Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski zapowiedział kontrolę Qbusoft, firmy odpowiedzialnej za oprogramowanie Medyc. To reakcja na informacje o wycieku danych medycznych po ataku na aplikację.

Według doniesień medialnych przywołanych przez UODO incydent może dotyczyć nawet 5 mln Polaków. Urząd nie podaje jednak ostatecznej liczby poszkodowanych ani szczegółowego zakresu ujawnionych informacji.

Sprawą zajmuje się również Centralne Biuro Zwalczania Cyberprzestępczości. Jak przekazał wicepremier i minister cyfryzacji Krzysztof Gawkowski, działania dotyczące oprogramowania Qbusoft są częścią szerszego śledztwa.

Gawkowski: firma nie zgłosiła incydentu

Gawkowski w komunikacie na X zwrócił uwagę na brak zgłoszenia ze strony producenta Medyc.

"Firma Qbusoft Sp. z o. o. jak dotąd nie zgłosiła incydentu cyberbezpieczeństwa do CERT Polska lub CSiRT CeZ" - napisał minister.

Gawkowski zapowiedział też konsekwencje, jeśli zostaną stwierdzone naruszenia procedur.

"W przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje" - oświadczył. Nie wskazał, jakie konkretnie działania miałyby zostać podjęte wobec spółki.

Minister poinformował również o zaleceniach przygotowanych przez CSIRT CeZ i MZ. Powstały w związku z zagrożeniami w cyberprzestrzeni oraz atakami na placówki medyczne i dostawców ich oprogramowania. Zalecenia przekazano dostawcom do wdrożenia 16 września 2026 r.

W ostatnich tygodniach obserwujemy coraz większą aktywność cyberprzestępców w sektorze medycznym. Kolejne podmioty prywatne padają ofiarą ataków i dlatego cały sektor musi ze zdwojoną siłą podejmować działania zabezpieczające. 

Instytucje odpowiedzialne za cyberbezpieczeństwo…
— Krzysztof Gawkowski (@KGawkowski) September 26, 2026
 

Więcej kontroli po wyciekach danych pacjentów

Sprawa Medyc to kolejny incydent, po którym UODO zapowiada kontrolę. W sierpniu podobną decyzję podjęto po informacjach o wycieku z MyDr, dotyczącym - według urzędu - 19 mln Polaków. Kontrola miała objąć zastosowane środki techniczne i organizacyjne, w tym analizę ryzyka.

Do 17 września UODO otrzymał w sprawie MyDr ponad 50 skarg i sygnałów oraz ponad 2 tys. zawiadomień od administratorów danych. W związku z tym i innymi naruszeniami Mirosław Wróblewski zdecydował 16 września o rozszerzeniu kontroli przetwarzania danych dotyczących zdrowia. Dodatkowe kontrole mają zostać przeprowadzone do końca 2026 r.

Czytaj także:

Cyberatak na dostawcę Medyc. Wyciekły dane pacjentów

Cyberatak na Pomorzu. Zhakowano bazę przychodni z Gdyni i Redy