Przetwarzanie danych osobowych w placówkach medycznych jest kluczowym zagadnieniem, które wiąże się z zachowaniem wysokich standardów ochrony prywatności pacjentów. W dobie cyfryzacji zjawisko to nabiera szczególnego znaczenia, ponieważ dane medyczne są jednymi z najbardziej wrażliwych informacji, które wymagają szczególnej ochrony. W 2026 roku, zgodnie z planem kontroli ogłoszonym przez Prezesa Urzędu Ochrony Danych Osobowych (Prezesa UODO), placówki medyczne są poddawane szczegółowym kontrolom pod kątem przestrzegania przepisów RODO, co powoduje konieczność zwrócenia większej uwagi na kwestie przetwarzania i zabezpieczenia danych osobowych przez te placówki. W artykule omówię zasady przetwarzania danych osobowych w takich placówkach, przedstawię, czego można spodziewać się po zapowiedzianych kontrolach, i podpowiem, jak się na nie przygotować.
Z tego artykułu dowiesz się:
- Na jakich podstawach prawnych placówka medyczna przetwarza dane pacjentów i kiedy w grę wchodzi zgoda.
- Jakie dane pacjentów przetwarzają placówki i które z nich są danymi wrażliwymi.
- Których zasad RODO placówka musi pilnować na co dzień.
- Co sprawdzają kontrolerzy Prezesa UODO w placówkach medycznych w 2026 roku.
- Jak przygotować placówkę do kontroli i co grozi za naruszenia.
Zasady przetwarzania danych osobowych w placówkach medycznych
Podstawy prawne przetwarzania danych osobowych
Zgodnie z ogólnym rozporządzeniem o ochronie danych osobowych (RODO) dane osobowe mogą być przetwarzane wyłącznie wtedy, gdy zachodzi przynajmniej jedna z podstaw prawnych, takich jak:
- realizacja umowy (np. umowa o świadczenie usług medycznych),
- wypełnianie obowiązków prawnych (np. związanych z rozliczaniem świadczeń zdrowotnych udzielanych w ramach powszechnego systemu ubezpieczenia zdrowotnego realizowanego przez NFZ),
- kiedy przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia,
- ochrona żywotnych interesów pacjenta,
- realizacja zadań publicznych,
- uzasadniony interes administratora (np. monitoring wizyjny),
- zgoda pacjenta (np. marketing usług zdrowotnych, wykraczający poza realizację celów zdrowotnych).
Rodzaje przetwarzanych danych
Placówki medyczne przetwarzają różnego rodzaju dane, w tym dane wrażliwe, takie jak:
- dane dotyczące zdrowia (dane zawarte w dokumentacji medycznej),
- dane kontaktowe (imiona, nazwiska, adresy, numery telefonów),
- dane finansowe (informacje o płatnościach, dane ubezpieczeniowe).
Zasady ochrony danych osobowych.
Placówki medyczne, jak wszystkie organizacje przetwarzające dane osobowe, zobowiązane są tak ukształtować proces przetwarzania danych osobowych, aby spełniać wymagania RODO. W szczególności placówki powinny przestrzegać poniższych zasad:
- zasada minimalizacji danych: placówki medyczne powinny przetwarzać tylko te dane, które są niezbędne do świadczenia usług medycznych.
- Zasada celowości: dane mogą być zbierane i przetwarzane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach, przede wszystkim w celu profilaktyki zdrowotnej, medycyny pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego oraz zarządzania systemami i usługami opieki zdrowotnej.
- Zasada integralności i poufności: dane muszą być przechowywane w sposób zabezpieczający je przed nieuprawnionym dostępem, utratą lub zniszczeniem. Każde powierzenie przetwarzania danych osobowych podmiotowi zewnętrznemu (kontrahentowi, np. dostawcy oprogramowania medycznego, firmie serwisującej sprzęt, laboratoriom czy firmie sprzątającej) musi być poprzedzone rzetelną weryfikacją jego kompetencji i zabezpieczeń, a także sformalizowane poprzez zawarcie umowy powierzenia, która gwarantuje przestrzeganie standardów bezpieczeństwa. Co zrobić, gdy dane wyciekną właśnie u dostawcy, opisujemy w artykule o tym, jak reagować na wyciek danych u dostawcy oprogramowania.
