Webinar na żywo w piątek 23.10 o godz. 18:00, ponad 2 godziny, dostęp do nagrania przez rok – dla właścicieli gabinetów i klinik
Wyciek danych w gabinecie stomatologicznym
Kto ponosi odpowiedzialność za incydent?
Kto, kiedy, w jakiej formie i czy w ogóle powinien złożyć zawiadomienie do UODO?
Co, kiedy, w jakiej formie przekazać pacjentom i kontrahentom?
- Tylko od sierpnia 2026 r. ujawniono ataki na bazy danych dostawców oprogramowania, m.in. MyDr, Fakturowni, FELG Dent i IQ Dental.
- Obowiązki administratora danych spoczywają na podmiotach, czyli na gabinetach i poradniach stomatologicznych.
- Po wycieku danych z MyDr część placówek dostała już korespondencję od pacjentów, w tym wezwania do zapłaty.
- Mec. Agnieszka Sieńko wyjaśni, jak zareagować na wyciek – od oceny ryzyka po roszczenia pacjentów – i jak przygotować gabinet na takie incydenty w przyszłości.
- Dzięki temu nie przeoczysz żadnego obowiązku ani etapu badania sprawy, a wszelkie decyzje podejmiesz spokojnie i bezpiecznie na wypadek kontroli ze strony UODO.
Prowadzi: Agnieszka Sieńko – radca prawny z ponad 25-letnią praktyką w ochronie zdrowia
Po webinarze:
- Wezwanie do zapłaty od pacjenta: będziesz wiedzieć, kiedy gabinet odpowiada za działania dostawcy, jak potraktować takie pismo i czy gabinet może dochodzić od dostawcy zwrotu kosztów.
- Ocena ryzyka i zgłoszenie do UODO: ustalisz, kiedy wystarczy udokumentować naruszenie, kiedy trzeba je zgłosić, a kiedy także zawiadomić pacjentów, a kiedy nawet kontrahentów.
- Zawiadomienie pacjentów i kontrahentów: napiszesz zrozumiały komunikat i odpowiesz pacjentowi, który pyta, co dokładnie wyciekło.
- Przygotowanie gabinetu przed incydentem: wprowadzisz procedurę i rejestr naruszeń, sprawdzisz umowę powierzenia i dobierzesz minimum zabezpieczeń.
Co już spotkało gabinety
W ciągu ostatnich tygodni incydenty ujawniono w kilku firmach dostarczających oprogramowanie gabinetom, w tym w MyDr i Fakturowni, a w związku z samym wyciekiem z MyDr placówki medyczne wysłały do UODO tysiące zgłoszeń naruszeń.
- Dostawca prosił o wstrzymanie zgłoszeń. FELG 1.10 poprosiła gabinety, by nie zgłaszały naruszenia do UODO, dopóki nie potwierdzi, że naruszenie ich dotyczy. Informacje o tym, których gabinetów dotyczy, zaczęła wysyłać 7.10.
- Wyciek faktur też trzeba było ocenić. UODO 5.10 wskazał, że ryzyko wymagające zgłoszenia „zapewne wystąpi” m.in. przy ujawnieniu „szczegółów zakupów lub usług wskazujących na stan zdrowia”.
- SMS-y do pacjentów budziły niepokój. Niektórzy pacjenci pytali, czy to nie oszustwo, a gabinety publicznie potwierdzały, że wiadomość jest prawdziwa.
- Pacjenci żądali odszkodowań. Prawnik reprezentujący 52 placówki korzystające z MyDr mówił we wrześniu, że ok. 30 z nich dostało wezwania od pacjentów.
UODO ocenia także to, co gabinet zrobił po incydencie. W sprawie naruszenia zgłoszonego w 2019 r. właściciel kliniki stomatologicznej dostał 85 588 zł kary za niewykonanie nakazu zawiadomienia osób, których dane wyciekły. Dane skopiował były pracownik. Skargę kasacyjną oddalił NSA (wyrok z 5.11.2025 r.).
