RODO i cyberbezpieczeństwo

Wyciek danych pacjentów: co robić w pierwsze 72 godziny

Opublikowano: 29 czerwca 2026 Zaktualizowano: 26 lipca 2026

Stan prawny na: 26 lipca 2026

Po stwierdzeniu wycieku danych pacjentów masz maksymalnie 72 godziny na zgłoszenie naruszenia Prezesowi Urzędu Ochrony Danych Osobowych (UODO), chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności pacjentów (art. 33 ust. 1 RODO). Gdy ryzyko jest wysokie, musisz też bez zbędnej zwłoki zawiadomić samych pacjentów, prostym językiem i z konkretami (art. 34 RODO). Każdą decyzję, także tę o rezygnacji ze zgłoszenia, zapisujesz w wewnętrznym rejestrze naruszeń, bo właśnie ten rejestr sprawdza UODO podczas kontroli.

Plan działania: co robić od 0 do 72 godzin

Poniższy scenariusz łączy obowiązki ustawowe z punktami kontrolnymi, które w BSA rekomendujemy placówkom, żeby 72-godzinny termin nie minął bez gotowego zgłoszenia. Termin liczysz od momentu stwierdzenia naruszenia, nie od jego faktycznego zaistnienia.

Punkt kontrolny	Co robisz	Podstawa prawna
0h: moment stwierdzenia naruszenia	Izolujesz zagrożenie, zabezpieczasz dowody, informujesz inspektora ochrony danych (IOD) lub osobę odpowiedzialną za RODO	art. 33 ust. 1 RODO
do 24h	Ustalasz zakres: jakie dane, ilu pacjentów, jaki typ naruszenia, wstępna ocena ryzyka	art. 4 pkt 12, art. 33 ust. 1 RODO
do 48h	Masz gotowy projekt zgłoszenia do UODO albo udokumentowaną decyzję o rezygnacji z niego	dobra praktyka BSA, nie ustawowy termin
do 72h	Zgłaszasz naruszenie Prezesowi UODO, w całości albo wstępnie	art. 33 ust. 1, 3 i 4 RODO
bez zbędnej zwłoki, gdy ryzyko wysokie	Zawiadamiasz pacjentów: co się stało, jakich danych dotyczy, jakie są możliwe konsekwencje	art. 34 RODO
równolegle, przez cały czas	Wpisujesz zdarzenie do rejestru naruszeń, nawet jeśli nie zgłaszasz go do UODO	art. 33 ust. 5 RODO

Zabezpieczenie i ocena ryzyka w pierwszej dobie

RODO wyróżnia trzy typy naruszeń: utratę poufności (dane trafiają do osoby nieuprawnionej, na przykład przez pomyłkę mailową albo kradzież laptopa), utratę integralności (dane zmienione bez zgody) i utratę dostępności (tracisz dostęp do danych, na przykład wskutek ataku szyfrującego). Pierwsze pytanie brzmi więc, co dokładnie się stało, nie ile osób ucierpiało.

Ma to praktyczne znaczenie dla dalszych kroków. Przy utracie poufności danych medycznych wysokie ryzyko jest częste, dlatego zawiadomienie pacjentów bywa konieczne. Decyzję trzeba jednak udokumentować na podstawie oceny ryzyka i wyjątków z art. 34 ust. 3. Przy utracie dostępności o skali problemu decyduje z kolei to, czy masz sprawną, przetestowaną kopię zapasową.

Dopiero potem oceniasz ryzyko dla praw i wolności pacjentów. Dane o zdrowiu razem z numerem PESEL, adresem czy rozpoznaniem bardzo często oznaczają wysokie ryzyko, bo pozwalają na kradzież tożsamości albo naruszenie tajemnicy lekarskiej. Zgubiony nośnik z danymi w pełni zaszyfrowanymi, bez dostępu dla osoby nieuprawnionej, to jeden z niewielu przykładów, w których można wykazać, że jest mało prawdopodobne, by doszło do ryzyka naruszenia praw lub wolności pacjentów, ale tę ocenę musisz umieć uzasadnić.

Zgłoszenie do UODO krok po kroku

Zgłoszenie składasz elektronicznie przez formularz na portalu biznes.gov.pl i podpisujesz je profilem zaufanym albo kwalifikowanym podpisem elektronicznym. Usługa jest bezpłatna. Zgodnie z art. 33 ust. 3 RODO zgłoszenie opisuje charakter naruszenia wraz z kategoriami i przybliżoną liczbą pacjentów, których dotyczy, podaje dane kontaktowe inspektora ochrony danych albo innej osoby do kontaktu, opisuje możliwe konsekwencje oraz środki, które już zastosowałeś lub proponujesz.

Jeśli w 72 godziny nie zbierzesz kompletu informacji, złóż zgłoszenie wstępne i uzupełnij je, gdy tylko ustalisz resztę danych (art. 33 ust. 4 RODO). Zgłoszenie po terminie jest możliwe, ale musi zawierać wyjaśnienie przyczyn opóźnienia. Podstawowe obowiązki administratora danych w placówce medycznej opisujemy w artykule o RODO w gabinecie lekarskim.

Kiedy trzeba też zawiadomić samych pacjentów

Zawiadomienia pacjentów wymaga wyłącznie naruszenie, które może powodować wysokie ryzyko naruszenia ich praw lub wolności (art. 34 ust. 1 RODO). Zawiadomienie piszesz jasnym i prostym językiem: co się stało, jakich danych dotyczy, jakie mogą być konsekwencje dla pacjenta oraz co zrobiłeś lub planujesz zrobić, żeby ograniczyć szkodę.

