UODO wyjaśnia, co powinny zrobić placówki medyczne

NIL poprosiła o jednoznaczne wskazówki

Powodem wystąpienia Naczelnej Izby Lekarskiej były wątpliwości zgłaszane po komunikatach Prezesa UODO i spółki MyDr. UODO przypomniał administratorom o konieczności przeprowadzenia analizy ryzyka naruszenia praw lub wolności osób fizycznych oraz o obowiązkach, które mogą z niej wynikać, związanych ze zgłoszeniem naruszenia i zawiadomieniem osób, których dane dotyczą. MyDr informowało natomiast, że na tym etapie klienci nie muszą podejmować żadnych działań, a zgłoszenia placówek nie są obecnie wymagane. Spółka zapowiedziała indywidualny kontakt z klientami objętymi incydentem.

NIL wskazała, że oba komunikaty mogły być odmiennie interpretowane i powodowały niepewność co do treści obowiązków objętych krótkim terminem zawitym oraz sankcją administracyjną. Izba zapytała UODO m.in. o to, czy stanowisko procesora zwalnia administratora z własnej oceny, kiedy zaczyna biec termin 72 godzin, czy przy braku informacji o zakresie incydentu potrzebne jest zgłoszenie wstępne, jakie znaczenie ma brak dowodów na publiczne opublikowanie danych, czy zapowiedź kontaktu ze strony dostawcy jest wystarczająca oraz jak ma postąpić administrator, który nie może uzyskać informacji o zakresie danych objętych naruszeniem. NIL zwróciła także uwagę na sytuację jednoosobowych praktyk lekarskich i poprosiła o możliwie jednoznaczne wytyczne.

Co odpowiedział UODO?

W piśmie z 21 sierpnia 2026 r. prezes UODO przypomniał, że to administrator odpowiada za realizację obowiązków określonych w art. 33 i 34 RODO. Naruszenie ochrony danych należy zgłosić organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia również osobę, której dane dotyczą.

Jeżeli do naruszenia ochrony danych doszło u podmiotu przetwarzającego, któremu administrator powierzył dane, procesor powinien bez zbędnej zwłoki poinformować o tym administratora. UODO podkreśla zarazem, że ocena, czy w danej sytuacji zachodzą obowiązki wynikające z art. 33 i 34 RODO, należy do administratora. Oświadczenie procesora o braku konieczności dokonania zgłoszenia nie zwalnia więc administratora z własnej analizy zdarzenia.

Administrator nie może pozostawać bierny, jeżeli w przestrzeni publicznej pojawiają się informacje o możliwym naruszeniu ochrony danych u procesora, a sam nie otrzymał informacji dotyczących powierzonych przez siebie danych. Powinien nadzorować podmiot, któremu je powierzył, i zwrócić się do niego z pytaniem, czy zdarzenie objęło dane osobowe przetwarzane w imieniu tego administratora.

UODO przypomina, że podmiot przetwarzający ma obowiązek pomagać administratorowi w realizacji obowiązków wynikających z art. 32–36 RODO. Obejmuje to przekazywanie informacji potrzebnych do oceny zdarzenia, m.in. o danych objętych incydentem, liczbie osób, których dotyczy naruszenie, przebiegu zdarzenia oraz wdrożonych środkach technicznych i organizacyjnych służących ograniczeniu ryzyka jego ponownego wystąpienia.

Informacje przekazane przez procesora mają charakter pomocniczy i nie przenoszą na niego odpowiedzialności za ostateczną ocenę zdarzenia. To administrator odpowiada za weryfikację otrzymanych danych i kwalifikację incydentu. Jednocześnie UODO zaznacza, że w konkretnym przypadku informacje od procesora mogą być na tyle kompletne, iż pozwolą administratorowi dokonać wymaganej oceny bez prowadzenia dalszych ustaleń.

Prezes UODO wyjaśnia też początek biegu 72-godzinnego terminu. Odwołując się do wytycznych EROD, wskazuje, że administrator stwierdza naruszenie w chwili, w której uzyska dostateczny stopień pewności, że doszło do incydentu bezpieczeństwa prowadzącego do naruszenia danych osobowych. Jeżeli bez niezbędnych informacji od procesora administrator nie jest w stanie stwierdzić naruszenia, termin 72 godzin nie rozpoczyna biegu. Nie oznacza to jednak możliwości biernego oczekiwania. Administrator powinien skontaktować się z procesorem i ustalić, czy zdarzenie dotyczyło danych, które mu powierzył. Z chwilą stwierdzenia naruszenia termin zaczyna biec niezależnie od tego, czy administrator oczekuje jeszcze na dodatkowe informacje.

UODO poinformował ponadto, że środki techniczne i organizacyjne zastosowane przez MyDr, w tym przeprowadzona przez spółkę analiza ryzyka, będą przedmiotem kontroli Prezesa Urzędu Ochrony Danych Osobowych.

UODO przekazał wzór zawiadomienia osoby, której dane dotyczą

Do odpowiedzi dołączono wzór zawiadomienia przygotowany jako pomoc dla podmiotów zrzeszonych w ramach NIL przy realizacji obowiązku z art. 34 RODO. Formularz przewiduje miejsce na dane administratora, opis zdarzenia, informacje o możliwych zagrożeniach oraz wskazanie działań, które może podjąć osoba dotknięta naruszeniem.

W przykładowej treści wymieniono imię, nazwisko, adres zamieszkania, numer PESEL i dane dotyczące zdrowia. Wśród możliwych środków ochronnych wskazano m.in. zastrzeżenie numeru PESEL, skorzystanie z zastrzeżenia kredytowego w BIK, zachowanie ostrożności wobec prób wykorzystania danych oraz zawiadomienie organów ścigania w razie ich bezprawnego użycia. Są to elementy wzoru przekazanego przez UODO, a nie stwierdzenie, że wszystkie te kategorie danych zostały objęte naruszeniem u każdego administratora.

Co z tego wynika dla administratora korzystającego z MyDr?

Pismo UODO nie przesądza jednego obowiązku dla wszystkich administratorów korzystających z MyDr. Nie wynika z niego ani automatyczny obowiązek zgłoszenia naruszenia przez każdego administratora, ani możliwość oparcia się wyłącznie na komunikacie procesora o braku konieczności zgłoszenia.

Każdy administrator powinien ustalić, czy zdarzenie dotyczy danych, które powierzył do przetwarzania, a następnie sam ocenić, czy w jego sytuacji zachodzą obowiązki wynikające z art. 33 lub 34 RODO. Jeżeli nie ma do tego wystarczających informacji, powinien zwrócić się o nie do procesora.

Termin 72 godzin na zgłoszenie naruszenia biegnie od chwili jego stwierdzenia, rozumianej przez UODO jako uzyskanie dostatecznego stopnia pewności, że doszło do incydentu bezpieczeństwa prowadzącego do naruszenia danych osobowych. Po tej chwili oczekiwanie na dodatkowe informacje od procesora nie wstrzymuje biegu terminu.