Przechowywanie dokumentacji medycznej: okresy, postać i niszczenie po upływie terminu

Stan prawny na dzień 23 października 2026.

Placówka medyczna przechowuje dokumentację co do zasady przez 20 lat od końca roku ostatniego wpisu, ale art. 29 ustawy o prawach pacjenta przewiduje sześć wyjątków z innym okresem albo innym początkiem jego biegu. Od 1 lipca 2026 r. dokumentację elektroniczną placówki, która kończy działalność i nie ma następcy, przechowuje i udostępnia w Systemie Informacji Medycznej jednostka podległa ministrowi zdrowia. W szóstym odcinku serii wyjaśniam, jak policzyć termin dla każdego rodzaju dokumentacji, co zrobić z papierowym oryginałem po digitalizacji, jak ułożyć współpracę z dostawcą EDM i jak zniszczyć dokumentację tak, żeby placówka mogła to później wykazać.

Jak długo trzeba przechowywać dokumentację medyczną?

Zgodnie z art. 29 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (tekst jednolity: Dz.U. 2024 poz. 581) podmiot udzielający świadczeń zdrowotnych przechowuje dokumentację medyczną „przez okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu”, a ten sam przepis wylicza wyjątki. Zestawiam je w tabeli razem ze zdarzeniem, od którego liczy się każdy termin.

Dziesięcioletni termin dla zdjęć rentgenowskich obejmuje wyłącznie zdjęcia „przechowywane poza dokumentacją medyczną pacjenta”. Zdjęcie włączone do dokumentacji pacjenta dzieli jej los, więc placówka przechowuje je przez 20 lat. Dwuletni termin dla skierowań ma zastosowanie tylko wtedy, gdy świadczenia nie udzielono „z powodu niezgłoszenia się pacjenta w ustalonym terminie”, i nie obejmuje sytuacji, w której pacjent odebrał skierowanie.

Dla dokumentacji dzieci do ukończenia 2. roku życia ustawa przewiduje 22 lata, ale nie mówi, od kiedy liczyć ten okres. Rekomenduję liczyć go tak jak w zasadzie ogólnej, od końca roku kalendarzowego, w którym dokonano ostatniego wpisu. Wcześniejszy początek, na przykład data urodzenia, skraca przechowywanie i zwiększa ryzyko, że placówka zniszczy dokumentację przed czasem.

Placówka, która prowadzi także medycynę pracy, musi uwzględnić rozporządzenie Ministra Zdrowia w sprawie rodzajów dokumentacji medycznej służby medycyny pracy, sposobu jej prowadzenia i przechowywania oraz wzorów stosowanych dokumentów (tekst jednolity ogłoszony obwieszczeniem z 8 maja 2026 r., Dz.U. 2026 poz. 651). Przy narażeniu na określone czynniki rakotwórcze, mutagenne, reprotoksyczne albo biologiczne grupy 3 lub 4 terminy sięgają tam 40 lat od końca roku ostatniego wpisu. Osobno trzeba potraktować dokumentację, która jest materiałem archiwalnym w rozumieniu ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach: po upływie terminów z art. 29 ust. 1 placówka nie niszczy jej, tylko postępuje z nią według przepisów archiwalnych (art. 29 ust. 3).

Od kiedy liczyć okres przechowywania?

Termin nie biegnie od wizyty, od wypisu ani od zakończenia leczenia, tylko od końca roku kalendarzowego, w którym nastąpiło zdarzenie wskazane w przepisie: w zasadzie ogólnej jest to ostatni wpis, a przy wyjątkach zgon pacjenta, wykonanie zdjęcia, udzielenie świadczenia albo wystawienie skierowania. Jeżeli ostatni wpis w dokumentacji pacjenta pochodzi z 15 marca 2026 r., placówka przechowuje ją do 31 grudnia 2046 r., a zniszczyć może najwcześniej 1 stycznia 2047 r.

