INFORMACJA DLA PACJENTÓW O INCYDENCIE W SYSTEMIE FELG DENT
Ostatnia aktualizacja: paź 9, 2026
FELG Software sp. z o.o., dostawca systemu używanego w naszych placówkach, potwierdził naruszenie ochrony danych obejmujące również pacjentów Stomatologia Dziecięca Wiewiór.ka sp. z o.o. Rozumiemy obawy pacjentów i rodziców. Poniżej przedstawiamy informacje, które obecnie posiadamy, oraz kwestie nadal wymagające wyjaśnienia.
Czy SMS o naruszeniu danych pochodzi od naszej kliniki?
Uruchomiliśmy powiadomienia SMS i e-mail przez narzędzie FELG. Krótki SMS jest zawiadomieniem o incydencie, a nie prośbą o zapłatę lub podanie danych. Samej nazwy nadawcy nie należy traktować jako dowodu autentyczności. W razie wątpliwości prosimy skontaktować się z recepcją przez numer lub adres podany na naszej stronie, bez korzystania z linku w SMS-ie.
Co się wydarzyło?
Według zawiadomienia FELG cyberatak dotyczył systemu dostawcy, w którym przechowywano dane naszych pacjentów. Osoba nieuprawniona uzyskała dostęp do danych w tym systemie. Dostęp trwał od sie 28, 2026 o godz. 00:40 do wrz 29, 2026 o godz. 18:00. Sprawca zażądał od FELG okupu za nieujawnianie danych. Według dostawcy system zabezpieczono wrz 29, 2026 o godz. 21:42. Nie mamy potwierdzenia publicznego opublikowania danych ani ich oferowania do sprzedaży. Brak takiego potwierdzenia nie oznacza, że dane nie zostały skopiowane lub wykorzystane. Zakończenie nieuprawnionego dostępu nie usuwa ryzyka wykorzystania danych wcześniej uzyskanych przez sprawcę.
Jakie dane mogły zostać objęte naruszeniem?
FELG wskazał następujące kategorie: imię i nazwisko, adres, telefon, e-mail, PESEL, daty wizyt, płatności i recepty. Część tych informacji dotyczy zdrowia i korzystania z opieki medycznej. Nie mamy obecnie potwierdzenia, czy w przypadku konkretnej osoby pobrano rozpoznania, plan leczenia, zdjęcia RTG lub inne części dokumentacji. Lista osób wskazanych przez FELG nie jest wykazem pól faktycznie skopiowanych przez sprawcę. Dokładny zakres danych dotyczących poszczególnych pacjentów jest nadal ustalany. Nie możemy obecnie potwierdzić, że każda wymieniona kategoria dotyczy każdej osoby ani że sprawca uzyskał pełną dokumentację medyczną każdego pacjenta.
Kiedy klinika otrzymała informacje o naruszeniu?
paź 1, 2026 FELG poinformował o podejrzeniu naruszenia, zaznaczając, że nie potwierdzono jeszcze objęcia nim naszej placówki. Potwierdzenie dotyczące naszej spółki dotarło paź 7, 2026 o godz. 19:43; osoba koordynująca sprawę odczytała je paź 8, 2026 o godz. 8:30. Zgłoszenie do UODO i uruchomienie powiadomień pacjentów nastąpiły paź 9, 2026. Daty te dotyczą otrzymania informacji i naszych działań; okres nieuprawnionego dostępu do systemu FELG podaliśmy wyżej.
Jaki jest status sprawy?
paź 9, 2026 zgłosiliśmy naruszenie Prezesowi UODO. Otrzymaliśmy potwierdzenie doręczenia zgłoszenia. Tego samego dnia uruchomiliśmy indywidualne powiadomienia przez narzędzie FELG. Raport wskazuje zakończenie wysyłki zbiorczej, ale część pozycji pozostała niewysłana. Sam status wysłania nie potwierdza doręczenia każdej wiadomości. Sprawdziliśmy raport wysyłki. Recepcja zweryfikowała w dokumentacji FELG pozycje wskazane jako pozbawione kontaktu. Nadal wyjaśniamy możliwość dotarcia do osób bez skutecznego powiadomienia.
Według FELG dostawca prowadzi analizę incydentu, wdrożył dodatkową weryfikację logowania oraz współpracuje z właściwymi instytucjami. W naszych placówkach trwa zmiana haseł przez pracowników. Będziemy uzupełniać informacje po uzyskaniu dalszych potwierdzonych ustaleń.
Jakie mogą być skutki?
Dane mogą zostać wykorzystane do podszywania się, prób oszustw finansowych i wysyłania fałszywych wiadomości powołujących się na leczenie lub płatności. Naruszenie może też prowadzić do utraty prywatności i poufności informacji o zdrowiu. Nie mamy obecnie potwierdzonych informacji o konkretnych szkodach u pacjentów spowodowanych tym incydentem.
Co można zrobić?
