• admin@kibc
• 17 września 2026
• Brak komentarzy

Wyciek danych z systemu MyDr sprzed kilku tygodni rozbudził na nowo dyskusję na temat ochrony danych osobowych w placówkach medycznych. Ministerstwo Cyfryzacji zapowiedziało w efekcie wprowadzenie nowych regulacji tzw. “Cyber Piątki”, które mają na celu zwiększenie ochrony danych pacjentów. Z kolei Urząd Ochrony Danych Osobowych poinformował 16 września, iż koryguje swój plan kontroli sektorowych na ten rok i zapowiada dodatkowe, intensywniejsze działania w placówkach ochrony zdrowia do końca tego roku.

Trwa kontrola UODO w spółce MyDr po jednym z największych w historii wycieków danych osobowych pacjentów w Polsce. Urząd w toku postępowania sprawdza przede wszystkim dwa elementy – zastosowane zabezpieczenia techniczne i organizacyjne oraz sposób, w jaki firma przeprowadziła analizę ryzyka związanego z przetwarzaniem danych.

Kontrole nie ograniczą się do jednej firmy

To, co odróżnia obecną sytuację od pojedynczej interwencji, to decyzja o objęciu kontrolami kolejnych podmiotów działających w ochronie zdrowia – nie tylko tego, który był bezpośrednio zamieszany w incydent. UODO tłumaczy to skalą zagrożeń ujawnionych zarówno przy okazji sprawy MyDr, jak i innych zgłoszonych naruszeń. Celem jest sprawdzenie, na ile realnie placówki medyczne zabezpieczają dane osób korzystających z ich usług.

Przypomnimy, że kontrole placówek medycznych są prowadzone w ramach kontroli sektorowych od 2025 roku, przy czym każdy rok miał swój odrębny akcent:
– w 2025 roku nacisk położony był na bezpieczeństwo danych osobowych jako takie,
– w 2026 rok szczególna uwaga poświęcona jest monitoringowi wizyjnemu stosowanemu w placówkach.
Teraz do tego dochodzi dodatkowa, zintensyfikowana fala kontroli, wywołana bezpośrednio bieżącymi zagrożeniami.

Zmiany w harmonogramie kontroli na 2026 rok

Żeby pomieścić dodatkowe działania w sektorze zdrowia, UODO musiał przemodelować swój tegoroczny plan kontroli sektorowych. Największą zmianą jest przesunięcie kontroli internetowych platform dostaw – czyli podmiotów pośredniczących w sprzedaży towarów i usług przez aplikacje internetowe – na pierwszy i drugi kwartał 2027 roku. Bez modyfikacji pozostają kontrole podmiotów przetwarzających dane w wielkoskalowych systemach unijnych (w tym SIS i VIS, prowadzone na podstawie krajowych przepisów o udziale Polski w tych systemach oraz regulacji unijnych), kontrole podmiotów prowadzących Biuletyn Informacji Publicznej – tu uwaga skupia się głównie na anonimizacji danych oraz publikowaniu przebiegu sesji rad gminy, a także kontrole podmiotów marketingowych – z naciskiem na to, czy przetwarzanie danych w celach marketingowych ma odpowiednią podstawę prawną.

Co to oznacza w praktyce dla placówek medycznych?

Dla administratorów danych w sektorze zdrowia to jasny sygnał mówiący o tym, że bezpieczeństwo danych medycznych nie zejdzie z priorytetów UODO w najbliższych miesiącach. Warto już teraz zweryfikować kilka obszarów, które najczęściej budzą wątpliwości podczas kontroli. Mowa o:
Analizie ryzyka – czy jest aktualna, czy uwzględnia realne scenariusze wycieku danych, a nie tylko formalne wymogi.
Zabezpieczeniach technicznych – szyfrowanie, kontrola dostępu, logowanie zdarzeń, procedury reagowania na incydenty.
Zabezpieczeniach organizacyjnych – szkolenia personelu, procedury wewnętrzne, zasady dostępu do dokumentacji medycznej.
Gotowości na zgłoszenie naruszenia – czy placówka wie, jak i w jakim terminie zgłosić incydent do UODO.

Dla sektora ochrony zdrowia oznacza to, że kwestie bezpieczeństwa danych pacjentów – nie tylko monitoringu wizyjnego, ale przede wszystkim ochrony danych medycznych jako takich – będą pod lupą UODO do końca 2026 roku.