Kolejne przychodnie, szpitale i inne podmioty ochrony zdrowia mogą jeszcze w 2026 roku zostać objęte kontrolą Urzędu Ochrony Danych Osobowych. Prezes urzędu Mirosław Wróblewski zapowiedział w tym sektorze dodatkowe, zintensyfikowane kontrole UODO. Sięgnął po nie po wycieku danych pacjentów, w którym znalazły się informacje o stanie zdrowia. Żeby zrobić na to miejsce w kalendarzu, urząd przesunął kontrole internetowych platform dostaw na pierwszą połowę 2027 roku.
Zapowiedź UODO bez listy podmiotów i bez dat
Zapowiedź stoi w komunikacie opublikowanym 16 września na stronie urzędu. Wynika z niego, że kontrole ruszają jeszcze w tym roku i obejmą podmioty sektora ochrony zdrowia. Urząd nie podał ani liczby placówek, ani kryteriów doboru, ani harmonogramu z datami.
Ten brak szczegółów jest sam w sobie informacją. Roczny plan kontroli sektorowych publikuje się z wyprzedzeniem po to, żeby podmiot wiedział, czy jego sektor i rodzaj przetwarzania znalazły się w planie. Imiennej listy placówek taki plan nigdy nie zawiera. Tegoroczne wizyty w ochronie zdrowia dokładają się do niego w trakcie roku, więc pola do sprawdzenia jest jeszcze mniej.
Reszta planu na 2026 rok zostaje bez zmian. Urząd nadal zamierza kontrolować podmioty prowadzące Biuletyn Informacji Publicznej, podmioty przetwarzające dane w celach marketingowych oraz korzystanie z Wielkoskalowych Systemów Unii Europejskiej, czyli Systemu Informacyjnego Schengen i Wizowego Systemu Informacyjnego. Jedyna przesunięta pozycja to platformy dostaw.
Dlaczego akurat teraz: wyciek danych pacjentów z MyDr
Punktem zapalnym jest sprawa, która w sierpniu obiegła całą Polskę. Z systemu MyDr wyciekły dane pacjentów razem z numerami PESEL i informacjami o stanie zdrowia. Opisaliśmy ją wtedy w tekście o wycieku danych z MyDr.
Komunikat opisuje to dokładnie. Po doniesieniach medialnych o wycieku prezes UODO niezwłocznie podjął decyzję o kontroli w tej firmie. Jej przedmiotem są zastosowane środki techniczne i organizacyjne oraz analiza ryzyka przeprowadzona przez spółkę. Szerszą serię kontroli urząd wiąże z tym cyberatakiem i z wieloma innymi przypadkami naruszeń.
Warto przy tym wiedzieć, że to nie jest wejście urzędu do sektora od zera. Kontrole sektorowe w ochronie zdrowia UODO prowadzi od 2025 roku. Rok temu dotyczyły bezpieczeństwa danych osobowych, a w tym roku przede wszystkim monitoringu wizyjnego. Nowością jest dodatkowa, zintensyfikowana seria kontroli u kolejnych podmiotów.
Dane o zdrowiu należą do szczególnych kategorii danych w rozumieniu RODO i są chronione ostrzej niż dane zwykłe. Sam ich charakter nie tworzy jednak odrębnego, wyższego pułapu kary. Pułap zależy od tego, który obowiązek został naruszony, oraz od statusu podmiotu. Dla części podmiotów publicznych polska ustawa przewiduje własną górną granicę. Rodzaj danych jest natomiast jedną z okoliczności branych pod uwagę przy wymiarze kary. Komunikat nie zapowiada żadnych konkretnych kar i my również żadnych kwot tu nie podajemy.
Co kontrole UODO faktycznie sprawdzają w placówce
Sformułowanie o środkach technicznych i organizacyjnych oraz analizie ryzyka wygląda na formułę prawniczą, a oznacza konkretne dokumenty i konkretne ustawienia. Komunikat urzędu nie rozpisuje listy pytań, więc poniższe wyliczenie jest naszym rozwinięciem, opartym na RODO i na wcześniejszej praktyce kontrolnej. Kontroler zwykle pyta o rejestr czynności przetwarzania, umowy powierzenia z dostawcami, politykę haseł i uprawnień, kopie zapasowe, szyfrowanie oraz rejestr naruszeń.
Najciekawszy jest jednak ten fragment o analizie ryzyka. Chodzi o pytanie, czy placówka w ogóle usiadła kiedyś i spisała, co może pójść nie tak z danymi pacjentów. Częsta odpowiedź w małych podmiotach brzmi: mamy dokumentację od firmy wdrożeniowej sprzed czterech lat i nikt do niej nie wracał. Taka dokumentacja opisuje system, którego już nie ma.
Osobna warstwa to oprogramowanie gabinetowe. Podatności w systemach używanych przez polskie przychodnie wychodzą regularnie, o czym pisaliśmy przy lukach w systemie dReryk. Przychodnia jako administrator danych nie przestaje odpowiadać za dane pacjentów przez to, że powierzyła je dostawcy. Sam dostawca też nie jest przezroczysty: jako podmiot przetwarzający ma własne obowiązki wprost z RODO i może za ich naruszenie odpowiadać niezależnie od zapisów umowy.
Co z tego wynika dla przychodni i dla dostawcy oprogramowania
Dla małej placówki pierwszym krokiem jest sprawdzenie, czy rejestr czynności przetwarzania i analiza ryzyka opisują dzisiejszy stan systemów. Drugim krokiem jest przegląd kont w systemie gabinetowym pod kątem osób, które już tam nie pracują. Trzecim, wcale nie najłatwiejszym, jest ustalenie, kto zgłosiłby naruszenie i jak szybko. Administrator zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu siedemdziesięciu dwóch godzin od stwierdzenia naruszenia. Obowiązek odpada, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób. Dostawca oprogramowania występuje w takiej sytuacji zwykle jako podmiot przetwarzający i zawiadamia administratora bez zbędnej zwłoki. Tych siedemdziesięciu dwóch godzin nie stosuje się do niego wprost. Całą procedurę rozpisaliśmy w tekście o zgłaszaniu naruszenia danych.
Dla firmy dostarczającej oprogramowanie medyczne sytuacja wygląda inaczej. Kontrola u klienta bardzo szybko dochodzi do pytania o procesora danych, czyli o dostawcę. Wtedy liczy się, czy umowa powierzenia jest aktualna, czy istnieje procedura zgłaszania incydentów do klienta i czy dostawca potrafi pokazać, jak łata swoje systemy. Sprawa MyDr pokazała, że przy jednym systemie obsługującym setki placówek skutek pojedynczego błędu rozchodzi się po całym kraju.
Co dzisiaj może zrobić pacjent
Zapowiedź kontroli nie daje pacjentowi żadnego nowego uprawnienia, bo wszystkie i tak już przysługują. Można zapytać placówkę, jakie dane o nas przetwarza i komu je powierza. Można też zażądać kopii dokumentacji medycznej.
Jeżeli ktoś był na liście osób dotkniętych wyciekiem z MyDr, to nadal ma dwie osobne drogi. Skarga do UODO uruchamia postępowanie administracyjne, a jego adresatem bywa administrator albo podmiot przetwarzający, zależnie od tego, czyj obowiązek został naruszony. Pozew cywilny o zadośćuczynienie idzie zupełnie inną ścieżką i nie wymaga czekania na rozstrzygnięcie urzędu. Różnice między nimi rozpisaliśmy w tekście o odszkodowaniu za wyciek danych.
Praktyczna uwaga na kolejne tygodnie: po każdym głośnym wycieku pojawia się fala wiadomości podszywających się pod instytucje. Pacjenta zawiadamia administrator danych, a przy wycieku z MyDr są nim placówki, bo sama spółka występuje tam w roli podmiotu przetwarzającego. Obowiązek zawiadomienia powstaje, gdy naruszenie może powodować wysokie ryzyko dla osoby. Każdy SMS z linkiem do sprawdzenia, czy twoje dane wyciekły, sprawdź niezależnym kanałem, zanim w niego klikniesz.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
Urząd Ochrony Danych Osobowych zapowiedział dodatkowe kontrole w ochronie zdrowia jeszcze w 2026 roku i przesunął w tym celu kontrole internetowych platform dostaw na pierwszą połowę 2027. Decyzję wiąże z wyciekiem danych pacjentów z systemu MyDr oraz z wieloma innymi przypadkami naruszeń, a sam sektor kontroluje już od 2025 roku. Komunikat nie podaje liczby placówek do skontrolowania ani zapowiadanych kar, więc każda krążąca liczba pochodzi skądinąd. Dla przychodni i dla dostawców oprogramowania medycznego najbliższe tygodnie są dobrym momentem na sprawdzenie, czy analiza ryzyka i rejestr czynności przetwarzania opisują systemy, które faktycznie dziś stoją w gabinecie. Pacjent nowych uprawnień nie dostaje, ale te, które ma, działają niezależnie od tego, czy urząd wejdzie akurat do jego przychodni.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
