Wprowadzenie Ogólnego Rozporządzenia o Ochronie Danych (RODO) znacząco wpłynęło na sposób zarządzania danymi pacjentów w podmiotach wykonujących działalność leczniczą. Istotnym narzędziem interpretacyjnym na gruncie polskim jest Kodeks postępowania dla sektora ochrony zdrowia, który wspiera stosowanie zasady rozliczalności. Należy jednak podkreślić, że kodeks ten ma charakter dobrowolny i pomocniczy, a podstawowym źródłem obowiązków pozostają przepisy prawa.

1. Ochrona danych a bezpieczeństwo pacjenta

RODO nie stoi w sprzeczności z udzielaniem świadczeń zdrowotnych. Przepisy przewidują szczególne podstawy przetwarzania danych dotyczących zdrowia, w tym sytuacje związane z ochroną życia i zdrowia pacjenta. W praktyce oznacza to, że stosowanie zasad ochrony danych musi uwzględniać specyfikę działalności leczniczej, gdzie szybki dostęp do informacji może mieć kluczowe znaczenie.

2. Zasada minimalizacji danych w praktyce medycznej

Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO) wymaga, aby dane były adekwatne i ograniczone do tego, co niezbędne do realizacji celu. W ochronie zdrowia ocena „niezbędności” powinna być dokonywana w kontekście procesu leczenia. Podmioty lecznicze mogą przetwarzać dane kontaktowe (np. numer telefonu, adres e-mail), jeśli jest to uzasadnione organizacją udzielania świadczeń, np. potwierdzaniem wizyt. Zakres danych powinien być każdorazowo uzasadniony konkretnym celem i nie może być rozszerzany bez potrzeby.

3. Identyfikacja pacjenta

Prawidłowa identyfikacja pacjenta jest istotnym elementem bezpieczeństwa leczenia.

1. Stosowanie opasek identyfikacyjnych jest standardową praktyką zapobiegającą pomyłkom.
2. W miarę możliwości należy ograniczać ujawnianie danych osobowych osobom postronnym (np. stosowanie numerów lub imion).
3. W sytuacjach wymagających jednoznacznej identyfikacji, w tym w stanach nagłych, dopuszczalne jest użycie pełnych danych pacjenta, o ile jest to uzasadnione bezpieczeństwem.

4. Oznaczanie produktów leczniczych

Oznaczanie leków, krwi czy wyrobów medycznych danymi pacjenta może być uzasadnione koniecznością zapewnienia bezpieczeństwa terapii. Działania takie powinny opierać się na przesłankach przetwarzania danych przewidzianych w RODO, w szczególności związanych z ochroną zdrowia i życia.

5. Prywatność w placówkach medycznych

Zapewnienie prywatności pacjentów, szczególnie w salach wieloosobowych, wymaga odpowiednich rozwiązań organizacyjnych:

1. Personel powinien ograniczać przekazywanie szczegółowych informacji medycznych do sytuacji, w których jest to konieczne.
2. W miarę możliwości rozmowy o stanie zdrowia powinny odbywać się w warunkach zapewniających poufność.
3. Stosowanie kart przyłóżkowych jest dopuszczalne, o ile dane są odpowiednio zabezpieczone przed dostępem osób nieuprawnionych.

6. Sytuacje nagłe i kontakt z osobami bliskimi

W sytuacjach, gdy pacjent nie jest w stanie wyrazić zgody, dopuszczalne jest przetwarzanie danych w zakresie niezbędnym do ochrony jego życia lub zdrowia.

Możliwe jest pozyskiwanie informacji od osób trzecich, jeśli służy to udzieleniu świadczeń zdrowotnych, natomiast przekazywanie informacji telefonicznie powinno odbywać się z zachowaniem szczególnej ostrożności i odpowiedniej weryfikacji tożsamości rozmówcy.

7. Prawa pacjenta a dokumentacja medyczna

RODO przyznaje pacjentom określone prawa, jednak ich realizacja w ochronie zdrowia podlega szczególnym regulacjom:

1. Pacjent ma prawo dostępu do dokumentacji medycznej oraz uzyskania jej kopii.
2. Dokumentacja medyczna podlega obowiązkowym okresom przechowywania, co ogranicza możliwość jej usunięcia.
3. Sprostowanie danych jest możliwe w określonym zakresie, z poszanowaniem zasad prowadzenia dokumentacji medycznej.

8. Monitoring i nagrywanie

Stosowanie monitoringu wizyjnego w placówkach medycznych jest dopuszczalne pod warunkiem spełnienia wymogów RODO:

1. musi mieć jasno określony cel (np. bezpieczeństwo),
2. powinno być proporcjonalne do ryzyka,
3. pacjenci powinni być odpowiednio informowani.

Nagrywanie świadczeń zdrowotnych może być dopuszczalne, jeśli jest uzasadnione medycznie i odpowiednio zabezpieczone.

9. Środki techniczne i organizacyjne

Podmioty lecznicze jako administratorzy danych są zobowiązane do wdrażania środków adekwatnych do ryzyka, w tym:

1. przeprowadzania analizy ryzyka,
2. stosowania zabezpieczeń technicznych (np. szyfrowanie),
3. zapewnienia odpowiedniej organizacji przetwarzania danych,
4. wyznaczenia inspektora ochrony danych, jeśli wymagają tego przepisy.

Podsumowanie

RODO nie stanowi bariery dla udzielania świadczeń zdrowotnych, lecz wprowadza ramy zapewniające bezpieczeństwo danych pacjentów. Kluczowe znaczenie ma właściwe wyważenie między ochroną prywatności a potrzebami procesu leczenia. W praktyce oznacza to konieczność każdorazowej oceny adekwatności przetwarzania danych oraz umiejętnego uzasadnienia podejmowanych działań.

Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna

Stan prawny na dzień 30 kwietnia 2026 r.

Autor:

Olga Jacykowska

Aplikant adwokacki
+48 795 888 714 | o.jacykowska@kglegal.pl

Redaktor cyklu:

Mateusz Grosicki

Adwokat, wspólnik
+48 506 367 109 | m.grosicki@kglegal.pl