Naruszenie danych w placówce medycznej: zgłoszenie do UODO i termin 72 godzin

Stan prawny na dzień 4 listopada 2026.

Kierownik placówki, który dowiaduje się o wycieku danych pacjentów, nie ma 72 godzin na decyzję. Art. 33 ust. 1 RODO wymaga, aby administrator zgłosił naruszenie Prezesowi Urzędu Ochrony Danych Osobowych (UODO) „bez zbędnej zwłoki”, a 72 godziny po stwierdzeniu naruszenia to górna granica na samo zgłoszenie. Termin nie liczy się od momentu ataku ani od dnia, w którym dostawca systemu przyśle raport końcowy. Placówka pozostaje administratorem także wtedy, gdy incydent wydarzył się w systemie elektronicznej dokumentacji medycznej (EDM) prowadzonym przez zewnętrzną firmę. W komunikacie o incydencie MyDr UODO wskazał, że administrator powinien otrzymać od podmiotu przetwarzającego potwierdzenie, że incydent dotyczył jego danych.

Placówka nie powinna czekać z decyzją na pełny raport od dostawcy EDM, jeżeli ma już wystarczającą pewność, że incydent objął dane jej pacjentów. Brak części ustaleń nie blokuje zgłoszenia, ponieważ art. 33 ust. 4 RODO pozwala udzielać informacji sukcesywnie. Spóźnione zgłoszenie nadal trzeba złożyć, a art. 33 ust. 1 RODO wymaga wtedy wyjaśnienia przyczyn opóźnienia.

Co jest naruszeniem i od kiedy biegną 72 godziny?

Naruszeniem ochrony danych jest nie tylko atak ransomware czy wyciek bazy, ale również zgubiony niezaszyfrowany laptop z dokumentacją, wynik badania wysłany e-mailem do innego pacjenta, zbyt szerokie uprawnienia w systemie EDM, które umożliwiły nieuprawniony dostęp, albo przeglądanie historii leczenia przez pracownika, który nie potrzebuje jej do pracy.

Termin biegnie od stwierdzenia naruszenia. W stanowisku przytoczonym w wyroku WSA w Warszawie z 5 października 2021 r., II SA/Wa 528/21 (według CBOSA nieprawomocny), Prezes UODO przyjął, że obowiązek powstaje w momencie, w którym administrator „uzyskał wystarczającą dozę pewności”, że incydent doprowadził do ujawnienia danych. Po pierwszej informacji administrator może według tego stanowiska przeprowadzić „krótkotrwałe postępowanie”, które powinno zacząć się możliwie jak najszybciej. Placówka może więc sprawdzić sygnał, ale nie powinna przeciągać ustaleń w oczekiwaniu na raport techniczny.

Placówka nie powinna też zakładać, że weekend wydłuża ten termin. Podstawy szukam w art. 3 rozporządzenia nr 1182/71 o terminach. Okres obejmuje dni ustawowo wolne od pracy, niedziele i soboty (ust. 3), a przesunięcie końca terminu na następny dzień roboczy dotyczy okresów wyrażonych inaczej niż w godzinach (ust. 4). Godziny, w której nastąpiło zdarzenie, nie wlicza się do okresu liczonego w godzinach (ust. 1). Ten sam artykuł w ust. 5 stanowi: „Każdy okres trwający dwa lub więcej dni zawiera przynajmniej dwa dni robocze.” Nie przesądzam, czy dotyczy to terminu 72 godzin, dlatego planuję pracę tak, jakby weekend nie dawał dodatkowego czasu.

Dostawca EDM jako podmiot przetwarzający ma zgłosić naruszenie placówce „bez zbędnej zwłoki” (art. 33 ust. 2 RODO). Przepis nie podaje tu liczby godzin, dlatego konkretny termin radzę określić w umowie powierzenia.

Co zrobić, gdy dostawca EDM nie potwierdza, że incydent objął dane placówki?

