Blog
24.08.2026Czy po wycieku danych należy zmienić numer PESEL? Zastrzeżenie może nie wystarczyć
Masowy incydent cyberbezpieczeństwa dotyczący systemów firmy MyDr ponownie pokazuje, że w dyskusji o ochronie danych osobowych nie możemy zatrzymać się na prostym zaleceniu: „zastrzeż PESEL”. Zastrzeżenie numeru niewątpliwie ogranicza część ryzyk, ale nie powoduje, że przejęty przez osoby nieuprawnione numer przestaje istnieć. Nie zostaje unieważniony ani zmieniony, lecz nadal pozostaje tym samym identyfikatorem przypisanym obywatelowi.
W związku z tym warto postawić pytanie dalej idące: czy w przypadku poważnego, masowego naruszenia danych państwo nie powinno nie tylko automatycznie zabezpieczać numerów PESEL osób dotkniętych takim incydentem, ale również – w szczególnie uzasadnionych przypadkach – umożliwiać nadanie im nowych numerów? Obecne przepisy takiego rozwiązania nie przewidują.
Problem ten poruszyłem podczas rozmowy na kanale Wideoprezentacje poświęconej incydentowi dotyczącemu firmy MyDr. W mojej ocenie skala współczesnych zagrożeń cybernetycznych uzasadnia szerszą dyskusję nie tylko o odpowiedzialności za konkretne naruszenie, ale również o tym, czy obecny system identyfikacji i ochrony obywatela odpowiada rzeczywistym zagrożeniom związanym z masowym przetwarzaniem danych.
Incydent MyDr – problem dotyczy nie tylko numerów PESEL
12 sierpnia 2026 r. Ministerstwo Zdrowia poinformowało o incydencie cyberbezpieczeństwa dotyczącym firmy MyDr. Jednocześnie wskazano, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia, a zdarzenie nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług realizowanych w publicznym systemie ochrony zdrowia.
Prezes Urzędu Ochrony Danych Osobowych odniósł się natomiast do doniesień medialnych dotyczących możliwego wycieku danych osobowych niemal 19 mln Polaków u dostawcy systemu Elektronicznej Dokumentacji Medycznej MyDr. Już potencjalna skala zdarzenia powoduje, że nie możemy traktować tej sprawy jak typowego incydentu dotyczącego kilku czy kilkuset osób. Sama liczba potencjalnie poszkodowanych nie jest jednak tutaj najważniejszym problemem.
Mówimy bowiem o systemach związanych z ochroną zdrowia, a więc potencjalnie również o informacjach dotyczących diagnoz, historii leczenia, przeprowadzonych badań, przyjmowanych leków czy wykonanych procedur medycznych. Są to informacje należące do najbardziej prywatnej sfery życia człowieka.
Hasło do systemu można zmienić, kartę płatniczą zastrzec, a dokument unieważnić. Nie można natomiast „zmienić” informacji o przebytej chorobie, leczeniu czy wykonanym zabiegu medycznym. Jeżeli takie dane trafią w ręce osób nieuprawnionych, niektóre konsekwencje ich ujawnienia mogą mieć charakter trwały.
Dane medyczne wymagają szczególnej ochrony
RODO zalicza dane dotyczące zdrowia do szczególnych kategorii danych osobowych. Nie dzieje się tak przypadkowo. Ujawnienie informacji dotyczących stanu zdrowia może wpływać na życie prywatne, rodzinne, społeczne i zawodowe człowieka. Może prowadzić do dyskryminacji, stygmatyzacji, naruszenia dobrego imienia albo prób wywierania nacisku.
W określonych przypadkach problem może wykraczać poza interes pojedynczej osoby. Jeżeli informacje dotyczące zdrowia osoby zajmującej eksponowane stanowisko albo pełniącej odpowiedzialną funkcję publiczną mogłyby zostać wykorzystane jako środek nacisku, pojawia się również problem bezpieczeństwa państwa.
Dlatego naruszenie dotyczące danych medycznych należy analizować jednocześnie z perspektywy ochrony danych osobowych, cyberbezpieczeństwa oraz potencjalnych dalszych konsekwencji wykorzystania uzyskanych informacji.
