Cyfryzacja usług medycznych stała się dla milionów Polaków czymś już tak oczywistym jak bankowość internetowa. Internetowa rejestracja, dostęp do historii leczenia, zdalny kontakt z lekarzem czy recepta w telefonie znacząco zmieniły sposób korzystania z usług ochrony zdrowia. W cieniu tych sukcesów pojawiają się jednak niezwykle ważne pytania, które jeszcze niedawno interesowały głównie specjalistów od cyberbezpieczeństwa. Kto przechowuje nasze dane medyczne? Kto odpowiada za ich ochronę? Czy państwo rzeczywiście kontroluje firmy technologiczne, które obsługują prywatne i publiczne placówki zdrowotne? Odpowiedzi na te pytania stają się coraz ważniejsze wraz z kolejnymi doniesieniami o wyciekach danych z firm medycznych oraz firm informatycznych dostarczających systemy obsługi pacjentów.
Od papierowej kartoteki do Internetowego Konta Pacjenta
Cyfryzacja ochrony zdrowia w Polsce nie rozpoczęła się od telemedycyny, aplikacji mobilnych czy sztucznej inteligencji. Powodem zmian były znacznie bardziej przyziemne problemy: rozproszona dokumentacja, długa ścieżka obiegu informacji, powielanie badań, trudności z dostępem do historii leczenia, a także wysokie koszty administracyjne. Jeszcze około 20 lat temu pacjent zmuszony był przenosić między placówkami papierowe skierowania, wyniki badań oraz recepty, a ta sama informacja często była wielokrotnie przepisywana, ponieważ lekarze zazwyczaj nie dysponowali pełnym obrazem stanu zdrowia chorego.
Również zmiany demograficzne, a szczególnie starzenie się społeczeństwa zwiększało zapotrzebowanie na świadczenia medyczne, podczas gdy liczba lekarzy i pielęgniarek rosła znacznie wolniej. Wobec tych potrzeb państwo zaczęło traktować informatyzację nie jako technologiczny dodatek, lecz jako narzędzie służące przede wszystkim poprawie wydajności organizacji systemu. Cyfrowe rozwiązania miały ograniczyć ilość obowiązków administracyjnych personelu medycznego, skrócić czas obsługi pacjentów oraz ułatwić wymianę danych pomiędzy placówkami, lekarzami i pielęgniarkami.
Kluczowym elementem transformacji stało się Internetowe Konto Pacjenta. To właśnie ono połączyło wiele rozproszonych wcześniej usług w jednym miejscu. Pacjent może sprawdzić historię leczenia, otrzymane recepty, skierowania, część wyników badań czy informacje o świadczeniach finansowanych przez NFZ. Rozwiązanie rozwijane przez państwo stopniowo stało się cyfrowym odpowiednikiem osobistej dokumentacji zdrowotnej. Według danych Centrum e-Zdrowia ponad połowa mieszkańców Polski posiada już aktywne konto w tym systemie.
Przełomowym działaniem okazało się wdrożenie e-recept oraz e-skierowań. Dzięki nim dokumenty medyczne zaczęły funkcjonować w jednolitym środowisku informatycznym. Obecnie rozwiązania te należą do najpowszechniej wykorzystywanych usług publicznych w ochronie zdrowia. Według danych Centrum e‑Zdrowia z Internetowego Konta Pacjenta korzysta już ponad 20 mln osób, a od uruchomienia systemu wystawiono około 2,8 mld e-recept i blisko 300 mln e‑skierowań (1.10.2025 r., Centrum e‑Zdrowia, „Już ponad 20 mln osób korzysta z IKP”).
Równolegle z projektami publicznymi obejmującymi ich cyfryzację rozwijał się prywatny sektor technologii medycznych. Placówki prywatne również inwestowały w systemy do zarządzania ruchem pacjentów, rejestracją online, teleporadami, elektroniczną dokumentację medyczną, a także w aplikacje umożliwiające kontakt z lekarzem bez konieczności wizyty w gabinecie. Wielu pacjentów to właśnie przez prywatne rozwiązania pierwszym raz zetknęli się z cyfrowymi usługami zdrowotnymi. Efektem było powstanie w kraju rozbudowanego ekosystemu, w którym publiczne platformy współpracują z komercyjnym oprogramowaniem wykorzystywanym przez przychodnie, szpitale i gabinety lekarskie.
