Przychodnia przetwarza dane o zdrowiu - szczególną kategorię danych, którą RODO pozwala przetwarzać w celach leczniczych, gdy robią to osoby objęte tajemnicą zawodową (art. 9 ust. 2 lit. h i ust. 3 RODO). Do RODO dochodzi ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta: to ona mówi, kto ma dostęp do dokumentacji medycznej, jak długo się ją przechowuje i kiedy się ją niszczy. Większa przychodnia od 3 kwietnia 2026 podlega też ustawie o krajowym systemie cyberbezpieczeństwa.
Kto ma dostęp do dokumentacji medycznej
Podmiot udzielający świadczeń ma obowiązek prowadzić, przechowywać i udostępniać dokumentację medyczną i zapewnić ochronę zawartych w niej danych (art. 24 ust. 1 ustawy o prawach pacjenta). Do przetwarzania tych danych są uprawnione:
- osoby wykonujące zawód medyczny - z mocy ustawy (art. 24 ust. 2 pkt 1),
- inne osoby - rejestracja, statystyk medyczny, informatyk utrzymujący system - tylko na podstawie upoważnienia administratora (art. 24 ust. 2 pkt 2).
Wszystkie te osoby zachowują tajemnicę także po śmierci pacjenta (art. 24 ust. 3). Lekarz czy pielęgniarka nie potrzebują upoważnienia z ustawy o prawach pacjenta, ale RODO wymaga, by każdy działał na polecenie administratora i znał zasady (art. 29, art. 32 ust. 4) - dlatego warto objąć ich ewidencją i szkoleniem. Zobacz też wzór upoważnienia do przetwarzania danych.
Firma, której przychodnia powierza dane - dostawca systemu gabinetowego, laboratorium, serwis IT - działa na podstawie umowy powierzenia. Jej wykonanie nie może zakłócać udzielania świadczeń ani dostępu do dokumentacji, a procesor też jest związany tajemnicą (art. 24 ust. 5-6).
Jak długo przechowywać dokumentację
| Rodzaj dokumentacji | Okres | Liczony od |
|---|---|---|
| Dokumentacja medyczna - zasada | 20 lat | końca roku ostatniego wpisu |
| Zgon na skutek uszkodzenia ciała lub zatrucia | 30 lat | końca roku zgonu |
| Dane do monitorowania losów krwi i jej składników | 30 lat | końca roku ostatniego wpisu |
| Zdjęcia RTG przechowywane poza dokumentacją | 10 lat | końca roku wykonania zdjęcia |
| Skierowania i zlecenia lekarza | 5 lat | końca roku udzielenia świadczenia |
| Skierowanie, gdy pacjent się nie zgłosił | 2 lata | końca roku wystawienia |
| Dokumentacja dzieci do ukończenia 2. roku życia | 22 lata | - |
Podstawą jest art. 29 ust. 1 ustawy o prawach pacjenta. Po upływie okresu dokumentację niszczy się tak, by nie dało się zidentyfikować pacjenta, albo wydaje pacjentowi (art. 29 ust. 2).
Naruszenia w przychodni
Wyniki wysłane na zły adres, zgubiony laptop, karta pacjenta na blacie rejestracji, atak ransomware na system gabinetowy - to najczęstsze naruszenia. Każde trzeba ocenić i, jeśli niesie ryzyko dla pacjentów, zgłosić Prezesowi UODO w ciągu 72 godzin (art. 33 RODO), a przy wysokim ryzyku zawiadomić też pacjentów (art. 34). Krok po kroku opisujemy to w artykule Naruszenie ochrony danych - 72 godziny. Nowy system przetwarzający dane o zdrowiu na dużą skalę zwykle wymaga też oceny skutków (DPIA) (art. 35 ust. 3 lit. b RODO).
Kiedy przychodnię obejmuje ustawa o KSC
Załącznik nr 1 do ustawy o KSC wymienia w sektorze ochrona zdrowia podmiot leczniczy w rozumieniu art. 4 ust. 1 ustawy o działalności leczniczej. Status zależy od formy i wielkości:
- przychodnia będąca przedsiębiorcą - podmiot ważny, jeśli jest średnim przedsiębiorcą (co najmniej 50 pracowników albo zarówno obrót, jak i suma bilansowa powyżej 10 mln euro), i podmiot kluczowy, jeśli przekracza progi średniego przedsiębiorcy (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1),
- SP ZOZ i inny podmiot leczniczy niebędący przedsiębiorcą - podmiot ważny przy 50-249 zatrudnionych, kluczowy od 250 (art. 5 ust. 8).
Mała przychodnia zwykle jest poza ustawą, chyba że organ uzna ją za podmiot kluczowy lub ważny decyzją (art. 7l). Praktyka zawodowa lekarza nie jest podmiotem leczniczym (art. 5 ustawy o działalności leczniczej), więc tego załącznika nie dotyczy.
Przychodnia objęta ustawą wdraża SZBI według art. 8 ust. 1 do 3 kwietnia 2027 i zgłasza incydenty poważne: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i sprawozdanie końcowe. Termin samorejestracji w wykazie minął 3 października 2026 - jeśli przychodnia go przeoczyła, warto złożyć wniosek jak najszybciej (zobacz wykaz KSC i samorejestracja).
Jak pomaga Cyberenu
Rdzeń wzoru - polityka, rejestr czynności, analiza ryzyka, upoważnienia, naruszenia i wnioski - działa w przychodni od razu, a karty czynności typowe dla podmiotów leczniczych dopisujemy do wzoru razem z pierwszymi klientami z ochrony zdrowia. Na tych samych rejestrach powstaje dokumentacja RODO i, gdy przychodnię obejmuje ustawa, SZBI.