Wyciek danych związany z MyDr i eWUŚ. Sprawdź, co wiadomo, jak zastrzec PESEL, jak chronić się przed oszustwem i kiedy możliwe jest odszkodowanie za naruszenie danych.

Wyciek danych pacjentów powiązany z MyDr. Co wiadomo i co zrobić, jeśli Twoje dane mogły trafić w niepowołane ręce?

Informacje o możliwym masowym ujawnieniu danych pacjentów wywołały w sierpniu 2026 roku duże zainteresowanie mediów. Sprawę opisują między innymi TVN24, Business Insider Polska i TVP oraz duże media. W centrum wydarzeń pojawia się system MyDr wykorzystywany przez placówki medyczne oraz możliwość dostępu do danych poprzez integrację z systemem eWUŚ.

Sprawa jest szczególnie istotna, ponieważ dane związane z ochroną zdrowia należą do najbardziej wrażliwych informacji o człowieku. W połączeniu z numerem PESEL, imieniem, nazwiskiem, adresem czy numerem telefonu mogą zostać wykorzystane nie tylko do klasycznych prób wyłudzenia, lecz także do bardzo przekonujących ataków phishingowych.

Ważne jest jednak rozróżnienie kilku kwestii. Pojawienie się nazwy MyDr przy incydencie nie musi oznaczać, że doszło do przełamania centralnej infrastruktury tej firmy. Z dostępnych wcześniej opisów technicznych wynika, że znany był incydent dotyczący placówki medycznej korzystającej z MyDr, której dostęp został przejęty, a następnie wykorzystany między innymi do wykonywania dużej liczby zapytań do eWUŚ.

Dokładny zakres odpowiedzialności poszczególnych podmiotów wymaga więc ustalenia, w jaki sposób uzyskano dostęp, które zabezpieczenia zawiodły i jakie dane rzeczywiście trafiły do osób nieuprawnionych.

Czym jest MyDr?

MyDr to system wykorzystywany przez lekarzy i placówki medyczne między innymi do obsługi pacjentów oraz prowadzenia elektronicznej dokumentacji medycznej.

System pozwala między innymi:

• prowadzić dokumentację pacjenta,
• obsługiwać wizyty,
• wystawiać e-recepty i e-skierowania,
• integrować się z innymi systemami ochrony zdrowia,
• sprawdzać status ubezpieczenia w eWUŚ.

Sama firma informuje, że MyDr jest częścią grupy DocPlanner, do której należy również ZnanyLekarz.

Na swojej stronie MyDr podaje również, że jego system EDM stosowany jest w ponad 10 tys. przychodni.

Skala wykorzystania tego typu systemów tłumaczy, dlaczego potencjalne problemy z bezpieczeństwem budzą tak duże zainteresowanie.

Co właściwie wydarzyło się z danymi?

Opisując tę sprawę, trzeba odróżnić atak na konkretną placówkę lub konto użytkownika od włamania do całego systemu centralnego.

Już w materiałach dotyczących cyberbezpieczeństwa w ochronie zdrowia opisywano przypadek z marca 2024 roku. Według relacji z konferencji ekspertów związanych między innymi z CSIRT, CBZC i UODO doszło wtedy do przełamania zabezpieczeń w placówce korzystającej z MyDr.

Placówka miała skonfigurowany dostęp do eWUŚ, a osoby nieuprawnione mogły wykonywać masowe zapytania do systemu – według opisu nawet kilka milionów.

To bardzo ważne rozróżnienie.

Nie oznacza ono automatycznie, że ktoś pobrał bazę wszystkich pacjentów bezpośrednio z serwerów MyDr.

Mechanizm mógł polegać na przejęciu uprawnień konkretnego użytkownika lub placówki, a następnie wykorzystaniu legalnie istniejącego połączenia z państwowym systemem do nieuprawnionych zapytań.

Czym jest eWUŚ?

eWUŚ, czyli Elektroniczna Weryfikacja Uprawnień Świadczeniobiorców, jest systemem Narodowego Funduszu Zdrowia wykorzystywanym przede wszystkim do sprawdzania, czy pacjent posiada prawo do świadczeń finansowanych przez NFZ.

Placówki i ich oprogramowanie mogą komunikować się z eWUŚ poprzez odpowiednie usługi.

