Przychodnia, która oddaje twoją dokumentację zewnętrznej firmie, nie musi dziś podać ci jej nazwy. Wystarczy, że w klauzuli informacyjnej wymieni kategorię odbiorców, bo tyle wymaga RODO. Ministerstwo Cyfryzacji chce to zmienić. Resort przedstawił 31 sierpnia pakiet pięciu propozycji nazwany “Cyber Piątką”, przygotowany po kradzieży danych z systemu MyDr. Sprawę trzeba od razu postawić jasno: to są propozycje, nie przepisy. Komunikat kończy się zdaniem, że kolejnym etapem będą dopiero prace nad szczegółowymi rozwiązaniami legislacyjnymi. Nie ma projektu ani numeru druku, terminu też nikt nie podał. Warto mimo to przejść te pięć punktów po kolei, bo przy sierpniowym wycieku jeden z nich zmieniłby konkretną rzecz, a reszta niekoniecznie.
Pięć propozycji, a o zdrowiu tylko cztery
Pakiet opisano w polskich mediach jako zestaw nowych zasad ochrony danych medycznych. To skrót, który gubi istotny podział. Cztery pierwsze punkty rzeczywiście dotyczą zdrowia. Mowa w nich o certyfikacji podmiotów, którym powierza się dane medyczne, i o minimalnych wymaganiach technologicznych dla systemów przetwarzających takie dane. Dochodzi do tego obowiązek informowania pacjenta o powierzeniu jego danych na zewnątrz oraz powiadomienia o zdarzeniach medycznych w aplikacjach mObywatel i mojeIKP.
Piąty punkt jest inny i to on ma najszerszy zasięg. Dotyczy podmiotów przetwarzających dane na dużą skalę, bez względu na branżę. Próg jest podwójny: usługi przetwarzania dla więcej niż stu administratorów albo dane dotyczące łącznie ponad stu tysięcy osób. Wystarczy spełnić jeden z tych warunków. Podpada pod niego firma obsługująca kilkanaście większych przychodni, ale też dostawca systemu kadrowego dla sieci sklepów.
Kierunek widać w cytacie z komunikatu resortu. “Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie”, powiedział wiceminister cyfryzacji Dariusz Standerski. Nazwisko ma tu znaczenie, bo część mediów przypisała pakiet wicepremierowi Krzysztofowi Gawkowskiemu. W komunikacie wypowiada się Standerski.
Certyfikacja opiera się na systemie, w którym udział jest dobrowolny
Pierwszy punkt brzmi najmocniej, a stoi na najcieńszym gruncie. Resort proponuje, żeby firmy, którym powierza się dane medyczne, spełniały określone standardy bezpieczeństwa. Ich certyfikacja miałaby być powiązana z systemem z ustawy o krajowym systemie certyfikacji cyberbezpieczeństwa.
Ta ustawa istnieje. Pochodzi z 25 czerwca 2025 roku, ogłoszono ją w Dzienniku Ustaw pod pozycją 1017 i obowiązuje od 28 sierpnia 2025 roku. Ma więc dokładnie rok. Problem w tym, że certyfikacja w tym systemie jest dobrowolna. Ministerstwo pisało o tym wprost, przedstawiając projekt tej ustawy: przedsiębiorca może się certyfikować albo nie, i nic mu z tego tytułu nie grozi.
Żeby więc pierwszy punkt zadziałał, ktoś musi napisać przepis, który z dobrowolnego mechanizmu zrobi warunek wejścia na rynek danych medycznych. Tego przepisu jeszcze nie ma. Nie wiadomo też, czy obowiązek objąłby wyłącznie dostawców systemów, czy również same placówki. Sankcji w komunikacie nie ma ani jednej.
