RODO w gabinecie lekarskim: obowiązki, dokumenty, błędy

RODO w gabinecie lekarskim to w praktyce trzy obowiązki: prawidłowa podstawa prawna przetwarzania danych o zdrowiu (art. 9 RODO), komplet dokumentacji wewnętrznej (rejestr czynności przetwarzania, polityka ochrony danych, umowy powierzenia, upoważnienia dla personelu) oraz procedura na wypadek naruszenia: zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych (UODO) w ciągu 72 godzin (art. 33 RODO) i, przy wysokim ryzyku, zawiadomienie pacjenta (art. 34 RODO). Brak któregoś z tych elementów to najczęstszy powód kar UODO w placówkach medycznych. Dwie realne decyzje niżej: 10 000 zł dla szpitala w Warszawie za brak zgłoszenia naruszenia organowi i brak zawiadomienia pacjenta oraz 40 000 zł dla ZOZ w Pajęcznie, gdzie naruszenie zgłoszono, ale zabrakło zawiadomienia osób i adekwatnych zabezpieczeń.

Dlaczego dane pacjenta to więcej niż PESEL z formularza kontaktowego

RODO w art. 9 wyróżnia dane dotyczące zdrowia jako szczególną kategorię danych osobowych, obok np. pochodzenia etnicznego czy przekonań religijnych. Zgodnie z art. 4 pkt 15 RODO to każda informacja o stanie zdrowia fizycznego lub psychicznego, w tym o korzystaniu z usług opieki zdrowotnej. W gabinecie to nie tylko rozpoznanie z karty pacjenta, ale też wynik badania, recepta, skierowanie, a nawet fakt zapisania się na wizytę u konkretnego specjalisty.

Zasadą jest zakaz przetwarzania takich danych (art. 9 ust. 1 RODO). Placówka medyczna korzysta z wyjątku w art. 9 ust. 2 lit. h RODO: przetwarzanie w celach profilaktyki zdrowotnej, diagnozy medycznej czy zapewnienia opieki zdrowotnej. Ten wyjątek działa jednak tylko razem z ust. 3 tego samego artykułu: dane mogą przetwarzać osoby podlegające obowiązkowi zachowania tajemnicy zawodowej, czyli w gabinecie lekarz związany tajemnicą lekarską (art. 40 ustawy o zawodach lekarza i lekarza dentysty). To połączenie dwóch ustaw pozwala Twojemu gabinetowi prowadzić dokumentację medyczną bez pytania pacjenta o zgodę na każdy wpis.

Administratorem tych danych jest gabinet, przychodnia czy szpital jako podmiot leczniczy, nie pojedynczy lekarz czy rejestratorka, którzy popełniają błąd przy konkretnym wpisie.

Czy potrzebujesz zgody pacjenta na przetwarzanie jego danych

Nie, jeśli chodzi o dane przetwarzane w celu udzielenia świadczenia zdrowotnego. Zgoda na przetwarzanie danych osobowych to nie to samo, co zgoda na leczenie czy zabieg (tę drugą reguluje ustawa o prawach pacjenta, nie RODO). Podstawą prawną jest tu połączenie art. 9 ust. 2 lit. h i ust. 3 RODO opisane wyżej, nie zgoda z art. 9 ust. 2 lit. a. Placówka, która przy każdej rejestracji każe pacjentowi podpisywać “zgodę na przetwarzanie danych osobowych w celu leczenia”, zbiera podpis, który nie jest jej prawnie potrzebny.

Zgoda staje się potrzebna dopiero wtedy, gdy placówka wychodzi poza cel leczenia: wysyła newsletter albo oferty marketingowe, publikuje zdjęcia z gabinetu z widocznym pacjentem, przekazuje dane podmiotowi niepowiązanemu z leczeniem albo chce wykorzystać opinię pacjenta w materiałach promocyjnych. Publikowanie opinii pacjentów w internecie regulują już inne przepisy: pisaliśmy o tym w artykule o opiniach pacjentów w internecie.

Checklista: dokumenty RODO, które musi mieć każdy gabinet

Zakres zależy od procesu i ryzyka: część dokumentów dotyczy każdego gabinetu bez wyjątku, część tylko wtedy, gdy przetwarzanie się do niej kwalifikuje ze względu na skalę albo ryzyko. Tam, gdzie dokument jest wymagany, powinien fizycznie istnieć w Twojej placówce, papierowo albo elektronicznie, zanim przyjdzie kontrola UODO albo dojdzie do naruszenia.

