RODO w szpitalu w 2026 roku – 12 obowiązków dyrektora placówki medycznej (z aktualnymi karami UODO)

ANALIZA EKSPERCKA • OCHRONA DANYCH OSOBOWYCH • KWIECIEŃ 2026

12 obowiązków dyrektora placówki medycznej, które trzeba wdrożyć przed kolejną kontrolą UODO

W 2025 roku Prezes UODO nałożył łącznie ponad 64 mln zł kar za naruszenia RODO, a do urzędu wpłynęło 13 tys. skarg i 22 tys. zgłoszeń naruszeń ochrony danych. W tym dramatycznym wzroście egzekwowania przepisów placówki medyczne są jedną z najbardziej narażonych grup – ze względu na charakter przetwarzanych danych (szczególne kategorie z art. 9 RODO) oraz skalę operacji. Dla dyrektora szpitala znajomość 12 podstawowych obowiązków RODO przestała być kwestią dobrych praktyk – stała się warunkiem stabilności finansowej i operacyjnej placówki.

Kluczowe wnioski

• Dane medyczne to szczególne kategorie danych (art. 9 RODO) – ich przetwarzanie wymaga jednej z 10 dodatkowych przesłanek legalności poza standardowymi z art. 6 RODO.
• Maksymalna kara dla szpitala publicznego: 100 000 zł (art. 102 ustawy o ODO), dla podmiotu prywatnego – do 20 mln euro lub 4% obrotu (zastosowanie ma kwota wyższa).
• Centrum Medyczne Ujastek w Krakowie otrzymało w 2025 r. łącznie ponad 1,1 mln zł kary za ukryty monitoring na neonatologii i brak zabezpieczeń kart pamięci – największa polska kara dla placówki medycznej w historii RODO.
• Dokumentacja medyczna jest przechowywana 20 lat (art. 29 ustawy o prawach pacjenta) – to fundamentalne ograniczenie tzw. „prawa do bycia zapomnianym”, o którym wielu pacjentów nie wie.
• Najczęstsza przyczyna kar UODO dla szpitali: nierzetelna analiza ryzyka i niewdrożone środki techniczne (TOM) – widoczne dopiero po cyberataku, gdy jest już za późno.

RODO w sektorze medycznym – kontekst prawny

Sektor ochrony zdrowia jest jednym z najbardziej regulowanych obszarów stosowania RODO w Polsce. Wynika to z trzech przyczyn: rodzaju przetwarzanych danych (zdrowie, dane biometryczne, niekiedy genetyczne), skali przetwarzania (szpital obsługujący setki tysięcy pacjentów rocznie) oraz nakładających się reżimów prawnych – RODO współdziała w tym obszarze z ustawą o prawach pacjenta, ustawą o systemie informacji w ochronie zdrowia oraz ustawą o działalności leczniczej.

Praktyczna konsekwencja jest jednoznaczna: dyrektor szpitala odpowiada nie tylko za jakość świadczeń medycznych, ale również za pełną zgodność z RODO. W ostatnich latach Prezes UODO konsekwentnie podkreśla, że cyberbezpieczeństwo to nie to samo, co ochrona danych osobowych. Spełnienie wymogów ustawy o krajowym systemie cyberbezpieczeństwa lub ISO 27001 nie zwalnia z obowiązków RODO – cele tych regulacji są różne, a kontrole UODO koncentrują się na ochronie praw konkretnych osób, nie na ogólnym bezpieczeństwie systemu.

Art. 9 RODO – dlaczego dane medyczne są „wrażliwe”

Większość pomyłek terminologicznych w sektorze medycznym wynika z niezrozumienia kluczowego rozróżnienia między danymi zwykłymi (art. 6 RODO) a szczególnymi kategoriami danych osobowych (art. 9 RODO). W mowie potocznej oba typy nazywa się „danymi wrażliwymi”, ale w sensie prawnym – to dwa zupełnie różne reżimy.

