Dane o zdrowiu należą do tzw. szczególnych kategorii danych osobowych – RODO chroni je najsilniej, a Prezes UODO regularnie kontroluje podmioty lecznicze. Jednocześnie codzienność przychodni, gabinetu czy szpitala to setki sytuacji, w których dane pacjentów mogą „wyciec”: rozmowa w rejestracji, wynik wysłany e-mailem na zły adres, wspólne konto w systemie gabinetowym czy zdjęcie zmiany skórnej przesłane przez komunikator.
W tym artykule wyjaśniam, kiedy placówka medyczna musi wyznaczyć inspektora ochrony danych (IOD), jak wygląda audyt RODO w podmiocie leczniczym, jakie nieprawidłowości wykrywam najczęściej oraz ile kosztuje audyt i outsourcing IOD.
Czy przychodnia lub gabinet musi wyznaczyć IOD?
Obowiązek wyznaczenia inspektora ochrony danych wynika z art. 37 RODO. W ochronie zdrowia znaczenie mają dwie przesłanki.
Podmiot publiczny. Inspektora muszą wyznaczyć podmioty publiczne – w tym samodzielne publiczne zakłady opieki zdrowotnej (SP ZOZ) jako jednostki sektora finansów publicznych. Tu nie ma znaczenia skala działalności.
Przetwarzanie danych o zdrowiu na dużą skalę. Podmiot prywatny musi wyznaczyć IOD, gdy jego główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (art. 37 ust. 1 lit. c RODO). Leczenie pacjentów to z definicji przetwarzanie danych o zdrowiu – kluczowe jest więc pojęcie „dużej skali”.
RODO nie podaje liczbowego progu. W praktyce ocenia się m.in.:
- liczbę pacjentów i osób, których dane dotyczą,
- zakres i rodzaj przetwarzanych danych,
- czas przetwarzania (dokumentację medyczną przechowuje się co do zasady 20 lat),
- zasięg geograficzny działalności.
W praktyce: szpitale, sieci przychodni, centra medyczne, przychodnie POZ, laboratoria diagnostyczne i większe placówki specjalistyczne co do zasady powinny mieć IOD. Motyw 91 RODO wskazuje natomiast, że przetwarzanie danych pacjentów przez indywidualnego lekarza zwykle nie jest przetwarzaniem na dużą skalę.
Uwaga: brak obowiązku nie oznacza braku obowiązków. Gabinet bez IOD nadal musi prowadzić rejestr czynności przetwarzania (w praktyce niemal zawsze), zawierać umowy powierzenia, zgłaszać naruszenia w 72 godziny i wykazać zgodność z RODO podczas kontroli. Wiele mniejszych placówek wyznacza IOD dobrowolnie – właśnie po to, by mieć osobę, która tego wszystkiego pilnuje.
Najczęstsze błędy wykrywane podczas audytu RODO w placówce medycznej
Od lat pracuję na styku prawa i informatyki medycznej – uczestniczyłam m.in. we wdrożeniu elektronicznej dokumentacji medycznej w jednej z największych sieci medycznych w Polsce. Poniższe nieprawidłowości pojawiają się w audytach placówek wszystkich wielkości:
- Brak lub nieaktualne upoważnienia do przetwarzania danych – szczególnie dla rejestratorek, personelu pomocniczego, praktykantów i osób na umowach cywilnoprawnych.
- Brak umów powierzenia z dostawcą systemu EDM, zewnętrznym laboratorium, firmą IT, biurem rachunkowym, firmą niszczącą dokumenty czy dostawcą usług chmurowych.
- Wspólne konta w systemie gabinetowym i słabe hasła – uniemożliwiają ustalenie, kto i kiedy przeglądał dokumentację pacjenta.
- Rejestracja bez dyskrecji – rozmowy o wynikach przy innych pacjentach, wywoływanie pełnym imieniem i nazwiskiem, monitory widoczne z poczekalni.
- Wydawanie wyników i dokumentacji bez weryfikacji tożsamości – telefonicznie, e-mailem bez szyfrowania lub osobom bez upoważnienia pacjenta.
- Komunikatory prywatne w pracy klinicznej – zdjęcia zmian, wyników czy skierowań przesyłane przez WhatsApp lub Messengera.
- Monitoring wizyjny bez prawidłowej podstawy – kamery w pomieszczeniach, w których wymaga to uregulowania w regulaminie organizacyjnym, brak oznakowania i klauzul.
- Brak rejestru czynności przetwarzania lub rejestr „z szablonu”, niezgodny z rzeczywistością.
- Brak analizy ryzyka i procedury postępowania w razie naruszenia – w efekcie nikt nie wie, co zrobić, gdy dojdzie do incydentu, a termin 72 godzin mija.
- Narzędzia AI bez weryfikacji – asystenci do transkrypcji wizyt czy chatboty wdrożone bez oceny, gdzie trafiają dane pacjentów.
Każdy z tych błędów może skutkować skargą pacjenta do UODO, kontrolą i karą administracyjną. W przypadku podmiotów prywatnych kary sięgają do 20 mln euro lub 4% rocznego obrotu, a dla jednostek sektora finansów publicznych – do 100 000 zł.
Jak wygląda audyt RODO w podmiocie leczniczym – krok po kroku
Profesjonalny audyt to nie lista kontrolna wypełniona w godzinę. To sprawdzenie, jak dane pacjentów faktycznie przepływają przez placówkę.
Krok 1. Analiza dokumentacji. Przegląd polityki ochrony danych, rejestru czynności, upoważnień, umów powierzenia, klauzul informacyjnych, regulaminu organizacyjnego i procedur.
Krok 2. Wywiady i wizja lokalna. Rozmowy z kierownictwem, rejestracją, personelem medycznym i IT. Sprawdzenie stanowisk pracy, rejestracji, archiwum dokumentacji papierowej i sposobu jej niszczenia.
Krok 3. Weryfikacja systemów informatycznych. Uprawnienia w systemie EDM, logowanie dostępu, kopie zapasowe, szyfrowanie, poczta e-mail, dostęp zdalny, integracje z P1 i zewnętrznymi laboratoriami.
Krok 4. Raport z audytu. Lista niezgodności z oceną ryzyka i priorytetami: co trzeba naprawić od razu, co w ciągu miesiąca, a co przy kolejnej aktualizacji.
Krok 5. Wdrożenie rekomendacji. Przygotowanie lub aktualizacja brakujących dokumentów, umów i procedur.
Krok 6. Szkolenie personelu. Praktyczne, na przykładach z placówki – bo większość naruszeń wynika z ludzkich błędów, nie z awarii systemów.
Audyt można przeprowadzić w pełni zdalnie (analiza dokumentów i wideorozmowy) lub z wizytą na miejscu – dzięki temu obsługuję placówki z całej Polski.
IOD wewnętrzny czy zewnętrzny (outsourcing IOD)?
RODO pozwala wyznaczyć na inspektora pracownika albo osobę zewnętrzną na podstawie umowy o świadczenie usług (art. 37 ust. 6 RODO). Jak wypada porównanie?
IOD wewnętrzny (pracownik)
- Koszt: wynagrodzenie, ZUS, szkolenia, urlopy.
- Wiedza: często łączona z innymi obowiązkami.
- Konflikt interesów: wysokie ryzyko.
- Ciągłość: przerwa na czas urlopu lub zwolnienia.
Zewnętrzny IOD (outsourcing)
- Koszt: stały miesięczny abonament.
- Wiedza: specjalizacja w RODO i prawie medycznym.
- Konflikt interesów: brak.
- Ciągłość: zastępowalność zapewniona umową, wsparcie prawnika przy kontroli UODO i naruszeniu.
Konflikt interesów to najczęstszy problem IOD wewnętrznego. Zgodnie z art. 38 ust. 6 RODO inspektor nie może pełnić zadań, które prowadzą do konfliktu interesów. Funkcji IOD nie powinni więc łączyć m.in. kierownik podmiotu leczniczego, kierownik rejestracji, osoba odpowiedzialna za kadry czy administrator systemów IT – bo kontrolowaliby sami siebie.
Co robi zewnętrzny IOD dla placówki medycznej?
- monitoruje przestrzeganie RODO i aktualizuje dokumentację,
- doradza przy nowych systemach, umowach i narzędziach (np. AI, telemedycyna),
- prowadzi szkolenia personelu,
- obsługuje naruszenia ochrony danych i zgłoszenia do UODO w terminie 72 godzin,
- odpowiada na wnioski pacjentów (np. o dostęp do danych),
- jest punktem kontaktowym dla Prezesa UODO i reprezentuje placówkę podczas kontroli.
Pamiętaj, że wyznaczonego IOD trzeba zgłosić Prezesowi UODO w terminie 14 dni od wyznaczenia, a jego dane kontaktowe opublikować (np. na stronie internetowej placówki).
Ile kosztuje audyt RODO i outsourcing IOD?
Koszt zależy przede wszystkim od wielkości placówki, liczby lokalizacji i systemów informatycznych, stanu obecnej dokumentacji oraz formy audytu (zdalny czy z wizytą na miejscu). Orientacyjne widełki rynkowe:
Audyt RODO
- mały gabinet / praktyka: od 1 500 zł,
- przychodnia, centrum medyczne: 3 000 – 8 000 zł,
- szpital / sieć placówek: od 10 000 zł.
Outsourcing IOD (abonament miesięczny)
- mały gabinet / praktyka: od 300 zł,
- przychodnia, centrum medyczne: 600 – 1 500 zł,
- szpital / sieć placówek: wycena indywidualna.
Dla porównania: zatrudnienie pracownika z wiedzą z zakresu RODO i prawa medycznego to koszt wielokrotnie wyższy, a jedna kara administracyjna lub roszczenie pacjenta za naruszenie danych może przekroczyć koszt kilkuletniej obsługi.
Dobra praktyka: zacznij od audytu, a następnie powierz funkcję IOD tej samej kancelarii – inspektor zna wtedy placówkę od pierwszego dnia, a pakiet audyt + IOD jest zwykle tańszy niż obie usługi osobno.
Najczęściej zadawane pytania
Czy gabinet lekarski prowadzony przez jednego lekarza musi mieć IOD?
Co do zasady nie – motyw 91 RODO wskazuje, że przetwarzanie danych pacjentów przez indywidualnego lekarza zwykle nie jest przetwarzaniem na dużą skalę. Gabinet nadal musi jednak spełniać pozostałe obowiązki RODO.
Jak często przeprowadzać audyt RODO w placówce medycznej?
Zalecamy audyt pełny co najmniej raz w roku oraz dodatkowo przy istotnych zmianach: nowym systemie EDM, nowej lokalizacji, wdrożeniu telemedycyny lub narzędzi AI, po naruszeniu ochrony danych.
Czy zewnętrzny IOD może obsługiwać placówkę zdalnie?
Tak. Większość zadań inspektora – doradztwo, aktualizacja dokumentacji, szkolenia online, obsługa naruszeń – realizuje się zdalnie, co pozwala obsługiwać placówki w całej Polsce.
Ile czasu ma placówka na zgłoszenie naruszenia ochrony danych?
72 godziny od stwierdzenia naruszenia (art. 33 RODO). Jeżeli naruszenie powoduje wysokie ryzyko dla pacjentów, trzeba ich również zawiadomić.
Czy kierownik przychodni może być inspektorem ochrony danych?
Nie powinien. Kierownik decyduje o celach i sposobach przetwarzania danych, więc pełnienie przez niego funkcji IOD prowadziłoby do konfliktu interesów (art. 38 ust. 6 RODO).
Audyt RODO i outsourcing IOD dla placówek medycznych w całej Polsce
Kancelaria KAM MedLex specjalizuje się w prawie medycznym i ochronie danych osobowych w ochronie zdrowia. Przeprowadzamy audyty RODO i pełnimy funkcję inspektora ochrony danych dla przychodni, gabinetów, centrów medycznych, laboratoriów i placówek rehabilitacyjnych – zdalnie w całej Polsce oraz stacjonarnie.
Łączymy wiedzę prawniczą z praktyczną znajomością systemów dokumentacji medycznej, dlatego nasze rekomendacje da się wdrożyć w realnej pracy placówki – bez paraliżu rejestracji.
Umów konsultację: napisz na iod@kancelariakam.pl lub skorzystaj z formularza kontaktowego na stronie kancelariakam.pl.
Kamila Anioł – radca prawny, Kancelaria KAM MedLex. Prawo medyczne, ochrona danych osobowych w ochronie zdrowia.