Umowa z dostawcą systemu medycznego: serwis, dane, wyjście

Szpital powiatowy, trzeci rok umowy na system szpitalny. Dyrekcja postanawia zmienić dostawcę i prosi obecnego o eksport danych. Odpowiedź przychodzi po dwóch tygodniach: eksport jest usługą dodatkową, wycena w załączniku, opis struktury bazy nie jest przedmiotem umowy. Kierownik IT otwiera umowę. Są w niej moduły, liczba licencji, harmonogram wdrożenia i kary za opóźnienie odbioru. O wyjściu nie ma ani słowa.

Umowa wdrożeniowa powstaje w chwili, gdy obie strony chcą zacząć, a o rozstaniu nikt przy stole nie mówi. Dlatego funkcje są opisane na kilkudziesięciu stronach, a utrzymanie w jednym paragrafie z hasłem „serwis zgodnie z SLA”. Zapewnienie handlowca nie pomoże w sporze, jeśli nie trafiło do umowy albo załącznika. Do tego dochodzą trzy akty unijne, które nakładają obowiązki na dostawców i dają placówkom prawa: akt w sprawie danych, rozporządzenie o europejskiej przestrzeni danych dotyczących zdrowia (EHDS) i akt o cyberodporności. Skorzysta z nich ten, kto wie, o co zapytać przed podpisem.

Dla kogo i jak czytać

Poradnik jest dla dyrektorów, właścicieli i kierowników placówek, kierowników IT, radców prawnych i inspektorów ochrony danych, którzy podpisują albo przedłużają umowę na system, abonament w chmurze albo zakup sprzętu do sieci. Gabinet i mała przychodnia na abonamencie zaczynają od rozdziału Regulamin abonamentu, potem czytają Dane i wyjście, Zmianę dostawcy chmury i Umowę powierzenia. Przychodnia i sieć przychodni z umową negocjowaną czytają całość, a rozdział o danych z aparatów tylko przy własnej diagnostyce. Szpital potrzebuje wszystkich rozdziałów; szpital specjalistyczny i sieć szpitali niech zaczną od czasów reakcji, EHDS, cyberodporności, danych z aparatów i uczenia modeli. Co to znaczy na waszej skali mówi, co wybrać na każdej skali, a Typowe błędy służą do przeglądu starej umowy. Stan prawny: 29.09.2026.

Czasy reakcji: godziny, kategorie i kto je nadaje

Skrót SLA oznacza umowę o poziomie usług, czyli zapis, w jakim czasie dostawca reaguje na zgłoszenie i usuwa awarię. Sama tabela czasów niczego nie gwarantuje. Rozstrzyga pięć rzeczy wokół niej: w jakich godzinach liczy się czas, jak zdefiniowano kategorie, kto je nadaje, czym jest reakcja i co się dzieje przy przekroczeniu.

Najczęstszy błąd siedzi w godzinach. Umowa przyjmuje zgłoszenia w dni robocze od 8:00 do 16:00, a szpital pracuje całą dobę, więc awaria w sobotę o 22:00 zaczyna się dla dostawcy w poniedziałek o 8:00. Typowa formuła serwisu wygląda tak: zgłoszenia przyjmowane 24/7, obsługa w dni robocze od 8:00 do 16:00, dyżur całodobowy w wyższym pakiecie. To uczciwy układ, jeśli umowa mówi, które kategorie wchodzą w dyżur, pod jakim numerem telefonu się go uruchamia i czy czasy liczy się w godzinach zegarowych, czy roboczych. Formularz w portalu o 3:00 nikogo nie obudzi. Placówka pracująca całą dobę płaci za dyżur dla kategorii krytycznej, a resztę zgłoszeń zostawia na dni robocze. Przychodni zwykle wystarcza obsługa w godzinach pracy rejestracji.

Jeśli kategorię nadaje wyłącznie dostawca, awaria na izbie przyjęć może trafić do zgłoszeń zwykłych. Kategorie definiuje się skutkiem dla pracy placówki: krytyczna, gdy nie można przyjąć pacjenta, wystawić zlecenia, e-recepty albo zobaczyć wyniku; pilna, gdy nie działa jedna funkcja, ale jest obejście; zwykła, gdy błąd przeszkadza, ale nie zatrzymuje pracy. Umowa mówi, kto kwalifikuje zgłoszenie, i daje placówce prawo do podniesienia kategorii; spór rozstrzyga się po usunięciu awarii.

Jeśli umowa nie mówi, czym jest reakcja, wystarczy automatyczna odpowiedź „przyjęliśmy zgłoszenie”. Dla oddziału liczą się czas obejścia, po którym personel pracuje dalej, i czas naprawy, więc umowa podaje dla każdej kategorii trzy liczby: reakcję, obejście i naprawę. Placówka potrzebuje wglądu w system zgłoszeń dostawcy i miesięcznego zestawienia przekroczeń, a za przekroczenie umowa przewiduje obniżenie opłaty albo karę. Bez skutku finansowego tabela czasów jest deklaracją.

Obok zegara serwisu biegnie zegar bezpieczeństwa. Placówka, która jest podmiotem kluczowym albo ważnym, przekazuje wczesne ostrzeżenie o incydencie poważnym w 24 godziny od wykrycia (art. 11 ust. 1 pkt 4 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu z Dz.U. 2026 poz. 252). Podmiot, który spełniał przesłanki w dniu wejścia nowelizacji w życie, wdraża obowiązki najpóźniej do 3 kwietnia 2027, a szpital, który był wcześniej operatorem usługi kluczowej, zgłasza incydenty według nowych zasad od 3 października 2026 (art. 33 ust. 1 i 4 ustawy zmieniającej). Przy incydencie u dostawcy zdąży tylko wtedy, gdy umowa każe mu powiadomić szybciej niż w dobę. System zarządzania bezpieczeństwem obejmuje łańcuch dostaw usług ICT (art. 8 ust. 1 pkt 2 lit. e), a kierownik podmiotu odpowiada za obowiązki z zakresu cyberbezpieczeństwa także wtedy, gdy powierzył je innej osobie (art. 8c ust. 3). Oba zegary, KSC i RODO, opisuję w rozdziale Dwa zegary, a od kiedy obowiązki dotyczą waszej placówki, w kalendarzu KSC.

Z tym zegarem wiąże się zdalny dostęp serwisu. Dostawca łączy się tylko kanałem wskazanym przez placówkę, z imiennych kont, z uwierzytelnianiem wieloskładnikowym (MFA), a każde połączenie zostaje w dzienniku, który placówka może przejrzeć. Umowa wymienia podwykonawców z dostępem do systemu. Przy wspólnym koncie serwisowym, którego hasła nikt nie zmieniał od wdrożenia, nie da się ustalić, kto i kiedy wszedł do systemu. Organizację po stronie placówki opisuję w rozdziałach Konta, MFA i dostęp serwisu oraz Dostawcy.

Zmiany prawne: w opłacie czy jako rozwój

„Zmiany ustawowe w cenie utrzymania” to zapis, który kończy się sporem, bo nikt go nie zdefiniował. Przychodzi nowe rozporządzenie: dostawca mówi, że to rozwój systemu, placówka, że dostosowanie do prawa. Rozporządzenie Ministra Zdrowia o dokumentacji medycznej zmieniano od lipca 2025 do czerwca 2026 cztery razy (Dz.U. 2025 poz. 931 i 1853, Dz.U. 2026 poz. 758 i 876). Dostosowanie jest pracą stałą.

Kolejka zmian jest znana. Nowe e-usługi i zmiany w wymianie danych z P1 opisuję w rozdziale Nowe e-usługi. Obowiązek faktur w KSeF (art. 106ga ust. 1 ustawy o VAT) wchodził etapami od 1 lutego 2026, a podatnik, u którego sprzedaż dokumentowana fakturami nie przekracza 10 000 zł brutto w miesiącu, może wystawiać faktury poza KSeF do 31 grudnia 2026 (art. 145m); skutki dla gabinetu i przychodni są w rozdziale Zakup, leasing, abonament, VAT i KSeF. EHDS przynosi obowiązki w latach 2027, 2029 i 2031, o czym w rozdziale EHDS.

