波兰医疗软件Medyc遭攻击或波及500万患者：UODO主席宣布对开发商Qbusoft实施检查，并因MyDr事件扩大健康数据专项检查

【事件概况】

媒体报出新一轮数据泄露，可能涉及多达**500万波兰人**的医疗数据。案件由**中央打击网络犯罪局（Centralne Biuro Zwalczania Cyberprzestępczości，CBZC）**办理，UODO主席已宣布将对**负责 Medyc 软件的公司**实施检查。

本次事件源自对 **Medyc 应用程序**的攻击。副总理兼数字化部长 Krzysztof Gawkowski 在其 X 账号上发布的信息显示：关于 Medyc 软件潜在网络安全事件的通报，CBZC 正在更广泛的侦查框架内开展与**Qbusoft Sp. z o.o. 公司（Medyc 软件开发商）**有关的网络安全事件相关工作；政府网络安全事件响应团队（CSiRT CeZ）与卫生部针对网络空间威胁及对医疗机构、医疗软件供应商的攻击，**制定了面向医疗软件供应商的安全建议**，并于**2026年9月16日**转交各供应商以落实。公告特别指出：Qbusoft 公司**迄今未向 CERT Polska 或 CSiRT CeZ 报告网络安全事件**；若私营企业违反任何安全程序，将**追究到底**。

【UODO将实施检查】

UODO 主席 **Mirosław Wróblewski** 宣布，他将对 **Qbusoft 公司**实施检查。

UODO 主席在**今年8月**曾有类似动作：在收到关于 **MyDr** 数据泄露的消息后，当时即宣布「所采用的技术与组织措施，包括**风险分析**，将成为 UODO 在该泄露健康数据公司开展的检查对象」。

【MyDr事件的规模与后续】

MyDr 的数据泄露涉及**1900万波兰人**。**截至9月17日**，UODO 主席已收到**超过50件投诉与举报**，以及与本次事件相关的线索；另有**超过2000份通知**来自**数据控制者**。

公告还披露：**9月16日（周三）**，UODO 主席 Mirosław Wróblewski——不仅针对 MyDr 数据的网络攻击，也因**众多其他侵权案件**——决定需要在**更大范围**内对**健康数据处理**开展检查，并作出决定：**在2026年底前实施额外的检查**。

【对出海企业的实务含义】

①**波兰正在形成「医疗数据」专项执法周期**：从8月MyDr（1900万人）到9月Medyc（或达500万人），两个月内连续两起医疗数据大规模事件，且 UODO 主席已明确把检查范围从「单一企业」扩展到「**健康数据处理整体**」并设定了**年内额外检查**的硬时间表。在波兰提供医疗信息化、SaaS 或云服务的中国企业应预期被纳入抽检范围；

②**供应链责任被点名**：本次被检查对象是**软件开发商 Qbusoft** 而非医疗机构本身，与 GDPR 第28条处理者义务、以及「控制者须确保处理者提供充分保证」的要求一致。医疗软件供应商应准备：**安全事件响应与通报流程、向 CERT/CSiRT 的报告证据、以及面向客户控制者的协助能力证明**；

③**「未通报」本身成为加重情节**：公告专门强调 Qbusoft 未向 CERT Polska 或 CSiRT CeZ 报告事件，并称「若违反任何安全程序将追究到底」。GDPR 第33条要求在知悉后**72小时内**向监管机关通报，波兰另有 NIS2 转化下的网络安全通报义务，**双重通报口径**须同时满足；

④**风险分析是检查抓手**：UODO 8月已明确「技术与组织措施，包括风险分析」为检查对象。医疗数据场景应保留**DPIA、加密与访问控制记录、日志留存与渗透测试报告**，并能够证明措施与风险相称；

⑤**控制者的举证压力同步上升**：2000余份来自控制者的通知说明大量机构主动上报，UODO 已具备横向比对能力——**同类机构之间的安全措施差异**可能成为后续执法的切入点。