Kara 32 tys. zł za RODO. Czy Twój gabinet jest bezpieczny?

Masz dokumentację RODO?

To za mało. Szpital zapłacił ponad 32 tys. zł kary, choć posiadał procedury.

Czy samo posiadanie polityki ochrony danych osobowych wystarczy, aby zabezpieczyć gabinet lub placówkę medyczną?

Zdecydowanie nie. Przekonał się o tym jeden z podmiotów leczniczych, na który Prezes Urzędu Ochrony Danych Osobowych nałożył karę w wysokości 32 832 zł. Co szczególnie istotne – placówka posiadała dokumentację RODO, przeprowadzała audyty, a nawet identyfikowała zagrożenia. Problem polegał na tym, że nie przełożyła tych ustaleń na odpowiednie procedury i rzeczywiste zabezpieczenia.

Sprawa jest szczególnie aktualna w 2026 roku. Po kolejnych doniesieniach o wyciekach danych osobowych, w tym danych medycznych pacjentów, Prezes UODO zapowiedział zintensyfikowanie kontroli w sektorze ochrony zdrowia.

Dlatego warto przyjrzeć się decyzji z 4 lipca 2025 r., która pokazuje, że dokumentacja niedostosowana do rzeczywistego funkcjonowania placówki może nie tylko nie zapewnić odpowiedniej ochrony, ale również stać się jednym z elementów wykazujących nieprawidłowości w organizacji przetwarzania danych osobowych.

Skradziono samochód lekarza. W środku była dokumentacja medyczna pacjentów

Sprawa rozpoczęła się od zdarzenia, które z pozoru mogło wyglądać jak zwykła kradzież samochodu. W nocy z 4 na 5 sierpnia 2021 r. skradziono prywatny samochód pracownika placówki medycznej, wykorzystywany podczas realizacji wizyt domowych. W pojeździe znajdowała się papierowa dokumentacja medyczna pacjentów, w tym dzieci i noworodków. Dokumentacja obejmowała m.in.:

• imiona i nazwiska pacjentów,
• daty urodzenia,
• adresy zamieszkania,
• numery PESEL,
• nazwiska rodowe matek,
• informacje dotyczące stanu zdrowia.

Skradzionej dokumentacji nie odnaleziono. Placówka zgłosiła naruszenie ochrony danych osobowych Prezesowi UODO. Organ rozpoczął analizę okoliczności zdarzenia, a następnie wszczął postępowanie administracyjne. I właśnie wtedy okazało się, że problem nie sprowadzał się wyłącznie do kradzieży.

Placówka miała dokumentację RODO

Dlaczego więc otrzymała karę? To najciekawszy element całej sprawy. Podmiot leczniczy posiadał politykę bezpieczeństwa oraz zasady ochrony danych osobowych. W dokumentach znajdowały się postanowienia dotyczące przechowywania papierowej dokumentacji, zabezpieczania jej przed dostępem osób nieupoważnionych czy zakazu pozostawiania dokumentów w ogólnodostępnych miejscach. Brzmi prawidłowo? Teoretycznie tak.

Problem polegał na tym, że dokumenty nie regulowały w wystarczający sposób tego, co faktycznie działo się w placówce.

Personel wykonywał wizyty domowe i przewoził dokumentację medyczną prywatnymi samochodami. Tymczasem obowiązujące procedury nie określały szczegółowych zasad takiego transportu ani odpowiednich sposobów zabezpieczenia dokumentacji w tych okolicznościach.

Co więcej, prywatne samochody pracowników nie zostały odpowiednio uwzględnione jako miejsca, w których dochodzi do przetwarzania danych osobowych.

Innymi słowy, placówka miała dokumentację RODO, ale dokumentacja nie odpowiadała rzeczywistemu sposobowi wykonywania świadczeń zdrowotnych.

Co jeszcze bardziej zaskakujące – zagrożenie było znane już wcześniej. W toku postępowania ustalono, że placówka przeprowadzała wcześniejsze audyty bezpieczeństwa. Już w 2017 r. zwracano uwagę na zagrożenia związane z przewożeniem dokumentacji medycznej podczas wizyt domowych. Wskazywano m.in., że dokumentacja nie powinna być pozostawiana w samochodzie oraz że jej transport powinien odbywać się w sposób ograniczający ryzyko kradzieży lub utraty. Podobne zalecenia pojawiły się również w 2018 r. A mimo to przed wystąpieniem naruszenia nie zostały one odpowiednio przełożone na obowiązujące procedury i zakomunikowane personelowi. I tutaj pojawia się kolejny ważny wniosek.

Sam audyt również nie wystarczy, jeżeli jego wyniki nie prowadzą do konkretnych zmian

Można przeprowadzić analizę ryzyka, zidentyfikować zagrożenia i przygotować raport z rekomendacjami. Ale jeżeli placówka nie wdroży odpowiednich rozwiązań, ryzyko nadal istnieje.

32 832 zł kary. Za co konkretnie?