Każdy nowy wpis przesuwa termin, dlatego moim zdaniem bezpieczniej traktować indywidualną dokumentację pacjenta jako całość i liczyć 20 lat od ostatniego wpisu dokonanego w niej w ogóle, a nie osobno dla każdej karty czy każdego epizodu. Pacjent, który wraca do przychodni co kilka lat, może więc mieć dokumentację sprzed trzech dekad, której placówce nadal nie wolno zniszczyć.

Z tego sposobu liczenia wynika, że system EDM powinien zapisywać przy każdym dokumencie jego rodzaj i datę ostatniego wpisu, ponieważ bez tych metadanych nikt nie odróżni skierowania z pięcioletnim terminem od historii choroby z dwudziestoletnim. Skoro wszystkie terminy kończą się 31 grudnia, wystarczy raz w roku, na początku stycznia, przejrzeć dokumentację przeznaczoną do zniszczenia według jednej procedury.

W jakiej postaci prowadzić i przechowywać dokumentację?

Rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania przyjmuje w § 1 ust. 1, że dokumentację prowadzi się w postaci elektronicznej. Postać papierowa jest dopuszczalna, „jeżeli przepis rozporządzenia tak stanowi lub warunki organizacyjno-techniczne uniemożliwiają prowadzenie dokumentacji w postaci elektronicznej”. Tego samego dokumentu nie można prowadzić jednocześnie w obu postaciach (§ 1 ust. 3), więc wydruk karty z EDM nie tworzy drugiego, równoległego egzemplarza dokumentacji.

Przy okresach liczonych w dziesięcioleciach rozporządzenie każe placówce przygotować i realizować „plany przechowywania dokumentacji w długim czasie”, w tym przenosić ją na nowe nośniki i do nowych formatów danych, jeżeli wymaga tego ciągłość dostępu (§ 1 ust. 5 pkt 6). System teleinformatyczny musi zapewniać integralność treści i metadanych, identyfikację osoby, która dokonuje wpisu lub zmiany, informację o czasie wpisu oraz „możliwość eksportu całości danych” w sposób umożliwiający odtworzenie ich w innym systemie (§ 1 ust. 6).

Okres 20 albo 30 lat może przekroczyć czas używania systemu i trwania umowy z jego dostawcą, dlatego każdą migrację EDM traktuję jako moment podwyższonego ryzyka: placówka powinna sprawdzić, czy przeniesione dane są kompletne i nienaruszone, czy zachowały się metadane z datami wpisów i co dzieje się z danymi, które zostały w systemie poprzedniego dostawcy. Test odtworzenia danych z eksportu najlepiej przeprowadzić przed wypowiedzeniem starej umowy, a nie po nim.

Digitalizacja: co zrobić z papierowym oryginałem?

Zeskanowanie dokumentacji nie pozwala od razu zniszczyć papieru, a procedurę określa art. 13b ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (tekst jednolity: Dz.U. 2026 poz. 1304). Dokument powstały w wyniku digitalizacji jest „równoważny oryginałowi” (art. 13b ust. 3), ale tylko wtedy, gdy placówka przeprowadziła ją w trybie ustawowym.

Digitalizacja dokumentacji papierowej według art. 13b ustawy o systemie informacji w ochronie zdrowia

Bez dowodu, że pacjent dostał informację o digitalizacji i o terminie odbioru, placówka nie wykaże, że wolno jej było zniszczyć oryginał. Rekomenduję prowadzić rejestr wysłanych informacji z datą przekazania i datą końca terminu odbioru, a zniszczenie papieru planować dopiero po tej drugiej dacie. Digitalizacja nie zmienia przy tym okresu przechowywania: wersja elektroniczna przejmuje termin z art. 29 ustawy o prawach pacjenta liczony od ostatniego wpisu.

Czy dokumentację można przechowywać u zewnętrznego dostawcy?