Na webinarze dowiesz się, jakie obowiązki ma w takich sytuacjach gabinet.
Ataki na dostawców oprogramowania od sierpnia 2026 r.:
- MyDr: 12–13.08
- Medyc: 24.09
- Fakturownia: 29.09
- FELG Dent: 1.10
- IQ Dental: 5.10
Stan na 11.10.2026, według komunikatów firm, UODO i Ministerstwa Cyfryzacji, publikacji w mediach branżowych oraz publicznych wpisów gabinetów.
Program webinaru
Blok 1.
Incydent bezpieczeństwa w gabinecie stomatologicznym: od czego zaczynamy? (15 minut)
- Najczęstsze incydenty w gabinetach stomatologicznych:
- włamanie do systemu obsługi pacjentów;
- wyciek danych u dostawcy oprogramowania;
- atak ransomware i zablokowanie dostępu do dokumentacji;
- wysłanie dokumentacji medycznej niewłaściwemu odbiorcy;
- utrata komputera, telefonu lub nośnika danych;
- nieuprawniony dostęp pracownika do dokumentacji pacjenta.
- Pierwsze działania po uzyskaniu informacji o naruszeniu.
- Czym jest incydent bezpieczeństwa, a czym naruszenie ochrony danych osobowych?
- Trzy rodzaje naruszeń: poufności, integralności i dostępności danych.
Blok 2.
Dane dotyczące zdrowia i tajemnica zawodowa: dlaczego ryzyko jest szczególnie wysokie? (10 minut)
- Jakie informacje w gabinecie stomatologicznym mogą ujawniać stan zdrowia pacjenta?
- Czy informacje zawarte na fakturach i w systemach rozliczeniowych mogą stanowić dane dotyczące zdrowia?
- Dane dotyczące zdrowia jako szczególna kategoria danych osobowych (art. 9 RODO).
- Dokumentacja medyczna, zdjęcia RTG, fotografie wewnątrzustne, plany leczenia i informacje o wykonanych zabiegach.
- Tajemnica zawodowa lekarza dentysty i obowiązek zachowania poufności informacji o pacjencie.
Blok 3.
Przygotowanie gabinetu przed incydentem (25 minut)
- Wewnętrzna procedura reagowania: kto pierwszy dowiaduje się o incydencie, kogo powiadamia i kto podejmuje decyzję.
- Rejestr naruszeń prowadzony na bieżąco: co w nim zapisywać i dlaczego warto go mieć przed pierwszym incydentem.
- Umowa powierzenia z dostawcą oprogramowania: co sprawdzić?
- w jakim terminie dostawca musi powiadomić gabinet o incydencie;
- jaką pomoc zapewnia przy ocenie ryzyka i zgłoszeniu;
- jakich podwykonawców angażuje i gdzie przechowuje dane;
- co dzieje się z danymi po zakończeniu współpracy.
- O co zapytać informatyka lub firmę IT, żeby sprawdzić, czy gabinet jest zabezpieczony?
- Gotowe wzory: zgłoszenie do UODO, zawiadomienie pacjentów, notatka z oceny ryzyka.
- Minimum zabezpieczeń dla najczęstszych incydentów:
- włamanie do systemu: logowanie dwuetapowe i osobne konta dla każdej osoby;
- ransomware: kopie zapasowe odłączone od sieci i sprawdzone odtworzenie danych;
- wysyłka dokumentacji: szyfrowanie załączników i weryfikacja odbiorcy;
- utrata urządzenia: szyfrowanie komputerów i telefonów;
- dostęp pracownika: uprawnienia według roli i przegląd historii dostępu.
Blok 4.
Analiza ryzyka po naruszeniu: najważniejszy obowiązek administratora (20 minut)
- Trzy poziomy ryzyka i ich konsekwencje:
- mało prawdopodobne ryzyko: dokumentowanie naruszenia;
- ryzyko naruszenia praw lub wolności: zgłoszenie do UODO;
- wysokie ryzyko: zgłoszenie do UODO i co do zasady zawiadomienie pacjentów.
