Warszawa, 13 października 2026 r.

ZAWIADOMIENIE O NARUSZENIU OCHRONY DANYCH OSOBOWYCH art. 34 RODO

Szanowna Pani / Szanowny Panie,

informujemy o naruszeniu ochrony Pani/Pana danych osobowych w związku z cyberatakiem na system Medyc, dostarczany przez Qbusoft Sp. z o.o. i wykorzystywany przez Klinikę do obsługi danych pacjentów. Cyberatak miał szerszy zasięg i dotknął również inne placówki medyczne, w tym podmioty świadczące usługi z zakresu medycyny estetycznej, korzystające z tego i innych systemów dostawcy.

Zdarzenie miało charakter zewnętrznego cyberataku na infrastrukturę dostawcy systemu Medyc i nie było wynikiem działania personelu Kliniki ani incydentu powstałego bezpośrednio w jej wewnętrznych systemach. System Medyc jest rozwiązaniem informatycznym dostarczanym placówkom medycznym przez wyspecjalizowanego dostawcę zewnętrznego, a opisany incydent dotyczył infrastruktury wykorzystywanej do świadczenia usług na rzecz jego klientów. Z systemu Medyc korzystają różnego rodzaju podmioty świadczące usługi medyczne, w tym gabinety lekarskie, przychodnie, kliniki, centra medyczne i poradnie specjalistyczne, a także kliniki medycyny estetycznej. Incydent nie dotyczył zatem systemu informatycznego stworzonego ani wykorzystywanego wyłącznie na potrzeby Kliniki, lecz rozwiązania oferowanego przez zewnętrznego dostawcę wielu podmiotom, w tym z sektora medycyny estetycznej.

Po uzyskaniu informacji o zdarzeniu Klinika pozostawała w kontakcie z Qbusoft i oczekiwała na potwierdzenie czy naruszenie objęło również dane jej pacjentów.

W dniu 30 września 2026 r. Klinika otrzymała od Qbusoft indywidualne potwierdzenie, że w wyniku incydentu zostały wykradzione również dane pacjentów Kliniki. Z tego względu przekazujemy Pani/Panu informacje o zdarzeniu, możliwych skutkach oraz działaniach, które warto podjąć w celu ograniczenia ryzyka.

Chcemy jednocześnie podkreślić, że Klinika traktuje bezpieczeństwo danych pacjentów jako kwestię o szczególnym znaczeniu i po uzyskaniu potwierdzenia dotyczącego zakresu incydentu niezwłocznie podjęła działania wynikające z obowiązujących przepisów oraz mające na celu ograniczenie jego możliwych skutków.

1. Co się stało?

Qbusoft informował, że w sierpniu 2026 r. doszło do cyberataku na infrastrukturę obsługującą system Medyc. W komunikacie z 9 września 2026 r. dostawca wskazał na nieuprawnione działania w części infrastruktury oraz próbę transferu zaszyfrowanego archiwum poza środowisko. Na tamtym etapie Qbusoft nie potwierdzał jeszcze, że dane zostały skutecznie pozyskane poza systemem.

W komunikacie z 25 września 2026 r. Qbusoft zaktualizował wcześniejsze ustalenia i potwierdził kradzież danych osobowych pacjentów w sierpniu 2026 r. Dostawca wskazał jednocześnie, że nie jest jeszcze pewna liczba pozyskanych rekordów i istnieje ryzyko, że atakujący pozyskali wszystkie rekordy pacjentów znajdujące się w zakresie objętym incydentem. Następnie 30 września 2026 r. Klinika otrzymała indywidualne potwierdzenie, że naruszenie objęło również dane jej pacjentów.

Naruszenie polega na utracie poufności danych – dane zostały pozyskane przez nieuprawnionego sprawcę w wyniku cyberataku na środowisko systemu Medyc.

2. Jakich danych dotyczy naruszenie?

Zgodnie z informacjami przekazanymi przez Qbusoft potwierdzony zakres skradzionych danych pacjentów obejmuje – w zakresie, w jakim dane te znajdowały się w rekordzie danego pacjenta:

• imię i nazwisko;

• numer PESEL;

• numer telefonu;

• adres zamieszkania;

• adres e-mail;

• dane dotyczące zdrowia – informację, że jest Pani/Pan pacjentem Kliniki.

