr odpowiada wyłącznie dostawca oprogramowania.

Jeżeli administrator powierzył dane pacjentów zewnętrznej firmie, powinien wcześniej ocenić, czy zapewnia ona odpowiednie zabezpieczenia - tu kluczowa jest analiza ryzyka.

MyDr był tylko jednym z ogniw znacznie szerszego łańcucha przetwarzania danych pacjentów.

Lekarze oraz placówki medyczne powierzali dane MyDr, ale w tym procesie uczestniczyli także dalsi dostawcy technologiczni — m.in. usług chmurowych, komunikacyjnych i informatycznych, również poza EOG.

Z perspektywy RODO kluczowe pytanie brzmi: czy administrator zidentyfikował cały łańcuch dalszego przetwarzania i objął go realną analizą ryzyka?

Sam wybór MyDr jako procesora nie zamykał oceny ryzyka — powinna ona obejmować także dalsze przetwarzanie danych, tj. dalszych procesorów, transfery danych, zabezpieczenia infrastruktury oraz skutki potencjalnego naruszenia.

Brak udokumentowanej analizy ryzyka może znacząco utrudnić wykazanie, że administrator prawidłowo wywiązał się ze swoich obowiązków wynikających z RODO.

Po incydencie pytanie nie dotyczy już wyłącznie źródła naruszenia, lecz także tego, czy administrator potrafi wykazać, że wcześniej właściwie rozpoznał i ocenił ryzyka wynikające z całego łańcucha przetwarzania danych pacjentów.

https://hassa-kancelaria.pl/wyciek-danych-z-mydr/

🎤 – Jeśli umowa nie zakładała wystarczających zabezpieczeń, a lekarz nie zgłosił uwag, to wziął ryzyko na siebie – mówi Rynkowi Zdrowia prawnik i menedżer Mariusz Busiło.

Czytaj więcej: https://www.rynekzdrowia.pl/Finanse-i-zarzadzanie/Lekarz-moze-odpowiadac-za-wyciek-danych-Wiele-zalezy-od-umowy-z-MyDr,287797,1.html

18/08/2026

⚠️ CO WŁAŚCIWIE POTWIERDZA LEKARZ, PODPISUJĄC OŚWIADCZENIE DLA NFZ?

Placówka zwraca się do lekarza o podpisanie oświadczenia dotyczącego wymiaru i godzin udzielania świadczeń. Z pozoru zwykła formalność.

Pojawia się jednak zasadnicza wątpliwość: co w sytuacji, gdy lekarz nie tworzył harmonogramu, nie zatwierdzał go i nie wie, jakie informacje placówka zgłosiła na jego temat do NFZ?

Czy podpis potwierdza:
– rzeczywisty czas udzielania świadczeń,
– deklarowaną dostępność,
– czy dane wcześniej wpisane przez placówkę?

I kto ponosi konsekwencje, jeżeli harmonogram nie odpowiada rzeczywistemu modelowi współpracy: placówka, która przekazała dane do NFZ, czy lekarz, który później złożył podpis?

Problem nie jest wyłącznie formalny. Harmonogram personelu stanowi element umowy placówki z NFZ. Przepisy nie zakazują lekarzowi współpracy z kilkoma podmiotami, ale nie pozwalają na jednoczesne udzielanie świadczeń w różnych miejscach w czasie wyznaczonym w harmonogramie.

Różnica wydaje się niewielka. W praktyce może przesądzić o wyniku kontroli, odpowiedzialności kontraktowej i ewentualnych roszczeniach placówki wobec lekarza.

Jeden podpis może zmienić sytuację dowodową: informacja zgłoszona dotychczas wyłącznie przez placówkę staje się osobistym oświadczeniem lekarza.

Czy osoba wykonująca zawód medyczny ma realną możliwość sprawdzenia, jakie godziny placówka wykazuje na jej nazwisko w NFZ?

To pytanie okazuje się znacznie ważniejsze, niż sugeruje krótki formularz przedstawiony „tylko do podpisu".

13/08/2026

WYCIEK DANYCH W MyDr - CZY PLACÓWKA NAPRAWDĘ
„NIC NIE MUSI”?

W komunikacie MyDr pojawiło się stwierdzenie:
„Obecnie nie muszą Państwo podejmować żadnych działań.”.

Tymczasem 12 sierpnia 2026 r. Prezes UODO przypomniał wprost, że to administrator danych – czyli co do zasady placówka medyczna – ocenia, czy naruszenie wymaga zgłoszenia do UODO oraz zawiadomienia pacjentów.

Dostawca oprogramowania nie może zwolnić administratora danych z obowiązków wynikających z RODO.

W tej sprawie szczególnie istotne są trzy kwestie:
1. Placówka musi dokonać własnej oceny.
Informacja od MyDr jest ważna, ale nie zastępuje analizy ryzyka wymaganej przez art. 33 i 34 RODO.
2. Placówka odpowiada za dane pacjentów, choć może nie mieć dostępu do logów ani pełnej wiedzy o incydencie.
Dlatego powinna aktywnie wystąpić do dostawcy o informacje pozwalające ustalić, czy naruszenie objęło jej dane.
3. Kluczowy jest moment stwierdzenia naruszenia dotyczącego konkretnej placówki.
Nie można automatycznie przyjąć, że termin 72 godzin biegnie od publikacji pierwszego komunikatu. Trzeba jednak udokumentować, kiedy placówka uzyskała informacje o incydencie, jakie działania podjęła i na jakiej podstawie zdecydowała o zgłoszeniu albo jego braku.

Najgorszym rozwiązaniem jest bierne oczekiwanie i brak dokumentacji podjętych decyzji.
Dlatego przygotowaliśmy bezpłatne materiały:
🔹 instrukcję krok po kroku dla placówek i pacjentów,
🔹 FAQ – najczęstsze pytania dotyczące incydentu MyDr.

👉 Całość dostępna jest tutaj: https://hassa-kancelaria.pl/wyciek-danych-z-mydr/

Jeżeli prowadzisz placówkę korzystającą z MyDr, pierwsze pytanie powinno brzmieć:
„Czy incydent objął dane naszych pacjentów i czy mamy dokumenty pozwalające wykazać, że prawidłowo oceniliśmy ryzyko?”

Kontakt:
https://hassa-kancelaria.pl/kontakt/

11/08/2026

Firma MyDr ogłosiła właśnie , że bada poważny incydent bezpieczeństwa w swojej sieci. Rzekomi sprawcy tego incydentu wcześniej skontaktowali się z nami i twierdzą, że są w posiadaniu danych pacjentów wielu polskich przychodni. Według włamywaczy w ich rękach znalazło się 18 814 422 ...