- Zachować ostrożność wobec telefonów, e-maili i SMS dotyczących leczenia, płatności albo incydentu. Nietypowe prośby sprawdzać przez znany wcześniej kontakt do placówki.
- Nie przekazywać haseł, kodów logowania ani kodów autoryzacji płatności. Nie otwierać podejrzanych linków i załączników.
- Pełnoletni pacjenci mogą bezpłatnie zastrzec swój PESEL w mObywatelu, przez gov.pl lub w urzędzie gminy. Usługa nie obejmuje PESEL małoletnich dzieci. Instrukcja: https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie
- Obserwować niezamówioną korespondencję dotyczącą umów, pożyczek i płatności. Podejrzaną operację zgłosić bankowi, a podejrzenie przestępstwa Policji. Zachować wiadomości i inne dowody.
Czy zastrzeżenie PESEL usuwa wszystkie skutki incydentu?
Nie. Jest środkiem ograniczającym ryzyko niektórych wyłudzeń, ale nie usuwa ujawnionych danych ani nie potwierdza, że wcześniej nie zostały wykorzystane. Nadal należy uważać na próby oszustwa i zachować podejrzane wiadomości. Rodzice powinni zwracać uwagę także na korespondencję dotyczącą dziecka, zwłaszcza nieznanych umów i płatności. Zastrzeżenie PESEL rodzica nie zastrzega PESEL dziecka.
Czy powiadomienie dotyczy mnie, czy mojego dziecka?
Naruszenie może dotyczyć również danych dzieci. W dokumentacji pacjenta małoletniego może być zapisany telefon lub e-mail rodzica albo opiekuna. Otrzymanie wiadomości na taki kontakt nie przesądza, że naruszenie objęło także własne dane medyczne opiekuna. Powiązanie zawiadomienia z konkretnym pacjentem wyjaśnimy indywidualnie, po odpowiedniej weryfikacji.
Dlaczego w wiadomości widnieje Norwida, skoro leczenie odbywało się w innej lokalizacji?
Nasze placówki korzystają ze wspólnej bazy FELG. Podpis gotowego szablonu wskazywał placówkę Norwida. Administratorem danych jest Stomatologia Dziecięca Wiewiór.ka sp. z o.o.; sam podpis wiadomości nie ogranicza sprawy do pacjentów jednej lokalizacji.
Czy brak wiadomości oznacza, że moje dane nie zostały objęte naruszeniem?
Nie można tego wnioskować wyłącznie z braku wiadomości. Powodem może być brak aktualnego kontaktu lub problem z wysyłką bądź doręczeniem. Wątpliwości prosimy zgłaszać pod wskazanym poniżej kontaktem.
Nie jestem pacjentem — dlaczego otrzymałem wiadomość?
Prosimy zgłosić taką sytuację recepcji. Sprawdzimy przypisanie adresu e-mail lub numeru telefonu do karty pacjenta i ewentualny błąd w danych kontaktowych. Samo otrzymanie wiadomości nie potwierdza, że jej adresat był leczony w naszej placówce. Przed wyjaśnieniem nie będziemy ujawniać danych osoby, do której może należeć karta.
Jak uzyskać szczegóły dotyczące własnych danych?
Prosimy napisać do nas, wskazując, czego dotyczy pytanie. Jeżeli odpowiedź wymaga informacji o konkretnym pacjencie, ustalimy odpowiedni sposób potwierdzenia tożsamości oraz, gdy to potrzebne, uprawnienia do reprezentowania dziecka. Nie prosimy o przesyłanie zwykłym e-mailem numeru PESEL, skanu dowodu ani dokumentacji medycznej. W odpowiedzi oddzielimy informacje już ustalone od tych, których jeszcze nie otrzymaliśmy od FELG. Ta strona nie zastępuje indywidualnej odpowiedzi na Państwa wniosek.
Kto odpowiada na pytania i prowadzi dalsze ustalenia?
Stomatologia Dziecięca Wiewiór.ka sp. z o.o. jest administratorem danych i przyjmuje pytania pacjentów. FELG, jako dostawca przetwarzający dane na nasze zlecenie, prowadzi analizę techniczną. Fakt wystąpienia incydentu u dostawcy nie znosi naszych obowiązków wobec pacjentów. Nie mamy jeszcze pełnych ustaleń przyczyny technicznej ani raportu potwierdzającego zakończenie oceny bezpieczeństwa po incydencie. W indywidualnej odpowiedzi wskażemy, co ustalono, a co nadal wymaga wyjaśnienia.
Kontakt w sprawie incydentu
Recepcja Norwida — punkt kontaktowy w sprawie incydentu
recepcja.norwida@wiewior-ka.pl
Stomatologia Dziecięca Wiewiór.ka sp. z o.o.
ul. Cypriana Kamila Norwida 7, 80-280 Gdańsk
Przepraszamy za niepokój związany z tym zdarzeniem.