Dokument	Co zawiera i do czego służy	Kiedy wymagany	Podstawa prawna
Rejestr czynności przetwarzania (RCPD)	Spis procesów, w których przetwarzasz dane: cel, kategorie danych, podstawa prawna, komu je udostępniasz	Zawsze	art. 30 RODO
Klauzula informacyjna dla pacjentów	Kto jest administratorem, w jakim celu i na jakiej podstawie przetwarzasz dane, jak długo je przechowujesz i jakie prawa ma pacjent	Zawsze	art. 13-14 RODO
Polityka ochrony danych / wewnętrzne zasady bezpieczeństwa	Role, odpowiedzialność, procedury bezpieczeństwa, którymi wykazujesz rozliczalność. RODO nie narzuca jednego dokumentu o tej konkretnej nazwie, liczy się treść, nie tytuł	Zawsze potrzebny jakiś sposób wykazania zgodności; forma i nazwa dokumentu należą do administratora	art. 5 ust. 2 i art. 24 RODO
Umowy powierzenia przetwarzania	Z każdym podmiotem, który z zewnątrz ma dostęp do danych pacjentów: dostawca oprogramowania medycznego, firma księgowa, hosting, serwis IT	Zawsze, gdy przetwarzanie zlecasz podmiotowi zewnętrznemu	art. 28 RODO
Upoważnienia do przetwarzania danych i ich ewidencja	Upoważnienie dla każdej osoby z dostępem do danych pacjentów, plus aktualna lista tych osób; pisemna forma to rekomendowany standard, a nie dosłowne brzmienie przepisu	Zawsze, gdy do danych pacjentów ma dostęp więcej niż jedna osoba	art. 29 i art. 32 RODO
Procedura zgłaszania naruszeń i ich rejestr	Kto, komu i w jakim terminie zgłasza podejrzenie naruszenia wewnątrz placówki, plus rejestr wszystkich naruszeń, nawet niezgłoszonych do UODO	Zawsze	art. 33 ust. 5 RODO
Analiza ryzyka lub ocena skutków dla ochrony danych (DPIA)	Ocena, czy planowane przetwarzanie może powodować wysokie ryzyko dla praw i wolności pacjentów, np. przy danych medycznych na dużą skalę	Zależnie od ryzyka: tylko gdy przetwarzanie z dużym prawdopodobieństwem może powodować wysokie ryzyko	art. 35 RODO
Regulamin monitoringu (jeśli stosujesz kamery)	Zasady nagrywania w częściach ogólnodostępnych (poczekalnia, korytarz), dozwolone dla każdego podmiotu leczniczego; gabinet, w którym udzielane są świadczenia zdrowotne, to węższa, osobna podstawa	Zależnie od tego, czy stosujesz monitoring, i od typu pomieszczenia	art. 23a ust. 1 pkt 1 ustawy o działalności leczniczej, dalej: udl (ogólnodostępne) / pkt 3 udl (gabinet: tylko wymienione placówki stacjonarne)

Ostatnia pozycja ma pułapkę, ale nie tę, którą podejrzewa większość gabinetów: art. 23a udl to nie jedno uprawnienie, tylko kilka osobnych podstaw dla różnych pomieszczeń. Monitoring części ogólnodostępnych, czyli poczekalni, recepcji czy korytarza, może wprowadzić każdy podmiot wykonujący działalność leczniczą, także zwykła przychodnia ambulatoryjna, gdy jest to niezbędne dla bezpieczeństwa pacjentów lub pracowników (art. 23a ust. 1 pkt 1 udl). Dopiero ograniczenie do szpitali, zakładów opiekuńczo-leczniczych, zakładów pielęgnacyjno-opiekuńczych, zakładów rehabilitacji leczniczej i hospicjów dotyczy pomieszczeń, w których udzielane są świadczenia zdrowotne, czyli np. gabinetu zabiegowego (art. 23a ust. 1 pkt 3 udl). Zwykła przychodnia ambulatoryjna monitoringu gabinetu na tej podstawie więc nie uzasadni. Kiedy monitoring poszczególnych pomieszczeń Twojej placówki jest zgodny z prawem, opisaliśmy w artykule o monitoringu w placówce medycznej.

