RODO i dokumentacja medyczna: dostęp, wycieki, wnioski

Przychodnia, poniedziałek w sierpniu 2026, kwadrans po ósmej. Kierowniczka rejestracji otwiera skrzynkę ogólną. Pacjentka pyta, czy jej wyniki były w wycieku, o którym piszą media, i prosi o kopię wszystkich swoich danych. Kancelaria przysyła w imieniu innego pacjenta wezwanie do zapłaty zadośćuczynienia z siedmiodniowym terminem. Trzeci pacjent dzwoni i żąda usunięcia swojej karty, bo nie chce być w systemie, z którego wyciekają dane. Infolinia dostawcy programu jest zajęta od rana. Rejestratorka odpowiada każdemu tym samym zdaniem: sprawą zajmuje się producent systemu.

To zdanie jest błędem. Wobec pacjenta i wobec Prezesa UODO sprawą zajmuje się przychodnia, a pozew o odszkodowanie może trafić do niej tak samo jak do dostawcy. To ona decyduje, po co i jak przetwarza dane pacjentów, więc to ona zgłasza naruszenie, odpowiada na pisma i broni się dokumentami. Dostawca ma wobec niej obowiązki z umowy, ale jej obowiązków nie przejmuje.

Ten sam układ wraca przy koncie studenta, który dawno skończył praktykę, przy skardze na wpis dopisany po wizycie, przy kamerze w poczekalni pediatrycznej, przy kartonach kart po zamkniętym gabinecie i przy starym systemie, który ktoś chce wyłączyć. Obowiązek zostaje w placówce, a dowód jego wykonania trzeba mieć, zanim ktoś o niego zapyta.

Dla kogo i jak czytać

Poradnik jest dla lekarzy prowadzących praktykę, właścicieli przychodni, dyrektorów szpitali, kierowników dokumentacji medycznej i IT oraz inspektorów ochrony danych. Gabinet zaczyna od rozdziałów Kto jest administratorem i 20 lat przechowywania, potem czyta Wyciek u dostawcy i Wnioski pacjentów. Przychodnia dokłada dziennik zmian i digitalizację, poradnia dziecięca monitoring wizyjny, a sieć przychodni inspektora i upoważnienia. Szpital i szpital specjalistyczny potrzebują całości. Sieć szpitali zaczyna od rozdziału Co to znaczy na waszej skali. Typowe błędy służą do przeglądu przed kontrolą. Stan prawny: 29.09.2026.

Kto jest administratorem, a kto przetwarza

Każdy obowiązek w tym poradniku zaczyna się od pytania, kto decyduje, po co i jak przetwarza się dane pacjentów. Ten podmiot jest administratorem: odpowiada za przestrzeganie zasad ochrony danych i musi umieć to wykazać (art. 5 ust. 2 i art. 24 ust. 1 RODO). Firma, która przetwarza dane w jego imieniu i na jego polecenie, jest podmiotem przetwarzającym.

Kto jest kim, gdy dane leżą u dostawcy

Placówka, która prowadzi dokumentację w programie kupionym jako usługa, jest administratorem, choć baza stoi na serwerach dostawcy. Prezes UODO napisał to wprost w komunikacie z 13 sierpnia 2026: dostawca, z którego systemu wyciekły dane, „jest podmiotem przetwarzającym dane administrowane przez placówki medyczne, będące jej klientami”. Administrator korzysta wyłącznie z podmiotów przetwarzających, które dają wystarczające gwarancje odpowiednich zabezpieczeń (art. 28 ust. 1 RODO), więc wybór dostawcy jest decyzją placówki, a umowa powierzenia tej odpowiedzialności nie przenosi. Dostawca jest uznawany za administratora dopiero wtedy, gdy z naruszeniem RODO sam decyduje o celach przetwarzania, na przykład używa danych pacjentów do własnych celów (art. 28 ust. 10).

Firma od kopii, informatyk z własną firmą, firma ochroniarska obsługująca rejestrator kamer, firma skanująca albo niszcząca papier też przetwarzają dane w imieniu placówki i potrzebują umowy z elementami z art. 28 ust. 3 RODO. Laboratorium, które samo udziela świadczeń, jest zwykle osobnym administratorem. Lekarz przyjmujący także w cudzej przychodni ustala z nią na piśmie, kto jest administratorem dokumentacji z tych wizyt. W sieci kilka spółek to kilku administratorów, nawet przy wspólnej bazie (Jedna baza pacjentów w sieci przychodni).

Gabinet: czego nie musi

Ustawa o działalności leczniczej wymienia praktykę zawodową obok podmiotu leczniczego w definicji podmiotu wykonującego działalność leczniczą (art. 2 ust. 1 pkt 5), a część obowiązków kieruje tylko do podmiotów leczniczych, więc praktyki one nie dotyczą. RODO takiego rozróżnienia nie robi: lekarz prowadzący praktykę jest administratorem.

Gabinet nie musi wyznaczać inspektora ochrony danych. Obowiązek powstaje przy przetwarzaniu danych o zdrowiu na dużą skalę jako głównej działalności (art. 37 ust. 1 lit. c RODO), a motyw 91 RODO mówi, że pojedynczy lekarz nie przetwarza danych pacjentów na dużą skalę i że ocena skutków nie powinna być dla niego obowiązkowa. Motyw nie jest przepisem, ale wskazówka jest jednoznaczna. Ocena skutków wraca, gdy przetwarzanie może powodować wysokie ryzyko (art. 35 ust. 1); przed nagrywaniem wizyt warto tę ocenę zrobić i zapisać.

Gabinet nie zbiera też zgody na przetwarzanie danych w celu leczenia. Jedna podstawa dla całej praktyki zawodowej to art. 9 ust. 2 lit. h RODO, gdy dane przetwarza osoba objęta tajemnicą zawodową albo ktoś działający na jej odpowiedzialność (art. 9 ust. 3). Formularz zgody sugeruje pacjentowi, że po jej cofnięciu dokumentacja zniknie, a nie zniknie (przechowywanie). Zgoda na świadczenie zdrowotne to osobny dokument i ten zostaje.

Czego nikt za gabinet nie zrobi

Rejestru czynności przetwarzania. Zwolnienie podmiotów zatrudniających mniej niż 250 osób nie obejmuje przetwarzania niesporadycznego ani danych o zdrowiu (art. 30 ust. 5 RODO), więc gabinet prowadzi rejestr jak szpital (art. 30 ust. 1).

Informacji dla pacjenta z art. 13 RODO, także w formularzu zapisu i potwierdzeniu wizyty, bo pacjent podaje dane, zanim wejdzie do poczekalni. Umów powierzenia, upoważnień i osobnego konta dla każdej osoby, bo system dokumentacji ma pokazywać, kto dokonał wpisu i kiedy (§ 1 ust. 6 pkt 3 i 4 rozporządzenia Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania, dalej: rozporządzenie o dokumentacji medycznej).

Kopii, która się odtwarza, i szyfrowania. Administrator ma umieć szybko przywrócić dostęp do danych i regularnie testować zabezpieczenia (art. 32 ust. 1 lit. a, c i d RODO). Test opisuje rozdział Kopia zapasowa, która się odtwarza; przy programie w chmurze gabinet prosi dostawcę o odtworzenie na osobnej instancji i sprawdza pięć kart.

Porządku w telefonie: wynik przysłany komunikatorem trafia do programu tego samego dnia i znika z galerii, która bywa synchronizowana z prywatną chmurą. Dokumentowania naruszeń, także tych, których się nie zgłasza (art. 33 ust. 5 RODO); zgubiony pendrive z wynikami też jest wpisem.

Lista na jedno popołudnie

Spiszcie, gdzie są dane pacjentów: program, laptop, telefon, poczta, teczki, kopia.
Zapiszcie rejestr czynności: cel, kategorie danych, odbiorcy, okres przechowywania, zabezpieczenia.
Wywieście informację z art. 13 RODO i wycofajcie formularz zgody na przetwarzanie danych w celu leczenia.
Przy każdej firmie z dostępem do danych sprawdźcie umowę powierzenia.
Załóżcie każdej osobie osobne konto i zapiszcie, kto je wyłącza w dniu odejścia.
Włączcie szyfrowanie dysku i blokadę ekranu telefonu, na który przychodzą wyniki.
Odtwórzcie z kopii jedną kartotekę na innym komputerze i zapiszcie wynik.
Załóżcie rejestr naruszeń. Pusty też jest w porządku, jeśli jest prawdziwy.
Zapiszcie akapit, dlaczego nie wyznaczacie inspektora: motyw 91 i art. 37 ust. 1 lit. c RODO.

