Wyciek danych u dostawcy oprogramowania medycznego. Co musi zrobić placówka w ciągu 72 godzin

Gdy incydent zdarza się u dostawcy oprogramowania, obowiązki nie przenoszą się razem z danymi. Administratorem danych pacjenta pozostaje placówka i to ona odpowiada za zgłoszenie naruszenia oraz za poinformowanie pacjentów. Poniżej kolejność działań, terminy i pytania, na które dostawca musi odpowiedzieć na piśmie.

Dlaczego to placówka, a nie dostawca, zgłasza naruszenie

W relacji z dostawcą systemu medycznego placówka jest administratorem danych, a dostawca — podmiotem przetwarzającym, działającym na podstawie umowy powierzenia. Ten podział ma jeden praktyczny skutek: obowiązek zgłoszenia naruszenia do Prezesa UODO (art. 33 RODO) i obowiązek zawiadomienia osób, których dane dotyczą (art. 34 RODO), ciąży na placówce. Dostawca ma obowiązek niezwłocznie zgłosić naruszenie administratorowi — i dostarczyć mu informacje potrzebne do wykonania jego obowiązków.

Dlatego dwie placówki korzystające z tego samego systemu mogą mieć zupełnie inny zakres obowiązków: zależy on od tego, jakie dane każda z nich w tym systemie prowadziła.

Krok 1. Ustal zakres, nie skalę (pierwsze 24 godziny)

Komunikaty medialne mówią o milionach rekordów. Dla Twojego zgłoszenia liczba globalna nie ma znaczenia — liczy się to, jakie kategorie danych Twojej placówki znalazły się w zasobie objętym incydentem. Poproś dostawcę o odpowiedź na cztery pytania w formie pisemnej:

• Czy dane pacjentów mojego podmiotu (numer REGON/NIP, identyfikator instancji) znajdują się w zbiorze objętym incydentem?
• Jakie kategorie danych: dane identyfikacyjne, PESEL, dane kontaktowe, dane o wizytach, dokumentacja medyczna, e-recepty, dane rozliczeniowe?
• Z jakiego okresu pochodzą dane i czy obejmują kopie archiwalne?
• Czy dane zostały wyłącznie pozyskane, czy również opublikowane lub udostępnione osobom trzecim?

Odpowiedź „analizujemy” nie zwalnia Cię z terminu. Jeśli w ciągu 72 godzin nie masz pełnych informacji, zgłoszenie składa się jako niepełne i uzupełnia je później — RODO wprost to przewiduje (art. 33 ust. 4).

Krok 2. Oceń ryzyko dla pacjenta

Ocena ryzyka decyduje o dwóch rzeczach: czy zgłaszasz do UODO i czy informujesz pacjentów. Przy danych medycznych progi są niskie, bo mówimy o danych szczególnej kategorii (art. 9 RODO). Ryzyko rośnie skokowo, gdy w zbiorze są:

• PESEL razem z danymi kontaktowymi — otwiera drogę do wyłudzeń finansowych i kradzieży tożsamości;
• informacja o rozpoznaniu, lekach lub e-recepcie — dane, których ujawnienie może realnie zaszkodzić pacjentowi w pracy, w ubezpieczeniach lub w życiu prywatnym;
• dane osób szczególnie narażonych — dzieci, pacjentów psychiatrycznych, pacjentów leczonych z powodu chorób obłożonych stygmatem.

Praktycznie: przy dokumentacji medycznej domyślną odpowiedzią jest „zgłaszamy”, a nie „rozważamy”.

Krok 3. Zgłoszenie do UODO (do 72 godzin)

Termin liczy się od momentu, w którym stwierdziłeś naruszenie — a nie od dnia, w którym incydent nastąpił u dostawcy. W praktyce zegar startuje w chwili otrzymania wiarygodnej informacji od dostawcy lub z innego źródła. Zgłoszenie składa się elektronicznie przez system UODO i powinno zawierać charakter naruszenia, kategorie i przybliżoną liczbę osób, dane kontaktowe IOD, możliwe konsekwencje i zastosowane środki.

Warto od razu założyć wewnętrzny rejestr naruszeń wraz z uzasadnieniem decyzji — również wtedy, gdy uznasz, że zgłoszenie nie jest wymagane. Brak zgłoszenia bez udokumentowanej oceny jest w kontroli trudniejszy do obrony niż samo naruszenie.

Krok 4. Zawiadomienie pacjentów

Jeśli ryzyko jest wysokie, pacjentów trzeba zawiadomić bez zbędnej zwłoki, jasnym językiem. Skuteczne zawiadomienie zawiera: co się stało, jakich danych dotyczy, co placówka zrobiła, co pacjent powinien zrobić i gdzie zadać pytanie. Konkretne rekomendacje dla pacjenta w takim scenariuszu to zwykle zastrzeżenie numeru PESEL w aplikacji mObywatel lub w banku, ostrożność wobec SMS-ów i telefonów powołujących się na wyciek oraz nieklikanie w linki do „sprawdzenia, czy Twoje dane wyciekły”. Po każdym głośnym incydencie pojawiają się kampanie phishingowe żerujące na jego rozgłosie.