Kto ma dostęp do dokumentacji medycznej, a czego nie mówi klauzula RODO
Trzeci punkt wygląda na powtórzenie czegoś, co już obowiązuje, i jest to uzasadniona wątpliwość. RODO każe administratorowi poinformować, komu przekazuje dane. Artykuły 13 i 14 mówią jednak o “odbiorcach lub kategoriach odbiorców”. To drugie wystarczy. Dlatego klauzula w przychodni potrafi brzmieć “podmiotom świadczącym usługi informatyczne” i formalnie jest w porządku.
Samo powierzenie danych podmiotowi przetwarzającemu reguluje artykuł 28. Ten przepis dotyczy jednak umowy między przychodnią a dostawcą, a nie tego, co ma zobaczyć pacjent.
Propozycja resortu przesuwa środek ciężkości. Pacjent miałby dostać informację o zakresie i przedmiocie powierzenia oraz dane kontaktowe podmiotu przetwarzającego. Czyli konkretną firmę, konkretny zakres i adres, pod który można napisać. To bliżej doprecyzowania niż rewolucji, ale akurat w tym miejscu doprecyzowanie ma wymierny skutek. Po sierpniowym wycieku pacjent nie miał jak ustalić, czy jego przychodnia w ogóle korzystała z systemu MyDr, i rozpisaliśmy tę ścianę osobno. Trudno pytać o firmę, o której istnieniu się nie wie.
Powiadomienia w mojeIKP zadziałają tylko u tych, którzy mają aplikację
Czwarty punkt jest najbardziej praktyczny z całej piątki. Ministerstwo chce, żeby mObywatel i mojeIKP powiadamiały o zdarzeniach medycznych: wizycie, wystawieniu recepty, innym świadczeniu. Samo powiadomienie ma mówić tylko tyle, że coś się wydarzyło. Szczegóły zobaczy ten, kto zaloguje się do Internetowego Konta Pacjenta albo do aplikacji. Sens jest oczywisty. Jeśli ktoś wystawi receptę na twoje dane, dowiesz się o tym tego samego dnia.
Jest tu jednak problem skali, którego komunikat nie porusza. Zapytanie “ikp logowanie” ma w polskim Google około 368 tysięcy wyszukiwań miesięcznie według danych Senuto. Na “mojeikp aplikacja” przypada około 720. To nie mierzy liczby aktywnych użytkowników ani zainstalowanych aplikacji. Pokazuje jednak, że logowanie do Internetowego Konta Pacjenta jest w wyszukiwarce pytaniem nieporównanie częstszym niż sama aplikacja mojeIKP.
Powiadomienie na telefon działa tylko wtedy, gdy ktoś ma zainstalowaną aplikację i włączone zgody. Bez tego czwarty punkt pozostanie funkcją opisaną w propozycji, której pacjent nie zobaczy w swoim telefonie.
Który z pięciu punktów zadziałałby przy wycieku z MyDr
Zastrzeżenie na wstępie: nikt nie wykazał, że pakiet zapobiegłby kradzieży danych z MyDr. Na podstawie samego komunikatu nie da się tego rozstrzygnąć. Można natomiast sprawdzić, co zmieniłoby się w przebiegu tamtych trzech tygodni.
Najwięcej zmieniłby punkt piąty, w części o zgłaszaniu naruszeń. Resort proponuje, żeby podmiot przetwarzający przekazywał do CSIRT NASK, za pośrednictwem Policji, minimalny zakres danych osób objętych naruszeniem: imię, nazwisko i numer PESEL. Stamtąd dane trafiałyby do portalu bezpiecznedane.gov.pl. Przy MyDr właśnie w tym miejscu sprawa utknęła. Dostawca systemu jest podmiotem przetwarzającym, a nie administratorem, więc nie miał podstawy, żeby samodzielnie przekazać zbiór. Rząd zapowiedział 12 sierpnia, że dane trafią do portalu w kilka dni. Weszły tam 29 sierpnia, siedemnaście dni później.
Punkty pierwszy i drugi są nierozstrzygalne. Nikt nie opublikował, jak wyglądały zabezpieczenia w MyDr, a Prezes UODO dopiero prowadzi kontrolę wszczętą 13 sierpnia. Bez tego zdanie “certyfikacja by pomogła” jest życzeniem, nie analizą.