Wyciek z systemu dostawcy: odpowiada placówka

Podział ról z poprzedniego rozdziału sprawdza się w dniu wycieku. Latem 2026 wyciekły dane z systemu, w którym dokumentację prowadziły gabinety i przychodnie. Według komunikatu UODO z 25 września 2026 w związku z tym incydentem wpłynęło od administratorów ponad 2 tys. zawiadomień; ten sam komunikat informuje o kolejnym wycieku, o którym piszą media, z systemu innego producenta.

Kto płaci pacjentowi

Pacjent, który poniósł szkodę, może żądać odszkodowania od administratora albo od podmiotu przetwarzającego (art. 82 ust. 1 RODO). Podmiot przetwarzający odpowiada tylko wtedy, gdy nie dopełnił obowiązków nałożonych bezpośrednio na niego albo działał poza poleceniami administratora (art. 82 ust. 2), a gdy odpowiadają obaj, odpowiadają solidarnie (art. 82 ust. 4). Placówka, która zapłaciła, może żądać od dostawcy zwrotu części odszkodowania odpowiadającej części szkody, za którą dostawca odpowiada (art. 82 ust. 5), ale tylko z dowodami: umową, poleceniami, korespondencją, dziennikiem zdarzeń. Bez nich zostaje sama z rachunkiem.

72 godziny od czego

Podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO). Administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w 72 godziny od stwierdzenia, chyba że ryzyko jest mało prawdopodobne (art. 33 ust. 1), a przy wysokim ryzyku zawiadamia pacjentów jasnym i prostym językiem (art. 34 ust. 1 i 2).

Zegar placówki rusza, gdy ma ona wystarczającą pewność, że naruszenie dotyczy jej danych. UODO w komunikacie z 12 sierpnia 2026 napisało, że administrator „powinien otrzymać od ww. podmiotu przetwarzającego informację potwierdzającą, iż incydent dotyczył danych osobowych związanych z jego działalnością”. To nie jest zaproszenie do czekania. Placówka zabiega o potwierdzenie na piśmie, zapisuje daty prośby i odpowiedzi, a gdy dostawca milczy, zgłasza naruszenie na podstawie tego, co wie, i uzupełnia zgłoszenie później (art. 33 ust. 4). Od dostawcy potrzebuje zestawienia: których pacjentów dotyczą odczytane rekordy, jakie pola i z jakiego okresu, bo zgłoszenie opisuje kategorie i przybliżoną liczbę osób oraz wpisów (art. 33 ust. 3 lit. a). Placówka objęta ustawą o krajowym systemie cyberbezpieczeństwa ma drugi, krótszy zegar: po okresie dostosowawczym, najpóźniej od 3 kwietnia 2027, a były operator usługi kluczowej według nowych zasad już od 3 października 2026 (art. 33 ust. 1 i 4 ustawy nowelizującej, Dz.U. 2026 poz. 252; Dwa zegary).

Pierwszy dzień

Tego samego dnia, bez czekania na komunikat dostawcy: wpis do rejestru naruszeń z godziną, o której placówka się dowiedziała, wiadomość do inspektora, jeśli go wyznaczono, i pisemne żądanie potwierdzenia i zestawienia do dostawcy. Decyzję o zgłoszeniu podejmuje kierownictwo placówki, inspektor doradza (art. 39 ust. 1 lit. a RODO). Rejestracja dostaje kartkę opisaną w rozdziale o wnioskach pacjentów, a do informacji dla pacjentów dopisuje się zdanie, że placówka nie prosi SMS-em ani telefonicznie o dopłaty, kody ani hasła. Kto zgadza się na odcięcie integracji, które zatrzyma rejestrację internetową albo wyniki z laboratorium, ustala się przed incydentem, nie w nocy przez telefon.

Pytania do dostawcy według zaleceń CSIRT Centrum e-Zdrowia

16 września 2026 CSIRT Centrum e-Zdrowia (CSIRT CeZ) i Ministerstwo Zdrowia przekazały dostawcom oprogramowania medycznego zalecenia bezpieczeństwa (komunikat UODO z 25 września 2026, dokument na ezdrowie.gov.pl). Zalecenia nie zastępują obowiązków z przepisów, a ezdrowie.gov.pl zachęca placówki, żeby używały ich jako praktycznej listy kontrolnej. Z tej listy ułożyłem pytania, na które dostawca odpowiada na piśmie i z dowodem:

Na podstawie jakiej umowy przetwarzacie dane naszych pacjentów i czy zawiera ona elementy z art. 28 ust. 3 RODO?
Z jakich podwykonawców korzystacie i w jakich krajach są dane?
W ilu godzinach, jakim kanałem i z jakimi informacjami powiadomicie nas o naruszeniu?
Czy uwierzytelnianie wieloskładnikowe (MFA) jest wymuszone dla kont administracyjnych, serwisowych i dostępu spoza sieci placówki, metodą odporną na wyłudzenie?
Którzy wasi pracownicy mają dostęp do naszej bazy produkcyjnej i czy jej kopie trafiają do środowisk testowych?
Jakie interfejsy API udostępnia system i jak chronione jest każde wywołanie?
Czy nasze dane leżą na infrastrukturze wspólnej z innymi klientami i jak są oddzielone?
Czy system rejestruje, kto, kiedy i skąd odczytał albo wyeksportował dane, i czy wykrywa masowe odczyty?
Jak szyfrujecie dane i kopie, gdzie są klucze i czy co najmniej jedna kopia jest niemożliwa do zmiany ani usunięcia?
Jak szybko zablokujecie konta i odetniecie integrację i kto po naszej stronie się na to zgadza?

Odpowiedź „spełniamy RODO” bez dokumentu liczcie jako brak odpowiedzi. Formularz dostaje osobno każdy podmiot przetwarzający: dostawca dokumentacji, rejestracji internetowej, integracji z laboratorium, a w szpitalu także producenci aparatury z dostępem zdalnym. Co wpisać do samej umowy, opisuje rozdział Umowa powierzenia: pięć zapisów o wycieku.

Co sprawdzi kontrola

Prezes UODO 16 września 2026 zdecydował o dodatkowych kontrolach przetwarzania danych o zdrowiu do końca 2026 roku (komunikat z 25 września 2026). Placówka wykazuje umowę powierzenia, to, jak sprawdziła gwarancje dostawcy przed wyborem, dokumentację naruszenia i daty stwierdzenia, zgłoszenia i zawiadomienia pacjentów. Odpowiedzi dostawcy na piśmie, zebrane przed kontrolą, są dowodem rozliczalności.

Pacjent pyta, czy jego dane wyciekły

Trzy pisma ze sceny otwierającej mają trzy podstawy, trzy terminy i trzech właścicieli. Żadnego nie rozstrzyga rejestracja przez telefon. Terminy z RODO biegną od otrzymania żądania (art. 12 ust. 3 RODO), a nie od dnia, w którym pismo zobaczył właściciel. Mail na adres ogólny, formularz, list w okienku i żądanie zgłoszone przez telefon uruchamiają ten sam zegar, więc pierwszy krok to rejestr żądań: data wpływu, kanał, pacjent, treść, osoba prowadząca, termin, data odpowiedzi. Prośba o „wszystkie moje wyniki” może też oznaczać udostępnienie dokumentacji z ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta (art. 26 ust. 1), więc dopytajcie od razu.

Żądanie dostępu: miesiąc od wpływu

Pacjent ma prawo do potwierdzenia przetwarzania, kopii danych i informacji o celach, odbiorcach, okresie przechowywania i prawie skargi (art. 15 ust. 1 i 3 RODO). Odpowiedź idzie bez zbędnej zwłoki, najpóźniej w miesiąc; przedłużenie o dwa miesiące jest możliwe, ale pacjent dowiaduje się o nim przed upływem pierwszego miesiąca (art. 12 ust. 3). Pierwsza kopia jest bezpłatna (art. 15 ust. 3), także gdy pacjent chce jej użyć w celu niezwiązanym z ochroną danych, a w relacji lekarz pacjent obejmuje w każdym razie diagnozę, wyniki badań, oceny lekarzy i leczenie (wyrok Trybunału Sprawiedliwości UE z 26 października 2023, C-307/22). Pytanie „po co to panu” nie jest warunkiem wydania kopii. Odbiorcą jest też dostawca systemu (art. 4 pkt 9 RODO), a pacjent ma prawo poznać konkretnych odbiorców, nie tylko ich kategorie (wyrok z 12 stycznia 2023, C-154/21), więc dostaje nazwę dostawcy.