W komunikacie z 12 sierpnia 2026 r. dotyczącym incydentu MyDr UODO napisał: „Administrator danych osobowych przed przystąpieniem do realizacji obowiązków, o których mowa w art. 33 ust. 1 oraz 34 RODO, powinien otrzymać od ww. podmiotu przetwarzającego informację potwierdzającą, iż incydent dotyczył danych osobowych związanych z jego działalnością.” W pytaniach z Infolinii UODO z 27 sierpnia 2026 r. odpowiedź dla administratora zaczyna się od warunku: „Jeśli otrzymałeś informację potwierdzającą od MyDr, iż incydent obejmował również dane, których jesteś administratorem, to przeanalizuj go w aspekcie konieczności zawiadomienia o nim Prezesa UODO”. Dalej UODO przypomina o terminie zgłoszenia i o zawiadomieniu osób, których dane dotyczą, przy wysokim ryzyku. Żaden z tych dokumentów nie opisuje sytuacji, w której podmiot przetwarzający milczy albo nie potwierdza incydentu.

Moim zdaniem brak potwierdzenia od dostawcy nie zwalnia placówki z działania, jeżeli z innych źródeł wie już, że incydent objął dane jej pacjentów. To moja wykładnia, a nie stanowisko UODO. Opieram ją na art. 33 ust. 1 RODO, który wiąże obowiązek ze stwierdzeniem naruszenia i nie uzależnia go od informacji od podmiotu przetwarzającego. Pomocniczo powołuję stanowisko Prezesa UODO przytoczone we wspomnianym wyroku: jeśli informacji „nie można szybko i skutecznie zweryfikować”, administrator powinien bez zbędnej zwłoki zgłosić naruszenie, a brak szybkiej reakcji podmiotu przetwarzającego nie zdejmuje z niego odpowiedzialności za stwierdzenie naruszenia.

Ten argument ma swoje granice. Jest to stanowisko organu przytoczone w uzasadnieniu, a nie ocena sądu. Organ umorzył postępowanie co do art. 33 ust. 1 RODO, a sąd uchylił punkt decyzji stwierdzający pozostałe naruszenia i nakładający karę, ponieważ organ nie wziął pod uwagę roli podmiotu przetwarzającego w powstaniu naruszenia. Sąd stwierdził też, że przepisy rozporządzenia „nie formułują wprost prawnego obowiązku podjęcia działań zmierzających do niezwłocznego stwierdzenia takiego naruszenia”, a możliwości działania administratora w okolicznościach tej sprawy „były ograniczone, poza wywieraniem nacisku na podmiot przetwarzający”.

Dlatego zażądałbym od dostawcy potwierdzenia na piśmie, zapisał datę żądania i brak odpowiedzi, a równolegle ocenił ryzyko na podstawie informacji, które placówka już ma. Przy wątpliwościach skłaniam się ku zgłoszeniu z zaznaczeniem, że podmiot przetwarzający nie potwierdził jeszcze zakresu danych.

Co zrobić w ciągu pierwszych 72 godzin?

Decyzję o zgłoszeniu podejmuje administrator, a więc kierownik placówki albo osoba, którą wcześniej do tego upoważnił. Inspektor ochrony danych (IOD) doradza i może występować w zgłoszeniu jako punkt kontaktowy. Poniższy podział czasu nie wynika z przepisów. Rekomenduję go jako plan pracy, przy czym zgłoszenie należy złożyć od razu, gdy placówka ma do tego podstawy, a nie dopiero pod koniec 72 godzin.