Dobra umowa robi tu trzy rzeczy. Wylicza, co obejmuje opłata za utrzymanie: nowe wersje, poprawki błędów, dostosowanie do przepisów krajowych i unijnych, zmiany w wymianie danych z P1 i w sprawozdawczości do NFZ. Podaje termin dostosowania: przed wejściem przepisu w życie, a przy przepisie ogłoszonym za późno, w terminie liczonym od ogłoszenia. Ustala stawkę za prace poza opłatą i zasadę, że praca bez zaakceptowanej wyceny nie jest płatna. Jeśli dostawca chce wyłączyć z opłaty duże zmiany, niech wymieni je z nazwy aktu, a nie słowem „rozwój”.

Starzeje się też to, na czym system działa. Umowa mówi, które wersje serwera bazy danych i systemu operacyjnego dostawca wspiera, z jakim wyprzedzeniem ogłasza koniec wsparcia i kto płaci za licencje bazy przy przejściu na nową wersję. Daty końca wsparcia popularnych wersji są w rozdziale Systemy bez wsparcia.

Zamawiający publiczny ma w Prawie zamówień publicznych trzy przepisy, które tu pracują. Zmiany, które da się przewidzieć, opisuje się w ogłoszeniu albo dokumentach zamówienia w jasnych, precyzyjnych i jednoznacznych postanowieniach umownych, z rodzajem, zakresem i warunkami zmian; wtedy wolno je wprowadzić bez nowego postępowania (art. 455 ust. 1 pkt 1 Pzp). Umowa na dostawy albo usługi na dłużej niż 6 miesięcy zawiera zasady waloryzacji (art. 439 ust. 1), a każda umowa podaje łączną maksymalną wysokość kar umownych (art. 436 pkt 3). Pozostałe zasady z przepisów są w rozdziale Licencja i utrzymanie. Placówka prywatna może przyjąć tę samą logikę. Koszt zmian w pięcioletnim rachunku opisuję w rozdziale Utrzymanie, a policzyć go można w Kalkulatorze kosztu systemu na 5 lat.

Dane i wyjście zapisane na początku

Tego rozdziału zabrakło w umowie szpitala z początku tekstu. Dane wprowadzone do systemu i w nim wytworzone należą do placówki, oprogramowanie jest na licencji. To zdanie wpisuje się do umowy, a nie zostawia domysłom. Dostawca przetwarza dane pacjentów wyłącznie na udokumentowane polecenie administratora (art. 28 ust. 3 lit. a RODO), więc bez takiego polecenia nie używa ich do własnych celów; przy narzędziach AI wraca to w rozdziale Uczenie modelu.

Prawo do danych nie wystarcza, jeśli nie da się ich odczytać. System dokumentacji ma zapewniać eksport całości danych w sposób umożliwiający ich odtworzenie w innym systemie (§ 1 ust. 6 pkt 8 rozporządzenia Ministra Zdrowia z 6 kwietnia 2020 r., t.j. Dz.U. 2024 poz. 798 ze zm.), w standardach wydanych na podstawie ustawy o systemie informacji w ochronie zdrowia, a w ich braku w HL7, DICOM albo innych (§ 1 ust. 6 pkt 6). Przepis mówi, że eksport ma istnieć. Umowa mówi, kto go uruchamia, w jakiej postaci, w jakim terminie i za ile. Zbiór plików PDF da się przeczytać i wydrukować, ale nie odtworzy się go w innym systemie.

Drugi warunek to opis struktury bazy danych i słowników, aktualizowany z każdą wersją. Bez niego eksport jest zbiorem tabel, których nikt poza dostawcą nie odczyta. Uzależnienie nie siedzi w aplikacji, siedzi w bazie danych.

Trzeci warunek to próba. Raz w roku dostawca przekazuje pełny eksport z opisem struktury, a dział IT albo zewnętrzny informatyk wczytuje go do pustej bazy na osobnym serwerze i porównuje liczbę pacjentów, pobytów, wizyt i dokumentów z liczbami w systemie, a potem otwiera kilka losowych dokumentów w całości. Eksport, którego nikt nie wczytał, jest nadzieją, tak samo jak kopia, której nikt nie odtworzył (Kopia zapasowa, która się odtwarza). Po próbie plik trafia na zaszyfrowany nośnik albo zostaje usunięty, bo to pełna kopia danych pacjentów.

Dane są potrzebne także przed rozstaniem: do sprawozdań, hurtowni danych, połączenia z laboratorium i pracownią obrazową. Gdy każdy interfejs i raport jest osobno płatny, cenę ustala dostawca, który wie, że placówka nie ma dokąd pójść. Umowa podaje więc, jakie interfejsy obejmuje opłata, i stawkę za kolejne połączenie (Integracje). Przy systemie w chmurze dochodzi miejsce przechowywania danych i kopii, częstotliwość kopii oraz dwie liczby, RPO i RTO, które ustala dyrektor, a dostawca potwierdza (RPO i RTO).

Dokumentację medyczną przechowuje się co do zasady 20 lat od końca roku ostatniego wpisu (art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta), a umowa trwa kilka lat. Zapis o wyjściu obejmuje więc okres wypowiedzenia, okres przejściowy z działającym starym systemem, pomoc przy migracji z ceną ustaloną z góry, zwrot danych w uzgodnionej postaci, ich usunięcie u dostawcy i podwykonawców z potwierdzeniem na piśmie oraz dostęp do danych archiwalnych przez potrzebny czas. Po zakończeniu usług dostawca zwraca albo usuwa dane zależnie od decyzji administratora (art. 28 ust. 3 lit. g RODO), a podmiot, któremu powierzono dane z dokumentacji, po zaprzestaniu przetwarzania przekazuje je placówce (art. 24 ust. 7 ustawy o prawach pacjenta). Przepisy mówią, co ma się stać, ale nie w jakiej postaci, kiedy i za ile. Najczęstszy błąd to umowa kończąca się z licencją, bez okresu przejściowego: migracja idzie wtedy pod presją dnia, w którym system gaśnie. Samą migrację opisuję w rozdziale Migracja danych bez przestoju, archiwum starego systemu w rozdziale 20 lat przechowywania.

Zmiana dostawcy chmury bez opłat od 12 stycznia 2027

Przy programie w abonamencie część zapisów o wyjściu nie zależy już od negocjacji, bo narzuca je prawo UE. Rozporządzenie (UE) 2023/2854, nazywane aktem w sprawie danych (Data Act), stosuje się od 12 września 2025 (art. 50). Jego rozdział VI dotyczy zmiany dostawcy usług przetwarzania danych, a motyw 81 zalicza do nich oprogramowanie jako usługę (SaaS), więc program medyczny w abonamencie co do zasady mieści się w definicji z art. 2 pkt 8. Klientem jest każda osoba fizyczna lub prawna, bez progu wielkości (art. 2 pkt 30), więc przepisy dotyczą tak samo gabinetu, jak sieci szpitali. Na 29.09.2026 rozporządzenie nie ma aktów zmieniających.

Od 12 stycznia 2027 dostawcy nie nakładają na klienta opłat z tytułu zmiany dostawcy za procedurę zmiany dostawcy (art. 29 ust. 1); do tego dnia wolno im pobierać opłaty obniżone, nie wyższe niż koszty bezpośrednio związane ze zmianą (art. 29 ust. 2 i 3). Opłata z tytułu zmiany obejmuje wychodzący ruch danych, ale nie obejmuje standardowych opłat za usługę ani kar za wcześniejsze rozwiązanie umowy (art. 2 pkt 35 i 36). Abonament za okres wypowiedzenia nadal się płaci, kara za zerwanie umowy na czas określony nadal może obowiązywać. Znika osobna opłata za wydanie danych i pomoc przy przejściu.