Placówka może powierzyć przechowywanie dokumentacji zewnętrznemu dostawcy, ale nie przenosi na niego odpowiedzialności: przy dostawcy EDM, hostingu w chmurze albo archiwum papierowym co do zasady pozostaje administratorem danych, a dostawca działa jako podmiot przetwarzający. Potrzebna jest wtedy umowa powierzenia spełniająca wymogi art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO). Rola dostawcy nie wynika jednak z nazwy usługi: dostawca, który wykorzystuje dane do własnych celów, przestaje być zwykłym podmiotem przetwarzającym i taka konstrukcja wymaga odrębnej oceny.

Przy dokumentacji medycznej szczególnej uwagi wymaga koniec współpracy: art. 28 ust. 3 lit. g RODO przewiduje, że po zakończeniu usług podmiot przetwarzający, zależnie od decyzji administratora, usuwa albo zwraca dane i usuwa ich kopie, „chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych”. Skoro placówka musi przechowywać dokumentację przez lata po rozstaniu z dostawcą, umowa powinna przesądzać, że dostawca najpierw zwraca całość danych w formacie pozwalającym odtworzyć je w nowym systemie, a dopiero gdy placówka potwierdzi poprawność eksportu, usuwa kopie, także z kopii zapasowych, i potwierdza to na piśmie.

W takich umowach sprawdzam też postanowienia o lokalizacji danych, dalszych podmiotach przetwarzających, szyfrowaniu, kopiach zapasowych i testach ich odtworzenia, prawie do audytu oraz czasie, w jakim dostawca udostępnia dokumentację na potrzeby placówki. Ten ostatni punkt łączy się z obowiązkiem placówki wobec pacjentów: rozporządzenie wymaga warunków umożliwiających wykorzystanie dokumentacji „bez zbędnej zwłoki” (§ 1 ust. 7), a terminy wydania dokumentacji opisałem w tekście o udostępnianiu dokumentacji medycznej. Szczegóły klauzul omawiam w artykule o umowie powierzenia z dostawcą systemu EDM.

Ustawa o prawach pacjenta nakłada na podmioty przetwarzające dwa dodatkowe obowiązki: osoby, które uzyskały dostęp do informacji o pacjencie w związku z umową powierzenia, zachowują je w tajemnicy także po śmierci pacjenta (art. 30a ust. 11), a podmiot przetwarzający, który kończy przetwarzanie, w szczególności w związku z likwidacją, przekazuje dane z dokumentacji medycznej podmiotowi, który mu je powierzył (art. 30a ust. 12).

Jak zniszczyć dokumentację po upływie terminu?

Art. 29 ust. 2 ustawy o prawach pacjenta nakazuje zniszczyć dokumentację „w sposób uniemożliwiający identyfikację pacjenta, którego dotyczyła”. Ten sam przepis pozwala wydać dokumentację przeznaczoną do zniszczenia pacjentowi, jego przedstawicielowi ustawowemu albo osobie upoważnionej przez pacjenta. Rekomenduję, żeby przed zniszczeniem placówka sprawdzała też, czy dana dokumentacja nie dotyczy toczącego się sporu, kontroli albo postępowania.

Zniszczenie dokumentacji papierowej najlepiej powierzyć wyspecjalizowanej firmie, z którą placówka zawarła umowę powierzenia i która wydaje potwierdzenie zniszczenia z datą i opisem partii. Przy EDM usunięcie rekordu z widoku aplikacji nie wystarcza: żeby spełnić wymóg z art. 29 ust. 2, niszczenie musi objąć bazę danych, załączniki, pliki obrazowe, indeksy wyszukiwania, archiwa i nośniki wycofane z użytku. Jeżeli z kopii zapasowych nie da się usunąć danych pojedynczego pacjenta, rekomenduję opisać w polityce cykl ich nadpisywania i do czasu nadpisania zablokować zwykły dostęp do danych przeznaczonych do zniszczenia.