Typ danych	Podstawa prawna	Charakter	Przykłady
Dane zwykłe	Art. 6 RODO – 6 przesłanek legalności (m.in. zgoda, umowa, obowiązek prawny, żywotne interesy)	Standardowy reżim ochrony	Imię, nazwisko, PESEL, adres, telefon, e-mail
Szczególne kategorie („dane wrażliwe”)	Art. 9 RODO – ZAKAZ przetwarzania + 10 wąsko zdefiniowanych wyjątków	Wzmocniona ochrona, dodatkowe wymogi techniczne	Dane o zdrowiu, genetyczne, biometryczne, orientacja seksualna, pochodzenie etniczne, poglądy
Karne	Art. 10 RODO – tylko pod nadzorem władz publicznych	Specjalny reżim	Wyroki skazujące, naruszenia prawa

10 przesłanek legalności przetwarzania danych medycznych (art. 9 ust. 2 RODO)

W praktyce szpitalnej najczęściej stosuje się przesłankę „h” – przetwarzanie do celów zdrowotnych przez podmiot obowiązany do tajemnicy zawodowej. To właśnie ta przesłanka, a NIE zgoda pacjenta, jest podstawą legalności większości operacji w placówce medycznej:

• Lit. h: diagnostyka, leczenie, zarządzanie usługami opieki zdrowotnej, ocena zdolności do pracy
• Lit. i: zdrowie publiczne, zagrożenia transgraniczne, jakość i bezpieczeństwo opieki
• Lit. c: ochrona żywotnych interesów (gdy pacjent nie może wyrazić zgody – np. jest nieprzytomny)
• Lit. f: ustalanie, dochodzenie lub obrona roszczeń (np. spory medyczne)
• Lit. a: wyraźna zgoda pacjenta – stosowana wyjątkowo, np. w badaniach klinicznych poza zakresem leczenia rutynowego

Częsty błąd: dyrektorzy szpitali traktują „zgodę pacjenta przy rejestracji” jako uniwersalną podstawę legalności. To nieporozumienie. Zgoda jest jedną z 10 przesłanek i nie jest wymagana, jeśli przetwarzanie ma już inną podstawę – a w przypadku świadczeń zdrowotnych z reguły taką podstawą jest właśnie litera „h”.

12 obowiązków szpitala w zakresie RODO

Poniższa infografika przedstawia kompletny katalog obowiązków placówki medycznej w zakresie RODO, pogrupowany w cztery kategorie funkcjonalne. To narzędzie zarządcze – pozwala dyrektorowi szybko zidentyfikować, które obszary są dobrze pokryte, a które wymagają interwencji.

Inspektor Ochrony Danych – fundament zgodności

Powołanie Inspektora Ochrony Danych (IOD) jest dla szpitala obowiązkiem ustawowym – nie wyborem strategicznym. Wynika to z art. 37 ust. 1 lit. c RODO, który wymaga IOD u administratorów przetwarzających na dużą skalę szczególne kategorie danych osobowych. Każdy szpital z definicji spełnia tę przesłankę.

Trzy modele zatrudnienia IOD

Model	Charakterystyka	Zalety	Ryzyka
IOD wewnętrzny	Pracownik szpitala oddelegowany do funkcji	Znajomość organizacji, dostępność, niskie koszty bezpośrednie	Konflikt interesów, brak czasu, ograniczona specjalistyczna wiedza
IOD zewnętrzny	Umowa z kancelarią lub firmą doradczą	Doświadczenie z innymi placówkami, niezależność, wsparcie zespołu	Wyższe koszty, ograniczona dostępność, nieznajomość specyfiki
Model hybrydowy	Wewnętrzny koordynator + zewnętrzne wsparcie merytoryczne	Połączenie zalet, skalowalność, transfer wiedzy	Wymaga dobrego zarządzania komunikacją

Bez względu na model zatrudnienia, IOD musi być rzeczywiście niezależny (art. 38 ust. 3 RODO), mieć bezpośredni dostęp do najwyższego kierownictwa, wystarczające zasoby do wykonywania zadań oraz aktualną wiedzę specjalistyczną. Powołanie IOD „dla zgody” – bez realnego umocowania – nie tylko nie chroni przed karą, ale stanowi dodatkowe obciążenie w trakcie kontroli UODO.

DPIA – obowiązkowa ocena skutków dla ochrony danych

Ocena skutków dla ochrony danych (Data Protection Impact Assessment, DPIA) to procedura wymagana przez art. 35 RODO. W praktyce szpitalnej DPIA jest obligatoryjna – wynika to z faktu, że placówki medyczne przetwarzają na dużą skalę szczególne kategorie danych. Nie jest to formalność – to dokument operacyjny, który ratuje placówkę przed wysoką karą.

Kiedy DPIA jest obowiązkowa?