NFZ w swoich materiałach potwierdza funkcjonowanie integracji programów z eWUŚ oraz określa zasady dostępu do systemu.

MyDr również oficjalnie informuje o integracji z eWUŚ i możliwości sprawdzania statusu ubezpieczenia pacjenta z poziomu systemu.

Problem pojawia się wtedy, gdy konto posiadające takie uprawnienia zostanie przejęte.

Czy podobne ataki były już możliwe wcześniej?

Tak.

W przeszłości Ministerstwo Zdrowia informowało o innym przypadku przejęcia konta lekarza w systemie gabinet.gov.pl.

W tamtej sprawie ustalono, że osoby nieuprawnione mogły przejąć kontrolę nad Profilem Zaufanym lekarza i uzyskać możliwość dostępu między innymi do:

• imienia i nazwiska,
• numeru PESEL,
• adresu,
• informacji o receptach,
• danych o skierowaniach,
• informacji o szczepieniach.

Ministerstwo wskazywało również na możliwość wywoływania danych dotyczących innych ubezpieczonych osób. Jednocześnie podkreślono wtedy, że nie znaleziono dowodów na przełamanie zabezpieczeń samego centralnego systemu P1.

Pokazuje to, że do poważnego naruszenia nie zawsze potrzebne jest „zhakowanie całej bazy”.

Wystarczy przejęcie konta mającego szerokie uprawnienia.

Dlaczego dane medyczne są szczególnie wrażliwe?

Informacja o stanie zdrowia to coś zupełnie innego niż wyciek samego adresu e-mail.

Może ujawniać między innymi:

• choroby,
• leczenie psychiatryczne,
• przyjmowane leki,
• ciąże,
• badania,
• zabiegi,
• konsultacje specjalistyczne,
• niepełnosprawność,
• historię leczenia.

Dane dotyczące zdrowia należą na gruncie RODO do szczególnych kategorii danych osobowych.

Rzecznik Praw Pacjenta podkreślił w lipcu 2026 roku, że podmioty lecznicze mają obowiązek stosowania adekwatnych, aktualnych i rekomendowanych mechanizmów ochrony danych medycznych. Sam fakt cyberataku nie oznacza jeszcze automatycznie naruszenia praw pacjentów, ale brak odpowiednich zabezpieczeń może takie naruszenie stanowić.

Jakie konsekwencje może mieć wyciek PESEL-u i danych osobowych?

Największym błędem jest założenie, że skoro po kilku dniach nic się nie wydarzyło, zagrożenie minęło.

Wykradzione dane mogą być wykorzystywane przez bardzo długi czas.

Przestępcy mogą próbować użyć ich do:

• podszywania się pod ofiarę,
• prób uzyskania kredytu lub pożyczki,
• socjotechniki,
• phishingu,
• przejmowania kont,
• wyłudzania dodatkowych informacji,
• prób wymiany karty SIM,
• fałszywych kontaktów ze strony „przychodni”, „NFZ”, „banku” czy „policji”.

Szczególnie skuteczny może być phishing wykorzystujący prawdziwe dane.

Wiadomość:

„Dzień dobry, kontaktujemy się w sprawie danych medycznych”

jest łatwa do zignorowania.

Ale wiadomość zawierająca prawdziwe imię, nazwisko, placówkę lub inne informacje może wyglądać znacznie bardziej wiarygodnie.

Co zrobić, jeśli mój PESEL mógł wyciec?

Najważniejszym działaniem jest zastrzeżenie numeru PESEL.

Można zrobić to bezpłatnie:

• w aplikacji mObywatel,
• w serwisie mObywatel,
• w urzędzie gminy.

Od 1 czerwca 2024 roku banki i inne określone instytucje finansowe muszą weryfikować status PESEL przy zawieraniu między innymi umowy kredytu lub pożyczki.

Zastrzeżony PESEL nie przeszkadza w większości codziennych czynności.

Nadal można między innymi:

• iść do lekarza,
• zrealizować receptę,
• korzystać z konta,
• wykonywać przelewy,
• załatwiać sprawy urzędowe.

Zastrzeżenie można później czasowo lub bezterminowo cofnąć.

Czy warto zastrzec PESEL, jeśli nie mam pewności, że jestem na liście?

Takie działanie jest rozsądnym środkiem ostrożności.