Czy mały gabinet musi mieć inspektora ochrony danych (IOD)

Zwykle nie. Obowiązek wyznaczenia IOD wynika z art. 37 ust. 1 RODO i dotyczy administratorów, których główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii, a dane o zdrowiu to właśnie taka kategoria (art. 9 RODO). Motyw 91 RODO wprost wskazuje, że przetwarzanie danych pacjentów przez pojedynczego lekarza lub innego pracownika służby zdrowia co do zasady nie jest przetwarzaniem na dużą skalę. Grupa Robocza Art. 29, poprzedniczka dzisiejszej Europejskiej Rady Ochrony Danych, w wytycznych dotyczących IOD z grudnia 2016 r. podaje jako przeciwny przykład właśnie szpital, czyli placówkę przetwarzającą dane bardzo wielu pacjentów jednocześnie, w wielu specjalizacjach.

W praktyce granica przebiega mniej więcej tak: jednoosobowa praktyka lekarska albo mały gabinet z kilkoma specjalistami zwykle nie musi wyznaczać IOD, a duża przychodnia wielospecjalistyczna, sieć gabinetów czy szpital zwykle już tak. Każdy administrator powinien jednak samodzielnie ocenić swoją sytuację, bo RODO nie podaje sztywnego progu liczby pacjentów. Nawet bez tego obowiązku ktoś w placówce musi realnie odpowiadać za RODO. Przepisy nie zwalniają z tego właściciela gabinetu tylko dlatego, że formalny IOD nie jest wymagany.

Co zrobić, gdy dojdzie do naruszenia: 72 godziny na zgłoszenie

Od stwierdzenia naruszenia ochrony danych, na przykład zgubionej dokumentacji, błędnie wysłanego e-maila z wynikami badań czy ataku hakerskiego, placówka ma maksymalnie 72 godziny na zgłoszenie go Prezesowi UODO (art. 33 ust. 1 RODO). Jedyny wyjątek to sytuacja, w której naruszenie raczej nie zagraża prawom lub wolnościom pacjenta, a przy danych o zdrowiu taka ocena rzadko wypada na korzyść placówki, bo to dane szczególnej kategorii z podwyższonym ryzykiem z założenia. Zgłoszenie spóźnione o więcej niż 72 godziny nadal trzeba wysłać, z wyjaśnieniem przyczyn opóźnienia.

Jeśli naruszenie może powodować wysokie ryzyko dla pacjenta, dochodzi drugi obowiązek: zawiadomienie samego pacjenta, bez zbędnej zwłoki (art. 34 RODO). Nie trzeba tego robić, jeśli dane były odpowiednio zaszyfrowane, jeśli placówka podjęła działania, które to ryzyko już wyeliminowały, albo jeśli zawiadomienie indywidualne wymagałoby niewspółmiernie dużego wysiłku. Wtedy wystarczy komunikat publiczny o podobnej skuteczności.

Każde naruszenie, zgłoszone czy nie, trzeba udokumentować: okoliczności, skutki i podjęte działania zaradcze (art. 33 ust. 5 RODO). To jeden z pierwszych dokumentów, o które pyta UODO podczas kontroli, a jego brak w obu przykładach niżej zaważył na karze bardziej niż sam incydent.

Krok po kroku, co robić zaraz po wykryciu wycieku danych pacjentów, opisaliśmy osobno w artykule o wycieku danych pacjentów.

Dwie realne kary UODO dla placówek medycznych

Decyzją z 6 lipca 2022 r. (DKN.5131.34.2021) Prezes UODO nałożył karę 10 000 zł na Uniwersyteckie Centrum Kliniczne Warszawskiego Uniwersytetu Medycznego. Lekarz wypisujący skierowanie do poradni specjalistycznej pomylił dane pacjenta: do rąk niewłaściwej osoby trafiły imię, nazwisko, adres, PESEL i rozpoznanie innego pacjenta. Szpital uznał, że skoro w dokumencie było błędne imię, dane nie pozwalają zidentyfikować pacjenta, więc zgłoszenie nie jest potrzebne. UODO ocenił inaczej: pozostałe dane wystarczały do identyfikacji, a ujawnienie ich osobie nieuprawnionej naruszyło też tajemnicę lekarską.

Karę nałożono za brak zgłoszenia naruszenia Prezesowi UODO (art. 33 RODO) i brak zawiadomienia pacjenta (art. 34 RODO). Szpital złożył skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.

