Co się stało z danymi z eWUŚ?

6 października 2026 r. Narodowy Fundusz Zdrowia opublikował komunikat o naruszeniu ochrony danych osobowych w systemie eWUŚ, czyli elektronicznej weryfikacji uprawnień do świadczeń. Powodem było pismo Prokuratury Regionalnej w Poznaniu, że do sądu trafił akt oskarżenia w sprawie nieuprawnionego dostępu do systemu. NFZ jest w tej sprawie pokrzywdzonym.

Według komunikatu dane ok. 11,1 mln osób pobrano w dwóch oknach czasowych w marcu 2024 roku: 18-21 i 26-27 marca. Informacja dla zainteresowanych pojawiła się więc ponad dwa i pół roku po zdarzeniu. Komunikat zaktualizowano 9 października.

Sprawcy weszli na konta pracowników i współpracowników dwóch podmiotów leczniczych, które mają dostęp do eWUŚ, i z tych kont wysyłali masowe zapytania. NFZ podkreśla, że nie przełamano zabezpieczeń jego własnych systemów, a świadczeniodawcy są niezależnymi administratorami danych i sami wybierają swoje zabezpieczenia.

Co wiemy, a czego nie wiemy

Wiemy Nie wiemy
Wyciekły imię, nazwisko, PESEL i informacja o tym, czy prawo do świadczeń zostało potwierdzone Czy konkretna osoba jest w zbiorze - NFZ nie podał publicznego narzędzia do sprawdzenia
Według NFZ eWUŚ nie przetwarza innych danych, więc nie wyciekły wyniki badań, recepty ani rozpoznania Skąd różnica w liczbach: NFZ mówi o 11,1 mln osób, a w części mediów pojawia się 13 mln (liczba z informacji prokuratury)
Akt oskarżenia trafił do Sądu Okręgowego w Poznaniu Kto i do czego mógł dane już wykorzystać
NFZ zawiadomił prokuraturę i Prezesa UODO po wykryciu masowych zapytań Kiedy sąd rozpocznie proces

Dla porządku: w mediach krąży też wątek wycieku z oprogramowania gabinetowego, które według relacji Rynku Zdrowia było używane przez oba podmioty. To osobna sprawa i nie łączymy jej z komunikatem NFZ, dopóki nie robią tego służby.

Co to znaczy dla rodziny?

Sam PESEL nie jest hasłem, ale w Polsce jest kluczem do wielu spraw: pożyczek pozabankowych, kart SIM, rejestracji u lekarza przez telefon. Dlatego NFZ zaleca konkretne kroki, które można zrobić w jeden wieczór:

  1. Zastrzeż PESEL w serwisie gov.pl lub w aplikacji mObywatel (instrukcję wskazuje komunikat NFZ). To darmowe i odwracalne, a utrudnia wyłudzenia kredytów na Twoje dane. Zrób to także dla dzieci i rodziców - dane seniorów i dzieci też mogły być w zbiorze.
  2. Załóż konto w systemie informacji kredytowej i włącz alerty o zapytaniach o Twoją historię kredytową.
  3. Uważaj na telefony „z przychodni” lub „z NFZ”. Oszust może znać Twoje imię, nazwisko i PESEL, więc brzmi wiarygodnie. NFZ nie prosi o numer karty, kod CVV ani dane logowania do banku. Rozłącz się i oddzwoń na numer ze strony placówki.
  4. SMS-y z podejrzanymi linkami przekaż na numer 8080, a inne incydenty zgłoś na incydent.cert.pl.
  5. Gdy ktoś użył Twoich danych, zgłoś to na policję lub do prokuratury.

Rozmowa z seniorem, który odbiera telefony od „urzędników”, bywa trudna. Zamiast pouczać, ustalcie jedną zasadę: żadna decyzja ani przelew podczas rozmowy, którą ktoś inny zainicjował. Oddzwaniamy sami, na numer, który znamy.

Wyciek danych to też kwestia porządku w dokumentach. Poradnik Plecak i ewakuacja ma rozdział o dokumentach i danych w trzech warstwach (kopie papierowe, zaszyfrowany nośnik, archiwum w chmurze), czyli o tym, jak uporządkować własne dokumenty tak, by w razie potrzeby szybko je odtworzyć lub zabrać.

Więcej: dokumenty i dane w kryzysie, jak rozpoznać dezinformację i fałszywe komunikaty, dzieci, seniorzy i osoby zależne.

Kontekst: ostrzeżenia CERT Polska w tym tygodniu

To nie jedyny sygnał z ostatnich dni. CERT Polska ostrzegał w październiku m.in. przed kampaniami podszywającymi się pod Krajową Administrację Skarbową i pod nadawców zapytań ofertowych (załączniki z oprogramowaniem szpiegującym). Wszystkie opierają się na tym samym: presji czasu i zaufaniu do instytucji. Wcześniejsze wpisy o fałszywych komunikatach znajdziesz na osi czasu, np. przy dementi dotyczącym „challenge” w szkołach.

Najczęstsze pytania

Jak sprawdzić, czy mój PESEL wyciekł z eWUŚ?

Na dziś nie znamy publicznego narzędzia do takiego sprawdzenia. NFZ zaleca działanie prewencyjne wobec wszystkich: zastrzeżenie PESEL, alerty kredytowe i ostrożność w kontaktach telefonicznych. Informacje można uzyskać w Telefonicznej Informacji Pacjenta NFZ (800 190 590) lub u inspektora ochrony danych: iod@nfz.gov.pl.

Czy wyciekły moje wyniki badań i historia leczenia?

Według komunikatu NFZ nie. eWUŚ zawiera tylko imię, nazwisko, PESEL i informację o potwierdzeniu uprawnień do świadczeń. Przestępcy mogą jednak łączyć te dane z innymi wyciekami, dlatego telefon od „przychodni” z szczegółami o Tobie nie jest dowodem, że dzwoni prawdziwy pracownik.

Czy zastrzeżenie PESEL coś kosztuje i czy można je cofnąć?

Zastrzeżenie jest bezpłatne i można je odwołać w tym samym serwisie. Nie usuwa danych z rąk przestępców, ale blokuje najkosztowniejsze nadużycia, jak pożyczki zaciągnięte na Twoje dane. Szczegółowa instrukcja jest pod linkiem w komunikacie NFZ.