Przed zawarciem umowy dostawca informuje o standardowych opłatach i karach za wcześniejsze rozwiązanie (art. 29 ust. 4) i udostępnia umowę tak, żeby klient mógł ją zachować (art. 25 ust. 1). W stosownym przypadku informuje o usługach, z których wyjście jest wysoce złożone albo kosztowne (art. 29 ust. 5), przedstawia procedury zmiany dostawcy, metody i formaty oraz odsyła do swojego rejestru struktur i formatów danych (art. 26 lit. a i b). Jeśli tych informacji nie ma w dokumentach, to też jest odpowiedź.

Od 12 września 2025 umowa o usługę w chmurze musi zawierać między innymi:

Okres wypowiedzenia rozpoczynający zmianę dostawcy nie dłuższy niż dwa miesiące (art. 25 ust. 2 lit. d).
Okres przejściowy do 30 dni kalendarzowych, w którym usługa działa, a dostawca pomaga przy przejściu (art. 25 ust. 2 lit. a); klient może go raz przedłużyć (ust. 5), a gdy 30 dni jest technicznie niewykonalne, dostawca w 14 dni roboczych wskazuje okres zastępczy, najwyżej siedem miesięcy (ust. 4).
Specyfikację danych do przeniesienia i osobno danych związanych z wewnętrznym działaniem usługi, wyłączonych ze względu na tajemnicę przedsiębiorstwa; wyłączenie nie może utrudniać zmiany (art. 25 ust. 2 lit. e i f).
Co najmniej 30 dni na pobranie danych po okresie przejściowym, a potem ich całkowite usunięcie (art. 25 ust. 2 lit. g i h).

Brak opłaty nie oznacza łatwej migracji. Dostawca SaaS na wniosek eksportuje dane w uporządkowanym, powszechnie używanym formacie do odczytu maszynowego (art. 30 ust. 5), ale nie musi zapewnić, że wczytają się bez pracy do innego programu medycznego, a dane eksportowalne nie obejmują aktywów chronionych prawami własności intelektualnej ani tajemnicą przedsiębiorstwa (art. 2 pkt 38, art. 30 ust. 6). Placówka dostanie wizyty, rozpoznania i opisy, ale nie musi dostać wewnętrznej budowy bazy ani słowników dostawcy. Dlatego umowa odwołuje się do dwóch przepisów: akt w sprawie danych mówi o opłatach i terminach, rozporządzenie o dokumentacji o tym, czy dane da się odtworzyć. Zakaz opłat nie dotyczy też usług, których większość głównych cech opracowano na zamówienie jednego klienta i które nie są oferowane komercyjnie na szeroką skalę; dostawca uprzedza o tym przed umową (art. 31 ust. 1 i 3).

Drugą barierą jest przestój, którego rozporządzenie nie policzy. Pacjent umówiony w starym systemie na termin po przełączeniu musi znaleźć się w nowym grafiku, z telefonem i przypomnieniem SMS. Połączenie nowego systemu z P1 sprawdza się na koncie placówki przed dniem przełączenia. Przychodnia z kontraktem z NFZ ustawia przełączenie na początek miesiąca, po wysłaniu rozliczenia ze starego systemu. Korekty i kopie dokumentacji dla pacjentów przygotowuje się z danych starego systemu także po 30 dniach na pobranie, więc potrzebny jest wynegocjowany dostęp w trybie odczytu albo eksport, z którego da się odtworzyć dane rozliczeniowe.

W migracjach, przy których pracowałem, najwięcej czasu zabierało dopasowanie słowników i sprawdzenie danych po przeniesieniu, a samo kopiowanie trwało krótko. Dlatego próbny eksport robi się przed wypowiedzeniem i daje nowemu dostawcy do oceny, zanim podpisze się z nim umowę. Zakaz opłat dotyczy procedury zmiany dostawcy, więc próbny eksport w trakcie umowy może być płatny według cennika; najpierw sprawdźcie, czy administrator w placówce ma własną funkcję eksportu. Szpital ma w chmurze częściej pojedyncze usługi: archiwum obrazowe, e-rejestrację, kadry, kopię poza siedzibą. Przy archiwum obrazowym policzcie czas przesłania kilku lat badań przez łącze, bo od tego zależy, czy 30 dni wystarczy, czy trzeba przedłużyć okres przejściowy.

Umowa powierzenia: pięć zapisów o wycieku

Placówka jest administratorem danych pacjentów, a dostawca przetwarza je w jej imieniu. Po stwierdzeniu naruszenia zgłasza je administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO); przepis nie podaje godzin, kanału ani treści. Placówka ma tymczasem własny zegar: zgłoszenie do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w 72 godziny od stwierdzenia naruszenia (art. 33 ust. 1). Lukę wypełnia tylko umowa albo inny instrument prawny z katalogiem z art. 28 ust. 3 lit. a do h, w formie pisemnej, w tym elektronicznej (art. 28 ust. 9). Godziny, adresy i terminy dopisuje się samemu. Dlaczego wobec pacjenta odpowiada placówka, nawet gdy wyciek był u dostawcy, opisuję w rozdziale Wyciek z systemu dostawcy.

Zapis pierwszy: godziny i kanał, który działa bez systemu

„Niezwłocznie” w umowie znaczy tyle co w RODO, czyli nic mierzalnego. Proponuję dwa progi: pierwsza informacja telefonicznie w ciągu kilku godzin od stwierdzenia naruszenia przez dostawcę, pełne powiadomienie w 24 godziny. To moja praktyka, nie wymóg prawa, ale łatwo ją policzyć: placówce zostają dwie doby na decyzję, a placówka objęta KSC zdąży z wczesnym ostrzeżeniem. Godziny liczy się zegarowo, także w weekend, bo zegar placówki nie staje w piątek o 16:00. Termin liczony od „zakończenia analizy” jest pułapką, bo analiza może trwać tydzień.

Umowa wskazuje co najmniej dwie osoby po stronie placówki, na przykład kierownika i inspektora ochrony danych, z telefonem i funkcyjnym adresem mailowym czytanym przez dwie osoby, oraz obowiązek aktualizacji listy. Imienny adres znika razem z pracownikiem, a dostawca, który wysłał powiadomienie na adres z umowy, ma rację. Kanał nie może być wyłącznie komunikatem w systemie, który dostawca przy incydencie może wyłączyć. Raz w roku dostawca wysyła wiadomość testową, a placówka odpowiada z godziną odczytu; kwadrans pracy i wiadomo, czy lista działa. Dostawca odpowiada za swoich podwykonawców (art. 28 ust. 4 RODO), więc termin obowiązuje także przy naruszeniu u firmy hostingowej albo w usłudze SMS.

Zapis drugi: treść powiadomienia

Placówka zgłasza charakter naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób i wpisów, kontakt do inspektora, możliwe konsekwencje i zastosowane środki (art. 33 ust. 3 RODO). Większość tych informacji ma tylko dostawca, więc umowa wymienia je jako treść jego powiadomienia, z prawem do przekazywania partiami, jak przy zgłoszeniu (art. 33 ust. 4). Najważniejsze jest potwierdzenie, czy naruszenie dotyczy danych tej placówki, i jakich; ogólny komunikat dostawcy obsługującego wiele placówek nie pozwala odpowiedzieć pacjentowi, czy jego wyniki wyciekły. Podstawą jest obowiązek pomocy administratorowi z art. 28 ust. 3 lit. f. Zawiadomienie pacjentów przy wysokim ryzyku jest obowiązkiem placówki (art. 34 ust. 1), więc dostawca uzgadnia z nią komunikaty przed wysłaniem.

Zapis trzeci: dzienniki zdarzeń

Na pytanie, kto, kiedy i skąd odczytał dane, odpowiadają dzienniki systemu u dostawcy. Umowa określa, co jest rejestrowane (logowania, odczyty kartotek, eksporty, zmiany uprawnień, dostęp serwisu i pracowników dostawcy), jak długo i w jakim terminie placówka dostaje wyciąg. Wyciek często wychodzi na jaw po tygodniach, więc okres przechowywania musi być dłuższy niż czas wykrycia. Placówka dokumentuje naruszenie tak, żeby organ mógł sprawdzić przestrzeganie art. 33 (art. 33 ust. 5), a bez dziennika opis okoliczności jest przepisaniem komunikatu dostawcy. Placówka, która zapłaciła pacjentowi odszkodowanie za całą szkodę, może żądać od dostawcy zwrotu części odpowiadającej jego udziałowi (art. 82 ust. 5), ale dostawca odpowiada tylko przy niedopełnieniu swoich obowiązków albo działaniu poza poleceniami (art. 82 ust. 2), co trzeba wykazać. Obowiązek udostępniania informacji z art. 28 ust. 3 lit. h umowa zamienia w termin i format.

