TECHNOLOGIE

Wyciek MyDr 2026: Jakie odszkodowania czekają na 19 mln Polaków i dlaczego sądy nie płacą milionów

Analiza

W sierpniu 2026 roku cyberprzestępcy zdobyli dostęp do bazy danych firmy MyDr, jednego z największych polskich serwisów medycznych, gdzie zgromadzone były dane prawie 19 milionów użytkowników. Wyciek objął nie tylko podstawowe informacje osobowe, takie jak numery PESEL, adresy czy numery telefonów, ale także szczegółowe dane zdrowotne, które w przypadku naruszenia RODO i przepisów ochrony danych osobowych stają się szczególnie wrażliwe. Dane te szybko trafiły do publicznie dostępnych serwisów monitorujących wycieki, takich jak Bezpieczne Dane, gdzie każdy może sprawdzić, czy jego informacje zostały ujawnione. Według szacunków ekspertów, wartość potencjalnych odszkodowań dla poszkodowanych może sięgać nawet 190 miliardów złotych, jednak realia sądowe i orzecznictwo unijne drastycznie obniżają te oczekiwania. Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski potwierdził, że każdy z poszkodowanych ma prawo dochodzić odszkodowania, ale praktyka sądowa wskazuje, że kwoty te rzadko przekraczają 3 tysiące złotych, a w większości przypadków oscylują wokół 1,5 tysiąca złotych. Kluczowe znaczenie ma tu wyrok Trybunału Sprawiedliwości UE z grudnia 2023 roku, który precyzuje, że sam fakt znalezienia się w wyciekłej bazie nie wystarcza do uzyskania wysokiego odszkodowania – poszkodowany musi udowodnić konkretne ryzyko lub szkody wynikające z naruszenia. Dodatkowo, rynek ubezpieczeniowy i instytucje publiczne, takie jak Narodowy Fundusz Zdrowia, są szczególnie narażone na konsekwencje wycieku, co może prowadzić do dalszych zmian w regulacjach ochrony danych w Polsce. W kontekście rosnącej liczby podobnych incydentów, wyciek MyDr staje się kolejnym dowodem na to, że cyberprzestępcy coraz skuteczniej wykorzystują luki w systemach ochrony danych, a polskie prawo i sądy mają trudności z dostosowaniem się do nowych wyzwań cyfrowej ery.

Kontekst i Tło

Wyciek danych z MyDr w 2026 roku nie tylko ujawnił powszechną wrażliwość systemów medycznych na cyberataki, ale także pokazał, jak dalece polskie prawo i praktyka sądowa odbiega od oczekiwań poszkodowanych. Skala naruszenia – dotykająca niemal każdego drugiego obywatela – powinna teoretycznie generować masowe odszkodowania, jednak orzecznictwo Trybunału Sprawiedliwości UE i krajowych sądów ogranicza je do symbolicznych kwot. Dla rynku oznacza to rosnące koszty związane z ochroną danych, a dla społeczeństwa – wzrost nieufności wobec cyfryzacji usług medycznych. Dodatkowo, wyciek może przyspieszyć zmiany w regulacjach RODO w Polsce, szczególnie w kontekście odpowiedzialności instytucji publicznych, takich jak NFZ, które korzystają z danych zgromadzonych przez prywatne firmy. W dłuższej perspektywie, incydent ten może stać się katalizatorem do wprowadzenia obowiązkowych ubezpieczeń cybersprzedażowych dla firm przetwarzających dane zdrowotne, podobnie jak już dzieje się w innych krajach Unii Europejskiej. Dla poszkodowanych pozostaje jednak pytanie, czy drogi sądowe i biurokratyczne mechanizmy UODO są wystarczającą ochroną w erze, gdy cyberprzestępcy coraz częściej wykorzystują dane medyczne do szantażu lub handlu na czarnym rynku.

Komentarz Redakcji

Absurd sytuacji polega na tym, że polskie prawo traktuje wyciek danych zdrowotnych niemal milionów obywateli jak drobne naruszenie, podczas gdy w innych krajach UE podobne przypadki generują miliony euro odszkodowań. To nie tylko kwestia pieniędzy – to sygnał, że nasze instytucje nie są w stanie chronić podstawowych praw cyfrowych. Gdy przestępcy wiedzą, że ryzyko kar jest minimalne, a poszkodowani nie mają realnych szans na rekompensatę, cyberprzestępczość staje się biznesem bez konsekwencji.