Zastrzeżenie PESEL to bezpłatna usługa państwowa: włączysz ją w aplikacji mObywatel, na mObywatel.gov.pl albo w dowolnym urzędzie gminy, a zmiana działa od razu. Zastrzeżony numer blokuje m.in. zaciągnięcie kredytu i wydanie duplikatu karty SIM, ale nie przeszkadza w wizytach u lekarza ani realizacji e-recept. Po incydencie MyDr placówki medyczne mają dodatkowo własne obowiązki z art. 33 i 34 RODO.
Uwaga: Ten artykuł ma charakter edukacyjno-informacyjny. Aktualną wykładnię przepisów publikuje
Centrum Medyczne Kształcenia Podyplomowego (CMKP)
oraz Ministerstwo Zdrowia.
Co się stało w MyDr i czego jeszcze nie wiemy
12 sierpnia 2026 r. Ministerstwo Cyfryzacji potwierdziło nieuprawniony dostęp do danych w systemach MyDr — dostawcy oprogramowania gabinetowego, z którego korzysta ponad 12 tys. placówek. Incydent może dotyczyć około 18,8 mln osób, a przejęte informacje obejmują dane historyczne, gromadzone do kwietnia 2024 r. Według resortu zdarzenie nie zakłóciło bieżącej pracy przychodni, w tym wystawiania recept. Sprawę wyjaśniają służby we współpracy z UODO, Ministerstwem Zdrowia i Prokuraturą Krajową.
Wobec krążących w sieci zestawień rzekomo wykradzionych pól danych trzeba zachować wstrzemięźliwość. W komunikatach oficjalnych nie ma pełnej listy informacji dotyczących każdego pacjenta z osobna. UODO wskazuje natomiast wprost: ujawnienie imienia, nazwiska i numeru PESEL niesie ryzyko wyłudzeń, a ujawnienie danych o zdrowiu — naruszenia prywatności i dóbr osobistych. To wystarczające powody, żeby nie czekać z reakcją na kolejne komunikaty.
Czy po wycieku danych medycznych warto zastrzec PESEL?
Tak — i nie trzeba do tego potwierdzenia, że akurat Twoje dane znalazły się w wykradzionym zbiorze. UODO wymienia zastrzeżenie numeru PESEL jako pierwszy środek ograniczający ryzyko po naruszeniu obejmującym ten numer. Mechanizm opiera się na Rejestrze Zastrzeżeń Numerów PESEL: od 1 czerwca 2024 r. banki, SKOK-i, instytucje pożyczkowe, operatorzy telekomunikacyjni i notariusze muszą sprawdzić status numeru, zanim wykonają wskazane w ustawie czynności.
Zastrzeżenie nie „unieważnia” numeru i nie ogranicza codziennego życia. Działa jak blokada na konkretne, najbardziej ryzykowne operacje finansowe i formalne.
| Zastrzeżony PESEL blokuje lub ogranicza | Zastrzeżony PESEL nie przeszkadza w |
|---|---|
| zaciągnięcie kredytu lub pożyczki | wizycie u lekarza i badaniach |
| otwarcie nowego rachunku bankowego | realizacji e-recepty w aptece |
| zakupy na raty finansowane kredytem | korzystaniu z Internetowego Konta Pacjenta |
| wydanie duplikatu karty SIM | przelewach i wypłatach z bankomatu |
| niektóre czynności notarialne | załatwianiu spraw urzędowych |
| wypłatę w kasie banku powyżej 14 418 zł (trzykrotność minimalnego wynagrodzenia w 2026 r.) | ważności dowodu osobistego i paszportu |
Granice ochrony też trzeba znać. Zastrzeżenie nie powstrzyma phishingu, wyłudzania kodów BLIK ani telefonów od oszustów podszywających się pod bank czy przychodnię. Na te scenariusze odpowiedzią pozostaje ostrożność — o czym niżej.
Jak zastrzec PESEL krok po kroku
Usługa jest bezpłatna i dostępna trzema drogami:
- W aplikacji mObywatel: wejdź w Usługi, wybierz „Zastrzeż PESEL” i potwierdź. Status w rejestrze zmienia się natychmiast. W tym samym miejscu sprawdzisz historię weryfikacji numeru — widać tam, która instytucja i kiedy pytała o Twój PESEL.