• Wdrożenie nowego systemu informatycznego obsługującego dokumentację medyczną (HIS, EDM)
• Uruchomienie usługi telemedycznej lub aplikacji mobilnej dla pacjentów
• Zmiana procesora (np. nowa firma IT obsługująca infrastrukturę)
• Wdrożenie monitoringu wizyjnego (szczególnie istotne po sprawie Ujastek)
• Profilowanie pacjentów lub wykorzystanie AI w diagnostyce
• Międzynarodowy transfer danych (np. usługi chmurowe poza EOG)

Struktura prawidłowej DPIA

Dokument DPIA musi zawierać minimum 4 elementy wymagane przez art. 35 ust. 7 RODO:

1. Systematyczny opis planowanych operacji przetwarzania i celów
2. Ocena niezbędności i proporcjonalności
3. Ocena ryzyka naruszenia praw lub wolności osób
4. Środki zaradcze (zabezpieczenia, mechanizmy ograniczające)

Umowy powierzenia (art. 28 RODO) – pułapka dla szpitali

Każdy szpital korzysta z usług zewnętrznych podmiotów: firma IT, laboratorium, archiwizacja, niszczenie dokumentów, kateringi, sprzątanie. Większość z tych podmiotów ma kontakt z danymi osobowymi pacjentów – nawet jeśli pośredni. To oznacza, że wymagana jest umowa powierzenia (art. 28 RODO).

Typowe luki kontroli UODO

• Firma IT bez umowy powierzenia – „przecież oni tylko dbają o serwery”. Błąd: dostęp do serwera = potencjalny dostęp do EDM.
• Laboratorium zewnętrzne wykonujące badania na zlecenie szpitala – wymaga umowy określającej cele i sposób przetwarzania.
• Firmy niszczące dokumenty – umowa musi precyzować normę zniszczenia (DIN 66399 P-4 minimum) i protokoły zniszczenia.
• Sprzątanie i ochrona – pomimo braku celowego dostępu, zasada minimalizacji ryzyka wymaga umowy o poufności.
• Audytorzy zewnętrzni – przetwarzają dane w trakcie kontroli, więc również wymagają umowy powierzenia.

Okresy retencji dokumentacji medycznej

Pacjenci często pytają: „Czy mogę żądać usunięcia swojej dokumentacji medycznej?” Odpowiedź: co do zasady NIE. Prawo do bycia zapomnianym (art. 17 RODO) jest w sektorze medycznym znacząco ograniczone przez art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Szpital MA OBOWIĄZEK przechowywać dokumentację przez ściśle określone okresy – i nie wolno mu jej usunąć wcześniej.

Rodzaj dokumentacji	Okres przechowywania	Liczony od	Podstawa prawna
Dokumentacja standardowa	20 lat	końca roku kalendarzowego, w którym dokonano ostatniego wpisu	Art. 29 ust. 1 ustawy o prawach pacjenta
Zgon pacjenta z urazu lub zatrucia	30 lat	końca roku, w którym nastąpił zgon	Art. 29 ust. 1 pkt 1
Dane do monitorowania krwi i jej składników	30 lat	końca roku ostatniego wpisu	Art. 29 ust. 1 pkt 1a
Dokumentacja dzieci do 2. roku życia	22 lata	od urodzenia	Art. 29 ust. 1 pkt 4
Zdjęcia RTG (poza dokumentacją)	10 lat	końca roku wykonania zdjęcia	Art. 29 ust. 1 pkt 2
Skierowania zrealizowane	5 lat	końca roku świadczenia	Art. 29 ust. 1 pkt 3a
Skierowania niezrealizowane	2 lata	końca roku wystawienia	Art. 29 ust. 1 pkt 3b
Dokumentacja badań klinicznych	25 lat	zakończenia badania	Przepisy szczególne

Naruszenia ochrony danych – procedura 72 godzin

72 godziny – to magiczna liczba w RODO. Tyle czasu ma administrator (szpital) na zgłoszenie naruszenia ochrony danych do UODO od chwili jego stwierdzenia. Termin liczony jest „bez zbędnej zwłoki” – co w praktyce UODO oznacza maksymalnie 72 godziny, a najlepiej znacznie szybciej.