Proces ten przyspieszyła pandemia Covid‑19, gdyż zarówno pacjenci, jak i personel medyczny ze względu na ograniczenia sanitarne zostali zmuszeni do korzystania z usług nie wymagających bezpośredniego kontaktu fizycznego. Cyfrowe usługi medyczne zyskały powszechną akceptację społeczną, a wiele osób uznało cyfrową ścieżkę kontaktu z ochroną zdrowia za standard, a nie tylko rozwiązanie awaryjne. Kontynuacja rozbudowy infrastruktury e-zdrowia, rozwój elektronicznej dokumentacji medycznej, wymiana danych między placówkami, aplikacja mojeIKP oraz centralna e-rejestracja spowodowały, że z samego systemu centralnej e‑rejestracji skorzystało już ponad 1,6 mln osób, co przełożyło się na ponad 2 mln umówionych wizyt (20.01.2026, Centrum e-Zdrowia, „E-zdrowie w liczbach i faktach – podsumowanie 2025 roku”).
Cyfrowe usługi medyczne stały się podstawowym narzędziem codziennego funkcjonowania systemu, od którego zależy obsługa milionów pacjentów i miliardów rekordów medycznych. Wraz ze wzrostem skali cyfryzacji rośnie jednak również wartość gromadzonych danych oraz znaczenie systemów informatycznych, które je przechowują i przetwarzają, a ta zależność stała się jednym z najważniejszych wyzwań kolejnego etapu rozwoju e-zdrowia w Polsce.
Cyfrowa rewolucja a zagrożenia ze strony hakerów
Dane zdrowotne są jednym z najcenniejszych zasobów gromadzonych przez państwo, szpitale, przychodnie i firmy technologiczne. W przeciwieństwie do numeru karty płatniczej czy hasła do serwisu internetowego historii leczenia nie można po prostu zmienić. Zawiera ona informacje o przebytych chorobach, wynikach badań, stosowanych lekach, zabiegach jednoznacznie kojarząc je z numerami PESEL, adresami i danymi kontaktowych. Dla cyberprzestępców pakiety tego rodzaju danych mają znacznie większą wartość niż pojedyncze dane finansowe, ponieważ mogą być wykorzystywane do wyłudzeń, kradzieży tożsamości, szantażu lub prowadzenia precyzyjnych kampanii phishingowych.
Bezpieczeństwa cyfrowej ochrony zdrowia znalazło się w centrum publicznej debaty, czego powodem były kolejne incydenty dotyczące prywatnych dostawców oprogramowania medycznego. Jednym z głośniejszych medialnie przypadków był cyberatak na system MyDr, gdzie skala incydentu objęła dane milionów pacjentów korzystających z placówek wykorzystujących to oprogramowanie. Niewiele dni później ujawniono kolejny atak, tym razem dotyczący programu Medyc rozwijanego przez firmę Qbusoft, podczas którego wyciekło nawet ponad milion rekordów danych pacjentów z setek placówek medycznych. Największa jednak sprawa dotyczy nieuprawnionego dostępu do informacji i danych osobowych w systemie eWUŚ (Elektroniczna Weryfikacja Uprawnień Świadczeniobiorców) poprzez konta pracowników i współpracowników dwóch podmiotów medycznych, dzięki czemu podejrzani wysyłali masowe zapytania do systemu i uzyskali dostęp do danych ponad 13 milionów osób, a której szczegóły zostały na początku października 2026 roku ujawnione przez Narodowy Fundusz Zdrowia i Prokuraturę Regionalną w Poznaniu 7.10.2026, Wyborcza.biz, „Ogromny wyciek danych z systemu NFZ”).
Powyższe incydenty w obszarze cyberbezpieczeństwa pokazały rzeczywiste podłoże problemów: usługi cyfryzacji medycyny, postrzegane jako element systemu ochrony zdrowia, oparte są oparte nie tylko na oprogramowaniu opracowanym i wdrażanym przez instytucje publiczne, ale też w ogromnym stopniu o zaplecze dostarczane w większości przez prywatne przedsiębiorstwa informatyczne. To one tworzą i utrzymują znaczną część systemów wykorzystywanych przez gabinety lekarskie, przychodnie oraz szpitale, co powoduje, że bezpieczeństwo danych zdrowotnych zależy nie tylko od sprawności instytucji publicznych, ale również od jakości zabezpieczeń stosowanych przez komercyjnych dostawców technologii.