Decyzją z 13 czerwca 2024 r. (DKN.5131.57.2022) UODO nałożył karę 40 000 zł na Samodzielny Publiczny Zespół Opieki Zdrowotnej w Pajęcznie (o samej decyzji Urząd poinformował w komunikacie prasowym dopiero 26 sierpnia 2024 r.). W lutym 2022 r. placówkę zaatakował ransomware, który zaszyfrował dane około 30 000 pacjentów i ponad 1 000 pracowników, w tym numery PESEL, dane o stanie zdrowia i dane bankowe. Kierownictwo uznało, że skoro dane nie wyciekły, tylko stały się niedostępne, nie ma obowiązku nikogo zawiadamiać. UODO stwierdził brak udokumentowanej analizy ryzyka i adekwatnych zabezpieczeń technicznych, a błędna ocena skutków ataku nie zwalniała placówki z obowiązku zawiadomienia osób, których dane dotyczą. Poza karą nakazał zawiadomienie poszkodowanych w terminie 30 dni i wdrożenie odpowiednich środków bezpieczeństwa w terminie 90 dni, licząc od doręczenia decyzji.

Obie sprawy różnią się podstawą, więc warto ich nie zlewać w jeden wniosek. W pierwszej administrator w ogóle nie zgłosił naruszenia organowi i nie zawiadomił pacjenta. W drugiej zgłoszenie do organu było, a kara objęła brak zawiadomienia osób i niewystarczające środki bezpieczeństwa. Wspólny mianownik jest jeden: o karze przesądziła błędna ocena ryzyka i to, co placówka zrobiła po incydencie, a nie sam incydent.

Najczęstsze błędy RODO w gabinecie i ich konsekwencje

Błąd	Dlaczego się zdarza	Konsekwencja
Placówka nie zgłasza naruszenia do UODO, bo sama ocenia ryzyko jako niskie	Ocena “na oko”, bez udokumentowanej analizy ryzyka	Kara za brak zgłoszenia i zawiadomienia pacjenta (art. 33-34 RODO): UCK WUM, 10 000 zł
Atak ransomware traktowany jako awaria techniczna, nie jako naruszenie ochrony danych	Dane są zaszyfrowane, nie wykradzione, więc “nic nie wyciekło”	Kara za brak zabezpieczeń i zawiadomienia poszkodowanych: SPZOZ w Pajęcznie, 40 000 zł
Personel przetwarza dane bez pisemnego upoważnienia i bez prowadzonej ewidencji	Upoważnienia “zawsze tak było”, nikt nie aktualizował ich po zmianach kadrowych	Brak wykazania rozliczalności (art. 5 ust. 2 i art. 29 RODO) podczas kontroli
Brak umowy powierzenia z dostawcą oprogramowania medycznego lub firmą IT	Umowa o świadczenie usług traktowana jako wystarczająca sama w sobie	Administrator odpowiada za przetwarzanie bez podstawy prawnej po stronie dostawcy (art. 28 RODO)
Dokumentacja medyczna niszczona za wcześnie albo trzymana bezterminowo “na wszelki wypadek”	Brak jasnej procedury i terminarza zgodnego z ustawą o prawach pacjenta	Naruszenie zasady minimalizacji danych (art. 5 ust. 1 lit. e RODO) w obie strony

Ile trzeba przechowywać dokumentację medyczną

Tę kwestię reguluje nie RODO, tylko ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta (art. 29), choć placówki często mylą oba reżimy. Podstawowy termin to okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu. Wyjątki od tej zasady:

• dokumentacja dotycząca zgonu pacjenta na skutek uszkodzenia ciała lub zatrucia: okres 30 lat, licząc od końca roku, w którym nastąpił zgon
• dane niezbędne do monitorowania losów krwi i jej składników: okres 30 lat
• dokumentacja dotycząca dzieci do ukończenia 2. roku życia: okres 22 lat
• zdjęcia rentgenowskie przechowywane poza dokumentacją medyczną pacjenta: okres 10 lat, licząc od końca roku wykonania zdjęcia
• skierowania na badania lub zlecenia lekarza: okres 5 lat (2 lat, jeśli świadczenie nie zostało udzielone z powodu niezgłoszenia się pacjenta w ustalonym terminie)

Po upływie odpowiedniego okresu podmiot leczniczy niszczy dokumentację w sposób uniemożliwiający identyfikację pacjenta. Trzymanie jej dłużej “na wszelki wypadek” łamie zasadę minimalizacji danych z RODO (art. 5 ust. 1 lit. e), a zbyt wczesne zniszczenie łamie ustawę o prawach pacjenta. Błąd z tabeli wyżej działa więc w obie strony: i za długo, i za krótko.