Pierwsze 72 godziny po stwierdzeniu naruszenia

Ocenę ryzyka w placówce medycznej trzeba zacząć od tego, że dane o zdrowiu należą do szczególnych kategorii danych z art. 9 RODO. W prawomocnej decyzji DKN.5131.6.2025, dotyczącej dokumentacji medycznej pozostawionej w samochodzie, Prezes UODO przywołuje kryteria, które zaleca Europejska Rada Ochrony Danych (EROD) w Wytycznych 9/2022: rodzaj naruszenia, charakter, wrażliwość i ilość danych osobowych oraz łatwość identyfikacji. Administrator ma też wziąć pod uwagę dotkliwość potencjalnego wpływu i prawdopodobieństwo jego wystąpienia. Według tej decyzji wytyczne wskazują, aby w razie wątpliwości zgłosić naruszenie, nawet jeśli taka ostrożność mogłaby się okazać nadmierna. Na stronie „Nie każde naruszenie ochrony danych wymaga zgłoszenia do Prezesa UODO” organ pisze: „Ryzyko takie zapewne wystąpi m.in. w przypadku ujawnienia”, i wymienia między innymi numer PESEL oraz „szczegółów zakupów lub usług wskazujących na stan zdrowia albo inne dane szczególnych kategorii”. Ryzyko rośnie, gdy razem z dokumentacją wyciekły dane kontaktowe, wyniki badań, recepty albo informacje o leczeniu psychiatrycznym, onkologicznym, chorobach zakaźnych czy uzależnieniach.

Zgłoszenie do Prezesa UODO, zawiadomienie pacjentów czy tylko rejestr?

Gdy placówka uzna ryzyko za mało prawdopodobne, nie zgłasza naruszenia, ale wpisuje zdarzenie, analizę i decyzję do rejestru naruszeń. Podczas kontroli rejestr pokazuje, że placówka oceniła incydent i świadomie odstąpiła od zgłoszenia.

Zgłoszenie opisuje charakter naruszenia, przybliżoną liczbę osób i wpisów, kategorie danych, możliwe konsekwencje, dane kontaktowe IOD albo innego punktu kontaktowego oraz zastosowane lub planowane środki zaradcze. Na swojej stronie o sposobie zgłaszania naruszeń UODO kieruje do formularza elektronicznego na platformie biznes.gov.pl. Jeżeli placówka w ciągu 72 godzin nie zna wszystkich okoliczności, przekazuje to, co wie. Co do pozostałych informacji art. 33 ust. 4 RODO stanowi, że „można je udzielać sukcesywnie bez zbędnej zwłoki”. W prawomocnej decyzji DKN.5131.14.2021 Prezes UODO przywołał wytyczne Grupy Roboczej Art. 29, według których nawet brak wszystkich szczegółowych informacji nie powinien stanowić przeszkody dla terminowego zgłoszenia. Zgłoszenie składa placówka. Podmiot przetwarzający może to zrobić w jej imieniu tylko z upoważnienia, a odpowiedzialność zostaje przy administratorze, co wynika z Wytycznych 9/2022 cytowanych w nieprawomocnej decyzji DKN.5131.30.2022.

Przy wysokim ryzyku art. 34 RODO nakazuje bez zbędnej zwłoki zawiadomić pacjentów. Komunikat jasnym i prostym językiem opisuje, co się stało i jakich danych dotyczy, jakie mogą być skutki, co zrobiła placówka i jak skontaktować się z IOD. Podaje też konkretne zalecenia: zmianę haseł, ostrożność wobec wiadomości podszywających się pod placówkę, a dorosłym pacjentom zastrzeżenie numeru PESEL. Rejestr zastrzeżeń obejmuje tylko osoby pełnoletnie (art. 23a ust. 2 ustawy o ewidencji ludności), więc w komunikacie o danych dzieci tej wskazówki nie można podać jako wystarczającej. Ogólnik o „incydencie bezpieczeństwa” bez takich wskazówek nie spełnia swojej funkcji.

Art. 34 ust. 3 RODO przewiduje trzy wyjątki od zawiadomienia. Nie jest ono wymagane, gdy administrator zastosował do tych danych odpowiednie środki ochrony, w szczególności szyfrowanie, które uniemożliwiają odczyt osobom nieuprawnionym. Nie jest wymagane także wtedy, gdy administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka. Trzeci wyjątek dotyczy sytuacji, w której zawiadomienie wymagałoby „niewspółmiernie dużego wysiłku”. Wówczas administrator wydaje publiczny komunikat albo stosuje podobny środek, który równie skutecznie informuje pacjentów, co ma znaczenie przy dużych bazach EDM. Prezes UODO może zażądać zawiadomienia albo stwierdzić, że warunek wyjątku został spełniony (art. 34 ust. 4 RODO).