Ministerstwo Cyfryzacji wprost rekomenduje zastrzeżanie PESEL jako ochronę przed skutkami między innymi wycieków danych.

Nie trzeba czekać na pierwszą próbę oszustwa.

Co jeszcze powinien zrobić poszkodowany?

Centralne Biuro Zwalczania Cyberprzestępczości oraz Policja zalecają po wycieku danych kilka podstawowych kroków.

1. Zmień hasło

Jeżeli wyciek mógł obejmować dane logowania do konkretnej usługi, zmień hasło.

Jeżeli takie samo hasło było używane w innych serwisach, zmień je również tam.

2. Używaj różnych haseł

Hasło do poczty nie powinno być jednocześnie hasłem do:

• portalu pacjenta,
• banku,
• sklepu,
• mediów społecznościowych.

Jedno przejęte hasło nie powinno otwierać dostępu do całego cyfrowego życia.

3. Włącz uwierzytelnianie dwuskładnikowe

Tam, gdzie jest to możliwe, włącz 2FA lub MFA.

Dotyczy to szczególnie poczty elektronicznej, ponieważ przejęcie skrzynki może umożliwić resetowanie haseł do wielu innych usług.

4. Uważaj na SMS-y i e-maile

Po dużym wycieku można spodziewać się zwiększonej liczby wiadomości wykorzystujących strach.

Przykładowo:

„Twoja dokumentacja medyczna wyciekła. Kliknij tutaj, aby ją zabezpieczyć”.

Nie należy logować się poprzez link znajdujący się w takiej wiadomości.

5. Nie podawaj kodów i haseł przez telefon

Pracownik banku, NFZ czy przychodni nie powinien potrzebować:

• hasła do bankowości,
• pełnego kodu BLIK,
• kodu autoryzacyjnego,
• hasła do Profilu Zaufanego.

6. Monitoruj swoje konta

Sprawdzaj:

• historię rachunków,
• powiadomienia bankowe,
• próby logowania,
• wiadomości dotyczące nowych umów,
• alerty związane z Twoją tożsamością.

7. Zachowuj dowody

Jeżeli otrzymujesz podejrzane wiadomości:

• wykonuj zrzuty ekranu,
• zapisuj e-maile,
• zachowuj SMS-y,
• zapisuj daty i numery telefonów.

Może mieć to znaczenie później przy zgłoszeniu sprawy lub dochodzeniu roszczeń.

---

Czy zastrzeżenie PESEL daje pełną ochronę?

Nie.

Znacząco ogranicza ryzyko określonych wyłudzeń, ale numer PESEL nie jest jedynym elementem, który może zostać wykorzystany przez przestępców.

Zastrzeżenie nie chroni na przykład przed:

• phishingiem,
• próbą przejęcia poczty,
• podszywaniem się pod placówkę medyczną,
• wykorzystaniem informacji o zdrowiu,
• szantażem,
• próbą wyłudzenia kolejnych danych.

Dlatego trzeba połączyć zastrzeżenie z większą ostrożnością.

Czy przestępcy mogą wziąć kredyt na wykradzione dane?

Obecny system zastrzegania numerów PESEL znacząco utrudnia takie działanie.

Od 1 czerwca 2024 roku instytucje finansowe objęte przepisami mają obowiązek sprawdzania rejestru przy określonych umowach kredytowych i pożyczkowych.

Dlatego osoba obawiająca się kradzieży tożsamości powinna zastrzec numer zanim pojawi się próba wykorzystania danych.

Czy trzeba wymieniać dowód osobisty?

Nie każdy wyciek numeru PESEL oznacza konieczność wymiany dowodu.

Znaczenie ma zakres danych, które zostały ujawnione.

Jeżeli doszło również do ujawnienia:

• numeru dokumentu,
• serii dowodu,
• kopii dokumentu,
• zdjęcia dokumentu,

sytuację należy analizować osobno.

Sam PESEL można zastrzec bez wymiany dokumentu.

---

Czy można żądać odszkodowania za wyciek danych?

Tak, w określonych okolicznościach istnieje taka możliwość.

Artykuł 82 RODO daje osobie, która poniosła szkodę majątkową lub niemajątkową wskutek naruszenia przepisów, możliwość dochodzenia odszkodowania.

Nie oznacza to jednak, że każdy wyciek automatycznie oznacza wypłatę określonej kwoty.

Orzecznictwo Trybunału Sprawiedliwości UE wskazuje trzy istotne elementy:

1. musi istnieć naruszenie RODO,
2. musi powstać szkoda,
3. musi istnieć związek przyczynowy między naruszeniem i szkodą.

Samo stwierdzenie naruszenia przepisów nie wystarcza automatycznie do otrzymania pieniędzy.

Czy strach przed wykorzystaniem danych może być szkodą?

Tak.

To bardzo istotne w przypadku masowych wycieków.

TSUE uznał, że uzasadniona obawa przed przyszłym wykorzystaniem danych przez osoby trzecie może stanowić szkodę niemajątkową.

Dotyczy to również utraty kontroli nad informacjami o sobie.

Nie wystarczy jednak powiedzieć:

„Moje dane wyciekły, więc należy mi się odszkodowanie”.

Osoba dochodząca roszczenia powinna wykazać rzeczywiście występujące negatywne konsekwencje.

Trybunał podkreśla, że sama abstrakcyjna lub czysto hipotetyczna obawa nie zawsze jest wystarczająca.

Czy musi już dojść do kradzieży tożsamości?

Nie.

To kolejna istotna kwestia.

TSUE wskazał, że możliwość uzyskania odszkodowania za szkodę niemajątkową nie może być ograniczona wyłącznie do sytuacji, w których faktycznie doszło już do kradzieży tożsamości lub oszustwa.

Jeżeli osoba poniosła rzeczywistą szkodę wynikającą z utraty kontroli nad danymi, roszczenie może istnieć wcześniej.

Jak udokumentować szkodę po wycieku danych?

Jeżeli ktoś rozważa dochodzenie roszczeń, powinien zachować dokumentację od samego początku.

Warto zgromadzić:

• zawiadomienie o naruszeniu danych,
• e-maile od administratora,
• informacje o zakresie ujawnionych danych,
• screeny podejrzanych wiadomości,
• informacje o próbach wyłudzenia,
• dokumentację dotyczącą zastrzeżenia PESEL,
• zgłoszenia do banku,
• zgłoszenia na policję lub do CSIRT,
• dokumentację kosztów poniesionych w związku z incydentem.

Jeżeli pojawiły się realne negatywne następstwa, należy również dokumentować ich przebieg.

Czy będzie pozew zbiorowy?

W mediach pojawiają się opinie prawników dotyczące możliwości wystąpienia z roszczeniami przez osoby dotknięte zdarzeniem.

Nie oznacza to jednak automatycznie, że każda poszkodowana osoba otrzyma odszkodowanie ani że jeden pozew będzie obejmował wszystkich.

Każde roszczenie trzeba oceniać między innymi pod kątem:

• tego, czy dana osoba rzeczywiście została objęta incydentem,
• zakresu jej ujawnionych danych,
• administratora odpowiedzialnego za dane,
• zabezpieczeń zastosowanych przed atakiem,
• skutków zdarzenia,
• udokumentowanej szkody.

Czy cyberatak zwalnia firmę z odpowiedzialności?

Nie automatycznie.

To, że za wyciekiem stoi haker, nie wystarcza samo w sobie do wyłączenia odpowiedzialności administratora.

W sprawie C-340/21 dotyczącej cyberataku TSUE analizował właśnie sytuację, w której dane milionów osób zostały ujawnione po ataku osoby trzeciej.

Trybunał podkreślił, że trzeba ocenić między innymi adekwatność zastosowanych środków technicznych i organizacyjnych. Sam fakt ataku nie powoduje automatycznego uwolnienia administratora od odpowiedzialności.

Podobne stanowisko w odniesieniu do ochrony zdrowia prezentuje Rzecznik Praw Pacjenta: cyberatak sam w sobie nie przesądza o naruszeniu, ale placówka musi wykazać należytą staranność w zabezpieczaniu danych.

---

Kto właściwie odpowiada: MyDr, przychodnia czy inny podmiot?

Na obecnym etapie nie należy tego przesądzać wyłącznie na podstawie informacji medialnych.

W systemach medycznych może występować kilka podmiotów:

• placówka medyczna,
• lekarz,
• dostawca systemu EDM,
• podmiot obsługujący infrastrukturę,
• NFZ,
• Centrum e-Zdrowia,
• inni dostawcy usług.

Odpowiedzialność zależy od tego:

• kto był administratorem danych,
• kto był procesorem,
• gdzie nastąpiło przełamanie zabezpieczeń,
• czy przejęto konto użytkownika,
• czy zabezpieczenia były odpowiednie,
• czy po wykryciu zdarzenia właściwie zareagowano.

Sama obecność nazwy konkretnego programu w łańcuchu technologicznym nie rozstrzyga automatycznie odpowiedzialności prawnej.

Czy dane musiały pochodzić z dokumentacji medycznej MyDr?

Niekoniecznie.

Jeżeli atakujący przejął konto umożliwiające wysyłanie zapytań do zewnętrznego systemu, część pozyskanych informacji mogła pochodzić z tego systemu, a nie z lokalnej bazy dokumentacji medycznej.

To właśnie dlatego dokładny mechanizm techniczny incydentu jest tak ważny.

MyDr posiada integrację z eWUŚ, a publiczna dokumentacja API pokazuje, że system może obsługiwać szeroki zestaw danych identyfikacyjnych pacjenta wykorzystywanych w różnych funkcjach medycznych.

Nie oznacza to jednak, że wszystkie wymienione w dokumentacji pola zostały ujawnione w omawianym zdarzeniu.

---

Jak sprawdzić, czy moje dane znalazły się w wycieku?

Najbardziej wiarygodnym źródłem powinna być informacja administratora danych.

Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osoby fizycznej, przepisy RODO przewidują obowiązki związane z informowaniem osób, których dane dotyczą.

Nie należy opierać się na wiadomości przesłanej z przypadkowego adresu.

W szczególności ostrożność powinien wzbudzić e-mail:

„Sprawdź, czy Twoje dane z MyDr wyciekły – zaloguj się tutaj”.

Taki komunikat może być kolejnym etapem oszustwa wykorzystującego popularny temat.

Czy można sprawdzić wycieki w mObywatelu?

Ministerstwo Cyfryzacji udostępnia w mObywatelu narzędzia pomagające reagować na wycieki i kradzież tożsamości. Jedną z kluczowych funkcji jest możliwość szybkiego zastrzeżenia PESEL.

Można również kontrolować historię sprawdzania statusu zastrzeżenia swojego numeru PESEL.

---

Nie daj się nabrać na oszustwo „na wyciek MyDr”

Duże i szeroko komentowane naruszenia danych niemal zawsze tworzą okazję dla kolejnych przestępców.

Można spodziewać się wiadomości takich jak:

• „Twoje dane medyczne wyciekły”,
• „Potwierdź PESEL”,
• „Zabezpiecz swoje konto pacjenta”,
• „Kliknij, aby sprawdzić dokumentację”,
• „NFZ wymaga natychmiastowej weryfikacji”.

Nie klikaj w przesłany link.

Jeżeli chcesz wejść do danego systemu:

1. otwórz przeglądarkę,
2. ręcznie wpisz znany adres strony,
3. zaloguj się tam bezpośrednio.

Podejrzane wiadomości SMS można przekazywać do CERT Polska pod numer 8080, a incydenty zgłaszać do CSIRT NASK. Takie postępowanie rekomenduje również Policja.

---

Najczęściej zadawane pytania

Czy doszło do wycieku danych z MyDr?

Media opisują poważny incydent związany z wykorzystaniem dostępu placówki korzystającej z MyDr. Wcześniejsze materiały branżowe wskazują na przejęcie zabezpieczeń placówki i masowe zapytania do eWUŚ. Nie należy jednak automatycznie utożsamiać tego z przełamaniem całej centralnej infrastruktury MyDr.

Ile osób mogło zostać dotkniętych?

W doniesieniach pojawia się skala liczona w milionach zapytań lub osób. Dokładną liczbę należy traktować ostrożnie do czasu ostatecznego ustalenia zakresu incydentu przez odpowiedzialne podmioty i organy.

Czy mogły wyciec dane medyczne?

Systemy medyczne przetwarzają bardzo szeroki zakres informacji. Nie oznacza to jednak, że w konkretnym incydencie zostały ujawnione wszystkie dane znajdujące się w systemie. Należy opierać się na indywidualnym zawiadomieniu o naruszeniu.

Czy powinienem zastrzec PESEL?