Skompletowanie tej dokumentacji i przeszkolenie personelu to jednorazowa praca, ale musi pasować do tego, jak faktycznie działa Twoja placówka, nie do uniwersalnego wzoru z internetu. W BSA przygotowujemy taką dokumentację pod konkretny gabinet czy przychodnię, szkolimy personel i pomagamy przy zgłaszaniu naruszeń do UODO. To część usługi RODO i cyberbezpieczeństwo.

Najczęstsze pytania

Czy mały gabinet musi mieć inspektora ochrony danych (IOD)?

Zwykle nie. Obowiązek z art. 37 RODO dotyczy administratorów, których główna działalność to przetwarzanie danych szczególnych kategorii na dużą skalę, a motyw 91 RODO wprost wyłącza z tego pojedynczego lekarza czy innego pracownika medycznego działającego samodzielnie. W praktyce dotyczy to raczej szpitali, dużych przychodni wielospecjalistycznych i sieci placówek niż jednoosobowej praktyki czy małego gabinetu z kilkoma specjalistami. Nawet bez obowiązkowego IOD ktoś w placówce musi realnie odpowiadać za RODO.

Czy zgoda pacjenta na przetwarzanie danych jest potrzebna?

Nie, jeśli chodzi o dane przetwarzane w celu leczenia. Podstawą jest art. 9 ust. 2 lit. h RODO w połączeniu z tajemnicą lekarską (art. 40 ustawy o zawodach lekarza i lekarza dentysty), nie zgoda pacjenta. Zgoda jest potrzebna dopiero wtedy, gdy wychodzisz poza cel leczenia: wysyłasz marketing, publikujesz wizerunek albo opinię pacjenta, przekazujesz dane podmiotom niepowiązanym z leczeniem. Przekonanie, że zgoda jest zawsze potrzebna, albo przeciwnie, że nigdy nie jest potrzebna, to dwa najczęstsze błędy w tym temacie.

Jak długo trzeba przechowywać dokumentację medyczną?

Co do zasady okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (art. 29 ustawy o prawach pacjenta). Wyjątki wydłużają termin do 30 lat przy zgonie na skutek uszkodzenia ciała lub zatrucia i przy dokumentacji dotyczącej krwi, a skracają go do 22 lat dla dzieci do 2. roku życia, do 10 lat dla zdjęć rentgenowskich i do 5 lat (2 lat przy niezgłoszeniu się pacjenta) dla skierowań i zleceń. Po tym czasie dokumentację niszczy się bez możliwości identyfikacji pacjenta.

Czy każde naruszenie ochrony danych trzeba zgłosić do UODO?

Nie każde. Obowiązek z art. 33 RODO odpada, gdy jest mało prawdopodobne, żeby naruszenie skutkowało ryzykiem dla praw lub wolności pacjenta. Dane o zdrowiu należą jednak do szczególnej kategorii, więc w placówce medycznej ta ocena rzadko kończy się rezygnacją ze zgłoszenia. Jeśli zgłoszenie trafia do UODO później niż po 72 godzinach od stwierdzenia naruszenia, trzeba dołączyć wyjaśnienie przyczyn opóźnienia. Każde naruszenie, zgłoszone czy nie, i tak trzeba udokumentować wewnętrznie.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), w tym motyw 91 preambuły - EUR-Lex
• Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta - tekst jednolity (Dz.U. 2024 poz. 581) - ISAP
• Ustawa o zawodach lekarza i lekarza dentysty - tekst jednolity (Dz.U. 2026 poz. 37) - ISAP
• Ustawa o działalności leczniczej (t.j. Dz.U. z 2026 r. poz. 156), art. 23a ust. 1 pkt 1, 2 i 3 - ISAP
• Decyzja Prezesa UODO DKN.5131.34.2021 z 6 lipca 2022 r. (UCK WUM, 10 000 zł) - orzeczenia.uodo.gov.pl
• Decyzja Prezesa UODO DKN.5131.57.2022 z 13 czerwca 2024 r. (SPZOZ w Pajęcznie, 40 000 zł) - orzeczenia.uodo.gov.pl
• Uniwersyteckie Centrum Kliniczne WUM z karą pieniężną w wysokości 10 tys. zł. Za co? - Puls Medycyny
• Kara dla SPZOZ w Pajęcznie po zaszyfrowaniu danych 30 tys. pacjentów - Termedia
• Inspektor ochrony danych obowiązkowy w szpitalach - Prawo.pl (dot. obowiązku IOD w szpitalach; teza o wyłączeniu pojedynczego lekarza z “dużej skali” oparta na motywie 91 RODO, zob. wyżej)