Zapis czwarty: audyt, który da się przeprowadzić

Prawo do audytów, w tym inspekcji, daje art. 28 ust. 3 lit. h RODO. We wzorcach dostawców bywa obudowane tak, że przestaje działać: raz w roku, z 30 dniami wyprzedzenia, na koszt administratora, bez wglądu w „informacje poufne”. Proponuję trzy zapisy: doroczną odpowiedź na piśmie na stałą listę pytań, z dowodami; audyt nadzwyczajny po naruszeniu, bez limitu i z krótkim terminem; listę podwykonawców z miejscem przetwarzania, bo dalszy podmiot przetwarzający wymaga pisemnej zgody, a przy zgodzie ogólnej placówka dostaje informację o zmianach i prawo sprzeciwu (art. 28 ust. 2). Listę pytań ułożoną według zaleceń CSIRT Centrum e-Zdrowia (CSIRT CeZ) zawiera materiał Pytania do dostawcy oprogramowania medycznego. Odpowiedzi dowodzą, że placówka sprawdziła gwarancje dostawcy, czego wymaga art. 28 ust. 1.

Zapis piąty: wyjście z danymi

Postać, termin i cenę zwrotu danych opisałem w rozdziale Dane i wyjście. W umowie powierzenia dochodzi pisemne potwierdzenie usunięcia kopii u dostawcy i podwykonawców, z datą, chyba że przepisy nakazują przechowywanie (art. 28 ust. 3 lit. g). Stare kopie bazy u byłego dostawcy to kolejne miejsce, z którego dane mogą wyciec. Umowę domykają dwa zapisy: realizacja powierzenia nie może zakłócać udzielania świadczeń, w szczególności dostępu do dokumentacji (art. 24 ust. 5 ustawy o prawach pacjenta), więc dostawca nie odcina systemu po incydencie bez uzgodnienia; umowa obejmuje moduły dokładane po latach, jak rejestracja internetowa, SMS i aplikacja pacjenta. Pięć zapisów przepisuje się do krótkiej procedury obsługi naruszeń, którą ma kierownik i zastępca, a w szpitalu osoba z dyżuru.

Regulamin abonamentu, którego nikt nie negocjuje

W gabinecie i małej przychodni zamiast umowy jest regulamin programu w przeglądarce, zaakceptowany jednym polem przy zakładaniu konta, i co jakiś czas mail o jego zmianie. Regulaminu gabinet nie zmieni. Może go przeczytać przed wyborem i przy każdej zmianie.

Regulamin jest wzorcem umowy: wiąże, jeśli doręczono go przed zawarciem umowy (art. 384 § 1 kc) w postaci, którą da się przechowywać i odtwarzać (art. 384 § 4 kc; art. 8 ust. 1 pkt 2 i ust. 2 ustawy o świadczeniu usług drogą elektroniczną). Przy umowie o charakterze ciągłym nowy wzorzec wiąże, jeśli nie wypowiedzieliście umowy w najbliższym terminie wypowiedzenia (art. 384¹ kc), więc brak reakcji na mail o zmianie działa jak zgoda. Przy sprzeczności wiąże umowa (art. 385 § 1 kc), więc termin wydania danych potwierdzony w aneksie ma pierwszeństwo przed regulaminem. Ochrona przed niedozwolonymi postanowieniami obejmuje lekarza prowadzącego działalność tylko przy umowie bez charakteru zawodowego (art. 385⁵ § 1 kc); przy programie do dokumentacji nie zakładałbym, że zadziała.

W regulaminie czytajcie pięć miejsc:

Kto jeszcze widzi dokumentację. Umowa powierzenia jest potrzebna także w jednoosobowym gabinecie, jako rozdział regulaminu albo załącznik, z elementami z art. 28 ust. 3 RODO: przedmiot i czas przetwarzania, tajemnica personelu, pomoc przy naruszeniu, zwrot albo usunięcie danych, audyt. Przy ogólnej zgodzie na podwykonawców dostawca informuje o zmianach i daje możliwość sprzeciwu (art. 28 ust. 2), a przetwarzanie poza EOG spełnia warunki rozdziału V RODO (art. 44). Audytu gabinet nie przeprowadzi, ale ma prawo zapytać mailem i dostać odpowiedź (art. 28 ust. 3 lit. h).
Na kogo jest konto i kto się loguje. Konto na prywatny adres lekarza bywa jedyną drogą do resetu hasła i powiadomień. Sprawdźcie, kto jest stroną umowy i jak dostawca weryfikuje osobę proszącą o dostęp, gdy lekarz nie może. Każda osoba pisząca w dokumentacji ma własny login, a MFA jest włączone na wszystkich kontach.
Blokada przy zaległej płatności. Zawieszone konto oznacza, że lekarz nie widzi historii pacjenta, który siedzi przed nim. Realizacja powierzenia nie może zakłócać dostępu do dokumentacji (art. 24 ust. 5 ustawy o prawach pacjenta); z regulaminu ma wynikać, po ilu dniach dostawca ogranicza konto i czy w czasie zawieszenia można czytać i pobrać dokumentację.
Przerwy i odpowiedzialność. Dostawca zwykle „dokłada starań” i ogranicza odpowiedzialność do abonamentu. Sprawdźcie, czy przerwy planowe mogą wypaść w godzinach przyjęć, jak zgłaszacie awarię i czy dostawca odtworzy dane z konkretnego dnia. Skutki dnia bez programu gabinet ponosi sam, więc potrzebuje procedury z rozdziału Przychodnia i gabinet bez internetu.
Wyjście. Jak zlecacie eksport, w jakiej postaci i terminie, czy jest płatny i ile macie czasu, gdy to dostawca wypowiada umowę albo wycofuje program. Terminy z aktu w sprawie danych są w rozdziale Zmiana dostawcy chmury.

Mail o zmianie regulaminu przerabiajcie tak: zapiszcie nową wersję obok poprzedniej, obie z datą; poproście o listę zmian, jeśli jej nie ma; przejrzyjcie pięć miejsc i cennik; jeśli zmiana jest nie do przyjęcia, zróbcie próbny eksport i wypowiedzcie umowę w najbliższym terminie, bo wtedy nowy regulamin was nie wiąże; wyjaśnienie dostawcy z maila poproście potwierdzić jako część umowy.

EHDS od 26 marca 2027: system kupiony dziś, używany w 2031

Zapis o zmianach prawnych z rozdziału Zmiany prawne najmocniej zostanie sprawdzony przy EHDS. Rozporządzenie (UE) 2025/327 (EHDS) stosuje się od 26 marca 2027, ale przepisy o prawach pacjenta, rejestrowaniu danych i część przepisów o systemach elektronicznej dokumentacji medycznej (systemy EDM) wchodzą w dwóch falach (art. 105). Od 26 marca 2029 dotyczą skróconej karty zdrowia pacjenta, e-recept i ich realizacji. Od 26 marca 2031 wyników badań obrazowych i laboratoryjnych z opisami oraz wypisów (art. 14 ust. 1). Rozdział o wtórnym wykorzystywaniu danych stosuje się co do zasady od 26 marca 2029. System podpisany w 2027 roku z pięcioletnim utrzymaniem przejdzie obie fale.

Europejski format wymiany i wymogi jakości danych Komisja ma określić w aktach wykonawczych do 26 marca 2027 (art. 15 ust. 1, art. 13 ust. 4). Według sprawdzenia w bazie Urzędu Publikacji UE z 28.09.2026 żaden z tych aktów nie został przyjęty, więc umowa opisuje obowiązek tak, żeby objął akty przyjęte i zaktualizowane później. Dostawca, który przed ich publikacją obiecuje gotowy „format EHDS”, obiecuje specyfikację, której nie ma. W Polsce karta pacjenta z art. 30b ustawy o prawach pacjenta (Dz.U. 2026 poz. 791) jest dokumentem z art. 14 ust. 1 lit. a rozporządzenia, generowanym w P1 z danych wysłanych przez placówki (Karta pacjenta w P1).

