RODO i cyberbezpieczeństwo

Monitoring w placówce medycznej a RODO: co mówi prawo

Opublikowano: 16 czerwca 2026 Zaktualizowano: 26 lipca 2026

Stan prawny na: 26 lipca 2026

Monitoring wizyjny w placówce medycznej regulują jednocześnie dwa przepisy: art. 23a ustawy o działalności leczniczej (dalej: udl), dotyczący pomieszczeń i pacjentów, oraz art. 22² Kodeksu pracy (dalej: KP), dotyczący pracowników. Kamery wolno stawiać w częściach ogólnodostępnych, na przykład w poczekalni, recepcji czy na korytarzu, jeśli chronią bezpieczeństwo pacjentów lub personelu. W gabinecie zabiegowym typowej przychodni ambulatoryjnej (nie szpitala) obowiązujące przepisy takiej podstawy nie dają, co w lipcu 2024 r. potwierdziło samo Ministerstwo Zdrowia. Nagrania z obu reżimów przechowuje się maksymalnie 3 miesiące.

Dwa reżimy prawne naraz: pacjenci i pracownicy

Jeśli Twoja placówka planuje kamery, musisz uwzględnić dwa osobne przepisy naraz. Art. 23a udl reguluje monitoring pomieszczeń podmiotu leczniczego i dotyczy pacjentów: kierownik podmiotu może określić w regulaminie organizacyjnym sposób obserwacji pomieszczeń ogólnodostępnych oraz, w ograniczonym zakresie, tych, w których udziela się świadczeń zdrowotnych. Art. 22² KP reguluje z kolei monitoring w roli pracodawcy: pozwala nagrywać teren zakładu pracy dla bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania tajemnicy. Oba przepisy stosujesz równolegle: Twoja placówka jest podmiotem leczniczym i pracodawcą naraz. Do tego dochodzi RODO: nagranie z rozpoznawalną osobą to dane osobowe, a ich przetwarzanie zawsze wymaga podstawy prawnej, celu i ograniczonego czasu przechowywania.

Kamery w przychodni: gdzie wolno, a gdzie nie wolno

Strefa placówki	Czy monitoring dopuszczalny	Warunki
Poczekalnia, recepcja, korytarz, wejście	Tak	Pomieszczenie ogólnodostępne; cel: bezpieczeństwo pacjentów lub pracowników (art. 23a ust. 1 pkt 1 udl)
Parking, teren wokół budynku	Tak	Jak wyżej, dodatkowo ochrona mienia (art. 22² KP)
Gabinet zabiegowy w przychodni ambulatoryjnej (nie szpital)	Co do zasady nie	Art. 23a ust. 1 pkt 3 udl (2023 r.) obejmuje wyłącznie szpitale, zakłady opiekuńczo-lecznicze (ZOL), zakłady pielęgnacyjno-opiekuńcze (ZPO), zakłady rehabilitacji leczniczej i hospicja; potwierdziło to MZ pismem do Rzecznika Praw Obywatelskich (RPO) z 3 lipca 2024 r.
Sala zabiegowa/łóżkowa w szpitalu, ZOL, ZPO, zakładzie rehabilitacji, hospicjum	Tak, warunkowo	Tylko gdy niezbędne w leczeniu lub dla bezpieczeństwa pacjenta, z poszanowaniem intymności, bez ukazywania czynności fizjologicznych (art. 23a ust. 1 pkt 3 udl)
Przebieralnia, toaleta pacjenta	Nie, poza wyjątkiem	Tylko gdy wynika to z odrębnych przepisów dla danego typu placówki (art. 23a ust. 1 pkt 2 udl); zwykła przychodnia ich nie ma
Szatnia, sanitariat, stołówka, palarnia personelu	Nie, poza wyjątkiem	Tylko gdy niezbędne dla celu z art. 22² KP i bez możliwości rozpoznania osób; sanitariaty dodatkowo wymagają zgody związku zawodowego
Pomieszczenia zakładowej organizacji związkowej	Nie	Wyłączenie wprost, bez wyjątków (art. 22² KP)

Gabinet zabiegowy: dlaczego zwykła przychodnia nie może tam nagrywać

Przepisy o monitoringu w gabinecie lekarskim rozszerzyła nowelizacja z 6 września 2023 r., ale zrobiła to wybiórczo. Art. 23a ust. 1 pkt 3 udl pozwala nagrywać pomieszczenia, w których udziela się świadczeń zdrowotnych, gdy jest to konieczne w procesie leczenia lub dla bezpieczeństwa pacjenta, wyłącznie w szpitalach, ZOL, ZPO, zakładach rehabilitacji leczniczej i hospicjach. Zwykła przychodnia, gabinet stomatologiczny czy poradnia specjalistyczna nie mieści się w tym katalogu.