- Jak sporządzić i udokumentować ocenę ryzyka?
- Kiedy można odstąpić od zgłoszenia naruszenia?
- Czy każdy incydent oznacza naruszenie RODO?
- Czy każde ujawnienie danych medycznych oznacza automatycznie wysokie ryzyko?
- Dlaczego ocena ryzyka decyduje o dalszych obowiązkach gabinetu?
- Jak ustalić zakres naruszenia?
- Jakie znaczenie mają:
- rodzaj ujawnionych danych;
- liczba osób objętych naruszeniem;
- możliwość identyfikacji pacjentów;
- charakter i okoliczności incydentu;
- potencjalne skutki dla pacjentów;
- zastosowane środki zabezpieczające;
- naruszenie tajemnicy zawodowej?
Blok 5.
Zgłaszanie naruszeń: komu, kiedy i w jaki sposób? (20 minut)
- Co zrobić, jeżeli nie znamy jeszcze pełnego zakresu naruszenia?
- Czy zgłoszenie naruszenia przez dostawcę oprogramowania zwalnia gabinet z obowiązków administratora?
- Dostawca prosi o wstrzymanie się ze zgłoszeniem albo przysyła gotowy formularz: jak postąpić?
- Obowiązek zgłoszenia naruszenia Prezesowi UODO (art. 33 RODO).
- Termin 72 godzin: od kiedy należy go liczyć?
- Zgłoszenie wstępne i jego późniejsze uzupełnienie.
- Jakie informacje musi zawierać zgłoszenie?
- Rola inspektora ochrony danych.
- Obowiązki dostawcy oprogramowania jako podmiotu przetwarzającego.
- Zgłoszenia incydentów cyberbezpieczeństwa do właściwych CSIRT.
- Nowe obowiązki wynikające z ustawy o krajowym systemie cyberbezpieczeństwa: które gabinety stomatologiczne mogą im podlegać?
Blok 6.
Zawiadamianie pacjentów o naruszeniu ochrony danych (15 minut)
- Kiedy gabinet musi poinformować pacjentów? Wysokie ryzyko jako przesłanka (art. 34 RODO).
- Jak napisać komunikat zrozumiały dla pacjenta?
- Co odpowiedzieć pacjentowi, który pyta, czy jego dane wyciekły?
- Pacjent pyta, skąd gabinet ma jego dane i co dokładnie wyciekło: jak odpowiedzieć i kiedy takie pytanie jest wnioskiem z art. 15 RODO?
- Jakie informacje musi zawierać zawiadomienie?
- Czy można zawiadomić pacjentów e-mailem lub SMS-em?
- Co zrobić, gdy gabinet nie posiada aktualnych danych kontaktowych pacjenta?
- Publiczny komunikat o naruszeniu: przesłanki zastosowania art. 34 ust. 3 lit. c RODO.
- Jak zawiadamiać pacjentów, nie powodując kolejnego naruszenia poufności?
Blok 7.
Zespół i tajemnica zawodowa na co dzień (10 minut)
- Sytuacje z codziennej pracy: telefon z pytaniem o pacjenta, rozmowy przy rejestracji, ekran monitora widoczny dla innych.
- Pracownik naruszył tajemnicę zawodową: czy to naruszenie RODO, co zgłosić, jakie są konsekwencje pracownicze?
- Tajemnica zawodowa a obowiązki pozostałego personelu gabinetu.
- Upoważnienia do przetwarzania danych i zobowiązanie personelu do zachowania poufności.
Blok 8.
Rola Prezesa UODO i odpowiedzialność gabinetu stomatologicznego (10 minut)
- Postępowanie przed organem nadzorczym: jakie dokumenty może skontrolować UODO?
- Odpowiedzialność gabinetu za działania pracowników oraz podmiotów przetwarzających.