- Przez internet: skorzystaj z usługi „Zastrzeż swój numer PESEL lub cofnij zastrzeżenie” na mObywatel.gov.pl. Zalogujesz się profilem zaufanym, e-dowodem, podpisem kwalifikowanym albo przez bankowość elektroniczną.
- W urzędzie gminy: złóż wniosek osobiście — urzędnik wprowadzi zastrzeżenie od ręki.
Jeśli bank oferuje zastrzeganie PESEL we własnej aplikacji, upewnij się, że funkcja zmienia status w państwowym rejestrze, a nie tylko w wewnętrznych systemach banku. Zgłoszenie utraty dokumentu to inna procedura i nie zastępuje zastrzeżenia numeru.
Gdy zastrzeżony PESEL będzie potrzebny — na przykład przy podpisywaniu umowy kredytowej — ochronę można cofnąć na chwilę. W mObywatelu ustawisz cofnięcie z automatycznym ponownym zastrzeżeniem w wybranym dniu i o wybranej godzinie. Po każdej zmianie statusu ponowne zastrzeżenie jest możliwe najwcześniej po 30 minutach, dlatego opcja automatyczna jest wygodniejsza niż ręczne pilnowanie terminu.
Jak sprawdzić, czy dane wyciekły: bezpiecznedane.gov.pl
Państwowy serwis bezpiecznedane.gov.pl — prowadzony z inicjatywy Ministerstwa Cyfryzacji przez NASK i CERT Polska — pozwala po zalogowaniu sprawdzić, czy PESEL, numer telefonu, adres e-mail lub login pojawiły się w znanych wyciekach.
W sprawie MyDr obowiązuje jednak istotne zastrzeżenie. W pierwszych dniach po ujawnieniu incydentu (stan na połowę sierpnia 2026 r.) dane z tego ataku nie były jeszcze dostępne w bazie serwisu — mają trafiać tam sukcesywnie, po przekazaniu przez placówki, a zasilenie bazy ma potwierdzić osobny komunikat. Negatywny wynik wyszukiwania nie oznacza więc na razie, że wyciek Cię nie dotyczy. Zajrzyj na stronę główną serwisu i sprawdź aktualny status, a wyszukiwanie ponów po ogłoszeniu, że zbiór MyDr został dodany.
Obowiązki placówki: art. 33 i 34 RODO
Dla podmiotów leczniczych kluczowe jest rozróżnienie ról. MyDr to dostawca systemu — administratorami danych pacjentów pozostają poszczególne gabinety i placówki, które z niego korzystały. UODO wezwał je 12 sierpnia do przeprowadzenia analizy ryzyka i oceny, czy naruszenie wymaga zgłoszenia oraz zawiadomienia pacjentów. Incydent u zewnętrznego dostawcy nie zdejmuje z placówki obowiązków administratora.
Zasady są dwie. Po pierwsze: naruszenie mogące powodować ryzyko dla praw lub wolności osób administrator zgłasza Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 RODO). Po drugie: gdy ryzyko jest wysokie, trzeba bez zbędnej zwłoki zawiadomić także samych pacjentów (art. 34 RODO). Zawiadomienie nie może sprowadzać się do zdania „doszło do incydentu” — powinno opisywać charakter naruszenia, podawać kontakt do inspektora ochrony danych, możliwe konsekwencje i środki zaradcze, na przykład zalecenie zastrzeżenia numeru PESEL. Pacjentom przysługują przy tym prawa opisane szerzej w ustawie o prawach pacjenta i w samym RODO.
Co powinna wiedzieć rejestracja i pielęgniarka
Z perspektywy pielęgniarki i rejestracji najtrudniejsze bywają pierwsze dni po nagłośnieniu incydentu — pacjenci pytają, a placówka często sama jeszcze ustala fakty. Personel nie powinien przesądzać, że dane konkretnej osoby „na pewno wyciekły” albo „na pewno są bezpieczne”. Dobra praktyka to jedna zatwierdzona informacja dla pacjentów: co wiadomo, gdzie placówka publikuje aktualizacje, jak zastrzec PESEL i jaki jest status danych w bezpiecznedane.gov.pl. Pytania wykraczające poza komunikat kieruje się do wyznaczonego punktu kontaktowego lub IOD, zamiast interpretować przepisy przy okienku.