Na pytanie o wyciek placówka odpowiada na podstawie dokumentacji naruszenia. Jeśli ma potwierdzenie od dostawcy i ryzyko jest wysokie, pacjent powinien już mieć zawiadomienie z art. 34. Jeśli nie ma, piszecie wprost, czego nie wiecie i od kogo czekacie na odpowiedź. Zdanie „pana dane są bezpieczne” bez podstawy w dokumentacji może wrócić w pozwie. Przed wysyłką kopii sprawdzacie tożsamość (art. 12 ust. 6), bo kopia wysłana na adres spoza karty to kolejne naruszenie, tym razem w całości wasze. Od kancelarii prosicie o pełnomocnictwo.

Żądanie usunięcia: odmowa z uzasadnieniem

Prawo do usunięcia nie działa, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego (art. 17 ust. 3 lit. b RODO), a dokumentację trzeba przechowywać przez okresy z rozdziału o przechowywaniu. Odmowa idzie w terminie miesiąca, z powodem i informacją o skardze do Prezesa UODO i drodze sądowej (art. 12 ust. 4). Mail dostaje odpowiedź mailem, chyba że pacjent chce innej formy. Dane przetwarzane wyłącznie na podstawie zgody, na przykład numer do przypomnień SMS spoza dokumentacji, usuwa się od razu, bo ich przechowywania nie wymaga przepis.

Wezwanie do zapłaty: nie w rejestracji

Podstawą roszczenia jest zwykle art. 82 ust. 1 RODO; pełnomocnik może też powołać się na art. 4 ust. 1 ustawy o prawach pacjenta, a czy wyciek jest zawinionym naruszeniem praw pacjenta, oceni sąd. Sprawy z art. 82 RODO rozpoznaje sąd okręgowy (art. 93 ustawy o ochronie danych osobowych). Trybunał orzekł, że potrzebna jest szkoda, ale bez progu wagi szkody niemajątkowej (C-300/21, 4 maja 2023), że obawa przed nadużyciem danych może sama być taką szkodą i że to administrator musi udowodnić, że zabezpieczenia były odpowiednie (C-340/21, 14 grudnia 2023). Sam fakt, że szkodę wyrządził ktoś trzeci, na przykład włamywacz, go nie zwalnia (art. 82 ust. 3 RODO w wykładni z wyroku C-340/21).

Placówka broni się więc dokumentami zebranymi w jednej teczce poza systemem, którego dotyczył wyciek: umową powierzenia, odpowiedziami dostawcy sprzed wycieku, dokumentacją naruszenia z datami, zgłoszeniem i zawiadomieniem pacjentów. O każdym wezwaniu zawiadamia dostawcę na piśmie. Siedem dni wyznacza pełnomocnik, nie przepis: w tym czasie potwierdza się wpływ i prosi o pełnomocnictwo i opis szkody. Polisę, jeśli obejmuje takie roszczenia, uruchamia się według jej warunków, zanim ktoś zaproponuje kwotę. Odpowiedź podpisuje właściciel albo osoba upoważniona, po konsultacji z radcą prawnym i inspektorem.

Pierwsza rozmowa przy okienku

Rejestratorka nie potwierdza i nie zaprzecza, że dane wyciekły, nie przyznaje winy, nie obiecuje pieniędzy i nie odsyła do dostawcy. Zapisuje, czego pacjent chce i jak się z nim kontaktować, i mówi, kto odpowie i do kiedy. Przy stanowisku leży kartka z trzema zdaniami: „Przyjmuję pana żądanie i wpisuję je do rejestru z dzisiejszą datą. Odpowiedź dostanie pan na piśmie najpóźniej w ciągu miesiąca od osoby, która prowadzi te sprawy. W sprawach swoich danych może pan pisać także do inspektora ochrony danych”. Pod nimi są nazwisko osoby, która prowadzi rejestr żądań, i adres inspektora, jeśli placówka go wyznaczyła, bo pacjent może się z nim kontaktować we wszystkich sprawach swoich danych (art. 38 ust. 4 RODO). Trzy wzory odpowiedzi, na dostęp z listą odbiorców, na odmowę usunięcia i na potwierdzenie wpływu wezwania, przygotowuje się raz, z radcą prawnym.

Inspektor ochrony danych w sieci przychodni

Adres inspektora z kartki przy okienku jest wart tyle, ile to, czy ktoś pod nim odpowiada. Inspektor może być wyznaczony, zgłoszony i opublikowany, a mimo to nieosiągalny: w przejętej przychodni wisi jeszcze klauzula z danymi inspektora poprzedniego właściciela, a obecny odpowiada na maila po kilku dniach. Przez ten czas nikt nie ocenia, czy naruszenie trzeba zgłosić, a 72 godziny biegną od stwierdzenia naruszenia, nie od odpowiedzi inspektora.

Co mówi przepis

Prywatny administrator wyznacza inspektora, gdy jego główna działalność to przetwarzanie danych o zdrowiu na dużą skalę (art. 37 ust. 1 lit. c RODO). RODO nie podaje progu liczbowego, a motyw 91 jako przykład przetwarzania nie na dużą skalę wskazuje tylko pojedynczego lekarza albo innego pracownika służby zdrowia, więc przychodnia z kilkoma lekarzami zapisuje ocenę z uzasadnieniem, a sieci trudno przekonująco przypisać małą skalę.

Samodzielny publiczny zakład opieki zdrowotnej wyznacza inspektora zawsze, bo jako jednostka sektora finansów publicznych jest podmiotem publicznym w rozumieniu RODO i ustawy o ochronie danych osobowych (art. 37 ust. 1 lit. a RODO, art. 9 pkt 1 ustawy o ochronie danych osobowych, art. 9 pkt 10 ustawy o finansach publicznych); tak samo szpital instytutu badawczego (art. 9 pkt 2). W ustawie o krajowym systemie cyberbezpieczeństwa SPZOZ „podmiotem publicznym” nie jest, a jego status wynika z progów zatrudnienia (Czy ustawa was obejmuje). Placówka spółki gminy albo powiatu takim podmiotem publicznym nie jest, bo spółki prawa handlowego nie należą do sektora finansów publicznych (art. 9 pkt 14 ustawy o finansach publicznych).

Jedna spółka z wieloma lokalizacjami ma jednego inspektora bez szczególnego przepisu. Grupa przedsiębiorstw, czyli spółka sprawująca kontrolę i spółki przez nią kontrolowane (art. 4 pkt 19 RODO), może wyznaczyć jednego inspektora, „o ile można będzie łatwo nawiązać z nim kontakt z każdej jednostki organizacyjnej” (art. 37 ust. 2). Kilka przychodni SPZOZ może mieć wspólnego inspektora z uwzględnieniem ich struktury i wielkości (art. 37 ust. 3). Przychodnie partnerskie bez kontroli jednej nad pozostałymi wyznaczają inspektora osobno, choć może to być ta sama firma na umowie o świadczenie usług (art. 37 ust. 6). Wyznaczenie, zmianę i odwołanie zgłasza się Prezesowi UODO w 14 dni (art. 10 ust. 1 i 4 ustawy o ochronie danych osobowych), w grupie każda spółka osobno (art. 10 ust. 5), a dane inspektora są na stronie, w informacji dla pacjenta i w rejestrze czynności.

Kiedy jeden inspektor jest tylko wpisem

Kierownik lokalizacji nie zna telefonu inspektora ani godzin, w których odpowiada; warunek z art. 37 ust. 2 dotyczy każdej jednostki, nie centrali. Inspektor dowiaduje się o przejęciu przychodni, zmianie programu albo nowym dostawcy po podpisaniu umowy, choć ma być „właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych” (art. 38 ust. 1). Umowa na kilka godzin miesięcznie, podpisana przy dwóch przychodniach, nie urosła razem z siecią, a monitorowanie przestrzegania przepisów, szkolenia i audyty (art. 39 ust. 1 lit. b) wymagają obecności w lokalizacjach. Inspektor ocenia własne decyzje, choć jego inne zadania nie mogą powodować konfliktu interesów (art. 38 ust. 6); w mojej ocenie członek zarządu decydujący o celach przetwarzania albo informatyk nadający uprawnienia nie powinien być jednocześnie inspektorem. Po zmianie inspektora strona jest poprawiona, a klauzule w rejestracjach i zawiadomienia spółek już nie.