Od tego obowiązku są trzy wyjątki (art. 34 ust. 3 RODO): dane były zabezpieczone tak, że stały się nieczytelne dla osoby nieuprawnionej, na przykład przez szyfrowanie; po naruszeniu zastosowałeś środki eliminujące prawdopodobieństwo wysokiego ryzyka; albo indywidualne zawiadomienie każdego pacjenta wymagałoby niewspółmiernie dużego wysiłku, wtedy wystarczy publiczny komunikat, na przykład widoczna informacja na stronie placówki. W praktyce warto sięgać po te wyjątki ostrożnie: UODO weryfikuje je surowo, a błędna kwalifikacja kosztuje więcej niż samo zawiadomienie pacjentów.

RODO nie podaje tu licznika godzin, w przeciwieństwie do zgłoszenia do UODO. W praktyce liczy się tempo: w sprawie ataku ransomware na jeden ze szpitali UODO nakazał zawiadomienie pacjentów w terminie 30 dni jako działanie naprawcze, gdy placówka zwlekała. Jeśli źródłem wycieku był atak hakerski albo awaria systemu, sprawdź też, czy Twoją placówkę obejmują dodatkowe obowiązki zgłaszania incydentów z ustawy o krajowym systemie cyberbezpieczeństwa, opisane w artykule o NIS2 w małej placówce medycznej.

Co grozi za brak zgłoszenia lub brak zawiadomienia

Za naruszenie obowiązków z art. 33 i 34 RODO grozi administracyjna kara pieniężna do 10 mln euro albo 2% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa (art. 83 ust. 4 RODO). Polskie placówki medyczne dostają kary dużo niższe, ale wciąż dotkliwe, a do tego dochodzi czas zespołu pochłonięty przez kontrolę UODO i ryzyko wizerunkowe, których żadna tabela sankcji nie pokazuje.

Prezes UODO ukarał Uniwersyteckie Centrum Kliniczne Warszawskiego Uniwersytetu Medycznego kwotą 10 000 zł za to, że po wysłaniu pacjentowi skierowania z danymi innej osoby (imię, nazwisko, adres, PESEL i rozpoznanie) placówka nie zgłosiła naruszenia do UODO ani nie zawiadomiła poszkodowanego, mimo że wiedziała o sprawie od Rzecznika Praw Pacjenta. W innej sprawie Naczelny Sąd Administracyjny utrzymał karę rzędu 86 000 zł dla kliniki, w której pracownik przed odejściem bezprawnie skopiował dane pacjentów na potrzeby własnego marketingu. Właścicielka zgłosiła naruszenie do UODO, ale zawiadomiła tylko 10 z 37 potencjalnie poszkodowanych pacjentów, choć w placówkach kliniki leczy się ponad 35 000 osób. Podobnie szpital po ataku ransomware, który stracił dostęp do danych około 30 000 pacjentów i ponad 1 000 pracowników, zgłosił naruszenie do UODO, ale nie zawiadomił poszkodowanych i zapłacił za to 40 000 zł.

Dokumentacja, która chroni Cię podczas kontroli

Art. 33 ust. 5 RODO nakazuje dokumentować każde naruszenie ochrony danych osobowych: okoliczności, skutki i podjęte działania zaradcze, niezależnie od tego, czy zdecydowałeś się zgłosić je do UODO. Podczas kontroli to właśnie ten rejestr UODO sprawdza w pierwszej kolejności, więc jego brak sam bywa podstawą do zarzutu.

Procedury na wypadek naruszenia, wzór rejestru i szkolenie personelu, jak rozpoznać incydent zanim urośnie do rozmiaru wycieku, wdrożysz razem z obsługą RODO i cyberbezpieczeństwa w BSA, zamiast układać to dopiero w trakcie kryzysu.

Twoja dokumentacja RODO przejdzie kontrolę?

Sprawdzimy, czego brakuje, i uzupełnimy to zawczasu. Po incydencie albo skardze pacjenta masz na reakcję 72 godziny, nie tydzień.

Najczęstsze pytania

Czy każdy wyciek danych trzeba zgłaszać do UODO?

Nie, zgłoszenia nie wymaga naruszenie, w przypadku którego jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności pacjentów, na przykład zgubiony nośnik z danymi w pełni zaszyfrowanymi, do których nikt bez klucza nie miał dostępu (art. 33 ust. 1 RODO). W praktyce większość wycieków danych medycznych kwalifikuje się jednak jako wymagająca zgłoszenia, bo dane o zdrowiu to dane szczególnej kategorii. Decyzję o rezygnacji ze zgłoszenia zawsze zapisujesz w rejestrze naruszeń wraz z uzasadnieniem.

Co grozi za brak zgłoszenia naruszenia?

Grozi administracyjna kara pieniężna do 10 mln euro albo 2% rocznego obrotu (art. 83 ust. 4 RODO). W trzech opisanych wyżej sprawach kary wyniosły od 10 000 zł do około 86 000 zł, więc realne ryzyko finansowe bywa niższe niż unijny pułap, ale wciąż odczuwalne dla budżetu placówki.

Czy zawsze trzeba informować pacjentów?

Nie, obowiązek dotyczy tylko naruszeń, które mogą powodować wysokie ryzyko dla praw lub wolności pacjentów, na przykład wyciek danych o zdrowiu razem z numerem PESEL (art. 34 RODO). Nie musisz zawiadamiać, jeśli dane były zaszyfrowane i nieczytelne dla sprawcy, jeśli wdrożyłeś środki eliminujące wysokie ryzyko, albo gdy indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku: wtedy wystarczy publiczny komunikat.

Źródła

Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani podatkowej. Twoja sytuacja może wymagać indywidualnej analizy - .