Audyty i wdrożenia
Po incydencie w systemie MyDr Prezes UODO prowadzi do końca 2026 r. dodatkowe kontrole w podmiotach ochrony zdrowia. Pomagam przychodniom, gabinetom i klinikom uporządkować dostęp do dokumentacji medycznej, analizę ryzyka i umowy z dostawcami systemów, tak żeby kontrola albo incydent nie zastały placówki bez dokumentów.
To nie jest wdrożenie z jednym terminem ustawowym. Obowiązki wynikają z RODO i z przepisów o dokumentacji medycznej od lat, ale w 2026 r. zbiegły się dwa impulsy, które sprawiają, że uporządkowanie dokumentów przestało być sprawą na później.
Pierwszy to kontrole. Po cyberataku na spółkę MyDr, dostawcę systemu dokumentacji medycznej, Prezes UODO skontrolował samą spółkę i zdecydował o dodatkowych kontrolach przetwarzania danych o zdrowiu w podmiotach ochrony zdrowia do końca 2026 r. Kontrolerzy sprawdzają nie tylko, czy placówka ma procedury, ale też czy odpowiadają one temu, jak dane są przetwarzane naprawdę. Szerzej opisałem to w artykule Kontrole UODO w placówkach medycznych po ataku na MyDr: co sprawdzi organ i jak się przygotować.
Drugi to zmiany w dokumentacji medycznej. Rozporządzenie Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania zmieniono w czerwcu 2026 r. dwukrotnie. Nowe wymagania trzeba zestawić z formularzami, rolami i uprawnieniami w systemie, którego placówka używa, ponieważ dostawcy wdrażają zmiany w różnym tempie. Omówiłem to w artykule Obieg dokumentacji medycznej: kto ma dostęp do czego.
Zgłoszenie naruszenia: 72 godziny
Naruszenie ochrony danych administrator zgłasza Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). Placówka jest administratorem danych pacjentów także wtedy, gdy incydent wydarzył się u dostawcy systemu, dlatego ten termin zależy w dużej mierze od tego, co dostawca musi jej przekazać na podstawie umowy powierzenia.
Zakres pomocy
Sprawdzam role i uprawnienia w systemie dokumentacji medycznej, zasady nadawania i odbierania dostępów oraz ewidencję upoważnień. Porządkuję je tak, żeby każda osoba miała dostęp tylko do danych potrzebnych w jej pracy.
Przeprowadzam analizę ryzyka i dobór zabezpieczeń (art. 32 RODO), a tam, gdzie jest wymagana, ocenę skutków dla ochrony danych (art. 35 RODO). Opisałem to w artykule Analiza ryzyka i DPIA w małej przychodni.
Przeglądam i negocjuję umowy z dostawcami EDM, telemedycyny i powiadomień SMS: prawo audytu, terminy informowania o incydentach, podwykonawców, zwrot i usunięcie danych. Szczegóły w artykule Umowa powierzenia z dostawcą systemu EDM.
Porządkuję dokumentację, o którą pyta kontroler: ewidencję upoważnień, rejestr czynności przetwarzania, opis zabezpieczeń, zasady przeglądania logów i kopii zapasowych oraz procedurę postępowania z naruszeniami.
Warianty usługi
Konkretny zakres i sposób rozliczenia ustalam po krótkiej rozmowie o strukturze placówki, systemach i dostawcach.
Jeden system dokumentacji, kilka do kilkunastu osób z dostępem. Przegląd uprawnień, analiza ryzyka, umowa z dostawcą systemu i zestaw dokumentów, o które pyta kontroler.
Kilka systemów i lokalizacji, współpracownicy na kontraktach, telemedycyna. Pełny audyt dostępów i umów, ocena skutków tam, gdzie jest wymagana, procedury dla personelu i przygotowanie do kontroli.
Jak pracuję
Audyt
Przeglądam dokumentację, uprawnienia w systemie i umowy z dostawcami, a potem wskazuję, co wymaga zmiany i w jakiej kolejności.
Uporządkowanie
Przygotowuję albo poprawiam analizę ryzyka, procedury, ewidencję upoważnień i aneksy do umów powierzenia, dopasowane do skali placówki.
Szkolenie i gotowość
Szkolę personel z zasad dostępu do dokumentacji i postępowania przy naruszeniu, a w razie kontroli albo incydentu jestem dostępny dla placówki.
Nie. Po incydencie w MyDr Prezes UODO skontrolował samą spółkę, ale zdecydował też o dodatkowych kontrolach przetwarzania danych o zdrowiu w podmiotach sektora ochrony zdrowia do końca 2026 r. Dotyczą one placówek niezależnie od tego, z jakiego systemu dokumentacji korzystają.
Placówka pozostaje administratorem danych swoich pacjentów, a dostawca systemu jest podmiotem przetwarzającym. Zakres obowiązków dostawcy wyznacza umowa powierzenia: od niej zależy, jak szybko placówka dowie się o incydencie, jakie informacje dostanie i czy zdąży zgłosić naruszenie Prezesowi UODO w ciągu 72 godzin.
Analizę ryzyka i dobór zabezpieczeń przeprowadza każda placówka. Ocena skutków dla ochrony danych jest wymagana wtedy, gdy przetwarzanie może powodować wysokie ryzyko dla pacjentów, co przy danych o zdrowiu zależy między innymi od skali przetwarzania i używanych technologii. W audycie ustalam, czy ocena jest potrzebna, i dokumentuję ten wniosek także wtedy, gdy nie jest.
Rozporządzenie Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania zmieniono w czerwcu 2026 r. dwukrotnie: rozporządzeniem z 8 czerwca 2026 r. (Dz.U. 2026 poz. 758), które obowiązuje od 26 czerwca, i rozporządzeniem z 29 czerwca 2026 r. (Dz.U. 2026 poz. 876), które obowiązuje od 1 lipca. Zmiany trzeba zestawić z formularzami i rolami w systemie, którego placówka faktycznie używa.
Z bazy wiedzy
Okresy przechowywania dokumentacji medycznej i ich wyjątki, digitalizacja papieru, dostawcy EDM, niszczenie z protokołem i los dokumentacji po zamknięciu placówki.
Dla kierowników i właścicieli placówek medycznych: kto jest uprawniony do dokumentacji, jak weryfikować wnioski składane osobiście, mailem i telefonicznie, jakie terminy wynikają z RODO, ile wynoszą maksymalne opłaty od września 2026 r. i co musi zawierać wykaz udostępnień.
Poradnik dla właściciela lub kierownika małej przychodni: jak zinwentaryzować procesy, ocenić zagrożenia, dobrać zabezpieczenia i ustalić, kiedy DPIA staje się obowiązkowa.
Oferta dla firm
Proszę o kilka informacji o firmie, aby oferta odpowiadała rzeczywistej potrzebie.
Kontakt
Jeśli chcą Państwo przygotować placówkę do kontroli UODO albo uporządkować dostęp do dokumentacji i umowy z dostawcami, zapraszam do kontaktu. Zacznę od rozmowy o systemach i strukturze placówki i zaproponuję zakres audytu. Treść tej strony ma charakter informacyjny, odzwierciedla stan prawny na 10 października 2026 r. i nie zastępuje indywidualnej porady prawnej.
Cookies i analityka
Pomagają one mierzyć ruch i ulepszać serwis. Statystyki bez plików cookies (Umami, Cloudflare Web Analytics) niczego nie zapisują na urządzeniu i działają niezależnie od tej zgody. Szczegóły znajdują się w Polityce prywatności i Polityce cookies.