Sprawa nabrała dodatkowego wymiaru po informacjach o sposobie działania sprawców części ataków. Chodziło o wykorzystanie podatności typu SQL Injection, czyli jednej z najlepiej znanych luk bezpieczeństwa w aplikacjach internetowych. Tego rodzaju podatności od wielu lat znajdują się w podstawowych katalogach zagrożeń cyberbezpieczeństwa, a ich skuteczne wykorzystanie może świadczyć o niewystarczających procedurach ochronnych lub wręcz błędach w procesie tworzenia i utrzymania oprogramowania.
W związku z rosnącą liczbą incydentów sprawą jakości ochrony danych zdrowotnych zajęły się instytucje państwowe odpowiedzialne za cyberbezpieczeństwo. Między innymi zespół NASK potwierdził analizowanie zdarzeń dotyczących firm MyDr, Qbusoft i Enel‑Med. Przedstawiciele instytucji wskazywali, że sektor medyczny należy obecnie do grupy najbardziej atrakcyjnych celów dla cyberprzestępców ze względu na charakter przechowywanych informacji (29.09.2026, Wirtualne Media, „Wyciekły dane medyczne Polaków. NASK bada szczegóły”).
Formalnie odpowiedzialność za ochronę danych osobowych i medycznych spoczywa na administratorach danych oraz podmiotach je przetwarzających. Nadzór natomiast sprawują między innymi Prezes Urzędu Ochrony Danych Osobowych, instytucje odpowiedzialne za cyberbezpieczeństwo oraz organy ścigania. Problem polega jednak na tym, że system ochrony zdrowia składa się z tysięcy podmiotów korzystających z setek różnych rozwiązań informatycznych, dlatego też kontrola każdego dostawcy i każdej aktualizacji oprogramowania jest zadaniem prawie niewykonalnym, a na pewno niezwykle trudnym organizacyjnie.
Rozwijane przez państwo własne systemy e‑zdrowia, Internetowego Konta Pacjenta, elektronicznej dokumentacji medycznej czy centralnej e‑rejestracji mają jednak kluczowe znaczenie dla funkcjonowania ochrony zdrowia, dlatego ich zabezpieczenie jest traktowane jako element infrastruktury krytycznej państwa. I chociaż podlegają rygorystycznym procedurom bezpieczeństwa, to jak widać po wycieku danych z eWUŚ też nie są chronią danych pacjentów perfekcyjnie. Nie zmienia to jednak faktu, że znaczna część codziennego obiegu informacji medycznej odbywa się także za pośrednictwem systemów tworzonych przez sektor prywatny.
Sytuacja Polski nie różni się przy tym od innych rozwiniętych państw. Sukces cyfryzacji przyniósł z jednej strony wygodę, szybkość i łatwiejszy dostęp do usług zdrowotnych; z drugiej zwiększył skalę ryzyka. Im większa liczba danych trafia do systemów informatycznych, im więcej podmiotów uczestniczy w ich przetwarzaniu, tym większe znaczenie mają standardy cyberbezpieczeństwa, skuteczność nadzoru oraz zdolność państwa do szybkiego reagowania na incydenty. Należy się więc spodziewać, że to właśnie te kwestie będą w najbliższych latach decydować o poziomie zaufania pacjentów do ochrony zdrowia, a także państwa, które ma obowiązek chronić swoich obywateli.
Bezpieczeństwo jako fundamentalny warunek dalszej cyfryzacji
Odpowiedzią na na rosnącą skalę zagrożeń jest rozwijanie przez państwo systemu instytucji odpowiedzialnych za bezpieczeństwo cyfrowe ochrony zdrowia. Ważną rolę odgrywają między innymi Centrum e‑Zdrowia, zespoły reagowania na incydenty bezpieczeństwa, CERT Polska, NASK, Centralne Biuro Zwalczania Cyberprzestępczości oraz Urząd Ochrony Danych Osobowych. W przypadku ujawnionych w ostatnim czasie incydentów dotyczących sektora medycznego działania tych instytucji obejmowały przede wszystkim analizę ataków, wsparcie techniczne oraz postępowania wyjaśniające prowadzone wobec podmiotów odpowiedzialnych za przetwarzanie danych pacjentów.