- Zasada przejrzystości: pacjenci muszą być informowani o celach i sposobach przetwarzania ich danych.
Kontrole Prezesa UODO w placówkach medycznych w 2026 roku
Cel i zakres kontroli
Prezes Urzędu Ochrony Danych Osobowych ogłosił, że w 2026 roku placówki medyczne będą poddawane kontrolom mającym na celu ocenę zgodności z przepisami RODO. Plan kontroli sektorowych na 2026 rok obejmuje podmioty lecznicze w zakresie przetwarzania danych przy użyciu monitoringu wizyjnego, ze szczególnym uwzględnieniem danych dzieci. Dodatkowo 16 września 2026 r., po wycieku danych pacjentów z platformy MyDr, Prezes UODO zapowiedział kolejne kontrole w sektorze ochrony zdrowia jeszcze przed końcem roku, skupione przede wszystkim na tym, jak placówki zabezpieczają dane pacjentów (komunikat UODO z 25 września 2026 r.). Kontrola nie ogranicza się jednak do jednego zagadnienia, dlatego placówka powinna być przygotowana na weryfikację m.in. takich obszarów:
- zgodność procedur przetwarzania danych z zasadami RODO,
- dostęp do danych osobowych (czy tylko uprawnieni pracownicy mają dostęp do danych pacjentów),
- zarządzanie dokumentacją medyczną, w tym stosowanie odpowiednich środków zabezpieczających (np. szyfrowanie, archiwizacja),
- transparentność informacji dla pacjentów (np. czy pacjenci zostali odpowiednio poinformowani o przetwarzaniu swoich danych),
- zgody pacjentów na przetwarzanie danych, w sytuacji w której są niezbędne.
Szczegółowo o planie kontroli na 2026 rok piszemy w artykule Plan kontroli UODO na 2026 rok: kogo weźmie pod lupę Prezes Urzędu?.
Zalecenia i przygotowanie placówek medycznych.
Placówki medyczne, aby uniknąć ewentualnych kar i zredukować ryzyko naruszeń, powinny:
- przeprowadzić audyty wewnętrzne dotyczące przestrzegania zasad RODO,
- zaktualizować upoważnienia do przetwarzania danych osobowych wrażliwych,
- zapewnić, by wszyscy pracownicy byli odpowiednio przeszkoleni z zakresu ochrony danych osobowych,
- wprowadzić odpowiednie procedury reagowania na incydenty związane z bezpieczeństwem danych.
Brak procedury incydentowej potrafi kosztować, o czym piszemy w artykule o karze ponad 85 000 zł za niezgłoszenie naruszenia do UODO.
Skutki nieprzestrzegania przepisów.
W przypadku stwierdzenia naruszeń przepisów ochrony danych osobowych Prezes UODO może nałożyć na placówkę medyczną wysoką administracyjną karę pieniężną. W skrajnych przypadkach może również nałożyć zakaz przetwarzania danych osobowych, co w praktyce uniemożliwi działalność placówki. Jeśli kontrola już się toczy albo zakończyła się wszczęciem postępowania, prawnicy ENSIS zapewniają reprezentację przed Prezesem UODO.
Podsumowanie.
Ochrona danych osobowych w placówkach medycznych to obowiązek, który ma na celu zapewnienie pacjentom bezpieczeństwa ich wrażliwych informacji. W związku z kontrolami zapowiedzianymi przez Prezesa UODO na 2026 rok placówki medyczne będą musiały wykazać, że przestrzegają przepisów RODO. Z tego względu każda placówka medyczna powinna podejmować odpowiednie działania w celu zapewnienia zgodności z przepisami oraz ochrony danych pacjentów. Warto już teraz wdrożyć odpowiednie procedury i przeprowadzić audyty, zadbać o szkolenia dla pracowników i osób współpracujących, aby uniknąć ewentualnych konsekwencji związanych z nieprzestrzeganiem prawa.