Jak to zorganizować

W każdej lokalizacji jest osoba z imienia i nazwiska, zwykle kierownik przychodni, która zgłasza inspektorowi zdarzenia, z zastępstwem na urlop. Procedura podaje jeden adres i telefon inspektora, każe wpisać godzinę stwierdzenia zdarzenia i wskazuje godzinę, po której członek zarządu decyduje o zgłoszeniu bez opinii inspektora, bo zgłoszenie jest obowiązkiem administratora. Sprawdzeniem jest telefon do trzech kierowników z pytaniem, komu zgłosiliby pomyłkę w wysyłce wyników. Umowa z zewnętrznym inspektorem określa czas odpowiedzi, liczbę wizyt w lokalizacjach i zastępstwo; osobę zastępującą inspektora w czasie jego nieobecności administrator może wyznaczyć i zgłasza ją Prezesowi UODO jak inspektora (art. 11a ustawy o ochronie danych osobowych). Każdy nowy system, dostawca i przejęcie przechodzi przez inspektora przed podpisem, a jego kwartalny raport dla zarządu pokazuje lokalizację, która odstaje; przepis częstotliwości nie podaje.

Upoważnienia do dokumentacji przy rotacji personelu

Wyciek u dostawcy to jedno źródło naruszeń. Drugie jest bliżej: konto, które powinno być zamknięte. Lista aktywnych kont oddziału położona obok grafiku zwykle pokazuje pielęgniarki z agencji po zakończonych dyżurach, lekarzy, którzy pracują już gdzie indziej, i konto wspólne dla grupy studentów. Dnia, w którym się je zamyka, nie ma.

Upoważnienie a uprawnienie z ustawy

Osoby wykonujące zawód medyczny są uprawnione do przetwarzania danych z dokumentacji wprost z ustawy (art. 24 ust. 2 pkt 1 ustawy o prawach pacjenta). Osoby wykonujące czynności pomocnicze i utrzymujące system działają na podstawie upoważnienia administratora (art. 24 ust. 2 pkt 2) i są związane tajemnicą, także po śmierci pacjenta (art. 24 ust. 3): rejestratorka, sekretarka medyczna, statystyk, koder, informatyk, osoba skanująca dokumentację. Ustawa nie wymaga formy pisemnej, ale upoważnienie musi dać się pokazać kontrolującemu, więc zapisuje się je z datą początku i końca.

Uprawnienie nie oznacza dostępu do wszystkiego. Osoba z upoważnienia przetwarza dane wyłącznie na polecenie administratora (art. 29 i art. 32 ust. 4 RODO), dokumentacja jest dostępna wyłącznie dla osób uprawnionych (§ 1 ust. 4 pkt 1 rozporządzenia o dokumentacji medycznej), a każdy podmiot, także gabinet, ma udokumentowane procedury dostępu (§ 1 ust. 5 pkt 2). Szpital wykaże to listą: kto, do jakiego zakresu, od kiedy i do kiedy.

Studenci, kontrakty, agencje

Studentom udostępnia się dokumentację wyłącznie w zakresie niezbędnym do celów dydaktycznych (art. 26 ust. 3a i 3b ustawy o prawach pacjenta), a zgoda pacjenta na ich obecność przy świadczeniu (art. 22 ust. 2) to osobna sprawa. Student dostaje konto imienne na czas praktyki, z datą wygaśnięcia i zakresem oddziału; czy może robić wpisy, rozstrzyga opiekun praktyk z pielęgniarką naczelną. Listę z datami szpital dostaje od uczelni przed praktyką. Opiekun, który sadza studenta przy swoim koncie, podpisuje wpisy, których nie zrobił.

Rozwiązanie kontraktu lekarza bywa pismem do dyrekcji, o którym IT nie wie, więc komórka, która umowę rozwiązuje, zgłasza datę końca do IT. Lekarz może upoważnić osobę do wystawiania w jego imieniu elektronicznej dokumentacji medycznej na okres nie dłuższy niż 12 miesięcy przez Rejestr Asystentów Medycznych, a od 1 lipca 2026 przez ten rejestr także się je odwołuje (art. 41a ust. 1, 3 i 5 ustawy o zawodach lekarza i lekarza dentysty w brzmieniu z Dz.U. 2026 poz. 791). Gdy odchodzi lekarz, sprawdza się też konta osób, które pisały w jego imieniu.

Pielęgniarka z agencji ma uprawnienie z ustawy, ale konto, zakres i datę końca ustala szpital. Umowa z agencją mówi, kto zawiadamia o końcu dyżurów i że login nie przechodzi na inną osobę, a konto zakłada się na okres grafiku i przedłuża je oddziałowa. Przy przeglądach kont w szpitalach, w których prowadziłem projekty, najczęściej wychodziły właśnie osoby spoza etatu: z kontraktów, z agencji i z praktyk.

Odejścia i logowanie po dacie końca

Techniczną stronę, czyli wyłączenie konta w ciągu doby, datę wygaśnięcia wpisaną przy zakładaniu i przeglądy kont, opisuje rozdział Konta, uwierzytelnianie wieloskładnikowe (MFA) i dostęp serwisu. Od strony dokumentacji dochodzą dwie rzeczy. Lista kroków na dzień odejścia obejmuje każdy system, także archiwum obrazowe i kartę wejściową, z nazwiskiem osoby, która go zamyka. Konta się nie kasuje, tylko blokuje, bo identyfikator stoi przy wpisach przez cały okres przechowywania.

Logowanie po dacie końca to nieuprawniony dostęp, czyli naruszenie ochrony danych (art. 4 pkt 12 RODO), oceniane i zgłaszane według art. 33 ust. 1. Placówka objęta ustawą o krajowym systemie cyberbezpieczeństwa ma w systemie zarządzania bezpieczeństwem, najpóźniej od 3 kwietnia 2027, bezpieczeństwo zasobów ludzkich i politykę kontroli dostępu (art. 8 ust. 1 pkt 2 lit. d i n; były operator usługi kluczowej do czasu wdrożenia nowego systemu stosuje dotychczasowy, art. 33 ust. 6 ustawy nowelizującej), więc spisana procedura upoważnień jest gotowym fragmentem tej dokumentacji (kalendarz KSC).

Profile, konsultacje i noc

Konto z uprawnieniami skopiowanymi od koleżanki, która pracowała na kilku oddziałach, opisuje inną osobę niż upoważnienie. Rozwiązaniem są profile przypisane do stanowisk, ustalone przez kierowników oddziałów z pielęgniarką naczelną: upoważnienie wskazuje profil i oddział, informatyk nadaje dokładnie ten profil, a przy zmianie oddziału zakres się przenosi, a nie dodaje. Konsultant, lekarz dyżurny i SOR potrzebują dokumentacji pacjenta, którym się zajmują, a nie całego szpitala. Część systemów otwiera dostęp razem ze zleceniem konsultacji albo dyżurem; gdy tego brak, zostaje dostęp awaryjny z wpisanym powodem, przeglądany raz w miesiącu. Zapytajcie dostawcę, co jego system potrafi, zanim oddziały wymuszą szeroki dostęp dla wszystkich.

Dziennik zmian we wpisie i skarga pacjenta

Imienne konto jest też warunkiem, żeby rozstrzygnąć spór o treść wpisu. Typowa skarga: pacjent widzi w kopii dokumentacji zalecenie, o którym nikt mu nie mówił, i twierdzi, że wpis dopisano po wizycie, a lekarz odpowiada, że wpisał je w jej trakcie. Ekran karty pokazuje datę wizyty i lekarza, ale nie to, czy i kiedy ktoś zmieniał treść. Spór rozstrzyga dziennik zmian, jeśli system prowadzi go w pełnym zakresie, konta są imienne, a po skardze nikt nie ruszał wpisu.

Czego wymaga przepis

System ma zapewniać integralność treści i metadanych, czyli zabezpieczenie przed zmianami innymi niż w ramach udokumentowanych procedur (§ 1 ust. 6 pkt 1 rozporządzenia o dokumentacji medycznej), identyfikację osoby dokonującej wpisu lub zmiany oraz zakres zmian (§ 1 ust. 6 pkt 3) i czas każdej zmiany (§ 1 ust. 6 pkt 4). W papierze błędnego wpisu się nie usuwa, tylko skreśla z adnotacją, datą i oznaczeniem osoby (§ 4 ust. 6), a historia wersji w systemie jest odpowiednikiem tego skreślenia. Słowo „zakres” rozstrzyga spór: informacja, że lekarz zmodyfikował wpis o 16:40, nie mówi, czy poprawił literówkę, czy dopisał zalecenie. Test trwa pięć minut: zmieńcie jedno słowo we wpisie na koncie testowym i poproście o historię. Jeśli nie pokaże obu wersji treści, macie odpowiedź.

Pierwszy dzień po skardze

Informatyk placówki, a bez niego dostawca na pisemne zlecenie, drukuje wpis i pełną historię zmian z datą wygenerowania i nazwiskiem osoby, która raport przygotowała.
Nikt nie poprawia wpisu, którego dotyczy skarga; wyjaśnienie lekarz robi w nowym wpisie z bieżącą datą.
Raport generuje IT, treść ocenia dyrektor medyczny albo kierownik przychodni, a nie lekarz, którego skarga dotyczy.
Sprawdza się, czy ktoś zmieniał dane z pominięciem aplikacji: konto serwisowe dostawcy, administrator bazy, skrypt. Taka zmiana często omija dziennik aplikacji, a dzienniki techniczne serwera bywają nadpisywane po kilku tygodniach, więc ich kopię zabezpiecza się w dniu skargi.
Każde przekazanie dokumentacji pacjentowi, Rzecznikowi Praw Pacjenta albo sądowi trafia do wykazu udostępnień (art. 27 ust. 4 ustawy o prawach pacjenta).

Jak czytać historię wpisu

W historii są trzy czasy: data wizyty, którą lekarz często wybiera sam, czas utworzenia wpisu i czas podpisu oraz zmian. Wpisu dokonuje się niezwłocznie po świadczeniu (§ 4 ust. 1 rozporządzenia); wpis uzupełniony tego samego dnia łatwo wyjaśnić, zmieniony po skardze trudno. Część systemów zapisuje wersje dopiero od podpisu. Czas w dzienniku jest tak wiarygodny jak zegar serwera, a dziennik pokazuje konto, nie człowieka: wpis na zalogowanym komputerze lekarza figuruje jako jego. Wpisy tworzone przez maszynę, wynik z laboratorium albo projekt notatki z narzędzia AI, powinny mieć wskazane źródło i osobę, która je zatwierdziła (Notatka dyktowana). Pytanie, kto przeglądał kartę, dotyczy dziennika odczytów; zakres informacji dla pacjenta ustala się z inspektorem, bo są w nim dane personelu.

Komu i w jakiej formie

Pacjentowi, przedstawicielowi ustawowemu albo osobie upoważnionej dokumentację udostępnia się między innymi jako kopię, wydruk, elektronicznie albo na nośniku (art. 26 ust. 1 i art. 27 ust. 1 ustawy o prawach pacjenta), Rzecznikowi Praw Pacjenta i sądom w zakresie ich zadań (art. 26 ust. 3). Na wystąpienie Rzecznika placówka odpowiada najpóźniej w 30 dni (art. 53 ust. 5). Historię zmian przygotowuje się czytelnie dla osoby spoza IT: wersja przed zmianą, po zmianie, autor, czas.

Test raz w roku

Najtańszy moment na sprawdzenie dziennika to odbiór systemu: wpis, podpis, zmiana jednego zdania, wydruk historii. Pozycja jest w liście kontrolnej odbioru systemu, a cały odbiór opisuje rozdział Odbiór: cała ścieżka pacjenta przed protokołem. Na działającym systemie test powtarza się raz w roku i po większej aktualizacji, z zachowanym wydrukiem. Umowa z dostawcą mówi, że każda zmiana danych poza aplikacją, na przykład masowa poprawka rozpoznań do rozliczenia, wymaga pisemnego zlecenia i zostawia listę zmienionych rekordów ze stanem sprzed zmiany.

Monitoring wizyjny w placówce i kontrola UODO

W poradni dziecięcej kamera nad poczekalnią często działa od lat, rejestrator stoi pod ladą, a hasło zna właściciel i instalator. Plan kontroli sektorowych UODO na 2026 rok, opublikowany 8 stycznia 2026, wymienia podmioty lecznicze w zakresie „przetwarzania danych osobowych przy wykorzystaniu monitoringu wizyjnego, w szczególności dotyczących dzieci, w tym w ramach szpitalnych oddziałów dziecięcych, przychodni/poradni dla dzieci”. Plan nie publikuje listy pytań; poniżej to, o co można zapytać wprost z przepisów.

Art. 23a ustawy o działalności leczniczej

Kierownik podmiotu określa w regulaminie organizacyjnym sposób obserwacji pomieszczeń (art. 23a ust. 1 ustawy o działalności leczniczej): ogólnodostępnych, jak poczekalnia, jeżeli jest to niezbędne dla bezpieczeństwa pacjentów lub pracowników (pkt 1); pokoi łóżkowych, łazienek i przebieralni tylko, gdy wynika to z przepisów odrębnych (pkt 2); pomieszczeń, w których udziela się świadczeń, gdy jest to konieczne w leczeniu albo dla bezpieczeństwa pacjentów, ale wyłącznie w szpitalach, zakładach opiekuńczo-leczniczych, pielęgnacyjno-opiekuńczych, rehabilitacji leczniczej i hospicjach (pkt 3). Gabinet i poradnia mogą więc nagrywać poczekalnię, ale nie pokój, w którym przyjmuje lekarz, chyba że wymaga tego przepis odrębny (pkt 2). Regulamin organizacyjny ma także praktyka z monitoringiem, bo zwolnienie z art. 23 ust. 2 obejmuje tylko praktyki wykonywane wyłącznie w cudzym zakładzie i bez kamer. Za zgodne z prawem wykorzystanie monitoringu odpowiada kierownik podmiotu (art. 23a ust. 1a), nie firma ochroniarska.

Przepis każe uwzględnić intymność i godność pacjenta. Na oddziale dziecięcym łóżko w sali obserwacyjnej jest w kadrze, przewijak i drzwi łazienki już nie, co sprawdza się na monitorze, nie w dokumentacji. Monitor w dyżurce stoi tak, żeby nie widział go rodzic za szybą. Kamera do obserwacji nie musi nagrywać; podgląd bez zapisu to mniej danych i mniej wniosków o wydanie. Wiele kamer IP ma fabrycznie włączony mikrofon, a przepis mówi o rejestrowaniu obrazu.

Informacja dla rodziców i personelu

Informację o monitoringu wywiesza się w miejscu udzielania świadczeń, zamieszcza na stronie placówki i w BIP, jeśli podmiot musi go prowadzić (art. 24 ust. 2 ustawy o działalności leczniczej), a obok niej klauzulę z art. 13 RODO. Art. 12 ust. 1 RODO wymaga jasnego języka, w szczególności gdy informację czyta dziecko, więc klauzula przepisana z regulaminu ochrony mienia sklepu nie wystarczy. Personel jest nagrywany razem z pacjentami: cele, zakres i sposób monitoringu określa regulamin pracy albo obwieszczenie (art. 22² § 6 Kodeksu pracy), pracowników informuje się najpóźniej 2 tygodnie przed uruchomieniem kamer (§ 7), a nowych przed dopuszczeniem do pracy (§ 8). Kamera w dyżurce zamontowana w piątek i włączona w poniedziałek to błąd, który kontrola znajdzie w dacie faktury.

Przechowywanie, dostęp i sieć

Nagrania przechowuje się nie dłużej niż 3 miesiące od dnia nagrania, potem się je niszczy (art. 23a ust. 2 i 3 ustawy o działalności leczniczej); nagranie pracownika będące dowodem w postępowaniu, do jego prawomocnego zakończenia (art. 22² § 4 Kodeksu pracy). Trzy miesiące to górna granica, bo nagrania trzyma się tylko tak długo, jak wymaga cel (art. 5 ust. 1 lit. c i e RODO). Okres w praktyce ustala dysk rejestratora, a kontroler sprawdzi go w menu, gdzie widać najstarsze nagranie. Fragment zgrany dla policji dwa lata temu, który leży na pendrivie w portierni, to też nagranie. Ktoś musi umieć zablokować fragment przed nadpisaniem, także w sobotę.

Firma ochroniarska obsługująca rejestrator potrzebuje umowy powierzenia, której często brak, bo ochronę kupowano jako ochronę mienia. Podgląd poczekalni w aplikacji na telefonie właściciela, przez chmurę producenta kamery, wyprowadza obraz dzieci poza placówkę. Rodzic ma prawo do kopii nagrania dziecka (art. 15 RODO), ale kopia nie może naruszać praw innych osób (art. 15 ust. 4), więc ktoś musi umieć zamaskować wizerunek innych dzieci. Każde wydanie nagrania zostawia ślad: kto wnioskował, na jakiej podstawie, co zgrano, komu i kiedy przekazano.

Kamera IP i rejestrator to komputery bez aktualizacji, z dostępem zdalnym dla serwisanta, często w sieci rejestracji. Oddzielna sieć, zmienione hasła i dostęp serwisu włączany na czas zgłoszenia chronią nagrania i sieć naraz. Placówka objęta ustawą o krajowym systemie cyberbezpieczeństwa wpisuje kamery do spisu systemów, a szpital z kilkudziesięcioma kamerami sprawdza, czy potrzebuje oceny skutków przy monitorowaniu na dużą skalę miejsc dostępnych publicznie (art. 35 ust. 3 lit. c RODO).

Dokumenty na dzień kontroli

W poradni to jedno popołudnie, w szpitalu kilka dni:

Regulamin organizacyjny z zapisem o monitoringu i uzasadnienie dla każdego pomieszczenia, w którym udziela się świadczeń.
Spis kamer: miejsce, zrzut kadru, rejestrator, zapis albo podgląd, dźwięk włączony albo wyłączony.
Zdjęcie oznakowania, klauzula informacyjna i adres strony, na której ją opublikowano.
Zrzut z menu rejestratora z najstarszym nagraniem, zgodny z okresem w klauzuli.
Lista kont w rejestratorze i aplikacjach z właścicielem każdego konta.
Umowa powierzenia z firmą, która obsługuje rejestrator albo ma do niego zdalny dostęp.
Rejestr wydań nagrań i miejsce, gdzie leżą zgrane kopie.
Informacja dla pracowników z datą przekazania.
Ocena skutków albo notatka, dlaczego placówka uznała, że jej nie potrzebuje.

Digitalizacja papierowej dokumentacji

Decyzja „kupujemy skaner i skanujemy wszystko od najstarszych teczek” kończy się zwykle plikami PDF nazwanymi datą skanowania, papierem, który dalej stoi na regałach, bo nikt nie wie, czy wolno go wyrzucić, i zeskanowanymi teczkami, które należało zniszczyć dawno temu. Skan to jeszcze nie digitalizacja.

Co przepis nazywa digitalizacją

Usługodawca może zmienić postać dokumentacji papierowej na elektroniczną (art. 13b ust. 1 ustawy o systemie informacji w ochronie zdrowia). Odwzorowanie cyfrowe opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo zaawansowaną pieczęcią elektroniczną usługodawcy osoba upoważniona do potwierdzenia zgodności z papierem (art. 13b ust. 2, w brzmieniu od 1 lipca 2026), i dopiero taki dokument jest równoważny oryginałowi (art. 13b ust. 3). Placówka informuje pacjenta o digitalizacji i możliwości odbioru papieru w terminie nie krótszym niż rok od przekazania informacji (art. 13b ust. 4), a zniszczyć może tylko dokumentację nieodebraną (art. 13b ust. 6). Szafa zwolni się najwcześniej po roku. Te same zasady stosuje się do deklaracji wyboru POZ i dokumentów do rozliczenia umów z NFZ (art. 13b ust. 7).

Czego nie skanować i co najpierw

Zanim ktoś włączy skaner, przegląda daty według okresów z rozdziału o przechowywaniu. Teczka po okresie przechowywania kosztuje dwa razy: za skan i za dane, których placówka nie powinna już mieć; niszczy się ją albo wydaje pacjentowi, a szpital publiczny sprawdza wcześniej, czy nie jest materiałem archiwalnym (art. 29 ust. 3 ustawy o prawach pacjenta). Dokumentację przyniesioną przez pacjenta z innej placówki włącza się do dokumentacji albo załącza jej skan lub odnotowuje istotne informacje i w dwóch ostatnich przypadkach oddaje pacjentowi papier (§ 6 ust. 4 i 6 rozporządzenia o dokumentacji medycznej), na bieżąco i poza projektem archiwum.

Kolejność wyznacza to, po co sięga personel: w przychodni karty przewlekle chorych i deklaracje POZ, w szpitalu historie choroby pacjentów wracających na oddziały i dokumentacja, o którą najczęściej proszą pacjenci i sądy. Resztę digitalizuje się na żądanie, przy wizycie, wniosku albo ponownym przyjęciu. Po digitalizacji nowe wpisy idą do systemu, bo dokumentu nie prowadzi się w obu postaciach (§ 1 ust. 3).

Jak skanować, żeby plik zastąpił papier

Strony papierowej dokumentacji są numerowane (§ 6 ust. 1 i 2 rozporządzenia), więc osoba skanująca sprawdza ciągłość numeracji i zapisuje braki przed skanowaniem. Najczęściej gubią się odwrotne strony, wklejki, wyniki na papierze termicznym i adnotacje ołówkiem. Parametry ustala się na próbie kilku teczek z różnych lat: kolor tam, gdzie niesie treść, rozdzielczość czytelna dla pisma odręcznego, format do długiego przechowywania, na przykład PDF/A. Podpisujący odwzorowanie porównuje liczbę stron z numeracją, a plik trafia do systemu dokumentacji z identyfikatorem pacjenta, rodzajem dokumentu, datą i komórką.

Osoby skanujące potrzebują upoważnienia, a firma, która skanuje albo niszczy dokumentację, umowy powierzenia (art. 28 ust. 3 RODO), która nie może zakłócić dostępu do dokumentacji (art. 24 ust. 5 ustawy o prawach pacjenta); czas dostarczenia teczki potrzebnej lekarzowi ustala się na piśmie. Jeden rejestr prowadzi teczkę od skanu do zniszczenia: data skanu, kto potwierdził zgodność, kiedy pacjent dostał informację, czy odebrał papier, protokół zniszczenia. Bez daty przekazania informacji placówka nie wykaże, że roczny termin minął.

Narzędzie publiczne

Nowelizacja z 15 maja 2026 (Dz.U. 2026 poz. 791) dodała drugą ścieżkę: digitalizację narzędziem informatycznym, które jednostka podległa ministrowi zdrowia może udostępniać nieodpłatnie (art. 13b ust. 2a i 2b ustawy o systemie informacji w ochronie zdrowia), z możliwością przekazania dokumentu do Systemu Informacji Medycznej (art. 13b ust. 4a). Rodzaje dokumentacji, które da się nim digitalizować, minister publikuje w BIP (art. 13b ust. 2c), a pierwszą publikację ustawa wyznaczyła na 31 sierpnia 2026. Zanim kupicie własne rozwiązanie albo usługę, sprawdźcie aktualny wykaz, zapiszcie datę sprawdzenia i porównajcie go z zawartością waszych szaf.

20 lat przechowywania: zamknięcie gabinetu i archiwum starego systemu

Ile lat i od kiedy

Dokumentację przechowuje się co do zasady 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (art. 29 ust. 1 ustawy o prawach pacjenta); ostatnia wizyta w 2026 roku oznacza przechowywanie do końca 2046. Wyjątki (art. 29 ust. 1 pkt 1 do 4): 30 lat przy zgonie wskutek uszkodzenia ciała lub zatrucia, liczone od końca roku zgonu, i 30 lat dla danych o losach krwi; 22 lata dla dzieci do ukończenia 2. roku życia; 10 lat dla zdjęć rentgenowskich przechowywanych poza dokumentacją pacjenta; 5 lat dla skierowań i zleceń, a 2 lata dla skierowań, z którymi pacjent się nie zgłosił i których nie odebrał. Po upływie okresu dokumentację niszczy się w sposób uniemożliwiający identyfikację pacjenta albo wydaje pacjentowi (art. 29 ust. 2), a każde zniszczenie opisuje protokół. Każdy pacjent ma więc własny zegar, a szpital, który przetacza krew, planuje archiwum na trzy dekady. Rozporządzenie o dokumentacji medycznej wymaga planów przechowywania w długim czasie, w tym przenoszenia na nowe nośniki i do nowych formatów (§ 1 ust. 5 pkt 6).

Kto przejmuje dokumentację po zamknięciu

Art. 30a ustawy o prawach pacjenta od 1 lipca 2026 rozróżnia postać dokumentacji (Dz.U. 2026 poz. 791). Następca, który przejmuje zadania, przejmuje dokumentację (ust. 2). Dokumentację elektroniczną podmiotu, który zaprzestaje działalności, przechowuje i udostępnia w Systemie Informacji Medycznej jednostka podległa ministrowi zdrowia, dziś Centrum e-Zdrowia (ust. 9); przepisy o umowie przechowania, izbie lekarskiej i wojewodzie jej nie dotyczą (ust. 8). Jak ust. 9 łączy się z przepisem o następcy, ustawa wprost nie mówi, więc przy przejęciu praktyki ustala się to na piśmie z następcą i Centrum e-Zdrowia. Przed zamknięciem placówka informuje pacjentów, gdzie będzie ich dokumentacja.

Papier idzie dawną drogą. Praktyka zawodowa i przedsiębiorca zawierają umowę o przechowywanie z innym podmiotem udzielającym świadczeń, a nie z samą firmą archiwizacyjną (ust. 3 pkt 2). Po śmierci lekarza bez następcy dokumentacją zajmuje się okręgowa izba lekarska (ust. 3 pkt 3). SPZOZ i szpital instytutu badawczego oddają papier podmiotowi tworzącemu albo sprawującemu nadzór (ust. 3 pkt 1), dawniej nazywanemu organem założycielskim, a gdy nie da się ustalić odpowiedzialnego, przechowuje wojewoda (ust. 7). Art. 30a uruchamia dopiero zaprzestanie działalności przez podmiot, więc sieć zamykająca jedną lokalizację i spółka po sprzedaży udziałów zachowują dokumentację u siebie. Tryb techniczny przekazania do Systemu Informacji Medycznej ustawa pomija: format, kanał i termin ustalcie z Centrum e-Zdrowia na piśmie przed wnioskiem o wykreślenie.

Zamknięcie gabinetu w kolejności

Dokumentacja gabinetu leży zwykle w kilku miejscach: karty papierowe, baza programu, obrazy z RTG albo USG w osobnym programie, wyniki z laboratoriów w poczcie, która zniknie razem z domeną. Papier przekazuje się uporządkowany, ze spisem pudeł, a nie zeskanowany w pośpiechu. Rozsądny zapas to trzy miesiące.

Pismo do Centrum e-Zdrowia o tryb przekazania dokumentacji elektronicznej, a jeśli jest następca, ustalenia z nim.
Spis dokumentacji i lista pacjentów według roku ostatniego wpisu; karty po terminie zniszczone albo wydane, z protokołem.
Pisemna decyzja dla dostawcy programu: zwrot danych, format, termin; próbny eksport i test na pięciu pacjentach.
Umowa o przechowywanie papieru: koszt roku, droga wniosku o kopię, los kart, gdy przechowujący zakończy działalność.
Informacja dla pacjentów zostawiona tam, gdzie przeżyje gabinet, na przykład u przechowującego.
Eksport końcowy po ostatniej wizycie, archiwum w dwóch kopiach, test odczytu, przekazanie z protokołem.
Wyczyszczenie dysków w sprzedawanym laptopie, komputerze przy RTG i drukarce z pamięcią.
Na końcu wypowiedzenie abonamentu, domeny i wniosek o wykreślenie.

Eksport i format na lata

System dokumentacji ma zapewniać eksport całości danych w formatach pozwalających odtworzyć je w innym systemie (§ 1 ust. 6 pkt 8 rozporządzenia), a przy braku formatów urzędowych w HL7, DICOM lub innych (§ 1 ust. 6 pkt 6). Sprawdza go placówka, póki umowa trwa. Po jej zakończeniu dostawca zwraca albo usuwa dane zależnie od decyzji administratora (art. 28 ust. 3 lit. g RODO) i przekazuje je placówce (art. 24 ust. 7 ustawy o prawach pacjenta), więc decyzję „zwróćcie” trzeba zapisać. Miesięczną opłatę za dostęp tylko do odczytu po końcu umowy pomnóżcie przez liczbę miesięcy do końca okresu przechowywania.

Test eksportu zajmuje popołudnie: komputer, na którym nie było programu, i pięciu pacjentów (najstarszy, najnowszy, z wieloma wizytami, z obrazami, z załącznikami). Obrazy obecne tylko jako nazwy plików oznaczają, że eksport nie jest całością danych. Archiwum na lata ma dwie warstwy: eksport strukturalny z opisem pól i obrazy w DICOM dla maszyny, jeden plik PDF/A na pacjenta z historią wpisów dla człowieka, do tego indeks i sumy kontrolne. Dokumenty podpisane elektronicznie zostają w oryginale z podpisem. Archiwum ma dwie zaszyfrowane kopie w różnych miejscach, a klucz idzie do następcy osobnym kanałem.

Kopia dla pacjenta po latach

Pierwsze udostępnienie pacjentowi albo przedstawicielowi ustawowemu w żądanym zakresie jest bez opłaty (art. 28 ust. 2a pkt 1 ustawy o prawach pacjenta), więc koszt wydania z archiwum ponosi placówka, także gdy sama płaci dostawcy starego systemu. Po śmierci pacjenta dokumentację dostaje także osoba bliska, chyba że sprzeciwi się inna osoba bliska albo pacjent za życia (art. 26 ust. 2). Przechowujący udostępnia dokumentację na tych samych zasadach co placówka (art. 30a ust. 13), a wydanie z archiwum trafia do tego samego wykazu udostępnień co każde inne (art. 27 ust. 4).

Archiwum starego systemu

Stary system na serwerze w szafie, z hasłem administratora znanym jednej osobie, to problem z dnia zmiany systemu, a nie z dnia wniosku pacjenta. Obowiązek przechowywania i udostępniania zostaje przy podmiocie udzielającym świadczeń (art. 24 ust. 1 ustawy o prawach pacjenta), a droga przez System Informacji Medycznej dotyczy zaprzestania działalności, nie wymiany programu. Granicę między danymi przenoszonymi w całości, do wglądu i do archiwum wyznacza dyrektor na piśmie z kierownikiem dokumentacji i kierownikiem IT (Migracja danych bez przestoju).

Są trzy sposoby. Stary system tylko do odczytu jest najszybszy w dniu przełączenia i zwykle najdroższy w dwudziestoletnim rachunku, bo serwer, baza i system operacyjny tracą poprawki, a rozporządzenie wymaga szacowania ryzyka i aktualizacji oprogramowania (§ 1 ust. 5 pkt 1 i 4; Systemy bez wsparcia). Archiwum czytelne bez starego programu, z wyszukiwarką, wymaga pracy przed wyłączeniem, ale jest tańsze w utrzymaniu. Import do modułu archiwalnego nowego systemu pokazuje lekarzowi starą historię w tym samym oknie. Porównuje się je w horyzoncie całego okresu przechowywania; Kalkulator kosztu systemu na 5 lat (z instrukcją) liczy pięć lat, więc archiwum wpisuje się jako osobną pozycję i mnoży horyzont.

Archiwum zachowuje autora i czas każdego wpisu (§ 1 ust. 6 pkt 3 i 4 rozporządzenia). Znajduje pacjenta tak, jak pytają o niego po latach: po numerze księgi głównej, po poprzednim nazwisku, bez numeru PESEL u noworodka; wyszukiwarka tylko po PESEL zwraca pusty wynik. Wpuszcza osoby wydające dokumentację na kontach imiennych i zapisuje, kto co otwierał. Pozwala zniszczyć dokumentację jednego pacjenta po upływie jego okresu, bo inaczej dane leżą dłużej, niż pozwala art. 5 ust. 1 lit. e RODO.

Test przed wyłączeniem i raz w roku

Przed wyłączeniem starego systemu porównuje się liczby pacjentów, pobytów i dokumentów w obu miejscach, w podziale na lata, i robi próby na trudnych przypadkach: osoba bliska po zgonie, sąd z samym numerem księgi głównej, dokument podpisany elektronicznie. Protokół podpisuje kierownik dokumentacji medycznej, właściciel procesu wydawania; IT odpowiada za to, że archiwum działa i ma kopię. Po wyłączeniu raz w roku ktoś wydaje z archiwum dokumentację jednego pacjenta, a kopia archiwum przechodzi test odtworzenia.

Wyjście z danymi najtaniej ułożyć w dniu zakupu programu (Dane i wyjście zapisane na początku). Dane wprowadzone do systemu i w nim wytworzone należą do placówki, oprogramowanie jest na licencji. Archiwum to miejsce, w którym ta zasada działa przez 20 lat albo przestaje działać w dniu wyłączenia starego serwera.

Co to znaczy na waszej skali

Obowiązki z RODO i ustawy o prawach pacjenta są na każdej skali te same. Z wielkością placówki rośnie liczba systemów, dostawców i osób, które mogą zgubić termin albo zostawić otwarte konto. Jak z wielkością placówki rosną warstwy IT, piszę w tekście Kwestia skali.

Gabinet

Administratorem jest lekarz prowadzący praktykę i on podejmuje każdą decyzję z listy na jedno popołudnie. Przy wycieku u dostawcy liczy się jeden zegar, 72 godziny z RODO, bo gabinet co do zasady nie podlega ustawie o krajowym systemie cyberbezpieczeństwa. Numer do zgłaszania naruszeń u dostawcy leży przy telefonie, a kilka zdań dla pacjentów jest gotowych zawczasu, bo nie ma rejestracji, która przyjmie pierwsze telefony. Wnioski pacjentów wystarczy wpisywać do kalendarza z terminem miesiąca. Najwięcej przepada przy zamknięciu praktyki: test eksportu przed wygaśnięciem abonamentu, komputer przy RTG w spisie i kartka dla bliskich, gdzie jest archiwum i kto ma klucz.

Przychodnia

Główne ryzyko to dane u dostawcy i pisma od pacjentów: formularz pytań do każdego podmiotu przetwarzającego, rejestr żądań prowadzony przez kierownika rejestracji, trzy wzory odpowiedzi. Przychodnia SPZOZ ma inspektora obowiązkowo, prywatna zapisuje ocenę skali. Konta wspólne znikają, procedura dnia skargi mieści się na jednej stronie, digitalizacja zaczyna się od deklaracji POZ. Osobnego systemu do wniosków ani zespołu do analizy dzienników przychodnia nie potrzebuje.

Sieć przychodni

Pierwsze pytanie: jedna spółka czy kilka. Od tego zależy, kto podpisuje odpowiedź pacjentowi, czyje dane obejmuje kopia i ile zawiadomień o inspektorze trzeba złożyć. Każdy administrator ma jeden rejestr żądań i jeden rejestr naruszeń ze wszystkich lokalizacji, bo pismo zostawione w najmniejszej placówce ma ten sam termin co mail do centrali, i jedną listę upoważnień. Podgląd wszystkich poczekalni w centrali trzeba uzasadnić albo wyłączyć. Przy każdym przejęciu dochodzi zmiana danych inspektora i spis starych systemów przejętej placówki (Jedna baza pacjentów w sieci przychodni).

Szpital

Najwięcej pracy wymaga rotacja: trzy źródła dat końca (kadry, dział umów, oddziałowe dla agencji), jeden kanał do IT, konto zawsze z datą wygaśnięcia. Dziennik zmian pokazuje zatwierdzenie wpisu przez specjalistę jako osobne zdarzenie, a historię na potrzeby skarg przygotowuje dział IT na zlecenie radcy prawnego albo dyrektora medycznego. Kamery mają spis z właścicielem i umowę z firmą ochroniarską. Lista systemów zestawiona z listą umów powierzenia pokazuje brakujące umowy przed incydentem, a procedury inspektora i osoby od cyberbezpieczeństwa spotykają się przy jednym incydencie.

Szpital specjalistyczny

Dochodzą archiwa i urządzenia. Kamery dostarczone z aparaturą do nadzoru sal też wchodzą pod art. 23a. Przed skanowaniem sprawdza się, czy wydruki z aparatów nie są już w archiwum obrazowym, a przy archiwum ustala się, które zasoby mają okres 10 lat, bo dotyczy on tylko zdjęć rentgenowskich poza dokumentacją pacjenta. Formularz pytań trafia do producentów aparatury z dostępem zdalnym, listę studentów bierze się od uczelni przed każdym semestrem, a przy obsadzie zespołu bezpieczeństwa wraca pytanie o konflikt interesów inspektora z rozdziału o inspektorze.

Sieć szpitali

Po połączeniu pierwsza decyzja dotyczy administratora: w spółce prowadzącej kilka szpitali jest nim spółka, w grupie odrębnych spółek każda z nich. Ten podmiot wydaje upoważnienia, odpowiada na wnioski, zgłasza naruszenia w swoich 72 godzinach i udostępnia dokumentację. Centrala ustala wspólne wzory i negocjuje z dostawcą, ale zestawienia odczytanych rekordów żąda osobno dla każdego szpitala. Grupa spółek może mieć jednego inspektora (art. 37 ust. 2 RODO), kilka szpitali SPZOZ także (art. 37 ust. 3), ale przy pracy całodobowej potrzebny jest zespół z osobą w każdym szpitalu. Wybór systemów w grupie opisuje rozdział Sieć szpitali na jednym systemie czy na kilku.

Typowe błędy

Przekonanie, że za wyciek u dostawcy odpowiada dostawca, i czekanie na jego komunikat z wpisem do rejestru naruszeń.
Regulamin usługi w chmurze uznany za umowę powierzenia bez sprawdzenia elementów z art. 28 ust. 3 RODO.
Formularz zgody na przetwarzanie danych w celu leczenia podpisywany przez każdego pacjenta.
Odpowiedź na żądanie pacjenta po terminie liczonym od dnia, w którym pismo zobaczył właściciel, opłata za pierwszą kopię albo usunięcie karty na żądanie.
Inspektor na papierze: nieaktualne dane w klauzulach, brak zastępstwa, jedno zawiadomienie za całą grupę spółek.
Upoważnienie i konto bez daty końca, konto wspólne dla grupy, uprawnienia kopiowane od koleżanki.
Poprawka wpisu po wpłynięciu skargi i masowe zmiany w bazie bez pisemnego zlecenia.
Rejestrator kamer z fabrycznym hasłem, włączonym mikrofonem i nagraniami starszymi niż okres w klauzuli.
Skanowanie bez spisu i bez podpisu odwzorowania, a potem niszczenie papieru przed terminem odbioru.
Wyłączenie starego systemu bez sprawdzonego archiwum, z hasłem u jednej osoby i eksportem bez opisu pól.

Od czego zacząć w tym tygodniu

Zróbcie listę firm z dostępem do danych pacjentów i przy każdej sprawdźcie umowę powierzenia z godzinami i kanałem powiadomienia o naruszeniu.
Wyślijcie do dostawcy systemu dokumentacji dziesięć pytań z rozdziału o wycieku u dostawcy z terminem odpowiedzi na piśmie.
Załóżcie rejestr żądań pacjentów i rejestr naruszeń, a przy każdym stanowisku rejestracji połóżcie kartkę z trzema zdaniami.
Porównajcie listę aktywnych kont z kadrami, grafikiem i umowami i zablokujcie konta osób, których tam nie ma.
Zmieńcie jedno słowo we wpisie na koncie testowym i sprawdźcie, czy historia pokazuje obie wersje.
Zapiszcie z menu rejestratora kamer datę najstarszego nagrania, stan mikrofonu i to, kto zna hasło.
Sprawdźcie, gdzie leżą dane ze starych systemów i kiedy ostatnio ktoś wydał z nich dokumentację pacjenta.

Pełny formularz, z opisem, czego oczekiwać w każdej odpowiedzi i jaki dowód dołączyć, to Pytania do dostawcy oprogramowania medycznego.

Kiedy ostatnio wasz dostawca odpowiedział na piśmie, kto u niego ma dostęp do bazy waszych pacjentów?