Placówka rejestruje dane z kategorii priorytetowych w formacie elektronicznym (art. 13 ust. 1), z danymi pracownika i świadczeniodawcy, który dokonał wpisu lub zmiany, oraz czasem (art. 13 ust. 4 akapit drugi). Pacjent ma do nich bezpłatny dostęp niezwłocznie po rejestracji (art. 3 ust. 1) i może zażądać przekazania ich innemu świadczeniodawcy bez przeszkód ze strony placówki i producentów jej systemów (art. 7 ust. 1). Wypis w wolnym tekście da się przesłać, ale nie zbuduje się z niego listy leków w karcie pacjenta. Obowiązki posiadacza danych i dostęp do danych do badań od 26 marca 2029 opisuję w rozdziale Dane do badań.

Producent systemu EDM odpowiada za zgodność z załącznikiem II, wystawia deklarację zgodności UE, umieszcza oznakowanie CE i dostarcza nieodpłatnie arkusz informacyjny (art. 30 ust. 1). System ma udostępniać i przyjmować dane w formacie europejskim (załącznik II pkt 2.1 i 2.2), pozwalać wprowadzać dane ustrukturyzowane (pkt 2.4), nie ograniczać eksportu w celu zastąpienia systemu innym produktem (pkt 2.6) i prowadzić dziennik dostępu z możliwością przeglądania go albo podłączenia narzędzia zewnętrznego (pkt 3.2 i 3.3). To obowiązki producenta, ale jeśli umowa milczy, ich koszt może wrócić do placówki w aneksie albo w nowym postępowaniu. Placówka, która sama zmienia system EDM w sposób mogący wpłynąć na zgodność, jest traktowana jak producent (art. 34 lit. b), a system wytworzony i używany w instytucji zdrowia publicznego uznaje się za wprowadzony do używania (art. 26 ust. 2) i stosuje się do niego rozdział III od 26 marca 2031. Własne raporty i formularze zwykle nie dotykają wymiany danych; te przeróbki, które dotykają, uzgadnia się z producentem na piśmie.

Do nowej umowy na system szpitalny, laboratoryjny i archiwum obrazowe:

Dostosowanie do rozporządzenia 2025/327 i aktów wydanych na jego podstawie, także późniejszych, w zakresie kategorii z art. 14 ust. 1, jest w opłacie za utrzymanie; kategorie i daty z art. 105 wymienia się wprost.
Termin zgodności przed datą z art. 105 z zapasem na testy, na przykład sześć miesięcy, a przy późnym akcie wykonawczym określona liczba miesięcy od jego publikacji, plus pisemny harmonogram co pół roku. Przepis zapasu nie daje, daje go umowa.
Deklaracja zgodności UE i arkusz informacyjny bez dodatkowej opłaty.
Eksport i import w formacie europejskim oraz eksport całości danych z próbą raz w roku, jak w rozdziale Dane i wyjście.
Dane historyczne: kto i za ile przygotuje do wymiany dane zgromadzone wcześniej. Przy archiwum obrazowym to bywa największa pozycja.
Dziennik dostępu z eksportem do narzędzi placówki i zmiany w wymianie z P1 wynikające z art. 30b ustawy o prawach pacjenta, w opłacie.
Skutek braku zgodności: kary w łącznym limicie (u zamawiającego publicznego obowiązkowym, art. 436 pkt 3 Pzp) i wypowiedzenie bez kosztów wyjścia, z eksportem na koszt wykonawcy.

Umowa kończąca się w 2029 albo 2030 roku sprawia, że nowe postępowanie wypada w środku dostosowania. Osobny płatny „moduł EHDS” kupiony przed przyjęciem specyfikacji to zapłata za obietnicę, której nie da się sprawdzić przy odbiorze. Gdy umowa już trwa, u zamawiającego publicznego o dopuszczalności zmiany w innej podstawie z art. 455 Pzp rozstrzyga radca prawny. Bez aneksu da się wysłać dostawcy pismo z pytaniem, które moduły przetwarzają kategorie z art. 14 ust. 1, kiedy wyda deklarację zgodności i czy dostosowanie widzi w opłacie; odpowiedź wpisać do planu finansowego na lata od 2028 do 2031; zestawić koniec umowy z datami z art. 105. Umowa nie wypełni za lekarza pól na leki i rozpoznania; to praca opisana w rozdziale Każde pole ma właściciela.

Akt o cyberodporności: o co pytać producenta oprogramowania i sprzętu

EHDS dotyczy programu do dokumentacji. Sprzęt i pozostałe oprogramowanie w sieci placówki mają własny akt, a przy nich pierwsza pomyłka dotyczy gwarancji. Gwarancja nie jest okresem wsparcia. Gwarancja mówi, kto wymieni zepsuty zasilacz, okres wsparcia, do kiedy producent usuwa podatności. Przełącznik, kamera albo drukarka opasek kupione w 2027 roku zwykle pracują w sieci placówki jeszcze w 2032.

Rozporządzenie (UE) 2024/2847, nazywane aktem o cyberodporności, stosuje się od 11 grudnia 2027 (art. 71 ust. 2). Wcześniej, od 11 września 2026, producent zgłasza aktywnie wykorzystywaną podatność do CSIRT wyznaczonego na koordynatora i do ENISA (wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, art. 14 ust. 1 i 2), także dla produktów wprowadzonych do obrotu wcześniej (art. 69 ust. 3), i informuje użytkowników, jak ograniczyć skutki (art. 14 ust. 8). Informacja trafi na adres, który producent ma w danych; jeśli to skrzynka handlowca integratora, placówka dowie się ostatnia. Wyjątek zmienia zakupy w 2027 roku: produkty wprowadzone do obrotu przed 11 grudnia 2027 podlegają wymaganiom aktu tylko po istotnej modyfikacji (art. 69 ust. 2). Przełącznik kupiony w marcu 2027 może więc nie mieć ani daty końca wsparcia, ani deklaracji zgodności z aktem, a znak CE dotyczy na nim innych przepisów. Rozporządzenie go nie obejmie. Zapis w umowie może.

Akt obejmuje oprogramowanie i sprzęt łączące się z urządzeniem albo siecią (art. 2 ust. 1, art. 3 pkt 1): przełączniki i routery, systemy operacyjne i VPN jako produkty ważne klasy I, zapory sieciowe jako klasę II (załącznik III), a także kamery IP, drukarki i program instalowany u was, który nie jest wyrobem medycznym. Nie obejmuje wyrobów medycznych i wyrobów do diagnostyki in vitro (art. 2 ust. 2 lit. a i b) ani co do zasady usług w chmurze w abonamencie, które podlegają dyrektywie NIS2 (motyw 12); częścią produktu jest jednak zdalne przetwarzanie danych, bez którego urządzenie nie wykona swojej funkcji, na przykład portal sterowania kamerą (art. 3 pkt 2). Aparaturę będącą wyrobem medycznym opisuję w rozdziale Urządzenia medyczne, których nie wolno aktualizować.

Producent określa okres wsparcia odpowiadający czasowi używania, co do zasady co najmniej pięć lat (art. 13 ust. 8), i podaje datę jego końca, co najmniej miesiąc i rok, w chwili zakupu (art. 13 ust. 19). Aktualizacje zabezpieczeń rozpowszechnia bezzwłocznie i bezpłatnie, w miarę możliwości oddzielnie od aktualizacji funkcji (załącznik I część II pkt 2 i 8), a wydana poprawka jest dostępna co najmniej 10 lat albo do końca wsparcia, jeśli dłużej (art. 13 ust. 9). Inaczej producent i użytkownik biznesowy mogą się umówić tylko dla produktu dostosowanego do indywidualnych potrzeb; zapis o poprawkach zabezpieczeń w płatnej opiece serwisowej przeczytajcie dwa razy. Zestawienie składników oprogramowania (SBOM) producent sporządza zawsze, ale udostępnia według swojej decyzji (załącznik II pkt 9), więc kto chce je mieć, zapisuje to w zamówieniu.