Rzecznik Praw Obywatelskich zapytał o to Ministerstwo Zdrowia wprost, po sygnałach o kamerach w gabinetach zabiegowych placówek ambulatoryjnych. W odpowiedzi z 3 lipca 2024 r. resort potwierdził: “Nowe regulacje nie obejmują zatem przychodni; w takim przypadku podmiot leczniczy dalej musi dysponować odrębną podstawą prawną.” Teoretyczną podstawą pozostaje art. 23a ust. 1 pkt 2 udl, ale ten działa tylko, gdy monitoring wynika z przepisów odrębnych dla danego typu placówki, a dla zwykłej przychodni takiego przepisu nie ma. W kolejnych pismach z 2025 i 2026 r. RPO i Rzecznik Praw Pacjenta wskazywali na dalsze wątpliwości i potrzebę nowych przepisów; do dziś taka zmiana nie weszła w życie.

W praktyce stały monitoring gabinetu, w którym badasz pacjenta w zwykłej przychodni, nie ma dziś oparcia w przepisach o działalności leczniczej. Zgoda pacjenta z RODO tego nie zastąpi: rozwiązuje wyłącznie kwestię podstawy przetwarzania danych, a nie brak uprawnienia do obserwacji danego pomieszczenia, i nie rozszerza katalogu z art. 23a ust. 1 ustawy o działalności leczniczej. Do tego musi być dobrowolna i możliwa do wycofania w dowolnym momencie (art. 7 ust. 3 RODO), co przy gabinecie przyjmującym wielu pacjentów dziennie jest praktycznie nie do utrzymania.

Obowiązek informacyjny i oznaczenie kamer

Niezależnie od podstawy prawnej, pacjentów i pracowników trzeba poinformować o monitoringu, zanim zacznie nagrywać. Wobec pracowników KP nakazuje określić cele, zakres i sposób monitoringu w regulaminie pracy lub obwieszczeniu, poinformować personel nie później niż 2 tygodnie przed uruchomieniem systemu i oznaczyć monitorowane pomieszczenia w sposób widoczny i czytelny najpóźniej dzień przed uruchomieniem (art. 22² § 6, § 7 i § 9 KP). Wobec pacjentów obowiązek wynika wprost z RODO: potrzebna jest klauzula z danymi administratora, celem, podstawą prawną i okresem przechowywania, dostępna np. w regulaminie organizacyjnym i przy wejściu (art. 13 RODO). Sprawdza się piktogram kamery przy drzwiach razem z pełną klauzulą dostępną na miejscu lub na stronie placówki, zgodnie z wytycznymi Prezesa UODO.

Dochodzi do tego art. 20 ustawy o prawach pacjenta: prawo do poszanowania intymności i godności, zwłaszcza podczas udzielania świadczeń zdrowotnych. To dodatkowy argument, że kamera w gabinecie zabiegowym zwykłej przychodni to realne ryzyko prawne, nie tylko brakująca klauzula.

Ile czasu przechowywać nagrania

Oba przepisy sektorowe wyznaczają ten sam podstawowy limit: nagrania z monitoringu przechowuje się maksymalnie 3 miesiące od dnia nagrania, zarówno na podstawie art. 23a ust. 2 udl (monitoring pacjentów), jak i art. 22² § 3 KP (monitoring pracowniczy). Dalej oba reżimy się rozchodzą. W monitoringu pracowniczym z KP ten limit wydłuża się wprost z ustawy, gdy nagranie stało się dowodem w postępowaniu, na przykład po zgłoszeniu zdarzenia przez pracownika: wtedy termin liczy się do prawomocnego zakończenia tego postępowania (art. 22² § 4 KP). W monitoringu pacjentów z udl po upływie 3 miesięcy nagrania trzeba zniszczyć, chyba że przepisy odrębne stanowią inaczej (art. 23a ust. 3 udl). To ogólne odesłanie, nie ten sam automatyczny mechanizm przedłużenia co w Kodeksie pracy: dłuższe przechowywanie nagrania z monitoringu pacjenta wymaga wskazania konkretnego przepisu odrębnego, a nie samego faktu, że toczy się postępowanie. Co robić, gdy nagranie z monitoringu trafi do osoby nieuprawnionej, opisaliśmy w artykule o wycieku danych pacjentów.

