Czy Twoja placówka medyczna jest gotowa na kontrolę UODO? 2025 to nie czas na zaniedbania!
Data publikacji: 2025-08-28Plan kontroli sektorowych UODO na rok 2025 obejmuje m.in. podmioty przetwarzające dane o stanie zdrowia. Oznacza to, że placówki medyczne – od szpitali po praktyki indywidualne – muszą być przygotowane na szczegółową weryfikację bezpieczeństwa danych. W artykule wyjaśniamy, na co zwrócić uwagę i jakie błędy z ostatnich lat kosztowały podmioty medyczne setki tysięcy złotych.
16 stycznia 2025 r. Prezes Urzędu Ochrony Danych Osobowych ogłosił plan kontroli sektorowych na bieżący rok. Jednym z jego głównych celów są placówki medyczne i podmioty przetwarzające dane o stanie zdrowia. Oznacza to, że w nadchodzących miesiącach wiele podmiotów wykonujących działalność leczniczą już zostało skontrolowanych, ale też wiele może spodziewać się wizyty UODO.
Kontrole obejmą m.in. szpitale, przychodnie, indywidualne i grupowe praktyki lekarskie, apteki oraz laboratoria diagnostyczne. Dlaczego właśnie te jednostki? Po pierwsze – przetwarzają one dane wrażliwe, które zgodnie z art. 9 RODO objęte są szczególnym reżimem ochronnym. Po drugie – są coraz częstszym celem cyberataków, a skutki wycieków bywają druzgocące.
W ostatnich miesiącach głośno było o naruszeniach w takich placówkach jak:
- ALAB Laboratoria – po odmowie zapłacenia okupu zaatakowani przez hakerów, którzy opublikowali dane dziesiątek tysięcy pacjentów.
- DCG Centrum Medyczne – wyciek danych osobowych i medycznych pacjentów w wyniku incydentu u zewnętrznego dostawcy oprogramowania.
- American Heart of Poland – wyciek ponad 21 tys. danych osobowych po ataku ransomware.
Kary finansowe nakładane przez UODO w ostatnich latach pokazują, że brak zgłoszenia naruszenia lub niedostateczne procedury bezpieczeństwa mogą kosztować podmioty dziesiątki, a nawet setki tysięcy złotych. Przykład? Szpital Powiatowy we Wrześni kara wyniosła niemal 30 tys. zł za niezawiadomienie pacjenta i Prezesa UODO o ujawnieniu dokumentacji medycznej innej osoby. ZOZ w Pajęcznie – 40 tys. zł za niedostępność danych po ataku hakerskim.
Co dokładnie będzie sprawdzał UODO w 2025 r.?
- Sposób zapewnienia bezpieczeństwa danych o stanie zdrowia,
- Realizację obowiązku dokumentowania naruszeń danych (art. 33 ust. 5 RODO),
- Przetwarzanie danych dzieci – szczególnie w kontekście zgód rodzicielskich,
- Przestrzeganie przepisów w systemach współpracujących z Unią Europejską (SIS/VIS).
Co możesz zrobić już dziś?
- Przeprowadzić audyt zgodności z RODO (w tym bezpieczeństwa systemów IT),
- Uaktualnić procedury zarządzania incydentami,
- Upewnić się, że pracownicy wiedzą, jak reagować na naruszenia,
- Skonsultować się z nami, a pomożemy Ci działać zgodnie z prawem krok po kroku.
Zabezpieczenie danych pacjentów to nie tylko obowiązek prawny, ale i element odpowiedzialności wobec tych, którzy powierzają Ci najwrażliwsze informacje. W 2025 roku warto być krok przed kontrolą.