Pytania zadaje się wykonawcy, a odpowiedź ma pochodzić z dokumentów producenta dołączonych do oferty:

Jaka jest data końca okresu wsparcia dla dostarczanego modelu i wersji oprogramowania?
Czy poprawki zabezpieczeń są bezpłatne i czy da się je zainstalować bez płatnych aktualizacji funkcji?
Gdzie jest punkt kontaktowy do zgłaszania podatności i polityka ich ujawniania (załącznik II pkt 2)?
Na jaki adres placówki producent wyśle informację o aktywnie wykorzystywanej podatności i jak ten adres zmienić?
Czy producent udostępni SBOM i w jakim formacie?
Czy produkt ma bezpieczną konfigurację domyślną i trwałe usuwanie danych przy wycofaniu z użytku (załącznik I część I pkt 2 lit. b i m)?
Przy produkcie wprowadzonym do obrotu od 11 grudnia 2027: czy jest deklaracja zgodności UE według aktu (art. 13 ust. 12 i 20); przy wcześniejszym, także gdy dostawa przypada po tej dacie: czy producent deklaruje okres wsparcia na piśmie?
Kto dostarcza poprawki, gdy producent zakończy działalność? Akt wymaga tylko uprzedzenia użytkowników (art. 13 ust. 23), resztę załatwia umowa.

Datę z pierwszego pytania da się porównać między ofertami i ocenić obok ceny. Od 11 grudnia 2027 państwa członkowskie mają zapewnić, żeby w zamówieniach na produkty objęte aktem przestrzegano wymagań z załącznika I (art. 5 ust. 2).

Bezpłatna poprawka nie oznacza bezpłatnej instalacji. Czterdzieści przełączników to czterdzieści restartów, a kamery i drukarki opasek zwykle nie aktualizują się same. Przed podpisem ustala się, kto instaluje poprawki, w jakim czasie od ich wydania i w jakich godzinach wolno restartować urządzenia (Aktualizacje). Urządzenia rejestruje się u producenta na placówkę, na adres funkcyjny działu IT, a nie na konto integratora, z przekazaniem dostępu przy odbiorze. Podmiot kluczowy i ważny zarządza aktywami, aktualizuje je zgodnie z zaleceniami producenta i uwzględnia podatności dostawców sprzętu i oprogramowania (art. 8 ust. 1 pkt 2 lit. m, pkt 5 lit. b i ust. 2 pkt 1 ustawy o KSC), więc datę końca wsparcia dopisuje się jako kolumnę w spisie systemów.

Dane z podłączonego aparatu

Częsta sytuacja w pracowni diagnostyki obrazowej: tomograf kolejny raz w miesiącu przerywa badanie. Serwis producenta łączy się zdalnie, czyta dziennik błędów i odpowiada, że parametry są w normie. Kierownik działu aparatury chce sprawdzić, czy przerwy zbiegają się z porą dnia albo pracą klimatyzacji, i słyszy, że dziennik jest dostępny dla serwisu. Akt w sprawie danych nie czyni tych danych własnością placówki. Daje jej prawo dostępu.

Rozdział II tego aktu dotyczy produktów skomunikowanych, które zbierają dane o swoim działaniu i potrafią je przekazać (art. 2 pkt 5); motyw 14 wymienia wśród nich wyroby medyczne. Użytkownikiem jest właściciel produktu, ten, komu umową przekazano prawo do korzystania z niego, albo korzystający z usługi powiązanej (art. 2 pkt 12), więc także placówka z aparatem w dzierżawie, leasingu czy w ramach umowy na odczynniki. Usługą powiązaną jest na przykład portal zdalnej diagnostyki (art. 2 pkt 6). Posiadaczem danych jest zwykle producent (art. 2 pkt 13).

Gdy placówka nie może sama pobrać danych, posiadacz udostępnia jej dane łatwo dostępne bez zbędnej zwłoki i nieodpłatnie, z metadanymi, w formacie do odczytu maszynowego, na zwykły wniosek (art. 4 ust. 1). Na jej wniosek przekazuje je też wskazanej firmie, na przykład niezależnemu serwisowi, nieodpłatnie dla placówki (art. 5 ust. 1); ta firma może zapłacić producentowi zasadną rekompensatę (art. 9) i używa danych tylko w celach uzgodnionych z placówką (art. 6 ust. 1), co wpisuje się do umowy z nią. Producent wykorzystuje nieosobowe dane z aparatu tylko na podstawie umowy z użytkownikiem (art. 4 ust. 13 i 14), a postanowienie wyłączające te prawa ze szkodą dla użytkownika go nie wiąże (art. 7 ust. 2). Dziennik błędów, liczniki pracy lampy czy czas pracy pompy co do zasady mieszczą się w zakresie danych z motywu 15; informacje wywnioskowane złożonymi algorytmami autorskimi już nie.

Czego przepis nie daje. Domyślny dostęp w konstrukcji aparatu dotyczy egzemplarzy wprowadzonych na rynek po 12 września 2026 (art. 3 ust. 1, art. 50, art. 2 pkt 22), ale wniosek z art. 4 można złożyć także dla starszego sprzętu. Producent może wstrzymać dane stanowiące tajemnicę przedsiębiorstwa do czasu uzgodnienia środków ochrony, a wyjątkowo odmówić przy groźbie poważnej szkody ekonomicznej, zawsze z uzasadnieniem na piśmie (art. 4 ust. 6 do 8). Placówka może wtedy złożyć skargę do organu właściwego albo, za zgodą producenta, iść do organu rozstrzygania sporów; sąd zostaje otwarty (art. 4 ust. 9, art. 10). Na 29.09.2026 polski organ właściwy (art. 37) nie jest wyznaczony ustawą, więc przed skargą sprawdźcie, który to organ. Dostęp można umownie ograniczyć przy zagrożeniu bezpieczeństwa produktu z poważnym wpływem na zdrowie ludzi (art. 4 ust. 2). Obowiązki nie dotyczą produktów mikro i małych przedsiębiorstw bez większych powiązanych (art. 7 ust. 1). Placówce nie wolno użyć danych do budowy produktu konkurencyjnego (art. 4 ust. 10), co w szpitalu klinicznym z projektami uczelni trzeba ustalić przed przekazaniem danych dalej.

Dane pacjentów to osobny strumień. Akt nie zmienia RODO, które przy kolizji ma pierwszeństwo (art. 1 ust. 5). Placówka jest administratorem danych pacjentów zapisanych w aparacie, a producent, który przy zdalnym serwisie przetwarza je w jej imieniu, potrzebuje umowy powierzenia (art. 28 RODO). Wniosek o dziennik błędów obejmuje dane o pracy aparatu, nie dane pacjentów; wniosek o wszystko kończy się dyskusją o RODO.

Przed umową sprzedaży, najmu, dzierżawy albo leasingu sprzedawca przedstawia rodzaj, format i ilość danych, które aparat generuje, gdzie i jak długo je przechowuje oraz jak użytkownik je pobierze albo usunie (art. 3 ust. 2), a przy portalu serwisowym także to, czy i w jakich celach producent sam wykorzysta dane (art. 3 ust. 3 lit. c). Dział aparatury, IT i zamówień ustalają przed postępowaniem, do czego placówce potrzebne są dane z aparatu, a przed podpisem sprawdzają, czy te informacje przyszły, i dołączają je do dokumentacji zakupu. Regulamin portalu serwisowego zaakceptowany kliknięciem przez technika też bywa umową z art. 4 ust. 13, więc ktoś w placówce czyta w nim cele wykorzystania danych (motyw 25).

