Trzy decyzje, które ustawiły rok 2024 i 2025 w polskiej medycynie
W marcu 2024 roku Centrum Medyczne DCG dowiedziało się, że jego dostawca oprogramowania padł ofiarą wycieku. W sieci pojawiły się imiona, numery PESEL, dane adresowe, terminy wizyt z nazwiskami lekarzy i ich specjalizacjami, dane o stanie zdrowia, recepty, skierowania, zwolnienia. Postępowanie UODO w tej sprawie wciąż trwa, ale kierunek decyzji jest przewidywalny.
Cztery miesiące wcześniej ALAB Laboratoria potwierdziły największy wyciek danych medycznych w historii Polski. Ponad 50 GB danych ponad 50 tysięcy pacjentów trafiło do publicznej sieci. Wyniki badań, dane identyfikacyjne, informacje finansowe. W obu przypadkach to nie placówki włamały się same do siebie. W obu przypadkach kara administracyjna i tak idzie na nie.
Dlatego ten tekst nie jest o tym, że strona internetowa kliniki powinna mieć certyfikat SSL. Jest o tym, że od kwietnia 2026 roku osobista odpowiedzialność kierownika podmiotu leczniczego ma już nie tylko podstawę w RODO. Ma drugą warstwę w ustawie o Krajowym Systemie Cyberbezpieczeństwa, wdrażającej dyrektywę NIS2. I trzecią, w odpowiedzialności cywilnej wobec każdego pacjenta z osobna.
Co najczęściej myli się w analizie ryzyka RODO?
Najczęstszy błąd właścicieli klinik polega na traktowaniu RODO jako jednego problemu. W rzeczywistości po jednym incydencie uruchamiają się równolegle trzy osobne reżimy odpowiedzialności, każdy z własną podstawą prawną i własną sankcją.
Pierwszy reżim to kara administracyjna z UODO na podstawie RODO. Drugi to kara administracyjna z organu nadzorującego ustawę o KSC. Trzeci to roszczenia cywilne pacjentów na podstawie art. 82 RODO. Te trzy sankcje sumują się. Nie zastępują się wzajemnie. Argument „już dostaliśmy karę z UODO” nie zamyka pozostałych postępowań.
Co więcej, każdy z tych reżimów ma własny zegar proceduralny. Zgłoszenie naruszenia do UODO musi nastąpić w ciągu 72 godzin od stwierdzenia (art. 33 RODO). Zgłoszenie incydentu do CSIRT (Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego) ma własny termin wynikający z ustawy o KSC. Roszczenia cywilne biegną według terminów Kodeksu cywilnego. Kierownik placówki musi prowadzić te trzy strumienie równolegle, często w tym samym tygodniu, w atmosferze kryzysu reputacyjnego.
Pierwszy reżim: kara administracyjna z UODO
Maksymalna kara z tytułu RODO wynosi 20 milionów euro albo 4% rocznego obrotu, w zależności od tego, która z tych kwot jest wyższa. Brzmi to abstrakcyjnie, dopóki nie spojrzy się na realne decyzje z polskiego rynku medycznego.
Jakie kary UODO realnie nakłada na placówki medyczne?
Najwyższa kara UODO dla placówki medycznej to 1 440 549 zł nałożone na American Heart of Poland po ataku ransomware z ujawnieniem ponad 21 tysięcy rekordów pacjentów. Drugi w kolejności jest Centrum Medyczne Ujastek z karami łącznymi 1 145 891 zł, a źródłem nie był cyberatak, ale luka organizacyjna.
Centrum Medyczne Ujastek w Krakowie otrzymało dwie decyzje ze stycznia 2025 roku, sumujące się do ponad 1,1 miliona złotych. Powodem był monitoring wizyjny na oddziale neonatologii bez podstawy prawnej oraz zgubienie kart pamięci z nagraniami, które nie były szyfrowane. Żaden z tych incydentów nie miał charakteru ataku zewnętrznego. Były to klasyczne luki organizacyjne wynikające z braku procedur i braku osoby, która regularnie weryfikowałaby zgodność.
Trzeci instruktywny przypadek to Szpital Powiatowy we Wrześni, ukarany za to, że administrator dokumentacji medycznej wydał ją niewłaściwej osobie, a szpital nie zgłosił incydentu do UODO w ciągu 72 godzin, ponieważ „o nim nie wiedział”. Sąd nie uznał tego za argument obronny. Logika regulatora jest spójna: jeśli nie wiesz, że coś się wydarzyło, oznacza to, że nie masz wdrożonych procedur monitorowania, a nie że incydentu nie było. Brak wiedzy nie zwalnia z obowiązku zgłoszenia, lecz dodatkowo go obciąża.