Decyzją z 4 lipca 2025 r. Prezes UODO nałożył na podmiot leczniczy administracyjną karę pieniężną w wysokości 32 832 zł. Organ stwierdził naruszenie przepisów RODO, w szczególności dotyczących:

• obowiązku wdrożenia odpowiednich środków technicznych i organizacyjnych – art. 24 ust. 1 RODO;
• ochrony danych w fazie projektowania i w czasie przetwarzania – art. 25 ust. 1 RODO;
• bezpieczeństwa przetwarzania danych – art. 32 ust. 1 i 2 RODO;
• zasad integralności, poufności i rozliczalności – art. 5 ust. 1 lit. f oraz ust. 2 RODO.

Podstawowym problemem była niekompletna analiza ryzyka dotycząca wizyt domowych oraz brak odpowiednich zabezpieczeń dokumentacji medycznej podczas jej transportu.

Kara nie została więc nałożona wyłącznie za to, że skradziono samochód. Istotą naruszenia było niewłaściwe przygotowanie placówki do ryzyka, które wiązało się z jej codzienną działalnością.

Dopiero po incydencie administrator wdrożył dodatkowe środki, w tym zabezpieczone teczki do transportu dokumentacji, przeprowadził szczegółową analizę ryzyka, zaktualizował procedury oraz zorganizował szkolenia personelu. Wprowadzono również bardziej szczegółowe zasady transportu dokumentacji medycznej poza siedzibą placówki.

Rok 2026: sektor ochrony zdrowia pod szczególną obserwacją UODO

Dlaczego wracam do decyzji z 2025 r. właśnie teraz? Ponieważ ochrona danych medycznych stała się jednym z istotnych obszarów zainteresowania Prezesa UODO w 2026 r.

Już w planie kontroli sektorowych na ten rok uwzględniono podmioty lecznicze, ze szczególnym naciskiem na bezpieczeństwo danych osobowych przetwarzanych w związku ze stosowaniem monitoringu wizyjnego, zwłaszcza danych dzieci.

Jednak na tym nie koniec. We wrześniu 2026 r. Prezes UODO zapowiedział dodatkowe, zintensyfikowane kontrole podmiotów sektora ochrony zdrowia do końca roku.

Decyzja została podjęta w związku z poważnymi incydentami naruszenia ochrony danych medycznych, w tym wyciekiem danych z MyDr.

Oznacza to, że zainteresowanie organu nie ogranicza się już wyłącznie do wcześniej zaplanowanych kontroli monitoringu wizyjnego.

Dodatkowe działania mają obejmować również weryfikację zabezpieczeń stosowanych przez placówki medyczne. To bardzo ważny sygnał dla całej branży.

 MyDr, Fakturownia, oprogramowanie medyczne

Dlaczego wycieki danych powinny zainteresować również właścicieli gabinetów? W 2026 r. pojawiły się informacje o kolejnych poważnych incydentach związanych z bezpieczeństwem danych. Jednym z najgłośniejszych był wyciek dotyczący MyDr – dostawcy oprogramowania wykorzystywanego przez placówki medyczne.

Prezes UODO zapowiedział kontrolę spółki, obejmującą m.in. stosowane środki techniczne i organizacyjne, analizę ryzyka oraz weryfikację skuteczności zabezpieczeń.

Pojawiły się również doniesienia o incydencie dotyczącym oprogramowania Medyc, wykorzystywanego w sektorze ochrony zdrowia, a także informacje o naruszeniu danych w systemie Fakturownia, które mogło dotyczyć również danych znajdujących się na fakturach wystawianych pacjentom. Warto jednak podkreślić, że poszczególne incydenty mają odmienny charakter, zakres i okoliczności. Sam fakt wystąpienia cyberataku nie przesądza automatycznie o odpowiedzialności konkretnego administratora danych. Pokazują one natomiast pewien wspólny problem. Dane pacjentów nie znajdują się wyłącznie w dokumentacji medycznej przechowywanej w gabinecie. Są przetwarzane również w systemach rejestracyjnych, programach do prowadzenia dokumentacji elektronicznej, systemach fakturowych, aplikacjach do komunikacji z pacjentami czy usługach chmurowych. I właśnie dlatego ochrona danych nie może ograniczać się do przygotowania polityki prywatności i kilku formularzy.

„Przecież korzystam z zewnętrznego systemu. To jego problem, nie mój”

To niebezpieczne uproszczenie. Jeżeli gabinet lub podmiot leczniczy jest administratorem danych osobowych pacjentów, to powierzenie określonych operacji zewnętrznemu dostawcy nie oznacza automatycznego przeniesienia na niego całej odpowiedzialności za zgodność przetwarzania danych z RODO. Oczywiście dostawca systemu, działający jako podmiot przetwarzający, również posiada własne obowiązki wynikające z RODO. Nie zmienia to jednak faktu, że administrator powinien m.in.:

• odpowiednio zweryfikować dostawcę systemu;
• zadbać o właściwą umowę powierzenia przetwarzania danych;
• uwzględnić korzystanie z zewnętrznego oprogramowania w analizie ryzyka;
• określić zasady nadawania i odbierania dostępów;
• zapewnić odpowiednie zabezpieczenia organizacyjne;
• ustalić sposób postępowania w razie naruszenia ochrony danych;
• okresowo weryfikować, czy przyjęte rozwiązania nadal odpowiadają rzeczywistym zagrożeniom.