Dane placówki do uczenia modelu dostawcy

Przy narzędziach AI częsty jest taki układ: umowa na narzędzie, które przygotowuje lekarzom projekty opisów badań i wypisów, ma porządną umowę powierzenia, a kłopot siedzi w ogólnych warunkach usługi, do których umowa odsyła: dostawca może wykorzystywać dane zanonimizowane i zagregowane do rozwoju swoich produktów. Standardowy zapis nie znaczy obojętny. Decyduje, czy dokumentacja pacjentów zostanie w placówce, czy stanie się materiałem do produktu sprzedawanego następnemu klientowi. Najcenniejsze są poprawki lekarza na projekcie modelu, bo z nich dostawca widzi, gdzie model się myli. Gdy dostawca daje niższą cenę albo bezpłatny pilotaż za prawo do „danych do rozwoju”, dane pacjentów stają się częścią zapłaty.

Dane o zdrowiu są szczególną kategorią danych (art. 9 ust. 1 RODO). Dostawca przetwarza je wyłącznie na udokumentowane polecenie placówki (art. 28 ust. 3 lit. a), a poleceniem jest projekt opisu dla tego pacjenta. Uczenie modelu to inny cel, niezgodny z celem zebrania danych (art. 5 ust. 1 lit. b). Dostawca, który z naruszeniem RODO sam określa cele przetwarzania, jest uznawany w tym zakresie za administratora (art. 28 ust. 10), ale placówka nadal musi wykazać, komu i na jakich warunkach powierzyła dane (art. 5 ust. 2). Anonimizacja jest przetwarzaniem danych osobowych (art. 4 pkt 2), a dane, z których pacjenta da się zidentyfikować rozsądnie prawdopodobnymi sposobami, choćby przez zestawienie z oryginałem, pozostają osobowe, także po pseudonimizacji (art. 4 pkt 1 i 5, motyw 26). Opis rzadkiej choroby z datą przyjęcia wskaże pacjenta bez PESEL. Uczenia modelu dostawcy nie ma też wśród celów przetwarzania danych z dokumentacji z art. 24 ust. 2 ustawy o prawach pacjenta, a tajemnica obejmuje podmiot, któremu powierzono przetwarzanie (art. 24 ust. 6).

Czego nie oddawać w umowie:

Dane wejściowe (dokumentacja, nagrania, obrazy, dyktowane notatki) służą tylko do wykonania usługi; uczenie, testowanie lub ocena modeli wymaga odrębnej pisemnej zgody placówki.
Wyniki i poprawki lekarzy są objęte tym samym zakazem wprost.
Dane techniczne o użyciu są wymienione z nazwy, bo ogólne „dane techniczne” mieszczą treść dokumentacji.
Dostawca niczego nie anonimizuje na własny użytek; jeśli placówka zechce przekazać dane zanonimizowane, robi to sama albo zleca na piśmie z opisem metody.
Model dostrojony na danych placówki pracuje tylko dla niej i po końcu umowy jest usuwany albo przekazywany. Danych, które weszły w wagi modelu, nie da się po prostu wyjąć, więc decyzja zapada przed pierwszym dostrojeniem.
Podwykonawca dostarczający model wymaga pisemnej zgody (art. 28 ust. 2 RODO) i przejmuje obowiązki z umowy powierzenia (art. 28 ust. 4), więc zakaz uczenia musi stać w umowie powierzenia, a nie w regulaminie. Przekazanie poza EOG podlega rozdziałowi V RODO.
Przy końcu umowy usunięcie danych i kopii, także w środowiskach testowych i u podwykonawców (art. 28 ust. 3 lit. g), a audyt (lit. h) obejmuje sprawdzenie zbiorów uczących.
W sprawach danych umowa powierzenia ma pierwszeństwo przed regulaminem, a zmiana regulaminu rozszerzająca użycie danych nie wiąże placówki bez aneksu.

Pilotaż prowadzi się na tych samych warunkach dotyczących danych co umowa docelowa. Gdy umowa jest już podpisana, placówka pisze do dostawcy z trzema pytaniami: czy dane, w tym poprawki i dzienniki, służą do uczenia, testowania albo oceny modeli, u kogo są przetwarzane i które dokumenty dostawca uważa za wiążące. Jeśli dostawca uczy modele na podstawie regulaminu, placówka poleca zaprzestać i żąda wskazania, które dane i od kiedy trafiły do zbiorów uczących, a inspektor ochrony danych ocenia, czy to naruszenie (art. 4 pkt 12 RODO) do zgłoszenia w 72 godziny (art. 33 ust. 1). Zakaz wpisuje się aneksem, najpóźniej przy przedłużeniu.

Placówka może też chcieć, żeby model uczył się jej słownictwa. To nowy cel przetwarzania: osobne porozumienie, podstawa z art. 6 i art. 9 ust. 2 RODO i ocena skutków przed rozpoczęciem, bo chodzi o dane o zdrowiu na dużą skalę i nową technologię (art. 35 ust. 1 i ust. 3 lit. b); opisuję ją w rozdziale Ocena skutków przed wdrożeniem. Uczenie idzie na osobnym środowisku, nie na kopii produkcji (Dane pacjentów poza produkcją).

Co to znaczy na waszej skali

RODO i akt w sprawie danych nie uzależniają praw i obowiązków placówki od jej wielkości, a obowiązek rejestrowania danych z EHDS dotyczy każdego świadczeniodawcy, który przetwarza dane pacjentów elektronicznie, od 26 marca 2029 dla pierwszych kategorii. Z wielkością rośnie liczba umów do pilnowania i siła w negocjacjach. Szerzej o tym, jak z wielkością placówki zmienia się IT, piszę w tekście Kwestia skali: IT a wielkość placówki. Status wobec ustawy o KSC rozstrzyga rozdział Czy ustawa was obejmuje: mikro i mali przedsiębiorcy co do zasady są poza nią, a podmiot leczniczy, który nie jest przedsiębiorcą, na przykład SPZOZ, jest podmiotem ważnym od 50 zatrudnionych i kluczowym od 250 (art. 5 ust. 8 ustawy o KSC).

Gabinet

Gabinet wybiera między regulaminami. Przed założeniem konta zapiszcie regulamin i umowę powierzenia z datą i przejdźcie pięć miejsc z rozdziału Regulamin abonamentu; bez umowy powierzenia nie wprowadzajcie pierwszego pacjenta. Dostawców porównajcie czterema pytaniami: czy pobierzecie całość danych w postaci, którą odczyta inny program, co dzieje się z danymi po rezygnacji, ile czasu jest na ich pobranie i czy dostosowanie do nowych przepisów, na przykład e-recepty w formacie europejskim od 26 marca 2029, mieści się w abonamencie. Raz w roku pobierzcie pełny eksport i sprawdźcie, czy ma opisy wizyt. W narzędziu z AI wyłączcie w ustawieniach użycie danych do uczenia modeli, a jeśli się nie da, wybierzcie inne. Przy routerze, drukarce czy USG z aplikacją w chmurze zapiszcie datę końca wsparcia i zapytajcie, czy badania trafiają na serwer producenta. Tabela kategorii awarii, dyżur nocny i roczna próba wczytania eksportu gabinetowi nie są potrzebne. Indywidualna praktyka lekarska nie jest podmiotem leczniczym, a gabinet mikroprzedsiębiorcy co do zasady nie jest podmiotem kluczowym ani ważnym, więc zegar KSC go nie dotyczy. Zegar 72 godzin z RODO zostaje.

Przychodnia

Przychodnia przy umowie na kilka lat ma już pozycję do rozmowy. Najpierw eksport, wyjście i powierzenie, bo tych nie naprawi się w trakcie umowy. Kategorie awarii opiszcie skutkiem dla rejestracji i gabinetów; serwis w godzinach pracy rejestracji zwykle wystarcza. Przychodnia z kontraktem z NFZ sprawdza, czy zmiany w sprawozdawczości do NFZ i w wymianie danych z P1 są w opłacie; bez własnego informatyka ten zapis waży więcej niż tabela czasów. Podmiotów przetwarzających jest kilka: system dokumentacji, rejestracja internetowa, SMS, firma od komputerów i kopii. Załóżcie tabelę z kolumnami: dostawca, termin powiadomienia w godzinach, adres, data aktualizacji, a we wszystkich umowach wpiszcie ten sam adres funkcyjny i dwie osoby. Przychodnia prowadzona przez SPZOZ jest zamawiającym publicznym i przy zamówieniu objętym Pzp wpisuje przewidywalne zmiany, w tym EHDS, do klauzuli z art. 455 ust. 1 pkt 1.