Wzorzec jest jasny: UODO coraz częściej karze nie za sam wyciek, ale za brak udokumentowanych procedur. Założenie regulatora jest proste. Gdyby placówka miała wdrożone procedury, do wycieku najprawdopodobniej by nie doszło, a jeśli już, zostałby wykryty i zgłoszony w terminie.
Drugi reżim: NIS2, o którym mało kto wie
Od 3 kwietnia 2026 roku w Polsce obowiązuje znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2. Podmioty z sektora ochrony zdrowia są w niej wprost wymienione jako kluczowe lub ważne, w zależności od skali działalności. Szacunki rządowe mówią o objęciu regulacją nawet 38 tysięcy podmiotów w Polsce.
Czy NIS2 dotyczy mojej kliniki, czy tylko dużych szpitali?
Mniejsze gabinety podlegają mniej rygorystycznym wymaganiom, ale obowiązek wdrożenia podstawowych środków bezpieczeństwa dotyczy zdecydowanej większości placówek prywatnych zatrudniających powyżej kilku osób personelu. Próg zatrudnienia i obrotu jest punktem wyjścia, a nie wyłączeniem.
Konkretne wymagania, które nakłada ustawa o KSC, można pogrupować w cztery obszary. Pierwszy to obowiązek wdrożenia systemowego zarządzania ryzykiem, polityk bezpieczeństwa, monitoringu sieci, szyfrowania danych w transmisji i spoczynku oraz procedur reagowania na incydenty. Drugi to obowiązek zgłaszania incydentów do CSIRT niezależnie od zgłoszenia do UODO. Te dwa zgłoszenia mają różne terminy i różne formularze, ale dotyczą tego samego zdarzenia.
Trzeci obszar to kary finansowe. Maksymalna sankcja na podstawie ustawy o KSC wynosi do 10 milionów euro lub 2% rocznego obrotu, a ta kara jest niezależna od kary RODO. Po jednym incydencie kierownik może otrzymać dwie decyzje administracyjne, każdą z własnej podstawy prawnej. Czwarty obszar to inspekcje weryfikujące zgodność z normami ISO 27001 (zarządzanie bezpieczeństwem informacji) i ISO 22301 (ciągłość działania). Kierownik musi być w stanie wykazać, że procedury są nie tylko spisane, ale faktycznie wdrożone i regularnie testowane.
Dyrektorzy mają 12 miesięcy od kwietnia 2026 roku na pełne dostosowanie. Oznacza to, że do wiosny 2027 roku każda placówka objęta regulacją musi mieć wszystko gotowe, udokumentowane i sprawdzone. Dla placówek, które dziś nie mają nawet podstawowego audytu, jest to harmonogram napięty.
Trzeci reżim: odpowiedzialność cywilna wobec pacjentów
Trzeci, najmniej widoczny reżim odpowiedzialności jest jednocześnie najtrudniejszy do kontrolowania. Każdy pacjent, którego dane wyciekły, może wystąpić z osobnym roszczeniem o zadośćuczynienie na podstawie art. 82 RODO. Polskie sądy zaczynają zasądzać zadośćuczynienia od kilku do kilkunastu tysięcy złotych za sam fakt naruszenia, bez konieczności wykazania konkretnej szkody majątkowej.
Jak duża jest realna ekspozycja na roszczenia cywilne?
Przy 50 tysiącach pacjentów dotkniętych incydentem typu ALAB teoretyczny pułap odpowiedzialności idzie w setki milionów złotych. W praktyce na drogę sądową trafia kilka procent poszkodowanych, ale nawet 500 spraw po 5 tysięcy złotych daje 2,5 miliona złotych, niezależnie od kary UODO i kary z ustawy o KSC.
Te kwoty nie są hipotetyczne. Sądy w Polsce, podążając za linią orzeczniczą Trybunału Sprawiedliwości Unii Europejskiej, stopniowo obniżają wymagania dowodowe wobec pacjenta. Wystarczające staje się wykazanie naruszenia oraz wiarygodnego doznania dyskomfortu psychicznego, na przykład w postaci obawy o wykorzystanie danych. Nie jest wymagane przedstawienie zaświadczenia psychiatrycznego ani dowodu wymiernej szkody majątkowej.
