Na początku października producent oprogramowania FELG Dent, z którego korzystają gabinety i kliniki stomatologiczne, potwierdził atak hakerski i możliwy wyciek danych pacjentów. Jeśli Twój gabinet korzysta z FELG Dent, to Ty – a nie dostawca programu – odpowiadasz za dane swoich pacjentów jako administrator. Wyjaśniamy, co wiadomo o incydencie, co gabinet powinien teraz zrobić i w czym możemy pomóc.
Gabinet korzysta z FELG Dent i nie wie, co dalej? Ocenimy sytuację, przygotujemy zgłoszenie do UODO i zawiadomienie pacjentów – także jeśli czekaliście na informacje od dostawcy i termin już minął. Oddzwaniamy tego samego dnia roboczego.
Co wiadomo o wycieku z FELG Dent?
Na podstawie publicznych informacji (m.in. Sekurak, money.pl, Dentonet):
- o incydencie media poinformowały 1–2 października 2026 r.; producent, FELG Software sp. z o.o., potwierdził atak,
- według wstępnych szacunków firmy incydent mógł objąć około 2 mln rekordów dotyczących pacjentów – przy czym liczba rekordów nie musi odpowiadać liczbie osób,
- atakujący twierdzą, że mają dane pacjentów (m.in. imiona i nazwiska, numery PESEL, adresy, telefony) oraz dane e-recept, w tym przepisane leki – tych twierdzeń nie zweryfikowano niezależnie,
- sprawca miał żądać okupu za nieujawnianie danych; firma zawiadomiła prokuraturę i skontaktowała się z UODO.
Na początku października FELG poprosił gabinety o wstrzymanie się ze zgłaszaniem naruszenia do UODO do czasu potwierdzenia, czy incydent dotyczy danych konkretnego gabinetu. Zapowiedział też przekazanie objętym gabinetom projektu zgłoszenia i bezpłatnego narzędzia do powiadamiania pacjentów. Sprawdź, jakie informacje otrzymał Twój gabinet – od tego zależą dalsze kroki.
Kto odpowiada za dane pacjentów?
Gabinet. To gabinet lub klinika jest administratorem danych swoich pacjentów, a FELG Software – jako dostawca programu – podmiotem przetwarzającym, któremu dane zostały powierzone. Dlatego ocena ryzyka, decyzja o zgłoszeniu do Prezesa UODO i o zawiadomieniu pacjentów należy do gabinetu. Dostawca może pomóc, przekazać informacje czy projekt zgłoszenia – ale nie zdejmuje z gabinetu odpowiedzialności.
Gabinet czekał na potwierdzenie od FELG. Co teraz?
Zgłoszenia naruszenia dokonuje się w ciągu 72 godzin od jego stwierdzenia przez administratora (art. 33 ust. 1 RODO). Prośba dostawcy o wstrzymanie zgłoszeń nie zmienia tego obowiązku. Jeśli gabinet czekał, nie oznacza to, że sprawa przepadła:
- Zgłoszenie można złożyć etapami. RODO pozwala przekazać informacje stopniowo, gdy nie da się ich zebrać od razu (art. 33 ust. 4) – nie trzeba czekać na pełną wiedzę o skali incydentu.
- Spóźnione zgłoszenie jest lepsze niż brak zgłoszenia. Dołącza się do niego wyjaśnienie przyczyn opóźnienia – w tym przypadku m.in. komunikaty dostawcy.
- Każde naruszenie trafia do rejestru naruszeń (art. 33 ust. 5) – także wtedy, gdy ostatecznie okaże się, że zgłoszenie nie jest wymagane.
Jeśli FELG potwierdził, że incydent nie dotyczy Twojego gabinetu – zachowaj tę informację w dokumentacji. Jeśli potwierdzenie nadal nie przyszło – nie warto czekać w nieskończoność. Lepiej ocenić sytuację na podstawie tego, co wiadomo, i podjąć udokumentowaną decyzję.
Dlaczego ryzyko jest wysokie?
Dane z gabinetu stomatologicznego to nie tylko dane kontaktowe. Według doniesień w grę wchodzą numery PESEL oraz dane o e-receptach i przepisanych lekach – czyli dane dotyczące zdrowia, należące do szczególnych kategorii danych (art. 9 RODO). Połączenie PESEL, danych kontaktowych i informacji o leczeniu może służyć do wyłudzeń, podszywania się pod pacjenta czy szantażu.
Przy takim ryzyku poza zgłoszeniem do UODO zwykle konieczne jest także zawiadomienie pacjentów (art. 34 RODO) – jasnym i prostym językiem, z informacją o możliwych konsekwencjach i zaleceniami, co mogą zrobić, by się chronić.
Co gabinet może zrobić od razu
- Zbierz i zachowaj całą korespondencję od FELG dotyczącą incydentu – będzie potrzebna w dokumentacji i zgłoszeniu.
