• admin@kibc
• 26 sierpnia 2026
• Brak komentarzy

W sierpniu tego roku Polska stanęła w obliczu poważnego kryzysu związanego z bezpieczeństwem danych medycznych. Wyciek z systemu firmy MyDr, dostawcy oprogramowania dla 12 tysięcy placówek ochrony zdrowia, ujawnił, że dane nawet 19 milionów pacjentów mogły trafić w niepowołane ręce. To wydarzenie stało się impulsem do zapowiadanych zmian w prawie ochrony danych medycznych.

Dane medyczne wracają pod kontrolę państwa

Rząd planuje strategiczny zwrot w kierunku centralizacji przetwarzania danych medycznych. Wiceminister cyfryzacji Dariusz Standerski w rozmowie z Rynkiem Zdrowia podkreślił, że dane zdrowotne powinny być przetwarzane w infrastrukturze publicznej, a nie powierzane prywatnym podmiotom. Jako wzór podano system CEPiK, który od lat działa w oparciu o państwowe serwery.

Kluczowym elementem tej strategii jest budowa Krajowego Centrum Przetwarzania Danych — inwestycji wartej ponad miliard złotych. Centrum ma przejąć obsługę rozproszonych obecnie danych medycznych. Choć budowa dopiero się rozpoczęła, rząd zapowiada stopniowe przenoszenie danych do systemu państwowego. Równolegle trwają prace nad integracją systemów Ministerstwa Zdrowia i Ministerstwa Cyfryzacji, co ma zapewnić spójne zarządzanie danymi.

Nowe przepisy wzmocnią bezpieczeństwo

Oprócz zmian infrastrukturalnych, rząd szykuje szybkie zmiany legislacyjne. Oto najważniejsze z nich:

Wyższe progi kontroli dla przetwarzających dane masowo

Firmy przetwarzające dane dużej liczby osób będą musiały spełniać rygorystyczne wymogi, w tym przeprowadzać oceny ryzyka i prowadzić formalną politykę bezpieczeństwa. Próg liczby przetwarzanych rekordów jest obecnie konsultowany z UODO.

Współodpowiedzialność dostawców IT za bezpieczeństwo danych

To kluczowa zmiana – dotychczas pełna odpowiedzialność spoczywała na administratorze danych (np. przychodni), a nie na firmie technologicznej. Nowelizacja ma to zmienić — dostawca oprogramowania również będzie ponosił odpowiedzialność za wycieki.

Nowe zasady korzystania z zagranicznych chmur

Wyciek z MyDr ujawnił ryzyko związane z przechowywaniem danych u zagranicznych dostawców (np. Amazon, Google). Nowe przepisy wymagają oceny ryzyka i przejrzystości co do lokalizacji przetwarzania danych. Jeśli dostawca nie będzie w stanie tego zagwarantować, nie będzie mógł być podwykonawcą.

Kiedy zmiany wejdą w życie?

Zmiany legislacyjne mogą zostać wprowadzone szybko — w odpowiedzi na incydent z MyDr. Zmiany infrastrukturalne, takie jak budowa Krajowego Centrum Przetwarzania Danych, to proces wieloletni.

Co to oznacza dla placówek medycznych i dostawców IT?

Dla placówek medycznych oznacza to koniec przenoszenia całej odpowiedzialności na dostawców oprogramowania, a także konieczność stworzenia realnych mechanizmów ochrony danych. Jednocześnie zmniejszy się ich indywidualna odpowiedzialność za wycieki spowodowane błędami systemu.

Dla dostawców IT to konieczność wdrożenia formalnych procedur bezpieczeństwa, większej przejrzystości w korzystaniu z zagranicznych chmur i gotowości na kontrole. Szybkie zmiany prawne zwiększą odpowiedzialność dostawców IT, a długofalowo dane medyczne trafią do państwowej infrastruktury. To krok w stronę większego bezpieczeństwa, ale też wyzwanie dla całego sektora ochrony zdrowia.
Tekst powstał na podstawie doniesień portalu Rynek Zdrowia.