Spis treści
Wyciek danych pacjentów w przychodni lub gabinecie stomatologicznym wymaga szybkiej reakcji. Sprawdź, jak ograniczyć skutki naruszenia, kiedy zgłosić je do UODO i jak zawiadomić pacjentów zgodnie z RODO.
Wiadomość od dostawcy oprogramowania medycznego, podejrzane logowanie do systemu, niedostępna dokumentacja albo telefon od pacjenta, który znalazł swoje dane w internecie. Tak może rozpocząć się kryzys w każdej przychodni i każdym gabinecie stomatologicznym.
W takiej sytuacji liczą się szybkie, uporządkowane działania. Trzeba ograniczyć skutki zdarzenia, ustalić, jakie dane zostały objęte naruszeniem, ocenić zagrożenia dla pacjentów i wykonać obowiązki wynikające z RODO. Samo przywrócenie działania programu nie zamyka sprawy.
Wyciek danych medycznych może mieć długotrwałe konsekwencje
Dokumentacja pacjenta może zawierać dane identyfikacyjne, informacje o chorobach, przyjmowanych lekach, wynikach badań i przebiegu leczenia. W gabinecie stomatologicznym będą to również zdjęcia diagnostyczne, plany leczenia czy informacje z wywiadu medycznego.
Ujawnienie takich informacji może prowadzić do utraty prywatności, prób oszustwa, szantażu lub dyskryminacji. Dlatego podczas oceny zdarzenia trzeba patrzeć przede wszystkim na możliwe skutki dla pacjenta.
Naruszenie nie musi jednak oznaczać opublikowania danych w internecie. Może polegać również na nieuprawnionym dostępie do kartotek, zmianie ich treści albo utracie dostępności dokumentacji wskutek ataku ransomware. W placówce medycznej brak dostępu do informacji może dodatkowo utrudnić bezpieczne kontynuowanie leczenia.
Takie rozumienie naruszenia opisuje poradnik UODO: https://uodo.gov.pl/pl/file/5686.
Wyciek u dostawcy systemu - jakie obowiązki ma przychodnia?
Korzystanie z zewnętrznego systemu elektronicznej dokumentacji medycznej nie oznacza przeniesienia wszystkich obowiązków związanych z ochroną danych na jego dostawcę.
Jeżeli przychodnia jest administratorem danych, a dostawca przetwarza je w jej imieniu, to placówka odpowiada za ocenę naruszenia oraz realizację obowiązków wobec UODO i pacjentów. Dostawca powinien przekazać administratorowi informację o naruszeniu bez zbędnej zwłoki i współpracować przy wyjaśnianiu zdarzenia.
UODO przypomniał o tym w komunikacie z 12 sierpnia 2026 r., dotyczącym doniesień o incydencie w systemie MyDr. Urząd wskazał na potrzebę potwierdzenia, czy zdarzenie obejmowało dane konkretnego administratora, a następnie przeprowadzenia oceny ryzyka i wykonania odpowiednich obowiązków.
Źródło: https://www.uodo.gov.pl/pl/138/4538.
W praktyce nie wystarczy zapewnienie: „dostawca zajmuje się sprawą”. Trzeba ustalić, co dokładnie robi, jakie informacje przekazał i jakie działania pozostają po stronie placówki.
Pierwsze działania: ogranicz skutki i zabezpiecz informacje
Po otrzymaniu sygnału o możliwym naruszeniu uruchom procedurę reagowania. Do współpracy włącz kierownictwo, osobę odpowiedzialną za IT, dostawcę systemu oraz inspektora ochrony danych, jeżeli został wyznaczony.
Praktyczna lista działań obejmuje:
- zapisanie daty i godziny otrzymania informacji oraz kolejnych ustaleń;
- ograniczenie nieuprawnionego dostępu w porozumieniu z osobami odpowiedzialnymi za IT;
- zabezpieczenie logów, korespondencji i innych dowodów;
- ustalenie, których pacjentów i jakich kategorii danych dotyczy zdarzenie;
- sprawdzenie, czy naruszenie nadal trwa;
- zapewnienie bezpiecznej organizacji pracy i ciągłości opieki nad pacjentami.
Nie wykonuj pochopnie operacji, które mogą zniszczyć dowody, takich jak reinstalacja systemu czy usuwanie logów. Działania techniczne powinny uwzględniać zarówno powstrzymanie ataku, jak i możliwość późniejszego ustalenia jego przebiegu.
