Wyciek danych z systemu eWUŚ. NFZ informuje o akcie oskarżenia w sprawie 11,1 mln pacjentów

Narodowy Fundusz Zdrowia poinformował 6 października 2026 r., że doszło do naruszenia ochrony danych osobowych z systemu eWUŚ. Prokuratura Regionalna w Poznaniu skierowała do Sądu Okręgowego w Poznaniu akt oskarżenia przeciwko osobom, które przez konta pracowników dwóch placówek medycznych masowo pobierały dane pacjentów. Sprawa dotyczy około 11 mln 100 tys. osób, których dane znalazły się w systemie w marcu 2024 r.

Do czego doszło i kiedy

Jak wyjaśnia NFZ w komunikacie z 6 października 2026 r., do nieuprawnionego dostępu doszło przez konta pracowników lub współpracowników dwóch podmiotów udzielających świadczeń opieki zdrowotnej finansowanych ze środków publicznych. Za pośrednictwem systemu używanego przez świadczeniodawców kierowano masowe zapytania do Elektronicznej Weryfikacji Uprawnień Świadczeniobiorców (eWUŚ).

Dane pobrano w dwóch okresach: 18-21 marca 2024 r. oraz 26-27 marca 2024 r. Fundusz podkreśla, że nie przełamano zabezpieczeń systemów NFZ, a po wykryciu anomalii, czyli masowego odpytywania eWUŚ, niezwłocznie zawiadomił Prokuraturę oraz Prezesa Urzędu Ochrony Danych Osobowych.

Jakie dane wyciekły

Zakres naruszenia jest ograniczony, bo system eWUŚ nie przetwarza innych danych osób niż wymienione poniżej:

• imię i nazwisko (imiona),
• numer ewidencyjny PESEL,
• informacja, czy danej osobie potwierdzono prawo do świadczeń opieki zdrowotnej finansowanych ze środków publicznych.

W komunikacie nie ma mowy o wycieku numerów telefonów, adresów czy danych medycznych. Ryzyko dotyczy więc przede wszystkim numeru PESEL, który jest kluczem do wielu usług.

Co można zrobić z twoim PESEL-em

NFZ wymienia możliwe następstwa naruszenia, przede wszystkim kradzież tożsamości i działania podejmowane na cudze dane. Do najczęstszych scenariuszy należą:

• uzyskanie pożyczek w instytucjach pozabankowych,
• zarejestrowanie karty telefonicznej typu na kartę,
• korzystanie ze świadczeń zdrowotnych na twoje dane, bo rejestracja pacjenta odbywa się często telefonicznie, po podaniu PESEL,
• marketing bez zgody oraz zakładanie kont internetowych, w tym w serwisach społecznościowych.

Gdzie dzwonić i jak się zabezpieczyć

Fundusz i Urząd Ochrony Danych Osobowych zachęcają do monitorowania swojej aktywności oraz do ograniczonego zaufania wobec nieznanych numerów i wiadomości. Najważniejsze kontakty w tej sprawie to:

• monitoring historii kredytowej i alerty o zapytaniach - Biuro Informacji Kredytowej, tel. 22 348 44 44;
• zgłoszenie naruszenia danych osobowych - UODO, tel. 606 950 000;
• podejrzenie kradzieży tożsamości - Policja, tel. 47 72 199 00 lub numer alarmowy 997;
• pytania o system eWUŚ i ubezpieczenie - NFZ, Telefoniczna Informacja Pacjenta 800 190 590.

Jeśli na twój PESEL zarejestrowano kartę SIM, zgłoś to operatorowi, na przykład przez infolinię Orange 801 234 567. Gdy ktoś założył na twoje dane konto internetowe, warto powiadomić administratora serwisu, np. infolinię Poczty O2. Możesz też bezpłatnie zastrzec numer PESEL w serwisie gov.pl.

W sprawach związanych z samym naruszeniem NFZ wskazał kontakt do inspektora ochrony danych: e-mail [email protected] oraz adres siedziby przy ul. Rakowieckiej 26/30 w Warszawie. Dodatkowe informacje opublikowała Prokuratura Regionalna w Poznaniu w komunikacie o akcie oskarżenia.

Najczęstsze pytania

Czy wyciekły moje dane medyczne?

Nie. Zgodnie z komunikatem NFZ system eWUŚ przechowuje wyłącznie imię i nazwisko, PESEL oraz informację o potwierdzeniu prawa do świadczeń. Nie zawiera diagnoz ani historii leczenia.

Skąd mam wiedzieć, czy jestem w grupie 11,1 mln osób?

Naruszenie dotyczy osób, które w dniach 18-21 i 26-27 marca 2024 r. były weryfikowane w systemie eWUŚ. Jeśli wtedy korzystałaś lub korzystałeś ze świadczeń, twoje dane mogły zostać pobrane.

Co zrobić, jeśli ktoś weźmie pożyczkę na moje dane?

Zgłoś sprawę na Policję lub do Prokuratury, powiadom instytucję, która udzieliła pożyczki, i złóż reklamację. Warto też sprawdzić wpisy w BIK oraz włączyć alerty o zapytaniach kredytowych.