Qbusoft poinformował również, że nadal analizuje możliwość kradzieży dokumentacji medycznej w postaci plików PDF i zdjęć. Jednocześnie informujemy, że Klinika nie przechowywała zdjęć w systemie Medyc. Na dzień sporządzenia niniejszego zawiadomienia kradzież tych materiałów nie została potwierdzona. W konsekwencji potwierdzony zakres naruszenia w odniesieniu do danych dotyczących zdrowia obejmuje obecnie informację o tym, że korzysta Pani/Pan z usług Kliniki. Brak jest natomiast potwierdzenia, że sprawcy uzyskali dostęp do treści dokumentacji medycznej przechowywanej w postaci plików PDF.

3. Jakie mogą być konsekwencje?

Ze względu na zakres skradzionych danych – w szczególności połączenie imienia i nazwiska z numerem PESEL, adresem i danymi kontaktowymi, a także objęcie naruszeniem danych dotyczących zdrowia – naruszenie może powodować wysokie ryzyko dla Pani/Pana praw i wolności. Możliwe konsekwencje obejmują w szczególności:

• próby podszywania się pod Panią/Pana i wykorzystania danych do kradzieży lub sfałszowania tożsamości;

• próby wyłudzenia kredytu, pożyczki, usług lub innych świadczeń z wykorzystaniem Pani/Pana danych;

• ukierunkowane próby oszustwa, phishingu lub socjotechniki – przez telefon, SMS albo e-mail – z wykorzystaniem prawdziwych danych w celu uwiarygodnienia wiadomości;

• próby uzyskania dalszych informacji, dostępu do kont lub usług albo przejęcia korespondencji poprzez podszywanie się pod zaufane podmioty;

• utratę kontroli nad danymi oraz naruszenie prywatności.

• naruszenie poufności danych dotyczących zdrowia oraz prywatności związanej z korzystaniem z usług Kliniki.

Dodatkową konsekwencją może być naruszenie prywatności i poufności informacji dotyczących zdrowia. Jeżeli dalsza analiza Qbusoft potwierdzi, że sprawcy pozyskali również dokumentację medyczną w postaci plików PDF, poinformujemy o tym w odpowiednim zakresie, jeżeli będzie to wymagane lub potrzebne dla ochrony Pani/Pana praw.

4. Jakie działania zostały podjęte?

Po otrzymaniu indywidualnego potwierdzenia dotyczącego pacjentów Kliniki Współadministratorzy rozpoczęli działania związane z obsługą naruszenia, w tym jego ocenę, zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych oraz przygotowanie zawiadomień dla osób, których dane dotyczą.

Zgodnie z informacjami przekazanymi przez Qbusoft, po wykryciu incydentu dostawca podjął działania zabezpieczające i serwisowe, wdrażał dodatkowe mechanizmy bezpieczeństwa oraz prowadził wzmożony monitoring infrastruktury. Qbusoft wskazał również, że kolejne próby ataków były odpierane. W odniesieniu do próby ataku z 21 września 2026 r., o której Qbusoft informował 22 września 2026 r., dostawca podał, że nie stwierdził pozyskania ani wydostania się danych w wyniku tego odrębnego zdarzenia.

Współadministratorzy pozostają w kontakcie z Qbusoft w celu uzyskania dalszych informacji o dokładnym zakresie danych i liczbie rekordów objętych sierpniowym incydentem oraz będą aktualizować ocenę ryzyka w miarę uzyskiwania nowych, wiarygodnych informacji.

5. Co rekomendujemy Pani/Panu zrobić?

1. Zastrzec numer PESEL – można to zrobić m.in. w aplikacji lub serwisie mObywatel albo w urzędzie gminy/miasta.

2. Zachować szczególną ostrożność wobec telefonów, SMS-ów i e-maili, nawet jeżeli nadawca zna Pani/Pana prawdziwe dane. Nie klikać w niespodziewane linki, zwłaszcza typu „sprawdź, czy Twoje dane wyciekły”.

3. Nie przekazywać haseł, kodów jednorazowych, numerów kart ani dodatkowych danych identyfikacyjnych osobom, których tożsamości nie można pewnie zweryfikować.

4. Podejrzane wiadomości weryfikować samodzielnie u rzekomego nadawcy, korzystając z danych kontaktowych z jego oficjalnej strony lub aplikacji.

5. Zwracać uwagę na nietypową aktywność dotyczącą rachunków, zobowiązań lub usług. W razie podejrzenia przestępstwa skontaktować się z Policją oraz – zależnie od sytuacji – z bankiem lub inną właściwą instytucją.

6. Kontakt

W przypadku pytań dotyczących naruszenia lub Pani/Pana danych prosimy o kontakt pod adresem: rodo@drbeatadethloff.pl.

Z poważaniem,

Dr Beata Dethloff Sp. z o.o.
Współadministrator Główny – działający w imieniu Współadministratorów danych pacjentów Kliniki