Monitoring pracowników placówki: o czym pamiętać osobno

Kamery skierowane na personel, np. w magazynie leków czy na zapleczu recepcji, opierają się wyłącznie na art. 22² KP, choć pracodawcą jest podmiot leczniczy. Przepis wyklucza spod monitoringu pomieszczenia związkowe oraz, co do zasady, sanitariaty, szatnie, stołówki i palarnie, chyba że jest tam niezbędny dla celu z art. 22² KP i nie narusza godności pracownika, zwłaszcza dzięki technikom uniemożliwiającym rozpoznanie osób; monitoring sanitariatów wymaga dodatkowo zgody związku zawodowego lub przedstawicieli pracowników. Ten sam przepis daje podstawę wyłącznie do nagrywania obrazu: nie wspomina o dźwięku, więc nie tworzy dla niego żadnej podstawy prawnej, choć literalnie go nie zakazuje. W praktyce brak podstawy prawnej razem z zasadą minimalizacji danych z RODO (art. 5 ust. 1 lit. c) wyklucza dogrywanie dźwięku do obrazu w typowym monitoringu pracowniczym.

Regulamin organizacyjny placówki powinien wskazywać, które pomieszczenia są monitorowane i na jakiej podstawie (udl czy KP), a klauzula informacyjna ma to odzwierciedlać osobno dla pacjentów i pracowników. Zespół RODO i cyberbezpieczeństwo BSA przygotowuje takie regulaminy i klauzule oraz sprawdza, którą podstawę prawną zastosować dla konkretnego pomieszczenia. Pozostałe obowiązki placówki opisaliśmy w artykule o obowiązkach RODO w gabinecie lekarskim.

Twoja dokumentacja RODO przejdzie kontrolę?

Sprawdzimy, czego brakuje, i uzupełnimy to zawczasu. Po incydencie albo skardze pacjenta masz na reakcję 72 godziny, nie tydzień.

Najczęstsze pytania

Czy można nagrywać w poczekalni?

Tak. Poczekalnia to pomieszczenie ogólnodostępne, więc monitoring jest dopuszczalny, jeśli służy bezpieczeństwu pacjentów lub pracowników (art. 23a ust. 1 pkt 1 udl). Kamera może rejestrować wyłącznie obraz, bez dźwięku, a pacjentów trzeba o monitoringu poinformować, na przykład piktogramem przy wejściu i klauzulą informacyjną zgodną z RODO.

Jak długo przechowywać nagrania z monitoringu?

Maksymalnie 3 miesiące od dnia nagrania, zarówno dla monitoringu pacjentów (art. 23a ust. 2 udl), jak i pracowników (art. 22² § 3 KP). Dla monitoringu pracowniczego Kodeks pracy wprost wydłuża ten termin do prawomocnego zakończenia postępowania, gdy nagranie stało się w nim dowodem (art. 22² § 4 KP). Dla monitoringu pacjentów udl odsyła ogólnie do przepisów odrębnych (art. 23a ust. 3 udl): dłuższe przechowywanie wymaga więc wskazania konkretnej podstawy, a nie samego faktu toczącego się postępowania.

Czy trzeba oznaczać kamery w placówce?

Tak, w sposób widoczny i czytelny, zanim system zacznie nagrywać. Wobec pracowników KP wymaga oznaczenia pomieszczeń i terenu znakami lub komunikatem dźwiękowym najpóźniej dzień przed uruchomieniem monitoringu (art. 22² § 9 KP). Wobec pacjentów obowiązek wynika z RODO: standardem jest piktogram kamery przy wejściu do strefy monitorowanej razem z dostępną klauzulą informacyjną.

Źródła

Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani podatkowej. Twoja sytuacja może wymagać indywidualnej analizy - .