Co z dokumentacją przy likwidacji albo sprzedaży praktyki?

Zamknięcie placówki nie kończy obowiązku przechowywania, a art. 30a ust. 1 ustawy o prawach pacjenta nakazuje podmiotowi, który zaprzestaje działalności leczniczej, przekazać dokumentację w sposób zabezpieczający ją przed zniszczeniem, uszkodzeniem, utratą i dostępem osób nieuprawnionych. Pierwszym adresatem jest podmiot, który przejął zadania placówki (art. 30a ust. 2).

Dalsze reguły zależą od postaci dokumentacji, odkąd ustawa z dnia 15 maja 2026 r. o zmianie niektórych ustaw w związku z rozwojem usług e-zdrowia (Dz.U. 2026 poz. 791) nadała nowe brzmienie art. 30a ust. 8 i 9 ze skutkiem od 1 lipca 2026 r. Dokumentacja prowadzona w postaci elektronicznej „po zaprzestaniu wykonywania działalności leczniczej, jest przechowywana i udostępniana przez jednostkę podległą ministrowi właściwemu do spraw zdrowia właściwą w zakresie systemów informacyjnych ochrony zdrowia w Systemie Informacji Medycznej”. Przed zaprzestaniem działalności placówka informuje pacjentów o miejscu przechowywania i udostępniania tej dokumentacji. Wyłączenie z ust. 8 obejmuje ust. 3-7, więc następca, który przejmuje zadania placówki, nadal przejmuje także jej dokumentację elektroniczną. Ustawa nie opisuje w tym przepisie technicznego trybu przekazania danych do SIM, dlatego rekomenduję ustalić go z dostawcą EDM i właściwą jednostką z wyprzedzeniem, a nie w ostatnim tygodniu działalności.

Dla dokumentacji papierowej placówki bez następcy nadal obowiązuje dotychczasowy podział z art. 30a ust. 3. Za dokumentację prywatnego podmiotu leczniczego i praktyki zawodowej odpowiada podmiot udzielający świadczeń zdrowotnych, z którym zamykana placówka zawarła umowę o przechowywanie dokumentacji. W razie śmierci lekarza, pielęgniarki, położnej, fizjoterapeuty albo diagnosty laboratoryjnego prowadzących praktykę zawodową za przechowywanie i udostępnianie dokumentacji odpowiada odpowiednio okręgowa izba lekarska, okręgowa izba pielęgniarek i położnych, Krajowa Izba Fizjoterapeutów albo Krajowa Rada Diagnostów Laboratoryjnych. Organ prowadzący rejestr wzywa podmiot podlegający wykreśleniu do wskazania, z kim zawarł umowę o przechowywanie, a po bezskutecznym upływie terminu sam określa sposób postępowania z dokumentacją na koszt tego podmiotu (art. 30a ust. 4 i 5). Jeżeli nie da się ustalić podmiotu odpowiedzialnego, za przechowywanie odpowiada wojewoda (art. 30a ust. 7).

Przy sprzedaży udziałów w spółce prowadzącej placówkę administratorem dokumentacji pozostaje ta sama spółka i obowiązki zostają przy niej. Przy sprzedaży przedsiębiorstwa albo praktyki kupujący przejmuje dokumentację jako podmiot, który przejął zadania, a art. 30a ust. 13 każe stosować do podmiotów przechowujących dokumentację po zaprzestaniu działalności m.in. art. 29 o okresach przechowywania. Moim zdaniem umowa sprzedaży powinna wprost przesądzać, kto przejmuje dokumentację, w jakiej postaci i z jakim eksportem z EDM oraz kto informuje pacjentów. Kupujący nie może przy tym traktować przejętej dokumentacji jako bazy kontaktów do własnego marketingu: dane zebrano w celu leczenia, a zasada ograniczenia celu z art. 5 ust. 1 lit. b RODO wyznacza granice ich dalszego wykorzystania. Zasady dostępu do dokumentacji wewnątrz placówki i przy zmianach organizacyjnych opisałem w tekście o obiegu dokumentacji medycznej.