Zastrzeżenie PESEL jest potrzebne, ale czy wystarczające?
Po ujawnieniu informacji o incydencie Ministerstwo Zdrowia zaleciło obywatelom między innymi zastrzeżenie numeru PESEL, stosowanie silnych i unikalnych haseł, korzystanie z uwierzytelniania wieloskładnikowego oraz zwiększoną ostrożność wobec wiadomości e-mail, SMS i połączeń telefonicznych.
Zastrzeżenie numeru PESEL jest racjonalnym i potrzebnym środkiem ochronnym. Od 1 czerwca 2024 r. określone podmioty, w tym banki, instytucje pożyczkowe, notariusze czy operatorzy telekomunikacyjni, mają obowiązek sprawdzania Rejestru Zastrzeżeń Numerów PESEL przed dokonaniem wskazanych w przepisach czynności.
Zastrzeżony PESEL może więc chronić między innymi przed:
- zaciągnięciem kredytu lub pożyczki przy wykorzystaniu cudzych danych,
- zakupem na raty finansowanym kredytem konsumenckim,
- otwarciem rachunku bankowego przez osobę podszywającą się pod właściciela numeru,
- wyrobieniem duplikatu karty SIM,
- dokonaniem określonych czynności notarialnych przy wykorzystaniu cudzej tożsamości.
Mechanizm ten znacząco zwiększył bezpieczeństwo obywateli, ale nie rozwiązuje wszystkich problemów.
Zastrzeżony PESEL nadal pozostaje tym samym numerem
Na tym polega podstawowe ograniczenie obecnego rozwiązania w sytuacji trwałego przejęcia danych. Zastrzeżenie numeru PESEL nie powoduje jego unieważnienia ani nie prowadzi do nadania nowego identyfikatora. Numer pozostaje dokładnie taki sam.
Co więcej, zastrzeżenie można cofnąć i przy części czynności będzie to konieczne. Jeżeli obywatel będzie chciał zaciągnąć kredyt, zawrzeć określoną umowę finansową albo dokonać wskazanej w przepisach czynności notarialnej, może być konieczne czasowe cofnięcie zastrzeżenia. Po jego cofnięciu mamy jednak ponownie do czynienia z dokładnie tym samym numerem PESEL, który wcześniej mógł zostać przejęty przez osoby nieuprawnione.
I tutaj pojawia się problem, który – w mojej ocenie – wymaga szerszej dyskusji. Jeżeli przestępca raz uzyskał numer PESEL wraz z innymi danymi pozwalającymi na identyfikację konkretnej osoby, informacje te mogą pozostawać w nieuprawnionym obiegu przez wiele lat. Nie ma podstaw, aby zakładać, że po kilku miesiącach czy kilku latach zostaną usunięte albo przestaną być wykorzystywane.
Czy zatem wystarczającym rozwiązaniem jest oczekiwanie od obywatela, że przez kolejne lata będzie pamiętał o stałym zastrzeganiu PESEL i czasowym cofnięciu ochrony tylko wtedy, gdy będzie tego potrzebował?
Dlaczego obywatel ma sam zastrzegać numer PESEL?
Podczas rozmowy dotyczącej incydentu MyDr zwróciłem uwagę także na inne pytanie: dlaczego w przypadku masowego naruszenia danych to obywatel ma być pierwszą osobą zobowiązaną do podjęcia działań ochronnych?
To obywatel ma dowiedzieć się o zdarzeniu, zapoznać z komunikatem, ustalić, czy incydent może go dotyczyć, a następnie skorzystać z aplikacji, usługi internetowej albo udać się do urzędu i zastrzec numer PESEL. Tymczasem to nie obywatel doprowadził do naruszenia. Przekazywał swoje dane podmiotom, które były uprawnione do ich przetwarzania, działając w zaufaniu do obowiązujących przepisów oraz stosowanych zabezpieczeń.
Jeżeli właściwe organy uzyskają wiarygodną informację, że konkretne numery PESEL zostały przejęte przez osoby nieuprawnione i istnieje wysokie ryzyko ich wykorzystania, zasadne jest rozważenie mechanizmu automatycznego zastrzegania takich numerów. Najpierw powinno następować zabezpieczenie obywatela, a dopiero później dalsze czynności związane z wyjaśnianiem incydentu. W przypadku cyberataków czas reakcji ma bowiem podstawowe znaczenie.