Centrum Medyczne Port Zdrowia wysłało pacjentom zawiadomienia SMS o incydencie dotyczącym systemu MyDr 11 września 2026 r., a poprzedni komunikat na stronie pochodzi z 12 września 2026 r. Uzupełnienie jest datowane na 26 października 2026 r. i zostało opublikowane 27 października 2026 r. Według komunikatu placówki nieuprawniona osoba trzecia uzyskała dostęp do środowiska informatycznego MyDr i skopiowała zawartość bazy danych przechowywanej w chmurze dostawcy. Według informacji MyDr podanych w tym komunikacie baza obejmowała dane sprzed 12 kwietnia 2024 r., a w przypadku „ograniczonej liczby osób” również dane z anulowanych skierowań wystawionych po tej dacie. Placówka podała też, że wystąpiła do MyDr o szczegółowe potwierdzenie zakresu danych. W pytaniach z Infolinii UODO organ zapowiedział, że Prezes UODO przeprowadzi kontrolę środków technicznych i organizacyjnych w podmiocie przetwarzającym.

Odpowiedzialność placówki może wynikać zarówno z braku adekwatnych zabezpieczeń (wspólne konta, nadmierne uprawnienia, brak uwierzytelniania wieloskładnikowego, nieaktualne oprogramowanie, niewystarczające kopie zapasowe), jak i z błędnej reakcji, na przykład z nieudokumentowanej oceny ryzyka. Po incydencie placówka powinna móc pokazać oś czasu od wykrycia do decyzji, ocenę ryzyka, korespondencję z dostawcą i wpis w rejestrze.

Czy placówka ma też obowiązki z ustawy o krajowym systemie cyberbezpieczeństwa?

Część podmiotów leczniczych ma dodatkowe obowiązki z ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20 ze zm.). Podmiot leczniczy, który nie jest przedsiębiorcą, jest podmiotem ważnym, jeżeli zatrudnia od 50 do 249 osób, a podmiotem kluczowym, jeżeli zatrudnia co najmniej 250 osób (art. 5 ust. 8). Podmiot leczniczy będący przedsiębiorcą sprawdza swój status według art. 5 ust. 1 i 2 ustawy, które odsyłają do załączników i wielkości przedsiębiorstwa.

Podmiot kluczowy lub podmiot ważny zgłasza wczesne ostrzeżenie o incydencie poważnym „niezwłocznie, nie później niż w ciągu 24 godzin od momentu jego wykrycia”, a sam incydent poważny „niezwłocznie, nie później niż w ciągu 72 godzin od momentu jego wykrycia” (art. 11 ust. 1 pkt 4 i 4a). Te terminy biegną od wykrycia, a termin z RODO od stwierdzenia naruszenia, dlatego procedura powinna zapisywać obie godziny. To odrębne zgłoszenia, kierowane do różnych adresatów.

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. Podmioty, które spełniały wtedy przesłanki, mają 12 miesięcy od 3 kwietnia 2026 r. na realizację obowiązków z rozdziału 3 znowelizowanej ustawy (art. 33 ust. 1). Art. 11 należy do rozdziału 3, który nowelizacja zatytułowała „Obowiązki podmiotów kluczowych lub podmiotów ważnych” (art. 1 pkt 15 ustawy z poz. 252), więc termin 12 miesięcy obejmuje także obowiązki z art. 11. Podmioty, które przed nowelizacją były operatorami usług kluczowych, miały 6 miesięcy na zgłaszanie incydentów poważnych według art. 11-12b (art. 33 ust. 4), a ten termin, liczony od 3 kwietnia 2026 r., już upłynął.