Z perspektywy operacyjnej oznacza to, że kierownik placówki po incydencie musi liczyć się z trzecim, rozłożonym w czasie strumieniem kosztów, który może ciągnąć się przez kolejne 3-5 lat od wycieku. Część tych roszczeń może zostać zaadresowana przez ubezpieczenie odpowiedzialności cywilnej za cyberincydenty (tzw. polisa cyber), ale tylko jeśli polisa istnieje i była aktywna w momencie naruszenia. To dodatkowy element analizy ryzyka, który dla większości polskich klinik prywatnych jest dziś otwarty.
Strona internetowa kliniki jako wektor ataku
Większość właścicieli klinik nie łączy strony internetowej z RODO i NIS2. To błąd kategorialny. W większości incydentów, które trafiają do UODO, początkiem łańcucha nie jest atak na centralny system szpitalny. Jest słaby punkt na obrzeżu infrastruktury.
Liczba cyberataków na sektor zdrowia w Polsce rośnie wykładniczo: z około 411 incydentów w 2023 roku, przez 1028 w 2024 roku, do ponad 1400 prognozowanych w 2025 roku. Tylko w marcu 2026 roku ofiarą ataku ransomware padły cztery polskie placówki medyczne. Atakujący traktują sektor medyczny jako cel preferowany z dwóch powodów: dane mają wysoką wartość rynkową na czarnym rynku, a placówki częściej niż inne branże decydują się zapłacić okup, żeby przywrócić ciągłość operacyjną.
Dlaczego strona WWW jest najsłabszym ogniwem?
Strona internetowa kliniki łączy w sobie formularz zbierający dane szczególnej kategorii, panel rezerwacji zintegrowany z systemem gabinetowym oraz panel administracyjny CMS, który u znaczącej części klinik korzysta z nieaktualnej wersji oprogramowania podatnej na znane publicznie luki.
Cztery konkretne komponenty strony stanowią ryzyko regulacyjne. Po pierwsze, formularz kontaktowy zbiera dane szczególnej kategorii (art. 9 RODO) za każdym razem, gdy pacjent wpisuje powód wizyty albo opisuje objawy. Te dane muszą być szyfrowane w transmisji, przechowywane w zgodności z RODO i objęte umową powierzenia z każdym podmiotem, który je przetwarza. Po drugie, panel rezerwacji online zintegrowany z systemem gabinetowym staje się realnym mostem do bazy danych medycznych. Włamanie do panelu rezerwacji może oznaczać dostęp do pełnej historii wizyt.
Po trzecie, panel administracyjny CMS, najczęściej WordPress lub Joomla, u zauważalnej części klinik nie jest aktualizowany regularnie. Każda nieaktualna wtyczka jest publicznie udokumentowaną luką, dla której istnieją gotowe narzędzia exploitacji. Po czwarte, pliki cookie i piksele analityczne bez wyraźnej zgody pacjenta przesyłają dane do podmiotów trzecich, często poza Europejski Obszar Gospodarczy. To osobny strumień ryzyka regulacyjnego, ujęty zarówno w RODO, jak i w wyrokach Trybunału Sprawiedliwości UE (Schrems II).
Sprawa Centrum Medycznego DCG pokazuje jeszcze jeden wymiar tego ryzyka: odpowiedzialność za wyciek u dostawcy oprogramowania spada na placówkę, nie na dostawcę. To kierownik placówki musi wykazać, że zweryfikował dostawcę, że ma z nim umowę powierzenia z art. 28 RODO, że przeprowadził analizę ryzyka i regularnie audytuje współpracę. Bez tych dokumentów stoi przed UODO sam, a regresowe dochodzenie odszkodowania od dostawcy jest długim, kosztownym procesem cywilnym o niepewnym wyniku.
Co dokładnie spada na kierownika placówki
Ustawa o KSC wprowadza wprost koncepcję odpowiedzialności zarządczej. Oznacza to, że za niewdrożenie środków cyberbezpieczeństwa odpowiada osobiście kierownik podmiotu, a nie informatyk, nie agencja prowadząca stronę ani zewnętrzny dostawca usług IT. Możliwość delegowania zadań nie wyłącza obowiązku nadzoru.
Które obowiązki kierownika są najczęściej pomijane?