Co z osobami wykluczonymi cyfrowo?
Problem ten jest szczególnie widoczny w przypadku osób niekorzystających z usług cyfrowych. W dyskusji publicznej zastrzeżenie numeru PESEL często przedstawiane jest jako czynność wymagająca kilku kliknięć w aplikacji mObywatel. Nie każdy jednak posiada smartfon, korzysta z aplikacji mObywatel czy sprawnie posługuje się elektronicznymi usługami administracji publicznej.
PESEL można zastrzec również przez gov.pl lub osobiście w urzędzie gminy, ale w przypadku masowego incydentu oznacza to przerzucenie obowiązku szybkiej reakcji właśnie na te osoby, które mogą mieć największą trudność z jej podjęciem.
Dlatego mechanizm automatycznego zastrzeżenia numeru PESEL w ściśle określonych przypadkach powinien być analizowany jako element systemu ochrony obywatela przed skutkami poważnych incydentów cyberbezpieczeństwa.
Czy po wycieku można obecnie zmienić numer PESEL?
Nie. Sam fakt ujawnienia, kradzieży lub przejęcia prawidłowo nadanego numeru PESEL nie stanowi obecnie samodzielnej podstawy prawnej do jego zmiany.
Obowiązujące przepisy przewidują zmianę numeru PESEL w ściśle określonych sytuacjach, związanych między innymi ze zmianą daty urodzenia lub płci, błędem przy nadawaniu numeru albo wprowadzeniem organu w błąd co do tożsamości osoby. Katalog ten nie obejmuje sytuacji, w której prawidłowo nadany numer PESEL znalazł się w rękach cyberprzestępców albo został ujawniony wskutek poważnego naruszenia ochrony danych.
Oznacza to, że osoba, której PESEL został przejęty, nie może obecnie żądać nadania nowego numeru wyłącznie z tego powodu. I właśnie ten element obecnego systemu wymaga – w mojej ocenie – ponownego przemyślenia.
Czy trwałe skompromitowanie PESEL powinno umożliwiać jego zmianę?
Jeżeli wycieknie hasło do systemu, zmieniamy hasło. Jeżeli utracimy kartę płatniczą, możemy ją zastrzec i otrzymać nową. Jeżeli utracimy dokument tożsamości, dokument można unieważnić i wydać kolejny. W przypadku numeru PESEL podstawowym instrumentem ochronnym pozostaje natomiast zastrzeżenie, podczas gdy sam identyfikator nie ulega zmianie.
Dlatego należy postawić pytanie, czy w szczególnie poważnych przypadkach naruszenia danych osobowych polskie prawo nie powinno przewidywać dodatkowego mechanizmu umożliwiającego zmianę numeru PESEL.
Nie oznacza to, że każdy incydent powinien automatycznie skutkować nadaniem tysięcy nowych numerów. Powinna być to instytucja wyjątkowa. Można jednak wyobrazić sobie sytuację, w której zostanie potwierdzone, że numer PESEL wraz z szerokim zestawem danych umożliwiających identyfikację konkretnej osoby został przejęty przez osoby nieuprawnione i może pozostawać w ich dyspozycji przez wiele lat. W takim przypadku należałoby rozważyć stworzenie prawnej możliwości nadania nowego numeru.
Zmiana numeru PESEL nie byłaby prostą operacją
Trzeba jednocześnie uczciwie wskazać, że masowa zmiana numerów PESEL byłaby operacją bardzo skomplikowaną zarówno prawnie, jak i technicznie. Numer PESEL funkcjonuje w ogromnej liczbie rejestrów i baz danych. Znajduje się między innymi w systemach:
- administracji publicznej,
- ochrony zdrowia,
- banków i instytucji finansowych,
- ubezpieczeń społecznych,
- administracji podatkowej,
- sądów,
- podmiotów prywatnych.
Mechanizm zmiany numeru musiałby więc zapewniać pełną ciągłość identyfikacji obywatela oraz prawidłowe powiązanie nowego numeru z jego wcześniejszą historią w poszczególnych rejestrach. Nie może dojść do sytuacji, w której rozwiązanie stworzone w celu ochrony przed kradzieżą tożsamości powodowałoby chaos w innych systemach.