Jak pogodzić RODO z obowiązkiem przechowywania?

Art. 5 ust. 1 lit. e RODO pozwala przechowywać dane w formie umożliwiającej identyfikację „przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane”. Moim zdaniem okres niezbędny dla dokumentacji medycznej wyznacza art. 29 ustawy o prawach pacjenta, dlatego w czasie jego biegu oba akty prowadzą do tego samego wyniku. Placówka nie usuwa wtedy dokumentacji nawet na żądanie pacjenta, ponieważ prawo do usunięcia danych nie ma zastosowania, gdy przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego (art. 17 ust. 3 lit. b RODO).

Po upływie terminu wraca zasada ograniczenia przechowywania, co dobrze ilustruje wyrok Trybunału Sprawiedliwości UE w sprawie C-77/21 (Digi). Sprawa dotyczyła węgierskiego dostawcy internetu, który po awarii serwera skopiował dane około jednej trzeciej klientów indywidualnych do bazy testowej i nie usunął jej przez prawie 18 miesięcy po poprawieniu błędu. Krajowy organ ochrony danych nałożył na spółkę grzywnę 100 mln forintów. Trybunał wskazał, że administrator musi umieć wykazać, że przechowuje dane tylko przez okres niezbędny, a nawet początkowo zgodne z prawem przetwarzanie może z upływem czasu stać się niezgodne z RODO, jeśli dane nie są już niezbędne. Sprawa nie dotyczyła ochrony zdrowia, ale jej wniosek przenoszę na dokumentację medyczną: po upływie terminu ustawowego cel przechowywania wygasa i placówka potrzebuje nowej, konkretnej podstawy, żeby trzymać dokumentację dłużej.

Czego UODO będzie szukać w polityce retencji?

RODO nie zawiera wzoru polityki retencji, ale administrator odpowiada za przestrzeganie zasad z art. 5 ust. 1 i musi być w stanie to wykazać (zasada rozliczalności z art. 5 ust. 2), a art. 32 wymienia wśród środków bezpieczeństwa m.in. zdolność do szybkiego przywrócenia dostępności danych po incydencie. Moim zdaniem przy kontroli placówka powinna móc pokazać nie samą tabelę z latami, tylko działający proces, który obejmuje:

• wykaz kategorii dokumentacji z okresem przechowywania, podstawą prawną i zdarzeniem rozpoczynającym bieg terminu;

• wyjątki: krew, dzieci do 2. roku życia, zdjęcia RTG, skierowania, medycynę pracy i materiał archiwalny;

• osobę odpowiedzialną za proces i coroczny przegląd dokumentacji przeznaczonej do zniszczenia;

• zasady wstrzymania niszczenia przy sporze, kontroli lub postępowaniu, z okresowym przeglądem tej decyzji;

• odrębne zasady dla kopii zapasowych;

• procedurę digitalizacji z rejestrem informacji wysłanych pacjentom;

• zasady wobec podmiotów przetwarzających, w tym zwrot i usunięcie danych po zakończeniu współpracy;

• sposób niszczenia i wzór protokołu.

Polityka powinna zgadzać się z rejestrem czynności przetwarzania, z umowami powierzenia i z tym, co faktycznie robi system. Dokument, który zapowiada coroczne niszczenie, podczas gdy baza EDM nie usunęła żadnego rekordu od wdrożenia, świadczy przeciwko placówce.

Czy po upływie terminu można przechowywać dokumentację dłużej?