Przeczytaj też:
FAQ - Pytania i odpowiedzi
Czy placówka medyczna potrzebuje zgody pacjenta na przetwarzanie jego danych?
Co do zasady nie, jeśli chodzi o samo leczenie. Dane o zdrowiu placówka przetwarza, bo wymagają tego przepisy (np. obowiązek prowadzenia dokumentacji medycznej) i cele zdrowotne wskazane w art. 9 ust. 2 lit. h RODO. Zgoda pacjenta jest potrzebna wtedy, gdy placówka wychodzi poza świadczenie usług medycznych, np. chce wysyłać pacjentom informacje marketingowe o nowych usługach.
Które dane pacjentów są danymi wrażliwymi?
Dane dotyczące zdrowia, czyli wszystko, co trafia do dokumentacji medycznej (rozpoznania, wyniki badań, przebieg leczenia), należą do szczególnej kategorii danych osobowych. Uwaga na pułapkę: nawet zwykłe dane kontaktowe mogą ujawnić informację o zdrowiu. Lista pacjentów poradni onkologicznej z imionami i numerami telefonów mówi o tych osobach więcej niż niejedna karta wizyty.
Kto w placówce może mieć dostęp do dokumentacji medycznej pacjenta?
Tylko osoby, które mają do tego upoważnienie, i tylko w zakresie potrzebnym do ich pracy. Lekarz prowadzący potrzebuje pełnej historii leczenia, ale osoba w rejestracji, która umawia wizyty, nie potrzebuje wglądu w wyniki badań. Dlatego upoważnienia warto przeglądać przy każdej zmianie w zespole (nowa osoba, zmiana stanowiska, odejście lekarza z kontraktu B2B), a nie tylko raz, przy wdrożeniu RODO.
Czy placówka medyczna musi wyznaczyć Inspektora Ochrony Danych?
W większości przypadków tak. Obowiązek dotyczy podmiotów, których główna działalność polega na przetwarzaniu na dużą skalę danych o zdrowiu (art. 37 ust. 1 lit. c RODO), a więc szpitali, przychodni i sieci placówek. Placówki publiczne (np. SP ZOZ) muszą wyznaczyć IOD zawsze. Wyjątkiem jest zwykle lekarz prowadzący indywidualną praktykę, bo RODO nie traktuje takiego przetwarzania jako prowadzonego na dużą skalę (motyw 91).
Czy szpital publiczny może dostać karę od UODO?
Tak, ale jej wysokość jest ograniczona. Na jednostki sektora finansów publicznych, w tym samodzielne publiczne zakłady opieki zdrowotnej (SP ZOZ), Prezes UODO może nałożyć karę najwyżej 100 000 zł (art. 102 ustawy o ochronie danych osobowych). Limit nie obejmuje jednak szpitali działających jako spółki prawa handlowego, także tych, których właścicielem jest samorząd. Takie szpitale, podobnie jak placówki prywatne, odpowiadają na zasadach ogólnych RODO, czyli do 20 mln euro lub 4% rocznego światowego obrotu. Do tego dochodzą roszczenia pacjentów za naruszenie dóbr osobistych, których ten limit nie dotyczy.
Na co zwrócić uwagę u dostawców systemów medycznych (EDM, e-rejestracja, telemedycyna)?
Wyciek danych pacjentów z platformy MyDr pokazał, że ryzyko często leży poza samą placówką. Placówka odpowiada za dane pacjentów także wtedy, gdy przetwarza je zewnętrzny system. Dlatego z każdym dostawcą powinna mieć umowę powierzenia przetwarzania danych i realnie sprawdzać, jak ten dostawca je zabezpiecza, a nie tylko podpisać wzór, który przysłał.
dr n.pr. Paulina Gruszka
Adiunkt na Uniwersytecie Wrocławskim. Badam prawa pacjenta i ochronę danych w placówkach medycznych, a w ENSIS prowadzę audyty zgodności z RODO.