W przypadku incydentu dotyczącego dostawcy administrator powinien również ocenić, czy naruszenie obejmuje dane, za które odpowiada, i czy powstają po jego stronie obowiązki zgłoszenia naruszenia do UODO lub zawiadomienia osób, których dane dotyczą. Nie każdy incydent wymaga identycznych działań. Ocena zależy od jego charakteru, skali oraz ryzyka dla praw i wolności osób fizycznych.

Co powinien zrobić gabinet fizjoterapii, stomatologiczny lub inna placówka medyczna?

Wróćmy do decyzji dotyczącej skradzionego samochodu. W tej sprawie problemem nie był całkowity brak dokumentacji RODO. Problemem było to, że przyjęte rozwiązania nie obejmowały w odpowiedni sposób rzeczywistego ryzyka związanego z funkcjonowaniem placówki.

Dlatego warto zadać sobie kilka pytań.

1. Czy dokumentacja RODO odpowiada temu, jak rzeczywiście działa moja placówka? Jeżeli wykonujemy wizyty domowe, korzystamy z urządzeń mobilnych, przesyłamy dokumentację elektronicznie albo współpracujemy z zewnętrznymi specjalistami – czy nasze procedury rzeczywiście to uwzględniają?
2. Czy analiza ryzyka została przeprowadzona indywidualnie? Czy uwzględnia konkretne systemy, urządzenia, lokalizacje, osoby mające dostęp do danych oraz potencjalne zagrożenia?
3. Czy wiemy, kto ma dostęp do danych pacjentów? Dotyczy to nie tylko lekarzy i fizjoterapeutów, ale również recepcji, współpracowników, personelu administracyjnego i dostawców usług informatycznych.
4. Czy mamy odpowiednie umowy z dostawcami oprogramowania? I czy wiemy, jakie dane przetwarzają, w jakim celu oraz jakie zabezpieczenia stosują?
5. Czy personel zna obowiązujące procedury? Dokumentacja, o której istnieniu pracownicy nie wiedzą, ma ograniczoną wartość praktyczną.
6. Czy wiemy, jak zareagować na wyciek danych? Kto ocenia incydent? Kto kontaktuje się z dostawcą systemu? Kto podejmuje decyzję o zgłoszeniu naruszenia do UODO? Kto odpowiada za ewentualne zawiadomienie pacjentów?
7. Kiedy ostatnio aktualizowaliśmy dokumentację?  Jeżeli od jej przygotowania zmienił się sposób prowadzenia działalności, wykorzystywane oprogramowanie, zakres świadczeń czy organizacja pracy – może się okazać, że dokumentacja wymaga aktualizacji.

RODO to nie segregator. To system, który powinien działać

W praktyce obsługi prawnej branży medycznej szczególnie istotne jest dla mnie jedno: dokumentacja powinna odpowiadać rzeczywistości. Nie ma większego sensu posiadanie procedury, która opisuje sposób postępowania całkowicie odmienny od tego, jaki stosowany jest na co dzień. Podobnie nie wystarczy przeprowadzić audytu, otrzymać rekomendacje i odłożyć raport na półkę.

Decyzja Prezesa UODO z 4 lipca 2025 r. pokazuje, że konsekwencje mogą być wymierne finansowo. A zapowiedź dodatkowych kontroli w sektorze ochrony zdrowia w 2026 r. powinna być dla właścicieli placówek kolejnym argumentem, aby zweryfikować swoje procedury.

Nie chodzi o to, aby bać się kontroli. Chodzi o to, aby być do niej przygotowanym – i przede wszystkim rzeczywiście chronić dane pacjentów. Bo najlepszy moment na przeprowadzenie audytu, aktualizację dokumentacji i wdrożenie odpowiednich zabezpieczeń jest wtedy, kiedy jeszcze nic się nie wydarzyło. Nie po wycieku danych. Nie po skardze pacjenta. Nie po wszczęciu postępowania przez UODO.

Potrzebujesz dokumentacji RODO lub audytu swojej placówki? W Noctua Kancelaria Prawna wspieramy gabinety fizjoterapii, podmioty lecznicze oraz przedsiębiorców z branży medycznej w zakresie ochrony danych osobowych. Przygotowujemy i weryfikujemy dokumentację RODO, analizujemy stosowane procedury oraz pomagamy dostosować je do rzeczywistego sposobu prowadzenia działalności.

Jeżeli nie masz pewności, czy dokumentacja Twojej placówki jest aktualna i odpowiada obowiązującym przepisom – zapraszamy do kontaktu.

Zadbaj o prawne bezpieczeństwo swojej placówki, zanim pojawi się problem.

Wykorzystane źródła:

• Decyzja Prezesa UODO z 4 lipca 2025 r., DKN.5131.17.2022.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
• Komunikaty Prezesa UODO dotyczące wycieku danych z MyDr i dodatkowych kontroli sektora ochrony zdrowia w 2026 r.