Polska ochrona zdrowia mierzy się z wyraźnym wzrostem liczby cyberincydentów i coraz większym ryzykiem wycieku wrażliwych danych pacjentów. Skala zagrożeń rośnie równolegle z aktywnością regulatora, który w 2025 r. nałożył już kolejne kary za naruszenia zasad ochrony danych.
Liczba ataków rośnie, a na celowniku są dane pacjentów
W 2025 r. w sektorze ochrony zdrowia odnotowano 1,4 tys. incydentów cyberbezpieczeństwa, czyli o ponad 60 proc. więcej niż rok wcześniej. Jak wynika z danych CSIRT CeZ, najwięcej przypadków stanowiły oszustwa komputerowe – 580, a kolejne 344 dotyczyły podatnych usług, co łącznie odpowiadało za 64 proc. wszystkich incydentów. Odnotowano także 148 wycieków poświadczeń i 146 przypadków złośliwego oprogramowania.
CSIRT CeZ wskazał również na pięć poważnych incydentów i osiem ataków ransomware, w tym atak z 8 marca 2025 r. na SPZOZ MSWiA w Krakowie, po którym szpital utracił dostęp do części systemów informatycznych. Szczególne obawy budzi także sprawa MyDr, gdzie – według ministra cyfryzacji – skradziona baza ma ponad 2 TB i może obejmować dane blisko 19 mln Polaków, w tym numery PESEL i informacje medyczne. Sam operator potwierdził atak, zastrzegając, że pełna skala naruszenia nie jest jeszcze znana.
Wartość takich danych jest wysoka: według raportu TrendAI dostęp do małych zbiorów danych medycznych kosztuje od 65 do 400 USD, do średnich od 1 do 8 tys. USD, a dane z ośrodków zdrowia mogą osiągać wartość 500 tys. USD, podczas gdy pełne bazy szpitalne są warte nawet miliony dolarów.
Placówki nadal mają luki, a UODO zwiększa presję
Mimo rosnącej skali zagrożeń część placówek nadal nie spełnia podstawowych standardów bezpieczeństwa. Z badania wynika, że 29 proc. szefów ankietowanych jednostek nie prowadzi regularnych przeglądów oceny ryzyka, a 28 proc. placówek nie ma opublikowanej polityki bezpieczeństwa, choć 76 proc. deklaruje wdrożenie systemu zarządzania bezpieczeństwem informacji.
Równocześnie rośnie aktywność prezesa UODO – w 2025 r. łączna wysokość nałożonych kar przekroczyła 64,3 mln zł. W samym sektorze medycznym urząd nałożył m.in. dwie kary o łącznej wartości 1,14 mln zł na Centrum Medyczne Ujastek za monitoring w salach oddziału neonatologii oraz niewdrożenie odpowiednich zabezpieczeń danych na kartach pamięci urządzeń monitorujących; skargę placówki oddalił Wojewódzki Sąd Administracyjny w Warszawie.
W 2025 r. UODO ukarał też niepubliczny ZOZ w Pyskowicach kwotą 32,8 tys. zł za dokumentację ośmiorga pacjentów pozostawioną w skradzionym samochodzie. W tle pozostają także wcześniejsze głośne sprawy, w tym kara 1,44 mln zł nałożona w 2024 r. na spółkę identyfikowaną później jako American Heart of Poland, gdzie nieuprawnione osoby uzyskały dostęp do danych pacjentów i pracowników, a hakerzy zażądali 3 mln USD okupu, oraz atak ransomware na ALAB z listopada 2023 r., po którym do sieci trafiła część danych pacjentów wraz z wynikami badań laboratoryjnych.