- Pacjent żąda odszkodowania po wycieku u dostawcy: jak odpowiedzieć na wezwanie do zapłaty i czy gabinet może dochodzić od dostawcy zwrotu kosztów?
- Kompetencje Prezesa UODO w przypadku naruszenia ochrony danych.
- Administracyjne kary pieniężne: przesłanki ich nakładania.
- Odpowiedzialność cywilna i roszczenia pacjentów o odszkodowanie za szkodę majątkową i niemajątkową.
- Naruszenie ochrony danych a naruszenie prawa pacjenta do tajemnicy informacji z nim związanych.
PROWADZĄCA
Poznaj mec. Agnieszkę Sieńko
radcę prawnego z ponad 25-letnim doświadczeniem, specjalistkę w zakresie ochrony prawnej medyków. Jest autorką licznych publikacji – w tym naukowych i książkowych – a jej szkolenia z zakresu prawa medycznego cieszą się uznaniem wśród profesjonalistów.
- W codziennej pracy zawodowej łączy precyzję prawną z rozumieniem realiów gabinetu.
- Prelegentka szczególnie koncentruje się na dokumentacji medycznej, prawach pacjenta, roszczeniach z tytułu błędów medycznych, zgodzie na udzielanie świadczeń zdrowotnych.
- Prelegentka ma także ponad 10-letnie doświadczenie w pracy jako nauczyciel akademicki w murach Uniwersytetu Medycznego we Wrocławiu.
- Prowadzi liczne szkolenia i wykłady dla profesjonalistów oraz w ramach kursów specjalizacyjnych.
Czego się spodziewać po zakupie?
Po opłaceniu zamówienia otrzymasz mailem potwierdzenie. Jesteś z nami!
W dniu webinaru, 23.10, link przyjdzie mailem i SMS-em.
23.10, godz. 18:00: ponad 2 godz. wykładu na żywo, a na koniec czas na Twoje pytania do mec. Agnieszki Sieńko.
Nagranie będzie dostępne przez rok, więc do każdego bloku wrócisz wtedy, gdy będzie Ci potrzebny. Otrzymasz też certyfikat.
Najczęstsze pytania
Co, jeśli nie mogę być na żywo?
Webinar zostanie nagrany, a nagranie obejrzysz w dogodnym momencie przez rok.
Czy można zadać pytanie prelegentce?
Tak. Po wykładzie mec. Agnieszka Sieńko odpowie na pytania uczestników.
Mój dostawca oprogramowania nie miał wycieku. Czy webinar jest dla mnie?
Tak. Wyciek u dostawcy to tylko jeden z najczęstszych incydentów w gabinecie. Program obejmuje też ataki ransomware, dokumentację wysłaną do niewłaściwego odbiorcy, utratę telefonu lub komputera i nieuprawniony dostęp pracownika, a cały blok 3 dotyczy przygotowania gabinetu przed incydentem.
Mój gabinet już zgłosił naruszenie do UODO. Czy webinar coś mi da?
Tak. Zgłoszenie nie zamyka sprawy. W programie są też: uzupełnienie zgłoszenia wstępnego, decyzja o zawiadomieniu pacjentów, roszczenia pacjentów i dokumenty, które może skontrolować UODO.
Czy webinar zastąpi poradę prawną w mojej sprawie?
Nie. Webinar wyjaśnia obowiązki gabinetu na przykładach typowych sytuacji i nie zastępuje porady prawnej w konkretnej sprawie.
Czy otrzymam certyfikat?
Tak, każdy uczestnik otrzymuje certyfikat.
Czy mogę otrzymać fakturę za szkolenie?
Oczywiście – wystarczy, że podczas płatności wpiszesz dane swojej firmy. Faktura zostanie automatycznie wysłana na Twój adres e-mail pierwszego dnia następnego miesiąca.
IKIGAI EDU
Sp. z o.o.
NIP: 8982280091
REGON: 522583546