Trudność techniczna nie powinna jednak kończyć dyskusji. Jeżeli obecny model identyfikacji obywatela nie odpowiada skali współczesnych cyberzagrożeń, należy zastanowić się nad jego dostosowaniem.
Zastrzeżenie PESEL może również powodować praktyczne konsekwencje
Zastrzegając numer PESEL, należy pamiętać, że jego status jest weryfikowany przy szeregu istotnych czynności. Dotyczy to między innymi kredytów, pożyczek oraz niektórych czynności notarialnych związanych z nieruchomościami.
Nie jest to kwestia wyłącznie techniczna. Wyobraźmy sobie osobę, która zawarła umowę przedwstępną sprzedaży nieruchomości i zobowiązała się do zawarcia umowy przyrzeczonej w konkretnym terminie. Jeżeli przed dokonaniem czynności nie sprawdzi statusu swojego PESEL i okaże się, że numer pozostaje zastrzeżony, może powstać problem z dokonaniem zaplanowanej czynności.
W zależności od konkretnego stanu faktycznego konsekwencje niedojścia umowy do skutku mogą być poważne, zwłaszcza gdy strony przewidziały zadatek albo inne zabezpieczenia wykonania umowy.
Dlatego zastrzeżenie PESEL powinno iść w parze z odpowiednią świadomością skutków tej czynności. Nie wystarczy powiedzieć obywatelowi: „zastrzeż PESEL”. Należy również wyjaśnić, kiedy status zastrzeżenia może uniemożliwić dokonanie planowanej czynności i w jakich sytuacjach konieczne będzie jego czasowe cofnięcie.
Czy osoby, których dane zostały naruszone, powinny otrzymać indywidualną informację?
Kolejnym ważnym zagadnieniem jest sposób informowania osób potencjalnie dotkniętych naruszeniem. Konferencja prasowa czy komunikat opublikowany w internecie nie zawsze zastępują wykonanie obowiązków wynikających z RODO.
Administrator danych powinien po otrzymaniu informacji o naruszeniu przeprowadzić odpowiednią analizę ryzyka. Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, może powstać obowiązek zgłoszenia naruszenia Prezesowi UODO. Jeżeli natomiast może ono powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej, przepisy przewidują również możliwość powstania obowiązku indywidualnego zawiadomienia osoby, której dane dotyczą.
W związku z incydentem MyDr Prezes UODO przypomniał administratorom korzystającym z usług tej firmy o konieczności przeprowadzenia takiej analizy. Urząd wskazał również, że obowiązek powiadomienia osób dotkniętych wyciekiem spoczywa na administratorach, którzy korzystali z usług MyDr.
Ma to podstawowe znaczenie dla obywatela. Osoba, której dane mogły znaleźć się w rękach osób nieuprawnionych, powinna uzyskać informację pozwalającą jej odpowiednio wcześnie ograniczyć ryzyko dalszych negatywnych konsekwencji.
RODO to nie wszystko. Gdzie była dyrektywa NIS2?
Incydent dotyczący MyDr prowadzi również do pytania o termin wdrożenia w Polsce dyrektywy NIS2. Dyrektywa powinna zostać transponowana przez państwa członkowskie do 17 października 2024 r., natomiast Polska dokonała implementacji z opóźnieniem.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca nowe rozwiązania weszła w życie 3 kwietnia 2026 r. Dla podmiotów, które w dniu wejścia w życie nowych regulacji spełniały przesłanki uznania ich za podmioty kluczowe lub ważne, przewidziano okres na wdrożenie określonych obowiązków do 3 kwietnia 2027 r. Dla określonej grupy nowych podmiotów kluczowych termin pierwszego obowiązkowego audytu bezpieczeństwa przypada natomiast na 3 kwietnia 2028 r.
Zestawienie tych dat z incydentem, o którym dowiedzieliśmy się w 2026 r., rodzi oczywiste pytanie o konsekwencje opóźnienia legislacyjnego.
Czy wcześniejsze wdrożenie NIS2 mogło zapobiec incydentowi?