3 obowiązki przy naruszeniu

Obowiązek	Termin	Komu	Podstawa
Zgłoszenie naruszenia organowi nadzorczemu	do 72 godzin od stwierdzenia	Prezes UODO	Art. 33 RODO
Zawiadomienie osób, których dane dotyczą	bez zbędnej zwłoki (gdy wysokie ryzyko)	Pacjenci	Art. 34 RODO
Wewnętrzna dokumentacja naruszenia	niezwłocznie, niezależnie od skali	Rejestr naruszeń (do dyspozycji UODO)	Art. 33 ust. 5 RODO

Co musi zawierać zgłoszenie do UODO

• Charakter naruszenia (kategorie i przybliżona liczba osób, kategorie i przybliżona liczba wpisów)
• Imię i nazwisko oraz dane kontaktowe IOD
• Możliwe konsekwencje naruszenia
• Środki zastosowane lub proponowane w celu zaradzenia naruszeniu i zminimalizowania jego negatywnych skutków

Najczęstsze błędy operacyjne – checklista IOD

RODO przegrywa się nie w salach sądowych, ale w codziennej pracy personelu rejestracji, gabinetów i oddziałów. Większość naruszeń to nie sofistykowane cyberataki – to monitor zwrócony do pacjentów, hasło na karteczce post-it, lub wydanie wyników osobie o podobnym nazwisku. Poniższa checklista to narzędzie operacyjne dla IOD i kierowników oddziałów, oparte na praktyce kontroli UODO.

Trzy najczęstsze realne incydenty (bez cyberataków)

• Wydanie wyników osobie o tym samym nazwisku – klasyczny przypadek braku weryfikacji PESEL przy zbieżnych danych. Skutek: zgłoszenie pacjenta do RPP i postępowanie UODO.
• Wezwanie pacjenta po imieniu i nazwisku w rejestracji – ujawnienie obecności pacjenta osobom trzecim w kolejce. Rozwiązanie: numerki, monitor wewnętrzny, wezwanie inicjałami.
• Pozostawienie kart pacjentów na blacie rejestracji – „zasada czystej lady”: między obsługą kolejnych pacjentów blat jest pusty. Każda karta wraca do segregatora lub szafy.

Realne kary UODO dla placówek medycznych 2024–2026

Najlepszą lekcją w zarządzaniu ryzykiem RODO są konkretne przypadki – decyzje Prezesa UODO i wyroki sądów administracyjnych. Poniżej cztery sprawy z lat 2024–2026, które dyrektorzy szpitali powinni znać na pamięć.

Placówka / sprawa	Wysokość kary	Powód	Lekcja
Centrum Medyczne Ujastek (Kraków)	łącznie ponad 1,1 mln zł (687 534,75 zł + ok. 460 000 zł)	Ukryty monitoring wizyjny na neonatologii + brak szyfrowania kart pamięci. WSA podtrzymał kary w listopadzie 2025 r.	Monitoring wymaga DPIA, jawnej informacji i wdrożonych zabezpieczeń technicznych
Uniwersytecki Dziecięcy Szpital Kliniczny w Białymstoku	66 500 zł (2025 r.)	Cyberatak ransomware – nierzetelna analiza ryzyka, niewłaściwe zabezpieczenia. UODO: analiza musi być z perspektywy osób, których dane dotyczą.	Cyberbezpieczeństwo ≠ ochrona danych. ISO/KSC nie zwalnia z RODO.
Klinika stomatologiczna (NSA, listopad 2025)	85 588 zł	Niezawiadomienie 37 pacjentów o wycieku danych mimo nakazu UODO. Spóźnione listy nie anulowały kary.	Zawiadomienie pacjentów to obowiązek krytyczny – działaj szybciej niż UODO.
Szpital z atakiem ransomware (2024)	40 000 zł	Atak na 30 tys. pacjentów + 1 tys. pracowników. Brak analizy ryzyka, niewłaściwa ocena („dane nie wyciekły”).	Utrata dostępu = naruszenie ochrony danych. Zaszyfrowane dane przez ransomware to kryzys RODO.
Gyncentrum sp. z o.o.	40 000 zł + upomnienie	Niezgłoszenie naruszenia, opóźnione zawiadomienie pacjentów. „Pomyłka nieznacząca” – argument odrzucony.	Ocena „czy poważne” należy do UODO, nie do administratora. W razie wątpliwości – zgłaszaj.

Limity kar – sektor publiczny vs prywatny

Typ podmiotu	Maksymalna kara	Podstawa
Szpital publiczny / NFZ / podmiot finansów publicznych	100 000 zł	Art. 102 ustawy o ochronie danych osobowych z 10.05.2018 r.
Szpital prywatny / spółka	20 mln € lub 4% rocznego światowego obrotu (kwota wyższa)	Art. 83 ust. 5 RODO
Mniejsze naruszenia (sektor prywatny)	10 mln € lub 2% rocznego obrotu	Art. 83 ust. 4 RODO
Instytucje kultury, biblioteki	10 000 zł	Art. 102 ust. 1 pkt 2 ustawy o ODO

RODO a telemedycyna – nowe wyzwania

Od pandemii COVID-19 telemedycyna stała się stałym elementem polskiego systemu ochrony zdrowia. Przyniosła rewolucję w dostępności świadczeń, ale również nowe ryzyka RODO – wynikające z cyfrowej natury kontaktu pacjent-lekarz, transmisji danych przez sieć i często wykorzystania komercyjnych platform komunikacyjnych.