Od dostawcy systemu zażądaj konkretnych informacji: czy dane zostały skopiowane, jakie zabezpieczenia działały w chwili zdarzenia, czy napastnik mógł odczytać dokumentację i kiedy można spodziewać się kolejnych ustaleń. Ogólny komunikat o „incydencie bezpieczeństwa” może być niewystarczający do rzetelnej oceny.
72 godziny - od kiedy liczyć termin zgłoszenia?
Administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Wyjątek dotyczy sytuacji, w której jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych.
Nie jest to termin liczony wyłącznie w dniach roboczych. Weekend ani święto nie zatrzymują jego biegu.
Stwierdzenie naruszenia wiąże się z uzyskaniem dostatecznej pewności, że doszło do zdarzenia naruszającego bezpieczeństwo danych osobowych. Nie trzeba znać wszystkich szczegółów technicznych ani czekać na końcowy raport dostawcy. Jednocześnie sama niesprawdzona pogłoska wymaga pilnego wyjaśnienia, a nie automatycznego uznania, że dane placówki wyciekły.
Wytyczne dotyczące stwierdzenia naruszenia: https://uodo.gov.pl/file/5313. Informacja UODO o terminie zgłoszenia: https://uodo.gov.pl/pl/525/2584.
Nie masz kompletu informacji? Zgłoszenie można uzupełnić
Brak pełnej listy pacjentów lub ostatecznej liczby ujawnionych rekordów nie uzasadnia bezczynności. Jeżeli naruszenie wymaga zgłoszenia, przekaż dostępne informacje, zaznacz wstępny charakter ustaleń, a brakujące dane uzupełniaj bez zbędnej zwłoki.
Jeśli termin już upłynął, dokonaj zgłoszenia i wyjaśnij przyczyny opóźnienia.
UODO wyjaśnia możliwość sukcesywnego przekazywania informacji: https://uodo.gov.pl/pl/525/2585.
Zgłoszenie powinno obejmować opis naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób oraz wpisów danych, dane kontaktowe IOD lub innego punktu kontaktowego, możliwe konsekwencje i zastosowane lub planowane środki zaradcze.
Oceń ryzyko dla pacjentów
Podstawą decyzji o dalszym postępowaniu jest ocena konkretnego zdarzenia. Uwzględnij przede wszystkim zakres informacji, możliwość zidentyfikowania pacjentów, okoliczności dostępu do danych oraz możliwą dotkliwość skutków.
Inaczej wygląda pomyłkowe przekazanie dokumentu zaufanemu odbiorcy, a inaczej przejęcie przez przestępców bazy zawierającej numery PESEL i historię leczenia. W przypadku danych medycznych trzeba szczególnie uważnie rozważyć wysokie ryzyko.
Nie wystarczy stwierdzenie: „dotychczas nikt nie zgłosił szkody”. Ocena dotyczy także konsekwencji, które mogą dopiero wystąpić. Jej przedmiotem jest bezpieczeństwo pacjentów, a nie wyłącznie reputacja lub sytuacja finansowa gabinetu.
UODO podkreśla konieczność odnoszenia analizy do rzeczywistych okoliczności naruszenia: https://www.uodo.gov.pl/pl/138/2658.
Kiedy trzeba zawiadomić pacjentów?
Zgłoszenie do UODO i zawiadomienie pacjentów to dwa odrębne obowiązki. Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności pacjentów, należy zawiadomić ich bez zbędnej zwłoki. Nie trzeba czekać na polecenie organu nadzorczego.
Wiadomość powinna prostym językiem wyjaśniać:
- co się wydarzyło i jakie dane zostały objęte naruszeniem;
- jakie mogą być konsekwencje;
- co placówka zrobiła lub zamierza zrobić;
- gdzie można uzyskać dodatkowe informacje.
Warto dodać zalecenia odpowiadające rzeczywistemu zagrożeniu, np. ostrzeżenie przed telefonami i wiadomościami od oszustów podszywających się pod przychodnię. Nie należy zapewniać, że „dane są bezpieczne”, jeżeli ustalenia tego nie potwierdzają.
Zakres zawiadomienia opisano tutaj: https://uodo.gov.pl/file/4955.