Nie można odpowiedzialnie stwierdzić, że gdyby Polska wdrożyła NIS2 w wymaganym terminie, do incydentu dotyczącego MyDr na pewno by nie doszło. Takiego związku przyczynowego na obecnym etapie nie sposób wykazać.
Możemy jednak postawić inne pytanie: czy wcześniejsze objęcie odpowiednich podmiotów dodatkowymi obowiązkami dotyczącymi zarządzania ryzykiem cyberbezpieczeństwa, zabezpieczeń systemów, reagowania na incydenty oraz – w określonych przypadkach – obowiązkowych audytów mogłoby zmniejszyć prawdopodobieństwo wystąpienia podobnego zdarzenia albo ograniczyć jego potencjalne skutki?
W mojej ocenie jest to pytanie w pełni uzasadnione. RODO i NIS2 nie są bowiem regulacjami tożsamymi. RODO koncentruje się przede wszystkim na ochronie danych osobowych, zasadach ich przetwarzania oraz prawach osób, których dane dotyczą, natomiast regulacje z zakresu NIS2 i krajowego systemu cyberbezpieczeństwa w znacznie większym stopniu odnoszą się do zarządzania ryzykiem cyberbezpieczeństwa, bezpieczeństwa systemów informacyjnych, odporności organizacji oraz reagowania na incydenty.
Jedno nie zastępuje drugiego.
Incydent powinien prowadzić do szerszego audytu bezpieczeństwa
Po zdarzeniu o takiej potencjalnej skali nie powinniśmy ograniczać dyskusji wyłącznie do ustalenia sprawców. Ich identyfikacja oraz pociągnięcie do odpowiedzialności są oczywiście niezwykle istotne, ale równolegle należy odpowiedzieć na inne pytania:
- dlaczego doszło do incydentu,
- jakie zabezpieczenia funkcjonowały przed zdarzeniem,
- czy odpowiadały rzeczywistej skali ryzyka,
- czy podobne słabości mogą występować w innych systemach,
- czy procedury państwa pozwalają wystarczająco szybko chronić obywateli,
- czy komunikacja po tak dużym naruszeniu przebiega wystarczająco sprawnie.
W mojej ocenie incydent tej skali powinien stanowić impuls do szerszej analizy bezpieczeństwa systemów, w których przetwarzane są bardzo duże ilości danych osobowych, w szczególności danych dotyczących zdrowia.
Pytanie nie powinno bowiem dotyczyć wyłącznie tego, co wydarzyło się teraz. Powinniśmy również odpowiedzieć sobie na pytanie, czy jesteśmy przygotowani na kolejne podobne zdarzenie.
Co powinien zrobić obywatel, który obawia się naruszenia swoich danych?
Do czasu pełnego wyjaśnienia zakresu incydentu warto stosować podstawowe środki ostrożności wskazywane również przez właściwe instytucje państwowe. Przede wszystkim należy rozważyć zastrzeżenie numeru PESEL.
Warto także:
- zachować szczególną ostrożność wobec wiadomości SMS, e-mail i połączeń telefonicznych,
- nie przekazywać dodatkowych informacji osobom, których tożsamości nie jesteśmy pewni,
- stosować unikalne hasła do poszczególnych usług,
- korzystać z uwierzytelniania wieloskładnikowego,
- monitorować aktywność na rachunkach bankowych i kontach internetowych,
- zwracać uwagę na korespondencję dotyczącą umów albo zobowiązań, których nie zawieraliśmy,
- uważnie zapoznać się z ewentualnym zawiadomieniem administratora o naruszeniu danych.
Szczególnie istotne jest również ryzyko kolejnych ataków socjotechnicznych. Przestępca posiadający część prawdziwych informacji o konkretnej osobie może wykorzystać je do uwiarygodnienia kolejnej próby oszustwa. Jeżeli osoba telefonująca zna nasze imię, nazwisko, PESEL czy inne prawdziwe informacje, nie oznacza to jeszcze, że rzeczywiście kontaktuje się z nami bank, urząd czy placówka medyczna.
Czy potrzebujemy nowej instytucji prawnej?