Punkt czwarty nie dotyczy samego wycieku. Powiadomienia o zdarzeniach medycznych pomagają wykryć, że ktoś już użył cudzych danych. To obrona po fakcie i przy zbiorze z 2024 roku oraz lat wcześniejszych ma sens długoterminowy.
Czego w Cyber Piątce nie ma
Lista rzeczy pominiętych jest w tym przypadku równie ważna jak sama piątka. Komunikat nie podaje żadnych sankcji. Nie mówi, kiedy zmiany miałyby wejść w życie ani jaką drogą. Nie rozstrzyga, czy certyfikacja obejmie tylko dostawców oprogramowania, czy również placówki, które je kupują. Milczy też o kosztach, a przy małym gabinecie to jest pytanie pierwsze, nie ostatnie.
Zabrakło również rzeczy, która przy MyDr okazała się kluczowa. Kto ma zawiadomić pacjenta, gdy administratorów są tysiące, a system jeden? Obowiązek zgłoszenia naruszenia w ciągu 72 godzin spoczywa na każdym administratorze osobno i opisaliśmy go w osobnym tekście. Piąty punkt przenosi część ciężaru na podmiot przetwarzający, ale robi to wyłącznie w kanale do CSIRT NASK. Zawiadomienie osoby, której dane dotyczą, zostaje tam, gdzie było.
Nie stawiamy tego jako zarzutu, bo pakiet jest na razie zestawem kierunków i tak został przedstawiony. Wyliczamy pytania, które trzeba będzie zadać projektowi, kiedy powstanie.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.
Zacznij Pierwszą Misję →
Pytania i odpowiedzi
Czy Cyber Piątka już obowiązuje?
Nie. To pięć propozycji przedstawionych w komunikacie Ministerstwa Cyfryzacji z 31 sierpnia 2026 roku. Nie ma projektu ustawy, numeru druku ani wpisu w wykazie prac legislacyjnych. Sam komunikat kończy się zapowiedzią prac nad szczegółowymi rozwiązaniami. Do czasu uchwalenia zmian obowiązują dotychczasowe przepisy o ochronie danych osobowych, czyli przede wszystkim RODO.
Po czym poznać, że firma podpada pod próg stu tysięcy osób?
Z komunikatu wynika, że wystarczy spełnić jeden z dwóch warunków. Pierwszy to świadczenie usług przetwarzania danych dla więcej niż stu administratorów. Drugi to przetwarzanie danych dotyczących łącznie ponad stu tysięcy osób. Liczy się suma ze wszystkich obsługiwanych klientów, a nie z pojedynczej umowy. Szczegółowej metody liczenia komunikat nie podaje, więc do czasu projektu jest to orientacja, a nie test zgodności.
Podsumowanie
Ministerstwo Cyfryzacji przedstawiło 31 sierpnia pięć propozycji zmian po kradzieży danych z systemu MyDr. Cztery dotyczą ochrony zdrowia, a piąta obejmuje wszystkie podmioty przetwarzające dane na dużą skalę: dla ponad stu administratorów albo dla ponad stu tysięcy osób. To są propozycje, nie przepisy, bo komunikat zapowiada dopiero prace nad rozwiązaniami legislacyjnymi. Najwięcej zmieniłby punkt o zgłaszaniu naruszeń przez podmiot przetwarzający do CSIRT NASK za pośrednictwem Policji, bo przy MyDr zbiór czekał na wejście do portalu Bezpieczne Dane siedemnaście dni. Punkt o certyfikacji stoi na ustawie z czerwca 2025 roku, w której certyfikacja jest dobrowolna, więc wymaga osobnego przepisu. Punkt o informowaniu pacjenta doprecyzowuje to, co RODO pozwala dziś opisać samą kategorią odbiorców. Sankcji, terminów ani kosztów komunikat nie podaje.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