Konieczne jest także zaostrzenia wymagań wobec prywatnych dostawców oprogramowania medycznego. Obecny model zakłada, że firmy odpowiadają za bezpieczeństwo swoich produktów i są zobowiązane do przestrzegania przepisów dotyczących ochrony danych osobowych oraz cyberbezpieczeństwa. Ostatnie incydenty pokazały jednak, że formalna zgodność z przepisami nie zawsze oznacza rzeczywistą odporność systemów na ataki. Z tego właśnie powodu coraz bardziej istotna jest potrzeba obowiązkowych audytów bezpieczeństwa, regularnych testów penetracyjnych oraz szybszego raportowania wykrytych podatności, a także jednoznaczne określenie odpowiedzialności za incydenty.
W wielu przypadkach pacjent nie ma świadomości, która firma odpowiada za system wykorzystywany przez jego przychodnię lub gabinet lekarski. Gdy więc dochodzi do naruszenia bezpieczeństwa, konsekwencje ponosi przede wszystkim osoba, której dane zostały ujawnione. Odpowiedzialność powinni jednak ponosić dostawcy technologii i firmy przetwarzające dane medyczne i to wobec nich wymagania bezpieczeństwa powinny być porównywalne z tymi, które obowiązują podmioty zarządzające infrastrukturą krytyczną.
Można się spodziewać, że kolejnym kierunkiem rozwoju będzie szersze wykorzystanie analizy danych i narzędzi opartych na sztucznej inteligencji. Wraz ze wzrostem znaczenia technologii wykorzystywanych do wspierania diagnostyki obrazowej, analizowania wyników badań oraz usprawniania procesów organizacyjnych w placówkach medycznych, będzie rosła również liczba danych przetwarzanych przez systemy informatyczne. Kwestie związane z szyfrowaniem, autoryzacją dostępu, monitoringiem zagrożeń i kontrolą jakości oprogramowania staną się więc jeszcze ważniejsze niż obecnie.
Wpływ na przyszłość polskiego e‑zdrowia będą miały również działania prowadzone na poziomie Unii Europejskiej, a w szczególności prace nad tworzoną Europejską Przestrzenią Danych Zdrowotnych, której celem jest ułatwienie bezpiecznej wymiany dokumentacji medycznej pomiędzy państwami członkowskimi oraz wykorzystanie danych zdrowotnych do badań naukowych i rozwoju innowacji. Polska uczestniczy w przygotowaniach do wdrażania tych rozwiązań poprzez rozwój krajowej infrastruktury e‑zdrowia oraz dostosowywanie systemów do nowych wymagań interoperacyjności (16.01.2024, Ministerstwo Zdrowia, „Cyfryzacja w ochronie zdrowia”).
Najbliższe lata będą więc okresem równoległego rozwoju usług cyfrowych i standardów bezpieczeństwa. Pacjenci nie tylko oczekują szybkiego dostępu do dokumentacji, możliwości rejestrowania wizyt przez Internet i wygodnego korzystania z usług zdrowotnych bez wychodzenia z domu, ale jednocześnie chcą mieć pewność, że informacje o ich chorobach, wynikach badań czy leczeniu są w pełni bezpiecznie i nie trafią w niepowołane ręce. Tym samym od zdolności państwa i sektora technologicznego do pogodzenia tych dwóch oczekiwań będzie zależało, czy kolejny etap cyfryzacji ochrony zdrowia będzie sukcesem organizacyjnym i społecznym, czy stanie się źródłem obaw o bezpieczeństwo najbardziej wrażliwych danych obywateli. [IP]
Dziękuję, że przeczytałaś/przeczytałeś mój artykuł. Jeżeli chcesz być informowana/informowany o nowych publikacjach, polub i obserwuj profil IKONA.press na portalach Bluesky + Facebook + Linkedin.