Druga strona tej samej monety to niedokładanie nowego ryzyka przy obsłudze zgłoszeń. Tożsamość pacjenta potwierdza się według obowiązującej procedury — nie przez telefoniczne dopytywanie o kolejne dane „do weryfikacji”. Zgodnie z rozporządzeniem MZ w sprawie dokumentacji medycznej system placówki musi zapewniać dostęp wyłącznie osobom uprawnionym i identyfikować autora każdego wpisu, a administrator ma systematycznie szacować ryzyko i aktualizować zabezpieczenia. W codziennej pracy oznacza to indywidualne konta w systemie EDM, uprawnienia przycięte do rzeczywistych obowiązków, szybkie odbieranie dostępów po zmianie stanowiska i dwuskładnikowe logowanie tam, gdzie system je obsługuje. Zasady prowadzenia dokumentacji medycznej przez pielęgniarki opisywaliśmy osobno — wątek uprawnień i śladu rewizyjnego nabiera po tym incydencie nowego znaczenia.
Najczęściej zadawane pytania
Czy zastrzeżenie PESEL utrudni wizytę u lekarza albo realizację recepty?
Nie ma takiego ryzyka. Rejestr Zastrzeżeń obejmuje czynności finansowe i formalne wymienione w ustawie — kredyty, rachunki, duplikaty kart SIM, wybrane czynności notarialne. Rejestracja w przychodni, eWUŚ, e-recepta i Internetowe Konto Pacjenta działają niezależnie od statusu zastrzeżenia, więc numer można trzymać zastrzeżony na stałe.
Czy muszę czekać na potwierdzenie, że moje dane były w wycieku?
Czekanie niczego nie poprawia, a okno ryzyka otwiera się od razu po incydencie. Zastrzeżenie jest bezpłatne, odwracalne i nie ogranicza leczenia, dlatego można je włączyć profilaktycznie — niezależnie od tego, co ostatecznie pokaże wyszukiwarka bezpiecznedane.gov.pl.
Kto zawiadamia pacjenta o naruszeniu — MyDr czy przychodnia?
Obowiązek wobec pacjenta spoczywa na administratorze danych, czyli na placówce, w której pacjent się leczy. To ona ocenia ryzyko i przy wysokim ryzyku wysyła zawiadomienie z opisem naruszenia, kontaktem do IOD i zaleceniami. Taką wiadomość warto zachować — może się przydać, gdyby ktoś później próbował wykorzystać dane.
Źródła
- gov.pl — Zastrzeż swój numer PESEL lub cofnij zastrzeżenie — system (karta oficjalnej usługi)
- UODO — norma (komunikaty z 12.08.2026 o obowiązkach administratorów i zaleceniach po wycieku)
- bezpiecznedane.gov.pl — dane (sprawdzanie ujawnionych danych; status zasilenia bazy po incydencie MyDr)
Stan na sierpień 2026. Sprawa incydentu MyDr jest w toku — aktualne komunikaty publikują Ministerstwo Cyfryzacji i UODO. Materiał ma charakter edukacyjny i nie zastępuje porady prawnej.
Małgorzata Piasecka — redaktorka portalu edukacyjnego ckppip.edu.pl („Medycyna i Edukacja”). Specjalizacja: kształcenie podyplomowe pielęgniarek, położnych i ratowników medycznych — specjalizacje, kursy kwalifikacyjne, ścieżki kariery zawodowej.
Portal Medycyna i Edukacja jest niezależnym źródłem informacji o kształceniu w zawodach medycznych. Oficjalne zadania w zakresie kształcenia podyplomowego personelu medycznego po 1 stycznia 2025 r. wykonuje Centrum Medyczne Kształcenia Podyplomowego (CMKP) — cmkp.edu.pl.