Trzy obowiązki najczęściej pomijane przez kierowników placówek medycznych to powołanie Inspektora Ochrony Danych z realnymi kompetencjami, podpisanie aktualnych umów powierzenia ze wszystkimi procesorami danych oraz prowadzenie aktualnego rejestru czynności przetwarzania wraz z DPIA dla formularzy zbierających dane o zdrowiu.
| Obowiązek | Podstawa prawna | Typowe zaniedbanie |
|---|---|---|
| Powołanie Inspektora Ochrony Danych (IOD) | Art. 37 RODO, obowiązkowo dla podmiotów leczniczych | Funkcja powierzona „na papierze” pracownikowi bez kompetencji, bez odrębnej umowy i bez ścieżki raportowania bezpośrednio do kierownictwa |
| Umowa powierzenia z każdym procesorem (agencja, host, dostawca CMS, dostawca rezerwacji online) | Art. 28 RODO | Brak umowy z agencją prowadzącą stronę albo z firmą hostingową, sankcja możliwa nawet bez wycieku |
| Rejestr czynności przetwarzania i analiza ryzyka (DPIA) dla formularzy zbierających dane o zdrowiu | Art. 30 i 35 RODO | Dokumenty nieaktualne, niepokrywające się z faktycznym stanem strony i systemów, traktowane jako formalność |
Inspektor Ochrony Danych w podmiocie leczniczym to nie jest funkcja symboliczna. Art. 37 RODO wymaga, by IOD miał realne kompetencje, dostęp do najwyższego kierownictwa i niezależność operacyjną. Powierzenie tej funkcji recepcjonistce na połówce etatu, bez odrębnej umowy o powierzeniu funkcji i bez ścieżki raportowania, jest klasyczną luką, którą UODO identyfikuje w postępowaniach kontrolnych.
Umowa powierzenia z art. 28 RODO jest natomiast obowiązkowa wobec każdego podmiotu, który ma dostęp do danych pacjentów w imieniu placówki. Obejmuje to agencję prowadzącą stronę internetową, firmę hostingową, dostawcę systemu rezerwacji online, podmiot wysyłający SMS-y z przypomnieniami o wizycie, dostawcę systemu CRM i każde narzędzie analityczne integrujące się ze stroną. Brak takiej umowy stanowi samodzielne naruszenie, niezależne od tego, czy doszło do wycieku.
Praktyczna sekwencja działań przed inspekcją
Nie chodzi o panikę regulacyjną. Chodzi o trzy decyzje, które dla większości klinik kosztują zdecydowanie mniej niż jedna kara z UODO i zajmują kilka tygodni, a nie kilka miesięcy.
Od czego konkretnie zacząć?
Pierwszy krok to niezależny audyt zgodności obejmujący stronę internetową, system rezerwacji, formularze, umowy z dostawcami i dokumenty wewnętrzne, którego wynikiem jest lista konkretnych luk posortowanych według ryzyka. Drugi krok to domknięcie umów powierzenia ze wszystkimi procesorami. Trzeci krok to zgodność technologiczna stron i systemów front-endowych.
Audyt zgodności powinien być przeprowadzony przez osobę zewnętrzną wobec dotychczasowego dostawcy strony, w przeciwnym wypadku ryzyko konfliktu interesów jest oczywiste. Wynik audytu to dokument, który ma dwie funkcje: operacyjną (lista zadań do wykonania) oraz dowodową (świadczy o tym, że kierownik podjął działania należytej staranności, co ma znaczenie przy ewentualnym postępowaniu administracyjnym).
Domknięcie umów powierzenia jest najtańszym i najszybszym do zrealizowania krokiem. Każdy podmiot, który ma dostęp do danych pacjentów, musi mieć podpisaną aktualną umowę zgodną z art. 28 RODO. Bez wyjątku. Wzory umów są publicznie dostępne, ale ich treść należy dostosować do faktycznego zakresu współpracy. Standardowy szablon kopiowany z internetu nie wystarczy.
Zgodność technologiczna obejmuje aktualną wersję CMS, szyfrowanie transmisji (HTTPS z aktualnymi protokołami), zabezpieczenie panelu administracyjnego uwierzytelnianiem dwuskładnikowym, segmentację dostępów według zasady najmniejszych uprawnień, regularne kopie bezpieczeństwa z testowanym przywracaniem oraz monitoring podejrzanych zdarzeń. