Dane medyczne, RODO i cyberbezpieczeństwo

Placówka medyczna przetwarza dane szczególnej kategorii – dane dotyczące zdrowia – i robi to w środowisku coraz bardziej cyfrowym: elektroniczna dokumentacja medyczna, systemy gabinetowe, teleporady, monitoring, chmura. RODO w placówce medycznej trzeba stosować łącznie z właściwymi przepisami sektorowymi, a zakres obowiązków dotyczących cyberbezpieczeństwa ustalać dla konkretnego podmiotu. Kancelaria MCP pomaga osobom zarządzającym podmiotami leczniczymi i administratorom danych uporządkować ten obszar zawczasu, a w razie naruszenia lub incydentu — przeprowadzić placówkę przez obowiązki zgłoszeniowe, kontrolę i spór.

Dane o zdrowiu: dlaczego obowiązuje reżim szczególny

Przetwarzanie danych dotyczących zdrowia jest co do zasady zabronione (art. 9 ust. 1 rozporządzenia 2016/679, zwanego RODO), a działalność lecznicza opiera się na wyjątkach od tego zakazu — w szczególności na przetwarzaniu do celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej lub leczenia (art. 9 ust. 2 lit. h RODO). Sam wyjątek nie wystarcza: przetwarzanie danych o zdrowiu wymaga jednocześnie podstawy zgodności z prawem z art. 6 ust. 1 RODO. Przy prowadzeniu dokumentacji medycznej znaczenie mają ustawowe obowiązki placówki. Należy również zachować warunki dotyczące tajemnicy zawodowej przewidziane w art. 9 ust. 3 RODO.
Każde wykorzystanie danych pacjentów w innym celu — na przykład marketingowym, badawczym albo do trenowania narzędzia informatycznego — wymaga zweryfikowania celu, podstaw z art. 6 i 9 RODO oraz ograniczeń sektorowych. Nie oznacza to, że zawsze potrzebna jest zgoda pacjenta albo nowa podstawa prawna. Udostępnienie dokumentacji innemu podmiotowi może służyć dalszemu leczeniu lub wykonaniu obowiązku ustawowego. Zgoda na udzielenie świadczenia zdrowotnego i zgoda na przetwarzanie danych osobowych są odrębnymi zagadnieniami.
Na reżim ochrony danych nakładają się przepisy sektorowe: ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta w zakresie prowadzenia, przechowywania i udostępniania dokumentacji medycznej (art. 24 i nast.), tajemnica zawodowa personelu oraz przepisy o systemie informacji w ochronie zdrowia. Dlatego wzorce stosowane w innych branżach wymagają dostosowania do działalności leczniczej.
Dokumentację medyczną przechowuje się co do zasady przez 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu. Ustawa przewiduje wyjątki — między innymi 30 lat w przypadku zgonu pacjenta na skutek uszkodzenia ciała lub zatrucia, liczonych od końca roku kalendarzowego, w którym nastąpił zgon, oraz 22 lata dla dokumentacji dotyczącej dzieci do ukończenia drugiego roku życia (art. 29 ust. 1, w tym pkt 1 i 4). Okres przechowywania ustala się zatem z uwzględnieniem rodzaju dokumentacji i właściwego wyjątku.

Naruszenie ochrony danych pacjentów: obowiązki i pierwsze decyzje

Naruszenie ochrony danych osobowych może polegać nie tylko na ich ujawnieniu, lecz także na zniszczeniu, utracie lub nieuprawnionej zmianie (art. 4 pkt 12 RODO). Atak ransomware, który blokuje dostęp do dokumentacji, wymaga więc oceny również wtedy, gdy nie potwierdzono skopiowania danych przez napastnika. Administrator zgłasza naruszenie Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Jeżeli naruszenie może powodować wysokie ryzyko, administrator bez zbędnej zwłoki zawiadamia również osoby, których dane dotyczą, z uwzględnieniem wyjątków z art. 34 ust. 3 RODO. Termin 72 godzin nie jest terminem na zawiadomienie pacjentów.
Niezależnie od zgłoszenia administrator dokumentuje wszelkie naruszenia — także te niezgłoszone — wraz z ich okolicznościami, skutkami i podjętymi działaniami (art. 33 ust. 5 RODO). Podmiot przetwarzający zgłasza stwierdzone naruszenie administratorowi bez zbędnej zwłoki; nie ma własnego 72-godzinnego terminu na przekazanie tej informacji placówce (art. 33 ust. 2 RODO).
W placówce medycznej naruszenie danych może towarzyszyć zdarzeniu niepożądanemu, prowadzić do roszczeń pacjentów o odszkodowanie lub zadośćuczynienie (art. 82 RODO) i wymagać równoległych zgłoszeń na podstawie przepisów o cyberbezpieczeństwie.
Pomagamy ocenić ryzyko i kwalifikację zdarzenia, przygotować zgłoszenie i zawiadomienia, poprowadzić korespondencję z organem nadzorczym oraz obronę w postępowaniu i w sporach z pacjentami. Jeżeli incydent ma charakter kryzysowy dla całej placówki, łączymy tę pomoc z obsługą kryzysu prawnego w placówce medycznej.
Na początku trzeba ustalić czas stwierdzenia naruszenia, zakres danych i systemów objętych zdarzeniem oraz dotychczasowe działania. Równolegle z ograniczaniem skutków należy zabezpieczyć dostępne dowody, w tym korespondencję i logi, w uzgodnieniu z osobami odpowiedzialnymi za systemy informatyczne. Brak pełnego raportu technicznego nie uzasadnia automatycznie odroczenia zgłoszenia: art. 33 ust. 4 RODO dopuszcza sukcesywne uzupełnianie informacji bez zbędnej zwłoki.

Monitoring wizyjny w placówce medycznej

Monitoring w podmiotach wykonujących działalność leczniczą podlega regulacji szczególnej. Art. 23a ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej różnicuje trzy sytuacje. W pomieszczeniach ogólnodostępnych obserwacja może być stosowana, jeżeli jest niezbędna do zapewnienia bezpieczeństwa pacjentów lub pracowników. W pomieszczeniach udzielania świadczeń i pobytu pacjentów odrębną podstawę stanowią przepisy szczególne. Ponadto w szpitalach, zakładach opiekuńczo- leczniczych, zakładach pielęgnacyjno – opiekuńczych, zakładach rehabilitacji leczniczej i hospicjach dopuszczalna jest obserwacja pomieszczeń udzielania świadczeń, jeżeli jest konieczna w procesie leczenia pacjentów lub do zapewnienia im bezpieczeństwa. Reguły właściwej dla poczekalni nie można zatem automatycznie stosować do sali chorych.
Stosowanie monitoringu wymaga odzwierciedlenia w regulaminie organizacyjnym i pogodzenia z zasadami RODO, w tym z obowiązkiem informacyjnym i oceną skutków dla ochrony danych tam, gdzie jest wymagana (art. 35 RODO). Należy zapewnić poszanowanie intymności i godności pacjenta, w tym przekazywanie obrazu w sposób uniemożliwiający ukazywanie intymnych czynności fizjologicznych. Art. 23a dotyczy rejestracji obrazu i sam nie daje podstawy do nagrywania dźwięku.
Nagrania obrazu zawierające dane osobowe przetwarza się wyłącznie do celów, dla których zostały zebrane, i przechowuje przez okres nie dłuższy niż trzy miesiące od dnia nagrania. Jest to okres maksymalny, a nie obowiązek przechowywania każdego nagrania przez pełne trzy miesiące. Po upływie tego okresu nagrania podlegają zniszczeniu, o ile przepisy odrębne nie stanowią inaczej (art. 23a ust. 2–3). Za wykorzystywanie monitoringu zgodnie z przepisami prawa odpowiada kierownik podmiotu wykonującego działalność leczniczą (art. 23a ust. 1a).
Monitoring wizyjny w podmiotach leczniczych został wskazany w planie kontroli sektorowych Prezesa Urzędu Ochrony Danych Osobowych na 2026 r., ze szczególnym uwzględnieniem danych dzieci. Przeprowadzamy przegląd zgodności monitoringu — od mapy kamer, przez podstawy i retencję nagrań, po dokumentację i oznaczenia — oraz reprezentujemy placówki w kontrolach dotyczących tego obszaru.

Elektroniczna dokumentacja medyczna i umowy z dostawcami systemów

Cyfryzacja dokumentacji wymaga uporządkowania relacji z dostawcami systemów gabinetowych, repozytoriów dokumentacji, usług chmurowych oraz z laboratoriami. Elektroniczna dokumentacja medyczna (EDM) w rozumieniu art. 2 pkt 6 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia jest pojęciem ustawowym; nie należy utożsamiać jej z każdym dokumentem medycznym zapisanym elektronicznie. Rolę prawną każdego dostawcy trzeba ustalić przed zawarciem umowy. Jeżeli przetwarza dane w imieniu placówki, działa jako podmiot przetwarzający i wówczas powierzenie wymaga umowy lub innego instrumentu prawnego spełniającego wymagania art. 28 ust. 3 RODO. Laboratorium albo inna placówka realizująca własne obowiązki ustawowe może natomiast być odrębnym administratorem. Kwalifikacja wynika z rzeczywistego podziału decyzji o celach i sposobach przetwarzania, a nie z nazwy nadanej umowie. Sam zakup oprogramowania nie przesądza jeszcze o powierzeniu danych jego producentowi.
Placówka jako administrator odpowiada za dobór podmiotu przetwarzającego dającego wystarczające gwarancje (art. 28 ust. 1 RODO) i za bezpieczeństwo przetwarzania odpowiednie do ryzyka (art. 32 RODO). Umowa powinna określać zasady dalszego powierzenia, wymagającego uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Przy zgodzie ogólnej dostawca informuje o zamierzonych zmianach podwykonawców, aby administrator mógł wyrazić sprzeciw (art. 28 ust. 2 i 4 RODO).
Sprawdzenia wymagają również miejsca przetwarzania i dostęp do danych z państw poza Europejskim Obszarem Gospodarczym oraz właściwe mechanizmy przekazywania danych z rozdziału V RODO.
Wymagania ochrony danych w fazie projektowania i domyślnej ochrony danych, obciążające administratora na podstawie art. 25 RODO, przekładamy na wymagania wobec systemu i uzgodnienia z dostawcą. Istotne są postanowienia o dostępności systemu, testowaniu odtwarzania kopii zapasowych, pomocy podczas incydentu i zakończeniu współpracy. Zwrot albo usunięcie danych następuje zgodnie z wyborem administratora i art. 28 ust. 3 lit. g RODO, z uwzględnieniem obowiązków ustawowego przechowywania. Zmiana dostawcy nie może prowadzić do utraty dokumentacji, której placówka nadal ma obowiązek przechowywać i udostępniać.
Równolegle z relacjami zewnętrznymi porządkowania wymaga dostęp wewnętrzny. Osoby działające z upoważnienia administratora przetwarzają dane co do zasady na jego polecenie, z zastrzeżeniem obowiązków wynikających z prawa (art. 29 i art. 32 ust. 4 RODO). System teleinformatyczny powinien umożliwiać ustalenie osoby dokonującej wpisu lub zmiany, zakresu zmiany oraz czasu jej dokonania. Organizacja dostępu powinna pozwalać na rozliczenie uprawnionych działań. Ryzyko może wynikać z nieodebrania dostępu po zakończeniu współpracy albo z przeglądania dokumentacji bez podstawy i poza zakresem powierzonych zadań. Nie każdy dostęp poza bezpośrednim leczeniem jest bezprawny: uzasadniać go mogą również określone zadania pomocnicze, rozliczeniowe lub obowiązki ustawowe. Przegląd upoważnień, zakresów dostępu i rozliczalności wglądów należy dlatego do pierwszych działań, które rekomendujemy.
Audytujemy i negocjujemy umowy z dostawcami, projektujemy postanowienia wyjścia i ciągłości działania oraz porządkujemy rejestry i dokumentację przetwarzania, a także zasady nadawania i odbierania uprawnień dostępowych.

Cyberbezpieczeństwo: obowiązki placówek w krajowym systemie
cyberbezpieczeństwa

Nowelizacja ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę (UE) 2022/2555 (NIS2), została wprowadzona ustawą z dnia 23 stycznia 2026 r. (Dz. U. poz. 252). Ustalenie, czy placówka jest podmiotem kluczowym lub ważnym, wymaga zastosowania art. 5 ustawy i właściwych załączników. Znaczenie mają rodzaj podmiotu, charakter i wielkość działalności oraz szczególne przesłanki ustawowe. Samo prowadzenie działalności w sektorze zdrowia nie oznacza jednakowego zakresu obowiązków dla wszystkich placówek.
Do obowiązków podmiotów objętych odpowiednim reżimem należą czynności dotyczące wpisu do wykazu, wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) oraz obsługa i zgłaszanie incydentów. SZBI obejmuje analizę ryzyka, odpowiednie zabezpieczenia, ciągłość działania i bezpieczeństwo łańcucha dostaw (art. 8). Ustawa przewiduje odrębności między innymi dla określonych podmiotów publicznych (art. 8 ust. 3). Odpowiedzialność kierownika za wykonywanie obowiązków określają art. 8c–8f, a możliwość nałożenia na niego kary pieniężnej — art. 73a. Obowiązki trzeba odróżnić od terminów ich wykonania. Przepisy przejściowe nowelizacji różnicują sytuację podmiotów obejmowanych nowym reżimem i dotychczasowych operatorów usług kluczowych; odrębnie regulują wdrożenie, zgłaszanie incydentów i wpis do wykazu (art. 33–34). Art. 35 odracza możliwość pierwszego nałożenia wskazanych w nim kar, w tym kary na kierownika z art. 73a, do upływu dwóch lat od wejścia nowelizacji w życie. Nie jest to zwolnienie z obowiązków ani odroczenie stosowania RODO.
Wspieramy placówki w ustaleniu statusu, w czynnościach rejestrowych i w prawnej warstwie wdrożenia SZBI: procedurach, umowach z dostawcami i podziale odpowiedzialności. Przygotowujemy również prawne zasady obsługi incydentów. W nowym reżimie art. 11 ust. 1 pkt 4 i 4a przewiduje wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie incydentu poważnego w ciągu 72 godzin od jego wykrycia, każdorazowo bez zbędnej zwłoki. Zastosowanie tych reguł do konkretnej placówki wymaga uwzględnienia przepisów przejściowych.
Jedno zdarzenie może równolegle wymagać zgłoszenia na podstawie przepisów o cyberbezpieczeństwie i art. 33 RODO. Ocena przesłanek, adresatów i terminów jest odrębna dla każdego reżimu; dokonanie jednego zgłoszenia nie zastępuje automatycznie drugiego. Dla placówki ustalamy harmonogram obowiązków odpowiadający jej statusowi, a nie jedną datę właściwą dla całego sektora.

Inspektor ochrony danych i organizacja zgodności

Administrator ma obowiązek wyznaczyć inspektora ochrony danych między innymi wtedy, gdy jego główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (art. 37 ust. 1 lit. c RODO). Niezależnie od skali obowiązek ten dotyczy organów i podmiotów publicznych wskazanych w art. 37 ust. 1 lit. a RODO w związku z art. 9 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, w tym samodzielnych publicznych zakładów opieki zdrowotnej. Sam kontrakt z Narodowym Funduszem Zdrowia nie przesądza o takim statusie.
Wyznaczenie inspektora nie przenosi na niego odpowiedzialności administratora za zgodność przetwarzania. Trzeba zapewnić inspektorowi niezależność, zasoby i brak konfliktu interesów oraz oddzielić doradzanie i monitorowanie zgodności od podejmowania decyzji o celach i sposobach przetwarzania (art. 38–39 RODO). Niezależnie od obowiązku wyznaczenia inspektora placówka potrzebuje właściwie prowadzonych rejestrów, przeszkolonego personelu, zasad realizacji praw pacjentów i postępowania na wypadek naruszenia. Wyłączenie dotyczące podmiotów zatrudniających mniej niż 250 osób nie zwalnia z rejestrowania czynności obejmujących dane o zdrowiu (art. 30 ust. 5 RODO).
Wspieramy inspektorów ochrony danych i zespoły zgodności placówek, prowadzimy szkolenia personelu oraz okresowe przeglądy dokumentacji.

Sztuczna inteligencja w ochronie zdrowia

Narzędzia sztucznej inteligencji wspierające diagnostykę, dokumentowanie i kontakt z pacjentem wymagają oceny prawnej przed wdrożeniem. Rozporządzenie (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), zmienione rozporządzeniem (UE) 2026/1744, wiąże obowiązki z rodzajem systemu, rolą podmiotu i właściwym terminem rozpoczęcia stosowania przepisów. Nie każdy system używany w medycynie jest systemem wysokiego ryzyka, a obowiązki przejrzystości z art. 50 nie dotyczą jednakowo wszystkich zastosowań. Trzeba odrębnie sprawdzić reguły dla danego systemu oraz przepisy przejściowe z art. 111 i 113, a w prawie krajowym — ustawę z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji i jej etapowe wejście w życie (art. 127). Zastosowanie takiego narzędzia nie przenosi automatycznie odpowiedzialności placówki ani osoby wykonującej zawód medyczny na dostawcę technologii: dostawca odpowiada we własnym zakresie, a umowa rozkłada między strony obowiązki i roszczenia zwrotne — nie zwalnia natomiast z obowiązków publicznoprawnych. Pogłębione analizy tej problematyki przewidziano w odrębnym serwisie eksperckim MC; na potrzeby bieżącej praktyki
placówek doradzamy przy ocenie i wdrażaniu konkretnych narzędzi.

Zakres wsparcia

W ramach obsługi obszaru danych i cyberbezpieczeństwa kancelaria zapewnia w szczególności audyt zgodności przetwarzania danych pacjentów z RODO i przepisami sektorowymi, obsługę naruszeń i reprezentację w postępowaniach przed organem nadzorczym oraz w sporach o roszczenia z art. 82 RODO. Pomoc obejmuje także przegląd zgodności monitoringu, umowy powierzenia i umowy z dostawcami systemów, zasady nadawania i odbierania uprawnień dostępowych, ustalenie statusu placówki w krajowym systemie cyberbezpieczeństwa i prawną warstwę wdrożenia SZBI. Wspieramy inspektorów ochrony danych, prowadzimy szkolenia i doradzamy przy wdrażaniu narzędzi opartych na sztucznej inteligencji.
Zakres i kolejność prac ustalamy po rozpoznaniu problemu oraz terminów. W zależności od zlecenia rezultatem może być ocena ryzyk, projekt procedury, poprawiona umowa, dokumentacja zgłoszenia albo stanowisko w postępowaniu. Pomoc prawna nie zastępuje badania technicznego, usuwania skutków ataku ani ustawowego audytu cyberbezpieczeństwa wymagającego właściwych kwalifikacji. W tych obszarach potrzebna jest współpraca z odpowiednimi specjalistami.
Do analizy przydatne są opis działalności i systemów, obowiązujące procedury, rejestry przetwarzania, umowy z dostawcami oraz zakresy uprawnień personelu. Przy monitoringu potrzebne są również mapa kamer, regulamin organizacyjny i zasady przechowywania nagrań. Po incydencie istotne są chronologia, dostępne informacje techniczne, korespondencja z dostawcą oraz już dokonane zgłoszenia. Sposób bezpiecznego przekazania materiałów uzgadniamy przed ich udostępnieniem.

Lekarz i placówka: kiedy potrzebna jest osobna obrona

W sprawach dotyczących zdarzeń medycznych interes członka personelu i interes placówki bywają zbieżne tylko pozornie. Linia obrony personelu może wymagać wykazania, że do zdarzenia przyczyniły się warunki organizacyjne — obsada, sprzęt, procedury — za które odpowiada zarządzający. Linia obrony placówki może zmierzać w kierunku dokładnie przeciwnym. Ten sam pełnomocnik nie może reprezentować osób, których interesy pozostają w sprzeczności, a przyjęcie obrońcy „zapewnionego” przez pracodawcę bez niezależnej oceny konfliktu interesów może osłabić obronę wszystkich zaangażowanych. Każdą sprawę rozpoczynamy od oceny, czy interesy uczestników są zbieżne, czy rozbieżne — i uczciwie komunikujemy wynik tej oceny, także wtedy, gdy oznacza on konieczność rozdzielenia reprezentacji. Szersze omówienie tego zagadnienia zawiera artykuł w bazie wiedzy poświęcony konfliktowi interesów lekarza i placówki.

Zakres wsparcia

W ramach obrony lekarzy i personelu medycznego kancelaria zapewnia w szczególności: analizę sprawy i ocenę ryzyka przed pierwszą czynnością procesową; przygotowanie do przesłuchania oraz udział pełnomocnika lub obrońcy w przesłuchaniach i innych czynnościach; obronę w postępowaniu przygotowawczym i sądowym we wszystkich instancjach oraz w postępowaniu kasacyjnym; reprezentację w postępowaniu przed właściwymi rzecznikami odpowiedzialności zawodowej lub rzecznikami dyscyplinarnymi oraz sądami samorządów lekarzy i lekarzy dentystów, pielęgniarek i położnych, fizjoterapeutów, ratowników medycznych, diagnostów laboratoryjnych oraz farmaceutów; obronę przed roszczeniami cywilnymi pacjentów oraz roszczeniami regresowymi placówek i ubezpieczycieli; analizę dokumentacji medycznej i współpracę z konsultantami medycznymi przy kwestionowaniu opinii biegłych; doradztwo w zakresie tajemnicy zawodowej i granic obowiązków procesowych; ocenę konfliktu interesów między personelem a placówką.