Sieć przychodni

Sieć negocjuje jedną umowę ramową i jedną umowę powierzenia, a różnice między lokalizacjami zapisuje w załącznikach. Jeśli sieć to kilka spółek, każda jest administratorem danych swoich pacjentów, więc umowa wymienia każdą, a dostawca podaje zakres naruszenia osobno dla każdej. Powiadomienia trafiają do jednej skrzynki funkcyjnej i jednego numeru w sieci, a nie do kierownika lokalizacji, który podpisał umowę. Umowa mówi, czy eksport i wyjście obejmują wszystkie lokalizacje naraz. Przychodnia dołączona do sieci często przynosi własny program; zestawcie takie umowy z datami EHDS i zdecydujcie, na którym programie sieć pracuje w 2029 roku. Spółki jednego właściciela liczy się do progów KSC co do zasady razem, więc sieć może trafić pod ustawę, a wtedy termin powiadomienia od dostawcy musi być krótszy niż doba.

Szpital

Szpital ma wielu dostawców i potrzebuje jednej tabeli kategorii awarii dołączanej do każdej nowej umowy i przy każdym przedłużeniu, także na laboratorium, pracownię obrazową i system kadrowy, oraz jednej listy kontaktów serwisowych dla dyżuru. Dyżur dostawcy szpital wykupuje dla kategorii krytycznej. W umowie powierzenia jest numer odbierany w szpitalu w nocy, a powiadomienie dostają jednocześnie inspektor ochrony danych, kierownik IT i pełnomocnik do spraw cyberbezpieczeństwa, bo każdy uruchamia inną ścieżkę. Zestawcie umowy systemów, które mogą być systemem EDM, z datą końca i falą EHDS, a do nowych stosujcie siedem zapisów z rozdziału EHDS; spiszcie przeróbki działu IT, które dotykają wymiany danych. Pytania o cyberodporność przechodzą przez zamówienia, IT i dział aparatury, który pilnuje, żeby wyroby medyczne szły osobną ścieżką. Szpital publiczny ustala te zapisy w projektowanych postanowieniach umowy przed ogłoszeniem postępowania; zasady z przepisów są w rozdziale Opis przedmiotu zamówienia.

Szpital specjalistyczny

Dochodzą umowy serwisowe urządzeń medycznych w sieci. Producent urządzenia też łączy się zdalnie, więc zapisy o kanale, imiennych kontach i dzienniku połączeń trafiają do umów serwisowych, a firma przetwarzająca przy serwisie dane pacjentów podpisuje umowę powierzenia. Spis systemów uzupełniony z działem aparatury dostaje kolumny: posiadacz danych, dokąd aparat wysyła dane, czy jest wyrobem medycznym, data końca wsparcia. Złóżcie pierwszy wniosek z art. 4 ust. 1 aktu w sprawie danych dla aparatu z największą liczbą przestojów. Fala EHDS z 2031 roku dotyczy wyników badań obrazowych i laboratoryjnych, więc przy archiwach zacznijcie od danych historycznych. Za własne oprogramowanie szpitala klinicznego, które przechowuje dane z kategorii priorytetowych, szpital odpowiada w EHDS jak producent. Przy zaporach, systemach operacyjnych i VPN żądajcie SBOM. Sprawdźcie, czy oprogramowanie do analizy obrazów i serwis aparatury nie wysyłają danych do uczenia algorytmów producenta; takie zapisy bywają w licencji urządzenia. Projekt badawczy proponowany w zamian za dane oddzielcie od umowy na usługę: ma własną podstawę prawną, własną umowę i zgodę komisji bioetycznej, gdy jest wymagana.

Sieć szpitali

Najpierw sprawdźcie, kto jest stroną każdej umowy: spółka dla całej grupy czy każdy szpital. Od tego zależy, kto wypowiada umowę, kto zleca eksport i czy obejmuje on wszystkie szpitale, a każdy szpital będący odrębnym podmiotem ma własny zegar zgłoszenia do UODO. Umowa ramowa niesie jeden wzór tabeli kategorii, zapisu o wyjściu, umowy powierzenia, klauzuli o EHDS, wymagań z datą końca wsparcia i zakazu uczenia modeli, stosowany przy każdym przedłużeniu w każdym szpitalu. Dostawca wspólnego systemu podaje zakres naruszenia osobno dla każdego szpitala, a zgoda na dostrojenie modelu wydana przez jeden szpital nie obejmuje pozostałych. Daty końca umów systemów EDM ze wszystkich szpitali trafiają do jednego kalendarza. Konta u producentów sprzętu zakłada się według jednej zasady, tak żeby informacja o podatności docierała do szpitala, w którym urządzenie pracuje. Przed decyzją o wspólnym systemie dla przejętego szpitala przeczytajcie jego umowy pod kątem wyjścia (Dwa szpitale pod jednym szyldem).

Typowe błędy

Czas reakcji bez kategorii: tabela podaje godziny, ale nie mówi, czym jest awaria krytyczna, kto ją kwalifikuje i czy liczy się godziny zegarowe, a reakcją jest automatyczna odpowiedź.

Zmiany prawne bez przypisania kosztu: „dostosowanie do przepisów w ramach opłaty” bez wskazania, czy obejmuje rozporządzenia unijne, e-usługi P1 i KSeF, bez terminu i stawki za prace poza opłatą.

Brak terminu i postaci eksportu: dane „należą do placówki”, ale nikt nie wie, kto uruchamia eksport, w jakiej postaci, z jakim opisem struktury i za ile, a pierwszy eksport zlecono w dniu wypowiedzenia. Umowa kończy się z licencją, bez okresu przejściowego.

Powiadomienie „niezwłocznie” bez godzin: termin liczony od zakończenia analizy u dostawcy, imienny adres po osobie, która odeszła, kanał tylko w panelu systemu.

Zgoda na uczenie modelu w regulaminie: wynegocjowana umowa powierzenia, a zapis o „danych zanonimizowanych do rozwoju produktów” w ogólnych warunkach, bez pierwszeństwa umowy nad regulaminem. Mail o zmianie regulaminu bez reakcji, która przy umowie ciągłej działa jak zgoda.

Umowa na aparat bez zapisu o poprawkach i danych: gwarancja pomylona z okresem wsparcia, konto u producenta na integratora, brak informacji z art. 3 ust. 2 aktu w sprawie danych w dokumentacji zakupu, dane pacjentów i dane o pracy aparatu w jednym wniosku.

Od czego zacząć w tym tygodniu

Wyjmijcie umowy z dostawcami systemów i usług w chmurze razem z regulaminami i politykami, do których odsyłają.
Sprawdźcie godziny przyjmowania zgłoszeń, definicje kategorii i to, kto je nadaje.
Znajdźcie zapis o zmianach prawnych i sprawdźcie, czy obejmuje EHDS, e-usługi P1 i KSeF, z terminem i stawką.
Sprawdźcie zapis o eksporcie: kto, w jakiej postaci, w jakim terminie, z opisem struktury, za ile, i czy jest okres przejściowy.
Zaktualizujcie adresy powiadomień o naruszeniach we wszystkich umowach powierzenia i zamieńcie imienne na funkcyjne; w wielu umowach wystarcza pisemne zawiadomienie dostawcy.
Wpiszcie do kalendarza daty końca umów obok 12 stycznia 2027, 26 marca 2029 i 26 marca 2031.
Przy najbliższym zakupie sprzętu do sieci zapytajcie o datę końca wsparcia i o to, na czyje konto producent zarejestruje urządzenie.

Punkt po punkcie przejdziecie to z Listą kontrolną umowy z dostawcą: 29 punktów z podstawami prawnymi, na jedno popołudnie z radcą prawnym i kierownikiem IT. Lista nie zastępuje analizy prawnej umowy, ale wskazuje, gdzie jej potrzeba.

Co chcecie osiągnąć następną umową z dostawcą i który z jej zapisów sprawdzicie jako pierwszy?