Obecny system zastrzegania numerów PESEL jest potrzebnym i wartościowym mechanizmem ochronnym. Incydenty dotyczące bardzo dużych zbiorów danych pokazują jednak jego ograniczenia.
Jeżeli raz przejęty numer PESEL może pozostawać w nieuprawnionym obiegu przez wiele lat, a obywatel będzie musiał czasowo cofać jego zastrzeżenie przy określonych czynnościach, warto rozważyć uzupełnienie obecnych regulacji.
W mojej ocenie dyskusji wymagają przede wszystkim dwa rozwiązania. Po pierwsze – możliwość automatycznego zastrzegania numerów PESEL w przypadku odpowiednio poważnego i zweryfikowanego naruszenia bezpieczeństwa danych. Po drugie – stworzenie ustawowej możliwości nadania nowego numeru PESEL w szczególnych przypadkach, w których istnieją uzasadnione podstawy do przyjęcia, że dotychczasowy identyfikator został trwale skompromitowany i może być wykorzystywany przez osoby nieuprawnione.
Oba rozwiązania wymagałyby precyzyjnego określenia przesłanek oraz stworzenia zabezpieczeń pozwalających zachować ciągłość funkcjonowania obywatela w publicznych i prywatnych systemach. Nie powinno to jednak powstrzymywać ustawodawcy przed rozpoczęciem takiej dyskusji.
Po cyberataku nie można przerzucać całego ciężaru ochrony na obywatela
Najważniejszy wniosek płynący z tej sprawy jest w mojej ocenie szerszy niż sam problem numeru PESEL.
We współczesnym państwie obywatel musi przekazywać swoje dane wielu podmiotom. Nie może funkcjonować bez numeru PESEL, nie może odmówić przekazania wszystkich informacji dotyczących zdrowia, jeżeli mają być one niezbędne do prawidłowego leczenia, ani nie tworzy samodzielnie systemów, w których dane te są następnie przetwarzane.
Działa więc w zaufaniu do państwa oraz podmiotów, które zgodnie z prawem otrzymują i przetwarzają jego dane.
Jeżeli to zaufanie zostaje naruszone wskutek poważnego incydentu, odpowiedź systemu nie powinna ograniczać się do wezwania obywatela:
„zastrzeż PESEL”.
To powinien być jeden z pierwszych środków ochronnych, a nie koniec dyskusji. Następnie powinny pojawić się pytania o przyczyny zdarzenia, odpowiedzialność, sposób poinformowania osób dotkniętych naruszeniem, skuteczność istniejących zabezpieczeń oraz potrzebę zmian legislacyjnych.
Jeżeli skompromitowany identyfikator ma towarzyszyć obywatelowi przez całe życie, trudno oczekiwać, że jedynym rozwiązaniem będzie stałe pilnowanie, czy PESEL pozostaje zastrzeżony, i okresowe cofanie zastrzeżenia wtedy, gdy obywatel będzie chciał dokonać określonej czynności.
Dlatego po incydencie dotyczącym MyDr pytanie nie powinno brzmieć wyłącznie:
„czy zastrzegłeś PESEL?”.
Powinniśmy zadać pytanie dalej idące:
czy państwo jest przygotowane na sytuację, w której numer identyfikujący obywatela przez całe życie zostaje przejęty przez osoby nieuprawnione i może pozostawać w ich dyspozycji przez wiele lat?
Obecny system prawny nie rozwiązuje tego problemu w sposób kompleksowy. Umożliwia zastrzeżenie numeru PESEL, ale co do zasady nie przewiduje jego zmiany wyłącznie z tego powodu, że identyfikator został trwale skompromitowany.
Dlatego warto rozważyć stworzenie mechanizmu, który w szczególnie poważnych przypadkach pozwalałby najpierw automatycznie zabezpieczyć obywatela, a następnie – jeżeli skala i charakter naruszenia tego wymagają – nadać mu nowy numer PESEL.
Po masowym naruszeniu danych ciężar ochrony nie powinien spoczywać wyłącznie na obywatelu. Państwo powinno dysponować rozwiązaniami pozwalającymi reagować również wtedy, gdy dotychczasowy identyfikator przestał być bezpieczny.
Stan prawny: 24 sierpnia 2026 r.