Jeżeli istnieje realna możliwość ujawnienia numeru PESEL, jego zastrzeżenie jest jednym z podstawowych środków ochronnych rekomendowanych przez instytucje państwowe.

Czy zastrzeżony PESEL blokuje wizytę u lekarza?

Nie. Można nadal rejestrować się do lekarza i realizować recepty.

Czy zastrzeżenie jest płatne?

Nie. Usługa jest bezpłatna.

Czy po wycieku należy zmienić hasło?

Jeżeli wyciek obejmował dane logowania albo używałeś tego samego hasła w kilku usługach – tak. Policja rekomenduje natychmiastową zmianę takich haseł.

Czy mogę dostać odszkodowanie?

Potencjalnie tak, ale nie jest ono automatyczne. Trzeba wykazać naruszenie, szkodę i związek pomiędzy nimi. TSUE dopuszcza przy tym uznanie realnej, uzasadnionej obawy przed wykorzystaniem danych za szkodę niemajątkową.

Czy muszę udowodnić kradzież tożsamości?

Nie zawsze. TSUE wskazuje, że prawo do rekompensaty nie jest ograniczone wyłącznie do przypadków, w których faktycznie doszło już do kradzieży tożsamości.

Czy firma odpowiada, jeśli została zaatakowana przez hakera?

Cyberatak sam w sobie nie oznacza automatycznego zwolnienia z odpowiedzialności. Znaczenie ma między innymi to, czy administrator zastosował odpowiednie zabezpieczenia.

---

Co zrobić teraz? Najważniejsze kroki

Jeżeli istnieje możliwość, że incydent dotyczy Twoich danych:

1. Zastrzeż PESEL.
2. Nie klikaj w linki przesyłane w wiadomościach dotyczących wycieku.
3. Zmień hasła, jeżeli mogły zostać ujawnione.
4. Włącz uwierzytelnianie dwuskładnikowe.
5. Obserwuj rachunki i próby logowania.
6. Zachowuj zawiadomienia i dowody dotyczące incydentu.
7. Zgłaszaj podejrzane wiadomości i próby oszustwa.
8. Jeżeli poniosłeś realną szkodę, rozważ indywidualną konsultację prawną.

Najważniejsze jest szybkie ograniczenie możliwości wykorzystania danych.

Samych ujawnionych informacji, takich jak imię, nazwisko czy PESEL, nie da się później „zmienić hasłem”. Dlatego skuteczna reakcja polega przede wszystkim na utrudnieniu przestępcom wykorzystania tych informacji.

Ważne

Sprawa incydentu powiązanego z MyDr pokazuje, jak poważne konsekwencje może mieć przejęcie dostępu do systemów używanych w ochronie zdrowia.

Nie zawsze potrzebne jest włamanie do centralnej bazy milionów pacjentów. Przejęte konto placówki posiadające rozbudowane uprawnienia i połączenia z zewnętrznymi systemami może wystarczyć do przeprowadzenia bardzo poważnego ataku.

Dla osób potencjalnie poszkodowanych najważniejsze są obecnie dwie kwestie.

Po pierwsze – bezpieczeństwo. W przypadku ujawnienia PESEL warto go zastrzec, uważać na phishing i obserwować próby wykorzystania tożsamości.

Po drugie – dokumentacja zdarzenia. Jeżeli ktoś rozważa późniejsze dochodzenie roszczeń, powinien zachować informacje o tym, jakie dane zostały ujawnione i jakie konkretne konsekwencje spowodował incydent.

Możliwość dochodzenia odszkodowania na podstawie RODO istnieje, lecz nie działa automatycznie. TSUE dopuszcza rekompensatę także za realną utratę kontroli nad danymi i uzasadniony lęk przed ich wykorzystaniem, ale osoba dochodząca roszczenia powinna wykazać faktyczną szkodę i jej związek z naruszeniem.

Informacja prawna

Artykuł ma charakter informacyjny i edukacyjny. Nie stanowi indywidualnej porady prawnej ani zapewnienia możliwości uzyskania odszkodowania.

Zakres i odpowiedzialność związane z opisywanym incydentem powinny być oceniane na podstawie oficjalnych ustaleń, indywidualnego zawiadomienia otrzymanego przez osobę, której dane dotyczą, oraz okoliczności konkretnej sprawy.