Gotowe formuły do rozmowy telefonicznej i szablon maila zebraliśmy w osobnym tekście: Pacjent pyta, czy jego dane wyciekły. Gotowe odpowiedzi dla rejestracji.

Krok 5. Wróć do umowy z dostawcą

Incydent u dostawcy to najlepszy moment, żeby przeczytać umowę powierzenia, którą podpisało się przy wdrożeniu. Sprawdź pięć rzeczy:

• Termin powiadomienia administratora — czy jest wskazany w godzinach, czy tylko „niezwłocznie”.
• Lista podprzetwarzających — kto jeszcze ma dostęp do danych i czy wymagana jest Twoja zgoda na zmianę.
• Lokalizacja przetwarzania — czy dane pozostają w EOG, czy dopuszczono transfer poza EOG.
• Kopie zapasowe i retencja — jak długo trzymane są archiwa i kto może je odtworzyć; archiwa z lat, w których byłeś klientem, wciąż są Twoim ryzykiem.
• Prawo do audytu i usunięcia danych po rozwiązaniu umowy — wraz z terminem i formą potwierdzenia.

Czego wymagać od nowego dostawcy

Kryteria, które da się zweryfikować przed podpisem, a nie po incydencie: przetwarzanie danych w EOG, szyfrowanie w tranzycie i w spoczynku, uwierzytelnianie dwuskładnikowe dla kont personelu, role i uprawnienia w podziale na stanowiska, rejestr operacji na dokumentacji (kto, kiedy, do czego zaglądał), testowane odtwarzanie kopii zapasowych, plan reagowania na incydent z konkretnymi terminami powiadomienia oraz jasna polityka retencji archiwów. Pełną listę pytań dla inspektora ochrony danych opisaliśmy w tekście RODO w gabinecie lekarskim. Czego wymagać od dostawcy oprogramowania, a to, jak te zasady działają w eGabinet, opisaliśmy na stronie Bezpieczeństwo danych.

Kontekst: sierpień 2026

W sierpniu 2026 potwierdzono cyberatak na jednego z największych w Polsce dostawców systemów do prowadzenia elektronicznej dokumentacji medycznej. Według doniesień medialnych incydent dotyczył zasobów archiwalnych i objął dane pacjentów kilkunastu tysięcy placówek publicznych i prywatnych; sprawą zajmują się UODO, Prokuratura Krajowa i CBZC. Dla placówek korzystających z innych systemów to nie jest wiadomość „nie o nas” — to test, czy wiedzą, kto zgłasza naruszenie, w jakim terminie i na podstawie jakich informacji od dostawcy.

Warto też przyjąć do wiadomości liczby z badania Centrum e-Zdrowia obejmującego ponad 11 tys. podmiotów: ponad 72 proc. placówek nie ma zespołu odpowiedzialnego za cyberbezpieczeństwo. Gotowa procedura na kartce jest w tej sytuacji tańsza od każdego audytu.

FAQ

Kto zgłasza naruszenie do UODO, gdy wyciek nastąpił u dostawcy oprogramowania?

Placówka jako administrator danych. Dostawca jest podmiotem przetwarzającym i ma obowiązek niezwłocznie zgłosić naruszenie administratorowi oraz przekazać mu informacje potrzebne do zgłoszenia.

Od kiedy liczy się 72 godziny?

Od stwierdzenia naruszenia przez administratora, czyli w praktyce od otrzymania wiarygodnej informacji o incydencie — nie od daty samego zdarzenia u dostawcy.

Co zrobić, jeśli dostawca nie potrafi określić zakresu danych w ciągu 72 godzin?

Złożyć zgłoszenie niepełne w terminie i uzupełnić je, gdy pojawią się dane. RODO dopuszcza etapowe przekazywanie informacji.

Czy trzeba zawiadomić wszystkich pacjentów?

Zawiadomienie jest wymagane, gdy naruszenie może powodować wysokie ryzyko dla praw i wolności osób. Przy dokumentacji medycznej i numerach PESEL taki próg zwykle jest spełniony; zawiadamia się osoby, których dane objął incydent.

Co doradzić pacjentowi po wycieku danych medycznych?

Zastrzeżenie numeru PESEL, czujność wobec SMS-ów i telefonów odwołujących się do wycieku, brak reakcji na linki do „weryfikacji danych” oraz kontakt z placówką w razie wątpliwości. Zastrzeżenie PESEL nie chroni przed socjotechniką — chroni przed zawarciem umowy na Twoje dane.

Czy zmiana systemu medycznego usuwa dane z poprzedniego?

Nie automatycznie. Trzeba wystąpić o usunięcie danych po rozwiązaniu umowy i uzyskać pisemne potwierdzenie, wraz z informacją o kopiach zapasowych i terminie ich wygaśnięcia.

Chcesz zobaczyć to w systemie?

Umów prezentację albo załóż konto testowe na 30 dni — bez karty.