Prowadząc gabinet medyczny, każdy lekarz chce przede wszystkim leczyć pacjentów. Jednak nawet niepozorne błędy formalne mogą prowadzić do poważnych konsekwencji finansowych. W tej części omawiamy jeden z najbardziej kosztownych problemów, z jakimi zmagają się placówki medyczne — błędy w dokumentacji RODO. Pokazujemy na konkretnych przykładach, jakie skutki może przynieść zlekceważenie przepisów o ochronie danych osobowych i jak skutecznie tego uniknąć.
Błędy w dokumentacji RODO
Ochrona danych osobowych pacjentów to nie tylko wymóg formalny wynikający z przepisów RODO, ale również kwestia odpowiedzialności i bezpieczeństwa prawnego każdej placówki medycznej. Nawet pojedynczy incydent może skutkować dotkliwą sankcją finansową. Zgodnie z przepisami, Prezes Urzędu Ochrony Danych Osobowych może nałożyć karę sięgającą nawet 20 milionów euro lub 4% rocznego obrotu – w zależności od tego, która wartość jest wyższa. Choć w praktyce w sektorze medycznym kary rzadko przekraczają kilkadziesiąt tysięcy złotych, ich wysokość zależy od wagi naruszenia, liczby pacjentów oraz stopnia zaniedbania ze strony administratora.
W 2025 roku Prezes UODO nałożył rekordową karę w wysokości 1 145 891,25 zł na centrum medyczne prowadzące działalność szpitalną, w tym oddziały neonatologiczne i położniczo-ginekologiczne (decyzja DKN.5131.4.2024). Powodem były poważne naruszenia przepisów RODO w zakresie przetwarzania danych szczególnych kategorii – przede wszystkim danych dotyczących zdrowia – poprzez nielegalne stosowanie monitoringu wizyjnego oraz brak zapewnienia odpowiednich środków bezpieczeństwa.
Monitoring obejmował sale, w których przebywały noworodki i ich rodzice. Urządzenia rejestrowały obraz przez kilka miesięcy bez podstawy prawnej i bez odpowiedniego poinformowania osób, których dane dotyczyły. UODO uznał to za rażące naruszenie prawa do prywatności i godności pacjentów, zwłaszcza że osoby te należały do grup szczególnie wrażliwych. Dodatkowo doszło do zagubienia dwóch kart pamięci, na których znajdował się zapis obrazu z monitoringu – a administrator nie przeprowadził wcześniej żadnej analizy ryzyka z tym związanej.
Na administratora nałożono dwie oddzielne kary:
– 687 534,75 zł za nielegalne przetwarzanie danych (monitoring),
– 458 356,50 zł za brak odpowiednich zabezpieczeń i zagubienie nośników danych.
Prezes UODO uznał, że działania centrum medycznego miały charakter systemowy, trwały przez wiele miesięcy, dotyczyły ponad 190 osób i nie zostały w odpowiednim czasie zakończone mimo interwencji organu nadzorczego. Wysokość kary – odpowiadająca niemal 4% rocznego obrotu – została określona jako proporcjonalna, skuteczna i odstraszająca.
W 2024 roku jeden ze szpitali został ukarany przez Prezesa UODO karą w wysokości 29 684,04 zł (decyzja DKN.5131.6.2024) za poważne uchybienia związane z naruszeniem ochrony danych osobowych pacjentki. Naruszenie polegało na ujawnieniu danych zawartych w przedoperacyjnej ankiecie anestezjologicznej osobie nieuprawnionej. Co istotne, szpital nie zgłosił tego naruszenia do UODO w wymaganym terminie 72 godzin od jego wykrycia, a także nie poinformował osoby, której dane dotyczyły, o zaistniałym incydencie. UODO uznał, że dane ujawnione w ramach naruszenia – obejmujące m.in. stan zdrowia, imię, nazwisko, datę urodzenia i numer PESEL – należą do szczególnej kategorii danych osobowych, a ich niewłaściwe udostępnienie wiązało się z wysokim ryzykiem dla praw i wolności pacjentki. Pomimo że szpital ostatecznie wdrożył środki naprawcze, miało to miejsce dopiero po interwencji organu nadzorczego. Szczególnie obciążającą okolicznością było znaczące opóźnienie – zgłoszenie nastąpiło dopiero po kilkunastu miesiącach od incydentu.
W 2022 roku uniwersyteckie centrum kliniczne zostało ukarane karą w wysokości 10 000 zł przez Prezesa UODO (decyzja DKN.5131.34.2021). Powodem było wystawienie skierowania, które zawierało dane innego pacjenta, w tym imię, nazwisko, adres, numer PESEL oraz informacje o stanie zdrowia. Dokument ten trafił do osoby nieuprawnionej. W ocenie UODO doszło do naruszenia poufności danych osobowych, a administrator nie poinformował ani organu nadzorczego, ani osoby, której dane zostały ujawnione. Urząd podkreślił, że pozostałe dane – mimo błędnego imienia – pozwalały na jednoznaczną identyfikację pacjenta.
Powyższe przykłady jednoznacznie pokazują, że każda placówka medyczna powinna rygorystycznie przestrzegać przepisów RODO, wdrażać odpowiednie zabezpieczenia i procedury, a w przypadku incydentów reagować natychmiast – zarówno wobec UODO, jak i pacjenta. Nawet pojedyncze uchybienie może skutkować wysoką karą finansową i utratą zaufania pacjentów.
Jak tego uniknąć?
Gabinet medyczny, jako administrator danych osobowych, powinien przede wszystkim opracować jasne i czytelne procedury postępowania w przypadku naruszeń, które umożliwią szybkie i skuteczne działanie. Jest to szczególnie istotne, ponieważ zgodnie z przepisami RODO na zgłoszenie incydentu naruszenia danych osobowych do UODO mamy jedynie 72 godziny. W sytuacji stresowej nie będzie już czasu na zastanawianie się, jakie działania podjąć – odpowiednie procedury muszą być gotowe do natychmiastowego użycia.
Ponadto placówka powinna wdrożyć jednoznaczne zasady weryfikacji danych przed wydaniem dokumentacji medycznej oraz zapewnić regularne szkolenia personelu dotyczące ochrony danych osobowych. Dzięki temu personel będzie świadomy ryzyka oraz lepiej przygotowany do odpowiedniej reakcji w przypadku wystąpienia jakiegokolwiek incydentu.
Autorzy artykułu: Rafał Janus, Jakub Janus
Data publikacji: 1.07.2025 r.