Co do zasady pacjentów zawiadamia się bezpośrednio. Sam wpis na stronie przychodni nie zastępuje automatycznie indywidualnych wiadomości. RODO przewiduje wyjątki, m.in. przy skutecznym zabezpieczeniu danych przed odczytem lub wyeliminowaniu prawdopodobieństwa wysokiego ryzyka. Przy niewspółmiernie dużym wysiłku związanym z indywidualnym kontaktem potrzebny jest równie skuteczny komunikat publiczny lub podobny środek. Każdy wyjątek wymaga uzasadnienia.
Omówienie art. 34 ust. 3 RODO: https://uodo.gov.pl/en/file/1293.
Udokumentuj naruszenie i podjęte decyzje
Każde stwierdzone naruszenie należy udokumentować, również wtedy, gdy po analizie nie zgłaszasz go UODO. Zapis powinien obejmować okoliczności, skutki i działania zaradcze. Zachowaj także ocenę ryzyka oraz uzasadnienie decyzji dotyczących zgłoszenia i zawiadomienia pacjentów.
Dokumentacja powinna pozwalać odtworzyć przebieg reakcji placówki. Nie uzupełniaj jej fikcyjnymi datami i nie twórz pozorów działań, których nie wykonano.
Obowiązek dokumentowania naruszeń opisuje UODO: https://uodo.gov.pl/pl/file/4509.
Dokumentacja elektroniczna i druki, które pomogą uporządkować działania
Po incydencie często okazuje się, że personel nie wie, komu zgłaszać podejrzenia, uprawnienia do systemu są nieaktualne, a zasady współpracy z dostawcą nie zostały jasno opisane. W uporządkowaniu tych obszarów mogą pomóc materiały dostępne w moim sklepie.
1. Pakiet dokumentacji RODO w wersji elektronicznej
„Polityka + Rejestr czynności przetwarzania + Instrukcja zarządzania systemem inf. + druki i wzory” zawiera edytowalne dokumenty, w tym wzory upoważnień, oświadczenie o zachowaniu tajemnicy i ewidencje. To punkt wyjścia do uporządkowania zasad przetwarzania danych oraz odpowiedzialności personelu.
Produkt: https://www.karoladamek.pl/sklep/polityka-druki-wzory-rodo/.
2. Zestaw 15 procedur ochrony danych osobowych
W kontekście wycieku szczególnie przydatne są zawarte w zestawie: procedura zarządzania incydentami, formularz zgłoszenia incydentu do IOD i wzór zawiadomienia osoby, której dane dotyczą. Pakiet obejmuje również procedury związane z kopiami bezpieczeństwa i uprawnieniami do systemów.
Produkt: https://www.karoladamek.pl/sklep/procedury-rodo/.
3. „Ochrona danych osobowych po ludzku” - książka z dokumentacją
Pakiet łączy książkę z elektronicznymi, edytowalnymi wzorami oraz materiałami audytowymi. Może pomóc właścicielowi przychodni lub osobie zarządzającej gabinetem lepiej zrozumieć obowiązki i przełożyć je na codzienną organizację pracy.
Produkt: https://www.karoladamek.pl/sklep/ksiazka-wzory-edytowalne-i-bonus-audytowy/.
4. E-książka z pakietem dokumentów
Jeżeli preferujesz materiały cyfrowe, możesz wybrać e-książkę „Ochrona danych osobowych po ludzku” wraz z polityką, drukami i wzorami w wersji elektronicznej.
Produkt: https://www.karoladamek.pl/sklep/e-ksiazka-polityka-druki/.
Wybierz wariant odpowiadający potrzebom placówki - zakres części pakietów się pokrywa. Wzory trzeba dostosować do rzeczywistych procesów przychodni, dokumentacji medycznej, wykorzystywanych systemów i współpracy z dostawcami. Sam zakup dokumentów nie zastępuje obsługi trwającego naruszenia, zabezpieczeń technicznych ani przeszkolenia zespołu.
Od dokumentów do codziennej praktyki
Po opanowaniu incydentu sprawdź, czy pracownicy potrafią rozpoznać zagrożenie i wiedzą, komu je zgłosić. Zweryfikuj uprawnienia, sposób wykonywania i odtwarzania kopii zapasowych oraz zasady kontaktu z dostawcą systemu w sytuacji awaryjnej.
Przećwicz z zespołem prosty scenariusz: w piątek po południu przychodzi wiadomość o możliwym wycieku kartotek. Kto ją odbiera, kto podejmuje decyzje i kto kontaktuje się z pacjentami? Odpowiedzi na te pytania powinny być znane, zanim wydarzy się kolejny incydent.