Za ścisłym stanowiskiem przemawia brzmienie art. 29 ust. 2: po upływie terminu placówka „niszczy” dokumentację, więc ustawa nie zostawia jej swobody, a stałe przedłużenie przechowywania całej bazy „na wszelki wypadek” narusza zarówno ten przepis, jak i art. 5 ust. 1 lit. e RODO. Za ograniczonym dalszym przechowywaniem przemawia to, że RODO samo uznaje ustalenie, dochodzenie lub obronę roszczeń za powód, dla którego administrator nie musi usuwać danych (art. 17 ust. 3 lit. e).

Moim zdaniem obie racje da się pogodzić w ten sposób, że placówka może wstrzymać zniszczenie konkretnego zbioru, gdy wie o sporze, kontroli albo postępowaniu, którego ten zbiór dotyczy, ale powinna tę decyzję udokumentować, wskazać sprawę i wracać do niej okresowo. Nie może natomiast przyjąć ogólnej reguły, że dokumentację zachowuje dłużej na wypadek, gdyby pacjent kiedyś wystąpił z roszczeniem.

Podobny spór dotyczy zawiadamiania pacjentów przed zniszczeniem: art. 29 ust. 2 mówi, że dokumentacja przeznaczona do zniszczenia „może być wydana” pacjentowi, ale nie nakłada wprost obowiązku indywidualnego zawiadomienia każdej osoby. Inaczej jest przy digitalizacji, gdzie art. 13b ustawy o systemie informacji w ochronie zdrowia wymaga informacji i co najmniej rocznego terminu na odbiór. Przy dużych zbiorach papierowych albo przy zamykaniu placówki rekomenduję mimo to ogłosić planowane niszczenie z wyprzedzeniem, na stronie internetowej i w miejscu przyjmowania pacjentów, ponieważ zmniejsza to ryzyko sporu o utraconą dokumentację.

Polityka retencji i niszczenia dokumentacji w placówce medycznej

Pomagam placówkom przygotować i wdrożyć politykę retencji oraz niszczenia dokumentacji medycznej: od wykazu kategorii z wyliczonymi terminami, przez procedurę digitalizacji i wzór protokołu zniszczenia, po przegląd umów z dostawcami EDM, chmury i archiwów zewnętrznych. Mogę też przygotować plan postępowania z dokumentacją przy zamknięciu albo sprzedaży praktyki, uwzględniający zmiany obowiązujące od 1 lipca 2026 r. Zakres wsparcia dla placówek opisuję na stronie RODO w placówkach medycznych, a jeśli chcesz omówić sytuację swojej placówki, napisz do mnie.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Źródła

• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, tekst jednolity Dz.U. 2024 poz. 581, art. 29 i art. 30a. link

• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, tekst pierwotny Dz.U. 2009 nr 52 poz. 417. link

• Ustawa z dnia 15 maja 2026 r. o zmianie niektórych ustaw w związku z rozwojem usług e-zdrowia, Dz.U. 2026 poz. 791, nowe brzmienie art. 30a ust. 8 i 9 ustawy o prawach pacjenta od 1 lipca 2026 r. link

• Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, tekst jednolity Dz.U. 2026 poz. 1304, art. 13b o digitalizacji dokumentacji. link

• Rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania, Dz.U. 2020 poz. 666, § 1 o postaci i zabezpieczeniu dokumentacji. link

• Obwieszczenie Ministra Zdrowia z dnia 8 maja 2026 r. w sprawie jednolitego tekstu rozporządzenia o dokumentacji medycznej służby medycyny pracy, Dz.U. 2026 poz. 651. link

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 5, 17, 28 i 32. link

• Wyrok Trybunału Sprawiedliwości UE w sprawie C-77/21 Digi, o zasadzie ograniczenia celu i ograniczenia przechowywania. link

• System Informacji Prawnej LEX, opracowanie o przechowywaniu dokumentacji medycznej. link

• System Informacji Prawnej LEX, art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. link

• Internetowy System Aktów Prawnych, wykaz aktów oznaczonych hasłem „dokumentacja medyczna”. link