- Sprawdź, czy FELG potwierdził, że incydent dotyczy Twojego gabinetu, i czy przekazał projekt zgłoszenia lub narzędzie do powiadamiania pacjentów.
- Zmień hasła do systemu i sprawdź, kto z personelu ma dostęp do danych pacjentów.
- Uprzedź recepcję, że pacjenci mogą dzwonić z pytaniami – i ustal, co mają odpowiadać.
- Odszukaj umowę powierzenia przetwarzania danych z dostawcą programu (art. 28 RODO).
W czym kancelaria może wyręczyć gabinet
- Ocena sytuacji i ryzyka – na podstawie informacji od dostawcy i specyfiki gabinetu.
- Weryfikacja projektu zgłoszenia przekazanego przez dostawcę – z perspektywy gabinetu jako administratora.
- Zgłoszenie do Prezesa UODO – wstępne, uzupełniające albo spóźnione, z wyjaśnieniem przyczyn opóźnienia.
- Treść zawiadomienia pacjentów – zrozumiała, spokojna, z konkretnymi zaleceniami.
- Instrukcja dla recepcji – jak odpowiadać na pytania pacjentów.
- Wpis do rejestru naruszeń i dokumentacja podjętych działań.
- Przegląd umowy powierzenia z dostawcą oprogramowania.
- Korespondencja z UODO – odpowiedzi na pisma i wezwania urzędu.
Wycenę przedstawiamy po krótkiej rozmowie, zanim rozpoczniemy pracę. Współpraca może odbywać się w całości zdalnie – pomagamy gabinetom z całej Polski.
Jesteś pacjentem gabinetu korzystającego z FELG Dent?
Twój gabinet powinien poinformować Cię, jeśli incydent dotyczy Twoich danych. Niezależnie od tego warto:
- zastrzec numer PESEL – można to zrobić bezpłatnie, np. w aplikacji mObywatel,
- zachować ostrożność wobec SMS-ów, e-maili i telefonów powołujących się na gabinet, leki czy recepty,
- nie podawać nikomu kodów, haseł ani danych logowania.
Najczęstsze pytania gabinetów
Kliknij pytanie, aby zobaczyć odpowiedź.
Czy gabinet musi zgłosić naruszenie, skoro FELG prosił, żeby z tym poczekać?
Obowiązek zgłoszenia spoczywa na administratorze, czyli gabinecie, i nie zależy od prośby dostawcy. Jeśli incydent dotyczy danych Twoich pacjentów i niesie ryzyko dla ich praw lub wolności, zgłoszenie jest wymagane – a w razie opóźnienia składa się je z wyjaśnieniem przyczyn.
Nie wiemy jeszcze, czy wyciek dotyczy naszego gabinetu. Co robić?
Udokumentuj, co wiesz i kiedy się dowiedziałeś, wpisz zdarzenie do rejestru naruszeń i podejmij decyzję na podstawie dostępnych informacji. RODO pozwala złożyć zgłoszenie etapami i uzupełniać je, gdy pojawią się nowe dane.
Czy wystarczy zgłoszenie przygotowane przez dostawcę?
Projekt od dostawcy może być dobrym punktem wyjścia, ale zgłoszenie składa gabinet jako administrator i to on odpowiada za jego treść. Warto sprawdzić, czy opisuje sytuację Twojego gabinetu, a nie tylko incydent z perspektywy dostawcy.
Czy trzeba zawiadomić wszystkich pacjentów?
Zawiadomienie jest obowiązkowe, gdy naruszenie może powodować wysokie ryzyko dla praw lub wolności osób (art. 34 RODO) – a przy numerach PESEL i danych o zdrowiu takie ryzyko jest zwykle wysokie. Zawiadomienie kieruje się do pacjentów, których dane objął incydent.
Czy gabinet stomatologiczny musi mieć Inspektora Ochrony Danych?
Pojedyncza praktyka lekarska zwykle nie ma takiego obowiązku. Większe kliniki i przychodnie, które przetwarzają dane o zdrowiu na dużą skalę, co do zasady muszą powołać IOD. Szczegóły znajdziesz na stronie Inspektor Ochrony Danych.
Nie chcesz następnym razem działać pod presją czasu?
Incydent u dostawcy oprogramowania może dotknąć każdy gabinet. Najspokojniej przechodzą przez niego placówki, które mają aktualną dokumentację, procedurę na wypadek naruszenia i kogoś, do kogo mogą od razu zadzwonić. Zobacz, jak pomagamy przy naruszeniach i wyciekach danych i na czym polega stała opieka Inspektora Ochrony Danych.
Autor: radca prawny Emilia Więsław, Inspektor Ochrony Danych. Artykuł opracowano na podstawie publicznie dostępnych informacji medialnych oraz art. 9, 28, 33 i 34 RODO. Stan na 19 października 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie.