Rosnąca placówka: nowa lokalizacja, zakup, połączenie

Sieć przychodni, posiedzenie zarządu na tydzień przed podpisaniem umowy zakupu udziałów w czwartej placówce. Na stole leży raport z badania prawnego, finansowego i podatkowego, z rozdziałami o umowie z NFZ, lokalu i umowach z lekarzami. O programie, w którym kupowana przychodnia od kilkunastu lat prowadzi dokumentację, jest jedno zdanie: przychodnia korzysta z oprogramowania na podstawie umowy licencyjnej. Na tym samym posiedzeniu właściciel pyta, ilu pacjentów leczymy. Każda z trzech przychodni podaje swoją liczbę, ktoś sumuje je w arkuszu i nikt przy stole nie wierzy w wynik. Pacjentka z osiedla na północy chodzi do lekarza rodzinnego w jednej przychodni, do kardiologa w drugiej, a na USG jeździ do trzeciej, więc w zestawieniu jest trzy razy. Wynik USG lekarz rodzinny ogląda na wydruku, który przyniosła w torebce.

Nikt tu nie popełnił błędu. Sieć urosła tak, jak rosną sieci, przez kolejne zakupy. Kartoteka pacjenta nie urosła razem z nią, a czwarta przychodnia przyniesie czwartą.

Ten sam mechanizm działa w szpitalach. Uchwała albo porozumienie łączy dwa szpitale powiatowe w jeden zakład, grupa kupuje do spółki kolejny szpital. Prawo przenosi na nowy podmiot umowy, pracowników i obowiązki, ale żadnego rekordu nie scala. Formalnie powstaje jeden podmiot, technicznie zostają dwa albo trzy, i tę różnicę trzeba zaplanować, zanim pokaże ją pierwszy pacjent przeniesiony z drugiej lokalizacji.

Dla kogo i jak czytać. Sieć przychodni zaczyna od rozdziałów o jednej bazie pacjentów i o zakupie przychodni, a o wskaźnikach i aplikacji pacjenta czyta przed najbliższym budżetem. Szpital i podmiot tworzący przed połączeniem czytają rozdział o pierwszym roku po połączeniu. Zarząd grupy szpitali czyta rozdziały o jednym systemie, o wspólnym zespole bezpieczeństwa i o wskaźnikach. Przychodnia, która myśli o drugiej lokalizacji, bierze rozdział o zakupie i swoją część w rozdziale o skali, a gabinet ma tam jeden akapit. Kolejność rozdziałów odpowiada kolejności decyzji: najpierw dane i prawo, potem ludzie i konta, na końcu systemy. Stan prawny na 29.09.2026.

Jedna baza pacjentów w sieci przychodni

Pierwsza przychodnia ma program wybrany przez założycieli. Druga, kupiona po kilku latach, przychodzi z własnym programem, własną umową z dostawcą, własną kopią zapasową i własnym informatykiem rozliczanym za godziny. Przy trzeciej ktoś mówi: zostawmy na razie, jak jest, przepniemy za rok. Za rok jest czwarta.

Cztery bazy to cztery umowy, cztery zestawy uprawnień i cztery kopie do testowania, a koszt ich utrzymania rośnie z każdym rokiem odkładania, bo przybywa danych do migracji. Płaci pacjent, bo wynik z innej lokalizacji nie jest widoczny w karcie i badanie bywa powtarzane. Płaci zarząd, bo raport powstaje ze sklejania eksportów, w których te same osoby są kilka razy. Jest też koszt prawny: dane osobowe mają być prawidłowe i w razie potrzeby uaktualniane (art. 5 ust. 1 lit. d RODO), a numer telefonu zmieniony w jednej przychodni zostaje stary w trzech pozostałych.

Najpierw pytanie prawne: ilu administratorów ma sieć

Administratorem danych jest podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania (art. 4 pkt 7 RODO). Liczy się podmiot. Lokalizacja i serwer nie mają znaczenia.

Jeśli wszystkie przychodnie prowadzi jedna spółka, administrator jest jeden, niezależnie od liczby baz, a połączenie baz jest jego decyzją organizacyjną. Osoby wykonujące zawód medyczny mają dostęp do danych z dokumentacji z mocy ustawy, a rejestracja i informatyk na podstawie upoważnienia administratora (art. 24 ust. 2 pkt 1 i 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta). Do rozstrzygnięcia zostaje zakres uprawnień.

Jeśli sieć to kilka spółek, bo przychodnie kupowano razem z podmiotami, które je prowadziły, każda spółka jest osobnym administratorem, a wspólna baza oznacza, że dane jednej spółki widzą pracownicy drugiej. Są trzy drogi. Spółki wspólnie ustalają cele i sposoby przetwarzania, więc są współadministratorami i w drodze wspólnych uzgodnień określają zakresy odpowiedzialności (art. 26 ust. 1 RODO). Albo jedna spółka prowadzi system dla pozostałych jako podmiot przetwarzający z umowami powierzenia (art. 28 ust. 3 RODO). Albo bazy zostają osobne, a dokumentacja przechodzi między spółkami, gdy jest niezbędna do zapewnienia ciągłości świadczeń (art. 26 ust. 3 pkt 1 ustawy o prawach pacjenta). Trzecia droga jest legalna, ale nie rozwiązuje problemu pacjentki z trzech przychodni. Wybiera zarząd z prawnikiem i inspektorem ochrony danych, jeśli sieć go wyznaczyła; dostawca systemu tej decyzji nie podejmie. Szerzej o rolach pisze rozdział kto jest administratorem.

Co musi być w uzgodnieniu współadministratorów

Z art. 26 i art. 82 RODO wynikają trzy rzeczy, które zarząd musi znać. Zasadnicza treść uzgodnień jest udostępniana pacjentom (ust. 2). Pacjent może wykonywać swoje prawa wobec każdego ze współadministratorów, niezależnie od ich ustaleń (ust. 3). Administratorzy, którzy uczestniczą w tym samym przetwarzaniu i odpowiadają za szkodę, odpowiadają za nią solidarnie (art. 82 ust. 4 RODO). Podział odpowiedzialności działa więc między spółkami, pacjenta nie wiąże. Uzgodnienie rozstrzyga:

Kto przyjmuje wnioski pacjentów o dostęp do danych i ich sprostowanie i gdzie jest wspólny punkt kontaktowy.
Kto podaje informacje z art. 13 RODO i w jakiej treści, żeby każda recepcja mówiła to samo.
Kto stwierdza naruszenie, kto zgłasza je Prezesowi UODO (art. 33 ust. 1 RODO) i kto zawiadamia pacjentów, gdy wymaga tego art. 34 RODO.
Kto podpisuje umowę z dostawcą systemu i umowę powierzenia.
Kto nadaje uprawnienia i czy lekarz jednej spółki widzi całą historię pacjenta, czy tylko to, czego potrzebuje do leczenia.
Co dzieje się z danymi, gdy jedna spółka wychodzi z sieci, bo została sprzedana albo zamknięta.

Punkt szósty pomija się najczęściej, a to on decyduje, czy po latach trzeba będzie wydzielać dane jednej spółki ze wspólnej bazy. Każda spółka wpisuje też współadministratorów do swojego rejestru czynności przetwarzania (art. 30 ust. 1 lit. a RODO).

Jedna baza wprowadzana po kolei

Najpierw policzenie duplikatów. Zestawienie pacjentów ze wszystkich baz według numeru PESEL pokazuje, ilu ludzi sieć naprawdę leczy. Numer sprawdza się razem z imieniem, nazwiskiem i datą urodzenia, bo bywa wpisany z literówką, a dziecko bywa zapisane na numer matki. Pacjentów bez PESEL, na przykład cudzoziemców i noworodki, łączy się ręcznie, a każde połączenie ktoś zatwierdza. Przy kilku spółkach ten rachunek robi się dopiero po wyborze drogi, bo spółka zestawia wtedy swoje dane z danymi innego administratora.

Scalenie musi dać się cofnąć, bo połączenie dwóch różnych osób pod jednym numerem jest groźniejsze niż duplikat: lekarz widzi cudze rozpoznania i leki. System zapisuje, kto połączył kartoteki i kiedy, a stary numer karty z każdej przychodni zostaje przy pacjencie jako numer dodatkowy, bo powołują się na niego papierowe archiwum i wcześniejsze skierowania. Różnice, których nie rozstrzyga program, na przykład inne osoby upoważnione do informacji w dwóch przychodniach, oznacza się do wyjaśnienia z pacjentem przy najbliższej wizycie. Jak duplikaty powstają na co dzień, opisuje rozdział jeden pacjent, jedna kartoteka.

Równolegle słowniki: jedna lista usług, poradni, badań i lekarzy dla całej sieci, bo bez niej raport zarządu dalej będzie sumą czterech sposobów liczenia, tylko w jednym programie. Jeśli sieć to kilka spółek, każda rozlicza swoje umowy z NFZ osobno, więc każda wizyta ma przypisaną spółkę i miejsce. Uprawnienia układa się według ról i lokalizacji, a system zapisuje, kto i kiedy dokonał wpisu lub zmiany (§ 1 ust. 6 pkt 3 i 4 rozporządzenia Ministra Zdrowia z 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania).

Potem migracja, jedna przychodnia na raz, zaczynając od tej, której umowa z dostawcą kończy się najwcześniej, z przełączeniem po zamknięciu okresu rozliczeniowego z NFZ. System dokumentacji ma pozwalać na eksport całości danych w sposób umożliwiający odtworzenie ich w innym systemie (§ 1 ust. 6 pkt 8 tego rozporządzenia), ale termin i koszt wyjścia stoją w umowie. Przebieg opisuje rozdział migracja danych, a zapisy o wyjściu rozdział dane i wyjście.

Na koniec łączność i kopia. Jedna baza dla wszystkich lokalizacji oznacza, że awaria łącza zatrzymuje rejestrację w przychodni bez planu pracy bez połączenia, więc każda lokalizacja dostaje drugie łącze od innego operatora albo przez sieć komórkową i wydrukowany grafik wizyt, zanim nastąpi przełączenie (przychodnia bez internetu). Kilka małych awarii zamienia się też w jedną dużą, dlatego kopię wspólnej bazy odtwarza się na próbę, zanim pierwsza przychodnia wyłączy swoją, a wynik zapisuje w Protokole testu odtworzenia kopii.

Odbiór jest prosty: wynik wpisany w jednej przychodni widać w drugiej bez telefonu, a raport dla zarządu powstaje z systemu. Rejestratorka, zanim założy kartotekę, szuka pacjenta w całej sieci, bo inaczej duplikaty wracają w kilka miesięcy; pilnuje tego jedna osoba odpowiedzialna za kartotekę sieci.

Zakup przychodni: badanie IT przed podpisaniem umowy

Badanie przed zakupem robią prawnicy i finansiści, a IT widzą jako koszt bieżący. Sieć kupuje jednak przychodnię, żeby włączyć ją we wspólną rejestrację, raporty i kartotekę, a koszt tego zależy od stanu IT kupowanej placówki i da się go wliczyć w cenę tylko przed podpisaniem. Badanie IT wymaga listy pytań zadanych wcześnie i jednej osoby po stronie sprzedającego, która zna systemy przychodni. Z dostawcą programu przed podpisaniem zwykle nie porozmawiacie, bo sprzedający chroni poufność transakcji, więc pytania zadaje sprzedający, a odpowiedzi dostajecie na piśmie, z nazwiskiem osoby, która ich udzieliła.

Dane: eksport zamiast deklaracji

Przepis o eksporcie obowiązuje każdy system dokumentacji, ale nie znaczy, że eksport działa u tego sprzedającego i nic nie kosztuje. Poproście o próbny eksport danych kilku pacjentów i dajcie go osobie, która będzie migrować dane do systemu sieci. Zapytajcie o historię: dokumentację przechowuje się co do zasady przez 20 lat od końca roku kalendarzowego ostatniego wpisu (art. 29 ust. 1 ustawy o prawach pacjenta), więc trzeba wiedzieć, gdzie leży dokumentacja sprzed ostatniej zmiany programu i kto ją udostępnia pacjentom (20 lat przechowywania). Weźcie też próbkę kartotek i sprawdźcie duplikaty, brakujące numery PESEL i pola wypełniane wolnym tekstem, bo każdy duplikat to praca przy scalaniu z kartoteką sieci.

Umowy i licencje

Poproście o wszystkie umowy IT: program przychodni, laboratorium, hosting, poczta, telefonia, informatyk, serwis sprzętu. Przy każdej zapiszcie okres wypowiedzenia, koszt wyjścia i to, co dostawca zrobi z danymi. Punkt odniesienia jest jeden: dane wprowadzone do systemu i w nim wytworzone należą do placówki, oprogramowanie jest na licencji.

Przy licencji szukajcie trzech zapisów: o zmianie kontroli nad licencjobiorcą, o korzystaniu przez inne spółki sieci i o modelu liczenia opłat. Jeśli umowa nie stanowi inaczej, licencjobiorca nie może upoważnić innej osoby do korzystania z programu w zakresie uzyskanej licencji (art. 67 ust. 3 ustawy o prawie autorskim i prawach pokrewnych), więc lekarz zatrudniony przez inną spółkę sieci może potrzebować osobnej zgody dostawcy. Licencja na stanowisko i na użytkownika dają po połączeniu inny rachunek (model licencji).

Każdy dostawca z dostępem do danych pacjentów powinien mieć umowę powierzenia (art. 28 RODO) z zapisem o zwrocie albo usunięciu danych po zakończeniu usług (art. 28 ust. 3 lit. g RODO), a po zaprzestaniu przetwarzania przekazuje dane z dokumentacji placówce (art. 24 ust. 7 ustawy o prawach pacjenta). Zapisy o wycieku zebrał rozdział umowa powierzenia.

Dostępy, sprzęt i jedna próba kopii

Poproście o listę kont z uprawnieniami administratora w programie, na serwerze, w routerze, w poczcie i w domenie, z informacją, kto z nich korzysta i czy zostaje po zakupie, oraz o opis dostępu zdalnego serwisu dostawcy (konta i dostęp serwisu). Klucze to także certyfikat, którym program łączy się z P1 (gdzie leży plik, kto zna hasło, kiedy wygasa), oraz domena, skrzynki i numery telefonów, zarejestrowane czasem na prywatne dane właściciela albo informatyka; ich przeniesienie wpisuje się do umowy zakupu. W dniu przejęcia zmienia się hasła administratora, a informatyk sprzedającego nie zostaje jedyną osobą z pełnym dostępem.

Spiszcie serwery i komputery z wersjami systemów i dowodami licencji. Oprogramowanie bez wsparcia producenta nie dostaje poprawek bezpieczeństwa, a jego wymiana i brakująca licencja stają się przy zakupie udziałów waszym kosztem (systemy bez wsparcia). Zapewnienie, że kopia się robi, nie wystarcza: przed podpisaniem ktoś odtwarza bazę z kopii na osobnym komputerze i otwiera pięć kart pacjentów, a przychodnia w chmurze prosi dostawcę o odtworzenie na osobnej instancji. Przebieg opisuje rozdział kopia, która się odtwarza.

Incydenty i RODO kupowane razem z udziałami

Przy zakupie udziałów administratorem zostaje ta sama spółka, razem z historią. Przychodnia przetwarza dane o zdrowiu, więc prowadzi rejestr czynności przetwarzania bez względu na liczbę zatrudnionych (art. 30 ust. 1 i 5 RODO) i dokumentuje wszystkie naruszenia ochrony danych (art. 33 ust. 5 RODO). Poproście o oba dokumenty. Pusta ewidencja naruszeń w placówce, która działa od lat, mówi, jak dotąd dbano o dane. Przy zakupie przedsiębiorstwa zamiast udziałów zmienia się podmiot udzielający świadczeń, a kto jest administratorem dokumentacji sprzed zakupu, ustala prawnik, zanim ustali to kontrola.

Zakup może zmienić status sieci w KSC

Przychodnia prowadzona przez przedsiębiorcę jest podmiotem leczniczym (art. 4 ust. 1 pkt 1 ustawy o działalności leczniczej) z sektora ochrony zdrowia w załączniku nr 1 do ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Staje się podmiotem ważnym, gdy spełnia wymogi dla średniego przedsiębiorcy, a kluczowym, gdy je przewyższa (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1 ustawy o KSC w brzmieniu z Dz.U. 2026 poz. 252), przy czym wielkość liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi (art. 6 ust. 2 do 4 załącznika I do rozporządzenia Komisji (UE) nr 651/2014). Podmiot, który osiąga próg dopiero po takim doliczeniu, nie ma statusu, jeśli jego system informacyjny jest niezależny od ich systemów albo nie świadczy z nimi usług wspólnie (art. 5 ust. 6 i 7). Wspólna rejestracja i jedna baza pacjentów to argumenty przeciw temu wyjątkowi, więc połączenie baz z pierwszego rozdziału oceńcie z prawnikiem także pod tym kątem.

Status bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Sieć, która po zakupie przekroczy próg, ma 6 miesięcy od spełnienia przesłanek na wniosek o wpis do wykazu (art. 7c ust. 1) i 12 miesięcy na obowiązki z rozdziału 3 ustawy, w tym system zarządzania bezpieczeństwem i zgłaszanie incydentów (art. 16 pkt 1). Policzcie to przed podpisaniem, póki koszt tych obowiązków jest argumentem w negocjacjach. Pełne zasady kwalifikacji zebrał rozdział czy ustawa was obejmuje.

Koszt połączenia w cenie, wyniki badania w umowie

Wynik badania to dwa rachunki na pięć lat: przychodnia zostaje na swoim programie z osobną umową, kopią i raportowaniem albo przechodzi do systemu sieci, z kosztem eksportu, scalania kartotek, szkoleń i okresu podwójnego utrzymania. Oba liczy się w Kalkulatorze kosztu systemu na 5 lat według instrukcji, a różnica to kwota do rozmowy o cenie albo do zatrzymania w depozycie.

Wyniki badania przekłada się na zapewnienia sprzedającego w umowie zakupu: lista systemów i umów IT jest pełna, licencje są legalne, poza wpisanymi do ewidencji nie było naruszeń, lista kont administratora jest kompletna. Skutki nieprawdziwego zapewnienia ustalacie z prawnikiem. Jeśli przychodnia korzystała z serwera, poczty albo informatyka sprzedającego, potrzebna jest umowa na okres przejściowy: co sprzedający utrzymuje po dniu zamknięcia, do jakiej daty, za ile i kiedy przekaże dane. Pełnego audytu bezpieczeństwa przed podpisaniem nie potrzebujecie. Wystarczą dowody, że dane da się wyciągnąć, odtworzyć i przejąć.

Dwa szpitale pod jednym szyldem: pierwszy rok

Różnicę między jednym podmiotem a dwoma systemami najwcześniej widzi interna. Pacjent przeniesiony z oddziału w drugim mieście trafia do szpitala, który formalnie jest tym samym zakładem, a jego poprzedni pobyt leży w innym systemie, pod innym numerem księgi głównej. Bez planu na pierwszy rok lekarz prosi kolegę po drugiej stronie powiatu o wypis mailem.

Co zmieniła reforma, a czego nie zmienia uchwała

Samodzielne publiczne zakłady opieki zdrowotnej łączy się przez przejęcie albo przez utworzenie nowego zakładu (art. 66 ust. 1 ustawy o działalności leczniczej), a przy różnych podmiotach tworzących w drodze porozumienia (art. 66 ust. 2 pkt 2). Ustawa z 5 sierpnia 2025 r., w życiu od 17 września 2025 r., dodała dwie rzeczy. Gdy porozumienie nie wskaże jednego podmiotu przejmującego uprawnienia podmiotu tworzącego, podmioty tworzące wykonują je przez radę przedstawicieli z głosami ważonymi aktywami netto i przychodami, chyba że akt o połączeniu ustali inny sposób (art. 66 ust. 5a do 5c). Samodzielny zakład może też prowadzić związek jednostek samorządu terytorialnego (art. 6 ust. 2), utworzony, żeby przejąć uprawnienia i obowiązki podmiotu tworzącego (art. 67b).

Nowy zakład wstępuje we wszystkie stosunki prawne łączących się zakładów z dniem wpisu do KRS, a zakład przejmujący z dniem wykreślenia przejmowanego (art. 67 ust. 3 i 4), pracownicy przechodzą do nowego pracodawcy (art. 66 ust. 7 w związku z art. 23¹ Kodeksu pracy). Umowy licencyjne, serwisowe i umowy powierzenia przechodzą na jeden podmiot, ale zostają dwie umowy z dwoma zakresami, dwie bazy, dwa zestawy kont i dwa słowniki. Sukcesja przenosi umowę licencyjną, a jej zakres, czyli stanowiska, lokalizacje i moduły, zostaje taki, jak był zapisany. Pierwszy rok ma cztery kroki, a decyzja o systemie jest ostatnim.

Krok pierwszy: jeden administrator, dwa zbiory

Do dnia wpisu albo wykreślenia istnieją dwa podmioty i dwóch administratorów, więc wgląd lekarzy jednego szpitala do systemu drugiego „na próbę” to udostępnienie danych innemu podmiotowi bez podstawy. Przed dniem wpisu przygotowuje się dokumenty nowego administratora: rejestr czynności przetwarzania, umowy powierzenia z dostawcami obu systemów, wyznaczenie inspektora ochrony danych, procedurę zgłaszania naruszeń, tak żeby w dniu wpisu wystarczył podpis kierownika. Od tego dnia za oba archiwa odpowiada jeden podmiot (art. 24 ust. 1 ustawy o prawach pacjenta). Przed scalaniem spiszcie historię obu zbiorów (kopie, archiwa papierowe, firmy przechowujące dokumentację) i odtwórzcie próbnie kopię każdego systemu na osobnym serwerze.

Krok drugi: wspólne konta i uprawnienia

Pracownicy przeszli z mocy prawa, a ich upoważnienia wydały dwa różne podmioty, każdy na swoim wzorze i z własnym zakresem. Osoby wykonujące czynności pomocnicze i utrzymujące system działają na podstawie upoważnienia administratora (art. 24 ust. 2 pkt 2 ustawy o prawach pacjenta), a dostęp do dokumentacji mają wyłącznie osoby uprawnione (§ 1 ust. 4 pkt 1 rozporządzenia o dokumentacji medycznej). Zakład po połączeniu wydaje więc upoważnienia na nowo, jednym wzorem (upoważnienia do dokumentacji).

To także jeden katalog użytkowników i jedna lista kont serwisowych dostawców, przy której wychodzą na jaw konta osób, które odeszły lata temu. Lekarz dyżurujący w obu lokalizacjach ma, dopóki działają dwa systemy, dwa konta z jednego upoważnienia, wyłączane w ciągu doby od odejścia, najlepiej samoczynnie, z datą końca umowy wpisaną przy zakładaniu. Oddział, który przyjmuje pacjenta z drugiej lokalizacji, potrzebuje czegoś od pierwszego dnia. Najprostszy most to imienne konta do odczytu w drugim systemie dla oddziałów i izby przyjęć, które przyjmują pacjentów z drugiej lokalizacji, z zakresem ograniczonym do potrzeb oddziału. To nie jest integracja, ale zastępuje telefon i wypis wysyłany zwykłym mailem.

Krok trzeci: rozliczenia i sprawozdawczość

Zmieniają się wpisy w rejestrze podmiotów wykonujących działalność leczniczą (art. 67 ust. 1 ustawy o działalności leczniczej), a za nimi dane, którymi oba systemy podpisują się w komunikacji z NFZ i P1. Przez pewien czas dwa systemy wysyłają świadczenia pod jednym podmiotem, z różnymi słownikami komórek, kodami lekarzy i praktyką kodowania, i tu powstaje najwięcej błędów. Dane podmiotu siedzą też w nagłówkach wydruków, szablonach, konfiguracji e-recepty i e-skierowania. Poproście obu dostawców o listę tych miejsc, zmieńcie je jednego dnia w obu systemach i rano sprawdźcie pierwsze e-recepty z każdej lokalizacji, bo błąd w danych e-recepty zobaczy dopiero pacjent w aptece. Przed pierwszym wspólnym okresem rozliczeniowym potrzebne są tabela odpowiedników komórek z obu systemów, jedna osoba, która widzi komunikaty zwrotne z obu, i próbne rozliczenie przed terminem (każde pole ma właściciela).

Krok czwarty: decyzja o systemie

Pytanie „który system zostaje” postawione w pierwszym miesiącu przychodzi za wcześnie, bo nikt jeszcze nie wie, ile kosztuje utrzymanie każdego systemu, co wynika z umów po połączeniu i jak duża jest wspólna część pacjentów. Poproście obu dostawców o wycenę na piśmie tego samego zakresu: rozszerzenie licencji na cały zakład, pełny eksport danych w udokumentowanym formacie i integrację z drugim systemem. W modelu, w którym dostawca zarabia na dodatkach spoza umowy, każdy wyceni swoje pozostanie taniej niż wyjście, więc koszt wyjścia od każdego wchodzi do porównania (pytania do dostawcy). Migracja nie powinna wypaść w miesiącach, w których rozliczenia przechodzą na nowy podmiot. W szpitalach, w których prowadziłem projekty, połączenia najczęściej potykały się o dane. Sprzęt i licencje rzadziej.

Połączenie może zmienić kategorię w KSC

Podmiot leczniczy, który nie jest przedsiębiorcą, jest podmiotem ważnym od 50 do 249 zatrudnionych, a kluczowym od 250 (art. 5 ust. 8 ustawy o KSC). Dwa szpitale ważne mogą po połączeniu przekroczyć 250 osób i stać się podmiotem kluczowym, z audytem bezpieczeństwa systemu informacyjnego (art. 15). Kalendarz dla podmiotów objętych ustawą od wejścia nowelizacji, z zastrzeżeniem dla byłych operatorów usług kluczowych, podaje rozdział kalendarz KSC. Podmiot, który staje się kluczowym później, ma na pierwszy audyt 24 miesiące od spełnienia przesłanek (art. 16 pkt 2); od którego dnia liczyć ten termin po połączeniu, potwierdźcie z prawnikiem. Policzcie zatrudnienie obu zakładów razem przed dniem wpisu, a przy sumie bliskiej 250 planujcie jak podmiot kluczowy.

Wniosek o zmianę wpisu w wykazie, obejmującego między innymi nazwę, NIP, REGON, liczbę zatrudnionych, adresy IP i domeny, składa się w 14 dni od zmiany danych (art. 7c ust. 3 w związku z art. 7 ust. 2); przy nowym zakładzie sprawdźcie z prawnikiem, czy właściwa jest zmiana, czy nowy wpis. Od dnia połączenia obowiązuje też jedna procedura obsługi incydentu dla obu lokalizacji, bo zgłoszenie składa jeden podmiot, a dyżurny w mieście B musi wiedzieć, do kogo dzwoni w nocy (pierwsza godzina, karta pierwsza godzina po cyberataku).

Sieć szpitali na jednym systemie czy na kilku

Zarząd grupy szpitali prędzej czy później słyszy propozycję: jeden system dla wszystkich i sprawa zamknięta. Jeden system to decyzja o tym, jak grupa ma pracować. Zakup przychodzi na końcu.

Najpierw forma prawna grupy

Jedna spółka z kilkoma zakładami jest jednym administratorem. Kilka spółek to kilku administratorów i wybór jednej z trzech dróg z rozdziału o jednej bazie. Związek powiatów prowadzący kilka samodzielnych zakładów to kilka podmiotów, dopóki się nie połączą, więc wgląd lekarzy jednego szpitala do systemu drugiego wymaga podstawy prawnej. Wyjątek z art. 5 ust. 6 i 7 ustawy o KSC z rozdziału o zakupie działa w grupie szpitali tak samo: jeden wspólny system może odebrać spółce argument o niezależnym systemie informacyjnym. Obie oceny trzeba mieć przed decyzją.

Trzy modele

Pierwszy: jeden system i jedna baza dla całej grupy. Lekarz w każdym szpitalu widzi całą historię pacjenta, słowniki są jedne z definicji. Ceną jest jeden punkt awarii: gdy stanie serwer albo łącze, stają izby przyjęć wszystkich szpitali, a błąd w aktualizacji trafia do wszystkich naraz, więc model wymaga środowiska testowego i szpitala, który dostaje nową wersję pierwszy.

Drugi: ten sam system, osobne instancje w każdym szpitalu. Personel zna jeden program, awaria jednego szpitala nie zatrzymuje pozostałych, ale historii z innego szpitala lekarz nie widzi, dopóki ktoś nie zbuduje wymiany między instancjami, którą dostawca często wycenia jako osobny moduł.

Trzeci: różne systemy i wspólne standardy, czyli jeden indeks pacjentów grupy, wspólne słowniki, wymiana dokumentów w standardzie i wspólne archiwum obrazów. System dokumentacji ma umożliwiać jej udostępnianie w formatach i standardach ogłoszonych przez ministra, a przy ich braku w HL7 oraz DICOM lub innych standardach (§ 1 ust. 6 pkt 6 rozporządzenia o dokumentacji medycznej), a elektroniczną dokumentację wskazanych rodzajów placówki wymieniają według standardów z BIP ministra (art. 11 ust. 1b ustawy o systemie informacji w ochronie zdrowia). Ten model pozwala wymieniać systemy po kolei, przy końcu każdej umowy, ale wymaga kogoś, kto utrzymuje standardy grupy i ma mandat, żeby ich egzekwować (HL7, FHIR i API).

Pytania, które rozstrzygają wybór

Ilu pacjentów przechodzi między szpitalami? Każdy szpital policzy przeniesienia ze swojej księgi, bez łączenia baz. Przy kilku osobach w miesiącu wystarczą konta do odczytu i wymiana dokumentów. Gdy grupa podzieliła oddziały i pacjent regularnie leczy się w dwóch szpitalach, wspólna historia staje się warunkiem bezpiecznej pracy.

Ilu lekarzy dyżuruje w kilku szpitalach? Lekarz z trzema kontami w trzech systemach zapisuje hasła na kartce, a przy jego odejściu jedno z trzech kont zwykle zostaje otwarte. Wspólny katalog kont grupy daje tu więcej niż wspólny system szpitalny.

Kto ma widzieć dokumentację innego szpitala? Zakres dostępu wynika z drogi wybranej przy ustalaniu administratora i z tego, czy lekarz leczy pacjenta, a przy skardze odpowiedź, kto otworzył dokumentację, ma dać dziennik dostępu, nie pamięć informatyka.

Które usługi są wspólne i jak rozdzielić koszty? Laboratorium grupy przy trzech systemach utrzymuje trzy interfejsy. Każda spółka rozlicza z NFZ własne umowy, więc wspólny system przypisuje każdy pobyt i każde badanie do właściwej spółki, a umowa o podziale kosztów samego systemu powinna istnieć przed pierwszą fakturą.

Ile godzin pracy szpital może stracić i jakie macie łącza? Model pierwszy wymaga w każdej lokalizacji łącza zapasowego innego operatora i procedury pracy bez systemu przećwiczonej w szpitalu bez serwera (RPO i RTO, Praca bez systemu przez 72 godziny).

Kiedy kończą się umowy i ile każdy model kosztuje przez pięć lat? Koniec umowy to najtańszy moment zmiany, a do porównania wchodzą licencje, integracje, łącza, dyżury, szkolenia i koszt wyjścia (integracje).

Przegrywa zwykle model wybrany, zanim ktoś zmierzył, jak grupa naprawdę pracuje.

Jeden system to też jeden incydent

Przy wspólnym systemie atak na serwerownię centrali jest incydentem w każdym szpitalu, który z niej korzysta, a każda spółka będąca podmiotem kluczowym albo ważnym zgłasza go osobno. Centrala albo spółka usługowa, która utrzymuje system, jest dla każdego szpitala dostawcą usług ICT, a system zarządzania bezpieczeństwem szpitala obejmuje ten łańcuch dostaw (art. 8 ust. 1 pkt 2 lit. e ustawy o KSC) tak samo jak firmę zewnętrzną (dostawcy w łańcuchu dostaw).

Grupa nie musi mieć jednego systemu w dniu przejęcia kolejnego szpitala. Zmiany planuje się przy końcu umów, od szpitala pilotażowego, na którym grupa uczy się migracji, a w każdej nowej umowie zapisuje pełny eksport danych w udokumentowanym formacie oraz API z kontrolą uprawnień i dziennikiem zdarzeń (Lista kontrolna umowy z dostawcą). Spółki grupy, które są zamawiającymi publicznymi, mogą kupować wspólnie na zasadach opisanych w rozdziale wspólny zakup.

Wspólny zespół bezpieczeństwa: co na centralę, co w każdym szpitalu

Grupa tworzy jeden zespół bezpieczeństwa i zarząd uznaje sprawę za zamkniętą. Weźmy noc z soboty na niedzielę: o 2:10 monitoring w centrali pokazuje masową zmianę plików na stacji w pracowni diagnostyki jednego ze szpitali, dyżurny odcina stację i pisze notatkę, a dyrektor szpitala czyta ją w poniedziałek o 7:30. Zespół zadziałał dobrze, ale nikt nie wie, kto miał ocenić, czy to incydent poważny, ani od której godziny liczy się termin zgłoszenia. Zawiodła niespisana granica między centralą a szpitalem.

Forma prawna przed schematem organizacyjnym

Spółka prowadząca kilka szpitali jako swoje zakłady jest jednym podmiotem, a jej kierownikiem w rozumieniu ustawy o KSC są członkowie zarządu (art. 2 pkt 8a ustawy o KSC w związku z art. 3 ust. 1 pkt 6 ustawy o rachunkowości). Zespół w centrali to wtedy jej wewnętrzna struktura odpowiedzialna za cyberbezpieczeństwo (art. 14 ustawy o KSC).

Grupa kilku spółek to kilka podmiotów, każdy z wpisem, kierownikiem i obowiązkami, i każdy powołuje wewnętrzne struktury albo zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). Zespół spółki matki działa dla szpitala córki jak taki dostawca, więc potrzebna jest umowa, a informacja o niej trafia do wpisu szpitala w wykazie (art. 7 ust. 2 pkt 16), ze zmianą zgłaszaną w 14 dni (art. 7c ust. 3). Spółka usługowa, która obsługuje incydenty, testy i audyty szpitali grupy, może sama spełnić definicję takiego dostawcy (art. 2 pkt 4j), a on jest podmiotem kluczowym już od wielkości małego przedsiębiorcy (art. 5 ust. 1 pkt 3). Oceńcie to z prawnikiem przed założeniem spółki.

Co przechodzi na centralę, a co zostaje w szpitalu

Na centralę przechodzi to, co w trzech kopiach kosztuje trzy razy więcej. Monitorowanie w trybie ciągłym (art. 8 ust. 1 pkt 2 lit. g ustawy o KSC), bo szpitalowi z dwoma informatykami trudno zorganizować całodobowy dyżur, który szanuje 11 godzin nieprzerwanego odpoczynku w każdej dobie (art. 132 § 1 Kodeksu pracy), a jeden dyżur grupy pilnuje wszystkich szpitali (kto wykrywa w nocy). Zbieranie informacji o zagrożeniach i podatnościach (art. 8 ust. 1 pkt 3). Wzory polityk, analizy ryzyka i szkoleń (art. 8 ust. 1 pkt 1 oraz pkt 2 lit. a i i), które szpital przyjmuje jako swoje. Ocena wspólnych dostawców. Harmonogram testów i przygotowanie audytu, który podmiot kluczowy przeprowadza co najmniej raz na 3 lata (art. 15 ust. 1), z raportem dla każdego podmiotu osobno.

W szpitalu zostaje odpowiedzialność kierownika, także za obowiązki powierzone innej osobie (art. 8c ust. 1 i 3), razem z planowaniem środków i nadzorem (art. 8d pkt 2 i 3) oraz szkoleniem raz w roku kalendarzowym (art. 8e ust. 1); umowa z centralą tego nie zmienia (kierownik podmiotu). Zostają zgłoszenia: każdy podmiot przekazuje wczesne ostrzeżenie o incydencie poważnym w 24 godziny i zgłoszenie w 72 godziny od wykrycia (art. 11 ust. 1 ustawy o KSC; od kiedy te zasady obowiązują, także inny termin dla byłych operatorów usług kluczowych, podaje rozdział kalendarz KSC), a każdy administrator zgłasza naruszenie ochrony danych Prezesowi UODO w 72 godziny od stwierdzenia (art. 33 ust. 1 RODO); centrala może przygotować treść, ale termin należy do podmiotu (dwa zegary). Zostają co najmniej dwie osoby do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1), które szpital zna, nawet jeśli pracują w centrali, i wiedza o miejscu: kto wyłączy stację przy tomografie, wie ktoś na miejscu. Zostają plany ciągłości działania (lit. f), bo procedurę pracy bez systemu wykonuje izba przyjęć i oddział (szpital bez systemu), i wnioski o odebranie kont (lit. n), bo to kadry szpitala wiedzą, kto odszedł wczoraj.

Osobne konta w każdym szpitalu

Zespół z uprawnieniami administratora we wszystkich szpitalach daje napastnikowi skrót: przejęte konto jednego członka zespołu otwiera wszystkie szpitale, a wspólna sieć bez przegród pozwala zaszyfrować trzy serwerownie tej samej nocy. Każdy członek zespołu ma więc w każdym szpitalu osobne, imienne konto administracyjne. Ustawa wymaga polityk kontroli dostępu (art. 8 ust. 1 pkt 2 lit. n) i bezpiecznej komunikacji wewnątrz podmiotu z uwierzytelnianiem wieloskładnikowym (MFA) w stosownych przypadkach (lit. l), a konto, które otwiera kilka szpitali, to moim zdaniem najbardziej oczywisty stosowny przypadek. Połączenia między szpitalami ogranicza się do potrzeb wspólnych systemów i przygotowuje sposób odcięcia jednego szpitala bez zatrzymania pozostałych.

Granica, która musi być na piśmie

Dokument między centralą a szpitalem odpowiada na pytania, zanim ktoś zada je o 2:10. Co dyżurny centrali może zrobić bez pytania: odciąć stację, zablokować konto, czasowo ograniczyć ruch przychodzący z internetu, co ustawa przewiduje nawet za cenę zakłócenia usług (art. 8 ust. 1 pkt 5 lit. d), i czego nie wolno wyłączyć bez lekarza dyżurnego i działu aparatury, bo odcięcie stacji przy aparacie w trakcie badania to już sprawa pacjenta. Kto ocenia, czy incydent jest poważny, i w jakim czasie centrala zawiadamia szpital. Moment wykrycia wpisuje się do wczesnego ostrzeżenia (art. 12 ust. 1 pkt 4), a ustawa nie rozstrzyga wprost, czy wykrycie przez centralę jest wykryciem przez szpital, więc bezpieczniej przyjąć, że zegar szpitala rusza, gdy alarm zobaczy dyżurny grupy.

Kto ma dostęp do dzienników zdarzeń, w których są dane pacjentów i pracowników. Zespół z innej spółki przetwarza je w imieniu szpitala, więc potrzebna jest umowa powierzenia (art. 28 ust. 3 RODO). Grupa przedsiębiorstw może wyznaczyć jednego inspektora ochrony danych, jeśli łatwo się z nim skontaktować z każdej jednostki (art. 37 ust. 2 RODO); jak to wygląda w sieci publicznych szpitali, opisuje rozdział inspektor w sieci. Kto sprawdza niekaralność: osoba wykonująca zadania z art. 8 lub 11 ustawy o KSC przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji, zanim kierownik dopuści ją do zadań (art. 8f ust. 1), więc umowa mówi, jak dostaje ją każda spółka.

Najprościej zapisać to w macierzy: czynność, kto wykonuje, kto decyduje, w jakim czasie. Koszt zespołu rozlicza się na szpitale, bo każdy kierownik planuje środki swojego podmiotu. Przed 3 kwietnia 2027 grupa przechodzi listę kontrolną KSC 2027 dla każdej spółki osobno, a potem ćwiczy nocny incydent w jednym szpitalu i sprawdza, o której godzinie wiedział dyrektor.

Wskaźniki, które zarząd widzi co rano

Pytanie właściciela z otwarcia wraca przy każdym porannym raporcie. „Wolne terminy” w jednej lokalizacji to okienka w grafiku, w drugiej miejsca u kardiologa na tydzień, w trzeciej liczba z pamięci rejestratorki. W grupie szpitali zajęte łóżka przychodzą z trzech systemów liczących o innej godzinie, raz z łóżkami dostawionymi, raz bez. Poranny panel ma jedno zadanie: pokazać przed 9:00, gdzie dziś trzeba zareagować.

Trzy rytmy i dwa ekrany

Rok to raport kierownika samodzielnego publicznego zakładu o sytuacji ekonomiczno-finansowej, publikowany w BIP na podstawie sprawozdania finansowego (art. 53a ust. 1 i 2 ustawy o działalności leczniczej), i wskaźniki jakości, które Prezes NFZ publikuje do 30 kwietnia (art. 5 ust. 2 ustawy o jakości w opiece zdrowotnej i bezpieczeństwie pacjenta); ich źródła opisują rozdziały wskaźniki jakości NFZ i analizy dla właściciela. Miesiąc wyznacza rozliczenie, z dokumentami składanymi do 10. dnia następnego miesiąca (§ 23 ust. 3 ogólnych warunków umów o udzielanie świadczeń opieki zdrowotnej). Na ekranie porannym zostaje to, co jeszcze da się zmienić dziś.

W sieci przychodni to pięć pozycji, dla każdej lokalizacji i w sumie:

Wolne terminy w najbliższych 14 dniach w każdej poradni, liczone z terminarza. W zakresach objętych centralną e-rejestracją Fundusz po 6 miesiącach od objęcia zakresu co do zasady finansuje tylko świadczenia z terminem wyznaczonym w tej rejestracji (art. 23i i art. 154a ust. 2 i 3 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych), a zakresy dochodzą etapami (nowe e-usługi).
Wczorajsze wizyty: umówione, zrealizowane, odwołane i nieodbyte, bo pacjent nie przyszedł. Z różnic widać, gdzie nie działa przypominanie.
Wykonanie umowy z NFZ narastająco od początku miesiąca wobec planu, póki można przesunąć godziny lekarzy.
Świadczenia z błędem w komunikacie zwrotnym, z liczbą dni do terminu rozliczenia.
Czy nocna kopia każdej bazy się wykonała i czy trwa awaria, która zatrzymuje rejestrację albo e-recepty.

Pozycja czwarta działa przy częstym wysyłaniu danych. Płatnik odsyła komunikat zwrotny z potwierdzeniem albo wykazem błędów (§ 10 ust. 5 rozporządzenia Ministra Zdrowia w sprawie zakresu niezbędnych informacji przetwarzanych przez świadczeniodawców), a dane można przekazywać także w trakcie okresu sprawozdawczego (§ 11 ust. 1). Sieć, która wysyła je codziennie, poznaje błędy w trakcie miesiąca. Sieć, która wysyła raz, poznaje je przy składaniu dokumentów, a przy dokumentach nieprawidłowych Fundusz wstrzymuje płatność w zakresie zastrzeżeń (§ 26 ust. 2 ogólnych warunków umów).

W sieci szpitali ekran pokazuje każdy szpital i sumę grupy, stan na 7:00: zajęte łóżka z przyjęciami i wypisami z ostatniej doby; hospitalizacje zakończone bez kompletu danych do rozliczenia, z liczbą dni od wypisu, bo przyczyną główną jest rozpoznanie przy wypisie wpisane do księgi chorych (§ 3 ust. 1 pkt 3 rozporządzenia o zakresie niezbędnych informacji); wykonanie umowy; terminowość danych list oczekujących; luki w obsadzie dyżurów na 7 dni; otwarte incydenty z czasem od wykrycia w podmiocie kluczowym albo ważnym. Zarząd, który dowiaduje się o incydencie trzeciego dnia, nie ma już czego nadzorować. Wzór jednej strony o bezpieczeństwie podaje rozdział stan bezpieczeństwa na jednej stronie.

Jedna definicja, jedno źródło, jedna godzina

Każdy wskaźnik ma spisaną definicję: co się liczy, z której części systemu i o której godzinie. „Wizyta zrealizowana” w jednej lokalizacji oznacza wizytę zamkniętą przez lekarza, w drugiej każdą, na którą pacjent przyszedł. Przy każdej liczbie stoi godzina stanu danych, a sieć ma jeden słownik lokalizacji, poradni i lekarzy. Sieć z osobną bazą w każdej przychodni policzy wizyty, pacjentów już nie.

Zanim panel wyjdzie poza jedną lokalizację, wybierzcie jeden wskaźnik i jeden dzień, policzcie go ręcznie z systemu i porównajcie z panelem, a przez pierwsze cztery tygodnie powtarzajcie to co tydzień. Różnicę najczęściej daje status, którego nikt nie ustawił: pacjent nieoznaczony jako nieobecny, niezamknięta wizyta, brak wypisu. Na start dodajcie pozycję pomocniczą z wczorajszymi wizytami i hospitalizacjami bez statusu; gdy spadnie do kilku sztuk dziennie, reszta liczb znaczy to, co mówi definicja.

Liczby do panelu system liczy w nocy albo z kopii bazy do raportów, bo ciężkie zestawienie o 7:30 potrafi spowolnić rejestrację we wszystkich lokalizacjach. Zarząd potrzebuje przy tym liczb, nie nazwisk. Dane mają być ograniczone do niezbędnych (art. 5 ust. 1 lit. c RODO), a domyślnie przetwarza się tylko dane potrzebne do konkretnego celu (art. 25 ust. 2 RODO), więc panel pokazuje sumy, a listę pacjentów widzą tylko osoby, które z nią pracują. Panel w usłudze zewnętrznej firmy z danymi pacjentów wymaga umowy powierzenia (art. 28 ust. 3 RODO), więc prościej wysyłać tam same sumy, przez udokumentowane API. Nocny eksport całej bazy na wspólny dysk to kopia danych pacjentów poza kontrolą systemu.

Liczba bez progu to dekoracja

Każda pozycja ma właściciela, próg i decyzję. Właściciel tłumaczy liczbę na porannym spotkaniu, próg mówi, kiedy pozycja robi się czerwona, a decyzja to z góry ustalony ruch: dodatkowe godziny, lekarz z innej lokalizacji, telefon do dostawcy. Omawia się tylko pozycje czerwone, a pięć albo sześć pozycji wystarczy. Grupa szpitali nie musi w tym celu przechodzić na jeden system: centrala ustala wspólne definicje, progi i słowniki oddziałów i pobiera sumy z każdego systemu przez API. Szpitale prowadzone przez spółkę nie sporządzają raportu z art. 53a, ale płynność i rotacja należności w dniach według rozporządzenia Ministra Zdrowia z 12 kwietnia 2017 r. (Dz.U. 2017 poz. 832) dobrze nadają się do raportu miesięcznego grupy.

Własna aplikacja pacjenta czy IKP

Zanim sieć prywatnych przychodni oceni ofertę aplikacji z zapisami, wynikami, zamawianiem recept i powiadomieniami, sprawdźcie, czy rejestratorka widzi wolny termin u dermatologa w drugiej lokalizacji bez telefonu do koleżanki. Jeśli nie widzi, aplikacja tych terminarzy nie połączy, tylko pokaże pacjentowi ten sam podział na telefonie.

Co pacjent ma już w IKP, a czego IKP nie zrobi

Internetowe Konto Pacjenta ma każda osoba z numerem PESEL, a mojeIKP to jego wersja na telefon. Ustawa daje w nim dostęp do informacji o udzielonych i planowanych świadczeniach zgromadzonych w systemie informacji medycznej (art. 7 ust. 1 pkt 1 i art. 7a ust. 1 pkt 1 ustawy o systemie informacji w ochronie zdrowia). Według pacjent.gov.pl pacjent widzi tam e-recepty, e-skierowania, historię wizyt, także prywatnych, i dokumentację elektroniczną, o ile placówka ją umieściła. Wizyta prywatna trafia do IKP, bo dane zdarzenia medycznego przekazuje każdy usługodawca, także bez kontraktu z NFZ (art. 56 ust. 2a). Od 1 lipca 2026 IKP przewiduje zamówienie recepty niezbędnej do kontynuacji leczenia (art. 7a ust. 1 pkt 19, dodany ustawą z 15 maja 2026, Dz.U. 2026 poz. 791), o ile placówka odbiera zgłoszenia.

Tych funkcji aplikacja nie musi powielać, bo ich utrzymanie nie jest waszym kosztem, a druga lista e-recept to drugie miejsce, w którym ta sama recepta może wyglądać inaczej. Warunek jest jeden: dokumentacja z sieci musi naprawdę trafiać do P1 (zdarzenia medyczne w P1).

Katalog funkcji IKP w art. 7a ust. 1 nie obejmuje zapisów na wizyty komercyjne, cennika, abonamentów, pakietów ani płatności. IKP nie przeniesie pacjenta z odwołanego terminu na wolny w innej lokalizacji i nie przypomni o wizycie z waszego terminarza. Tu jest przychód, którego państwowy kanał nie obsłuży. Pierwszym własnym kanałem nie musi być aplikacja: rejestracja online na stronie, podpięta do tego samego terminarza co rejestracja w przychodni, robi większość pracy bez publikacji w sklepach z aplikacjami. Aplikację dokłada się, gdy są pacjenci, którzy wracają regularnie: abonamenty, opieka nad dziećmi, leczenie przewlekłe. Przychód liczy się od pacjentów płacących bezpośrednio, bo pacjent z pakietu pracodawcy może umawiać się kanałem sprzedawcy pakietu. Czat albo automat w rejestracji to inna droga, z obowiązkiem informowania, że pacjent rozmawia z AI (automat w rejestracji).

Aplikacja jest okienkiem na system gabinetowy

Termin zarezerwowany w aplikacji musi w tej samej chwili zniknąć z ekranu rejestratorki, a wizyta odwołana telefonicznie z aplikacji. W sieci z osobną bazą w każdej lokalizacji aplikacja pokaże jedną przychodnię albo będzie łączona z kilkoma bazami kilkoma połączeniami do utrzymania, dlatego najpierw jedna baza i jeden terminarz. Potem pytanie do dostawcy systemu gabinetowego na piśmie: czy ma udokumentowane API do terminarza, kartoteki i wyników, z kontrolą uprawnień i dziennikiem zdarzeń, ile kosztuje dostęp rocznie i co dzieje się z połączeniem po aktualizacji (integracje). Moduł pacjenta od tego dostawcy jest tańszy w połączeniu, ale wiąże was z nim mocniej. Aplikacja zamówiona od zera daje swobodę i drugi system do utrzymania, więc umowa mówi, jakie prawa do kodu aplikacji dostajecie, kto ją rozwija po odejściu wykonawcy i w jakiej postaci oddaje dane.

Konto zakładane samym numerem PESEL i adresem e-mail pozwala założyć konto na cudze dane, a pomyłka w numerze daje drugą kartotekę. Konto łączy się z kartoteką przez potwierdzenie w rejestracji, kod na telefon zapisany wcześniej w kartotece albo logowanie z potwierdzeniem tożsamości, a wyniki pokazuje się dopiero na koncie połączonym. Zanim konto rodzica zobaczy wizyty dziecka, ustalcie z inspektorem ochrony danych i prawnikiem podstawę tego dostępu, sposób jego odebrania i los konta, gdy dziecko staje się pełnoletnie. Aplikacja z serwerem w internecie to nowe drzwi do danych, więc przed uruchomieniem i po każdej większej zmianie test bezpieczeństwa robi firma niezależna od wykonawcy, a umowa mówi, w jakim czasie wykonawca usuwa luki (wyciek u dostawcy).

Rachunek na pięć lat i prawo, które przychodzi z aplikacją

Budowa to pierwsza faktura. Potem przychodzą poprawki po nowych wersjach systemów telefonów, serwer, utrzymanie połączenia po każdej aktualizacji systemu gabinetowego, testy bezpieczeństwa i telefony pacjentów, którzy nie mogą się zalogować (utrzymanie). Po drugiej stronie stoi przychód, który przyjdzie tylko tym kanałem: abonamenty, wizyty zapisane poza godzinami rejestracji, terminy odzyskane po odwołaniach. Kto nie umie go podać, najpierw mierzy przez kilka miesięcy rejestrację online.

Aplikacja z wynikami przetwarza dane o zdrowiu (art. 9 ust. 1 RODO), do celów leczenia na podstawie art. 9 ust. 2 lit. h RODO. Marketing to inny cel i ta podstawa go nie obejmuje. Wykonawca i firma utrzymująca serwery potrzebują umów powierzenia (art. 28 ust. 3). Domyślnie przetwarza się tylko dane niezbędne (art. 25 ust. 1 i 2), więc powiadomienie na zablokowanym ekranie mówi „nowy wynik w aplikacji”, bez nazwy badania. Przetwarzanie danych o zdrowiu na dużą skalę wymaga oceny skutków przed uruchomieniem (art. 35 ust. 1 i ust. 3 lit. b), z udziałem inspektora, jeśli go wyznaczono (art. 35 ust. 2); czy sieć to duża skala, rozstrzygacie z nim na piśmie przed pierwszą linijką kodu. Informacja handlowa na telefon pacjenta wymaga jego uprzedniej zgody (art. 398 ust. 1 ustawy Prawo komunikacji elektronicznej), a narzędzia analityczne zapisujące dane w telefonie informacji i zgody (art. 399 ust. 1), chyba że zapis jest konieczny do usługi, której pacjent żąda (art. 399 ust. 3 pkt 2); przypomnienie o wizycie i oferta pakietu to dwie różne zgody. Jeśli pacjent kupuje w aplikacji wizytę albo abonament, sprawdźcie z prawnikiem, czy to usługa handlu elektronicznego (art. 2 pkt 32 ustawy o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług przez podmioty gospodarcze), objęta wymaganiami dostępności od 28 czerwca 2025 (art. 3 ust. 2 pkt 6 i art. 88), z wyłączeniem mikroprzedsiębiorców (art. 4 pkt 1).

Co to znaczy na waszej skali

Z każdym krokiem wzrostu przybywa warstw IT; ich mapę od gabinetu do sieci szpitali opisuje artykuł Kwestia skali. Ten poradnik dotyczy czterech z nich: łączności między lokalizacjami, wspólnych danych i raportowania, wspólnej tożsamości pacjenta i wymiany dokumentacji oraz usług centralnych.

Gabinet lekarski

Drugie miejsce przyjęć prowadźcie w tym samym programie i na tej samej kartotece, bo druga kartoteka założona „na próbę” zostaje na lata. Przejmując pacjentów po lekarzu, który kończy praktykę, nie kupujecie spółki; kto przejmuje zadania gabinetu, przejmuje dokumentację (art. 30a ust. 2 ustawy o prawach pacjenta), więc ustalcie na piśmie, co przejmujecie, poproście o eksport całości danych, zaplanujcie przechowywanie przez 20 lat i odbierzcie dostęp poprzedniemu właścicielowi. Praktyka zawodowa nie jest podmiotem leczniczym (art. 5 ust. 3 ustawy o działalności leczniczej), więc progów KSC gabinet co do zasady nie liczy. Aplikacji nie potrzebuje; wystarczy, że program przekazuje zdarzenia do P1.

Przychodnia

Problem kilku baz zaczyna się w dniu rozmowy o drugiej placówce. Przed podpisaniem przechodzicie listę z rozdziału o zakupie, a z prawnikiem ustalacie, czy będziecie mieli jednego administratora, czy dwóch. Kierownikowi wystarczą rano trzy liczby z raportu programu: wolne terminy na 14 dni, wczorajsze nieodbyte wizyty i, przy kontrakcie z NFZ, świadczenia z błędem. Zamiast aplikacji rejestracja online na stronie i pomiar. Przychodnia w jednym miejscu nie potrzebuje uzgodnień współadministratorów, zespołu bezpieczeństwa ani hurtowni danych.

Sieć przychodni

To skala, dla której powstała większość poradnika, więc tu tylko granica. Poniżej progów ustawy o KSC sieć co do zasady nie potrzebuje centrum monitorowania ani audytu; potrzebuje kopii odtworzonej na próbę i planu pracy bez łącza w każdej lokalizacji. Poranny panel da się zbudować przed jedną bazą, aplikację pacjenta dopiero po jednym terminarzu.

Szpital

Szpital zna problem kilku baz, gdy poradnie przyszpitalne pracują w innym programie niż oddziały; kolejność z pierwszego rozdziału pasuje, a pytanie o administratorów zwykle odpada. Szpital objęty ustawą o KSC dopisuje przejmowaną przychodnię do spisu aktywów i planów ciągłości działania (art. 8 ust. 1 pkt 2 lit. m i f ustawy o KSC), zanim przychodnia dostanie połączenie z siecią szpitala. Nie przenosi się jej od razu do systemu szpitalnego, bo pracuje na grafiku wizyt; na start wystarczą konta do odczytu. Przy połączeniu z drugim szpitalem oba działy IT od pierwszego dnia mają jednego kierownika, jedną listę zadań i jeden dyżur, a w pierwszym roku nie trzeba wybierać jednego systemu ani budować hurtowni danych.

Szpital specjalistyczny

Przy łączeniu dochodzą urządzenia medyczne w sieci, systemy obrazowe i laboratoria z własnym oprogramowaniem; spis obejmuje je razem z dostępem serwisu producentów (urządzenia medyczne). Decyzja o jednym systemie dotyczy głównie rdzenia, czyli ruchu chorych i dokumentacji, bo systemy dziedzinowe zostaną osobne, więc do porównania dopisuje się koszt przepięcia ich na wspólny indeks pacjentów. Istniejący zespół bezpieczeństwa ustala z centralą na piśmie, co oddaje, a decyzji o urządzeniach medycznych nie oddaje bez działu aparatury.

Sieć szpitali

Najpierw forma prawna i administratorzy, potem pomiar przepływu pacjentów i lekarzy między szpitalami za ostatni rok, właściciel słowników i standardów z mandatem zarządu oraz kalendarz końców umów ze szpitalem pilotażowym. Zespół bezpieczeństwa dostaje macierz zadań, osobne konta w każdym szpitalu z MFA i sprawdzony sposób odcięcia jednego szpitala. Panel zarządu opiera się na wspólnych definicjach, nie na wspólnym systemie. Grupa nie musi budować w każdym szpitalu osobnego dyżuru ani zestawu narzędzi.

Typowe błędy

Każda filia z własną bazą. Kupiona przychodnia zostaje na swoim programie „na rok”, rok zamienia się w trzy, a umowa ze starym dostawcą przedłuża się automatycznie.

Migracja przed decyzją prawną. Bazy scalone, bo technicznie się da, a po roku inspektor pyta, na jakiej podstawie pracownicy jednej spółki widzą pacjentów drugiej. W szpitalach to samo nazywa się scalaniem baz przed wpisem do KRS.

Spółka usługowa, której nie ma w umowach: płaci za system i zatrudnia informatyków dla całej grupy, ale nie jest ani współadministratorem, ani podmiotem przetwarzającym.

Zakup przychodni bez eksportu danych, na podstawie deklaracji sprzedającego, z jedynym kluczem administratora u informatyka sprzedającego i bez umowy na okres przejściowy. Progi KSC liczone dla jednej spółki zamiast dla grupy.

Decyzja o systemie przed ustaleniem administratora i przed policzeniem kosztu utrzymania, a potem migracja wszystkich szpitali w jednym kwartale. Obok niej założenie, że licencja jednego szpitala po sukcesji obejmuje użytkowników drugiego, i zapomniany wniosek o zmianę wpisu w wykazie.

Wspólny zespół bez granicy na piśmie: kierownik spółki prowadzącej szpital uznany za zwolnionego z obowiązków, alarm bez nazwiska osoby w szpitalu, jedno konto administratora domeny dla całej grupy.

Wskaźnik bez definicji, godziny stanu danych i progu, zbierany z arkuszy lokalizacji, a obok nazwiska pacjentów w narzędziu dostępnym dla połowy administracji.

Aplikacja bez rachunku utrzymania, zamówiona przed połączeniem terminarzy, z kontem zakładanym samym numerem PESEL i jedną zgodą na przypomnienia i reklamę.

Od czego zacząć w tym tygodniu

Spiszcie, ile podmiotów prowadzi wasze placówki, i przy każdym zapiszcie, kto jest administratorem danych. Przy więcej niż jednym umówcie zarząd z prawnikiem i inspektorem ochrony danych na wybór drogi dla wspólnych danych.
Policzcie duplikaty w bazach jednego administratora według numeru PESEL, imienia, nazwiska i daty urodzenia. Wynik to pierwsza prawdziwa liczba pacjentów sieci.
Zbierzcie w jednym kalendarzu daty końca wszystkich umów licencyjnych i serwisowych, z okresem wypowiedzenia i informacją o automatycznym przedłużeniu.
Przy każdym planowanym zakupie poproście sprzedającego o próbny eksport danych kilku pacjentów, listę kont administratora i próbę odtworzenia kopii przed podpisaniem.
Policzcie status w ustawie o KSC dla całej grupy po planowanym zakupie albo połączeniu.
Jeśli macie wspólny zespół bezpieczeństwa, zapiszcie na jednej stronie, kto w każdym szpitalu ocenia incydent i do kogo dyżurny dzwoni w nocy.
Wybierzcie jeden wskaźnik z porannego raportu, zapiszcie jego definicję i godzinę stanu danych, policzcie go ręcznie za jeden dzień i porównajcie z tym, co dostaje zarząd.

Przed posiedzeniem zarządu przejdźcie autodiagnozę skali placówki. Warstwy 06 (łączność między lokalizacjami), 07 (wspólne dane i raportowanie), 14 (wspólna tożsamość pacjenta i wymiana dokumentacji) i 15 (usługi centralne) pokażą, czy wasze IT nadąża za liczbą lokalizacji i podmiotów, a trzy braki z ramki wyniku to gotowy porządek obrad.

Co chcecie osiągnąć następnym krokiem wzrostu i ile kosztuje was dziś utrzymanie systemów, które każda z waszych placówek przyniosła ze sobą?