Obszar ryzyka	Zagrożenie	Zabezpieczenie	Wymóg prawny
Transmisja wideo / audio	Przechwycenie sesji, podsłuch	Szyfrowanie end-to-end (E2EE)	Art. 32 RODO – środki TOM
Identyfikacja pacjenta	Podszywanie się pod osobę	Profil zaufany, mDowód, hasło dostępowe	Art. 32 RODO + ustawa o systemie informacji w ochronie zdrowia
Konto / dostęp do platformy	Nieautoryzowany dostęp	Uwierzytelnianie dwuskładnikowe (2FA)	Wytyczne EROD
Przechowywanie nagrań	Wyciek z serwera dostawcy	Umowa powierzenia + szyfrowanie at-rest	Art. 28 RODO
Lokalizacja serwerów	Transfer poza EOG	EOG lub kraj z decyzją adekwatności / SCC	Art. 44–49 RODO
Komunikator (np. WhatsApp)	Brak kontroli nad danymi	WYŁĄCZNIE certyfikowane platformy medyczne	UODO: kara dla MZ za WhatsApp

Audyt zgodności z RODO – kiedy i jak

Audyt RODO w szpitalu nie jest jednorazowym wydarzeniem – to cykliczny proces, który powinien obejmować trzy poziomy: audyt wewnętrzny (kwartalnie), audyt zewnętrzny (rocznie) i audyt powdrożeniowy (po każdej znaczącej zmianie technologicznej). Praktyka UODO pokazuje, że placówki regularnie audytowane mają znacząco niższe kary nawet w razie incydentu – sąd uznaje to za okoliczność łagodzącą.

Czterowarstwowy model audytu

• Warstwa 1: Audyt dokumentacyjny – czy są wszystkie wymagane dokumenty (RCPD, polityki, umowy powierzenia, DPIA)?
• Warstwa 2: Audyt techniczny – testy penetracyjne, weryfikacja uprawnień, kontrola szyfrowania, sprawdzenie kopii zapasowych.
• Warstwa 3: Audyt operacyjny – wywiady z personelem, obserwacja stanowisk pracy, weryfikacja stosowania procedur.
• Warstwa 4: Audyt incydentów – przegląd rejestru naruszeń, analiza skuteczności procedury 72h, ocena działań naprawczych.

Podsumowanie – co wdrożyć w 2026 roku

Pięć priorytetów, które powinny trafić do planu zarządczego każdej placówki medycznej:

1. Audyt 12 obowiązków – przeprowadź mapowanie zgodności w czterech kategoriach (organizacyjne / techniczne / proceduralne / informacyjne). Zidentyfikuj luki.
2. DPIA dla każdego nowego procesu – monitoring, AI, telemedycyna, nowy system. To nie biurokracja – to ubezpieczenie przed karą.
3. Przegląd umów powierzenia – lista wszystkich procesorów, status umowy, zakres uprawnień. Brak umowy = automatyczna kara.
4. Cykliczne szkolenia personelu – min. raz w roku, dokumentowane, z testami wiedzy. Pierwszy temat: checklista IOD.
5. Procedura 72 godzin – wydrukowana, dostępna – każdy pracownik wie, kogo powiadomić, w jakim terminie, jakim kanałem. To różnica między 40 000 zł a 1 000 000 zł kary.

---

O analizie i jej aktualności

Niniejszy artykuł został opracowany na dzień 26 kwietnia 2026 r. na podstawie obowiązujących przepisów oraz najnowszych decyzji Prezesa UODO i orzeczeń sądów administracyjnych z lat 2024–2026. Sektor ochrony danych osobowych w Polsce charakteryzuje się dużą dynamiką – zarówno regulacyjną (zmiany w prawie krajowym i UE), jak i orzeczniczą. Konkretne kwoty kar, terminy procesowe i interpretacje przepisów powinny być weryfikowane bezpośrednio na portalu uodo.gov.pl przed wykorzystaniem w dokumentach zarządczych.

W sprawach indywidualnych dotyczących konkretnego naruszenia, audytu lub strategii zgodności z RODO zawsze należy skonsultować się z Inspektorem Ochrony Danych, radcą prawnym lub adwokatem specjalizującym się w prawie ochrony danych osobowych.