Art. 44 ust. 1 i 2 ustawy z poz. 252 kierują zgłoszenia do CSIRT MON, CSIRT NASK lub CSIRT GOV tylko do czasu osiągnięcia zdolności operacyjnej przez CSIRT sektorowy, ale według art. 44 ust. 3 tych przepisów nie stosuje się, gdy sektorowy zespół cyberbezpieczeństwa dla danego sektora został powołany przed 2025 r. Zgodnie z art. 46 tej ustawy taki zespół, powołany na podstawie art. 44 ustawy o krajowym systemie cyberbezpieczeństwa, z dniem wejścia w życie nowelizacji stał się CSIRT sektorowym. W ochronie zdrowia jest nim CSIRT CeZ działający w Centrum e-Zdrowia. Minister Zdrowia powołał ten zespół decyzją z 1 grudnia 2023 r. do realizacji zadań sektorowego zespołu w ochronie zdrowia, a według raportu rocznego CSIRT CeZ za 2025 r. zespół wykonuje zadania sektorowego zespołu cyberbezpieczeństwa z art. 44 ustawy o krajowym systemie cyberbezpieczeństwa. Art. 11 ust. 1 pkt 4 i 4a kierują zgłoszenie do właściwego CSIRT sektorowego, dlatego placówka będąca podmiotem kluczowym albo ważnym zgłasza wczesne ostrzeżenie i incydent poważny do CSIRT CeZ. Przekazuje je za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa (art. 11 ust. 2).

Wzór procedury obsługi naruszeń na jedną stronę

Wdrożenie procedury i przegląd umów powierzenia

Wdrażam w placówkach procedurę obsługi naruszeń dopasowaną do systemu EDM, grafiku personelu i umów z dostawcami IT. Razem z nią przeglądam umowy powierzenia pod kątem terminów zawiadomienia, zakresu przekazywanych informacji i współpracy przy komunikacji z pacjentami. Jeśli chcesz mieć gotową procedurę przed pierwszym incydentem, napisz do mnie.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Źródła

• Art. 33 RODO. link

• Art. 34 RODO. link

• Art. 5 ustawy o krajowym systemie cyberbezpieczeństwa. link

• Art. 11 ustawy o krajowym systemie cyberbezpieczeństwa. link

• Art. 33 ustawy z 23 stycznia 2026 r., Dz.U. 2026 poz. 252. link

• Art. 1 pkt 15 ustawy z 23 stycznia 2026 r., Dz.U. 2026 poz. 252. link

• Art. 44 ustawy z 23 stycznia 2026 r., Dz.U. 2026 poz. 252. link

• Art. 46 ustawy z 23 stycznia 2026 r., Dz.U. 2026 poz. 252. link

• Minister Zdrowia, odpowiedź z 5 sierpnia 2025 r. na interpelację nr 10455 (decyzja z 1 grudnia 2023 r. o powołaniu zespołu w Centrum e-Zdrowia). link

• CSIRT CeZ, Raport roczny 2025. link

• Art. 23a ustawy o ewidencji ludności. link

• Rozporządzenie Rady (EWG, Euratom) nr 1182/71 z dnia 3 czerwca 1971 r. określające zasady mające zastosowanie do okresów, dat i terminów, art. 3. link

• Wyrok WSA w Warszawie z 5 października 2021 r., II SA/Wa 528/21, według CBOSA nieprawomocny. link

• Decyzja Prezesa UODO z 3 listopada 2025 r., DKN.5131.6.2025, prawomocna. link

• Decyzja Prezesa UODO z 22 maja 2023 r., DKN.5131.14.2021, prawomocna. link

• Decyzja Prezesa UODO z 18 lipca 2025 r., DKN.5131.30.2022, nieprawomocna. link

• UODO, komunikat z 12 sierpnia 2026 r. „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym”. link

• UODO, Pytania zadawane przez podmioty danych oraz administratorów związane z incydentem bezpieczeństwa MyDr (27 sierpnia 2026 r.). link

• UODO, poradnik dotyczący naruszeń ochrony danych osobowych, materiał uzupełniający. link

• UODO, wymagane elementy zgłoszenia naruszenia. link

• UODO, sposób zgłoszenia naruszenia i formularz elektroniczny. link

• UODO, „Nie każde naruszenie ochrony danych wymaga zgłoszenia do Prezesa UODO”. link

• Centrum Medyczne Port Zdrowia, uzupełnione zawiadomienie o naruszeniu ochrony danych osobowych. link

• EROD, strona tematyczna o naruszeniach ochrony danych osobowych. link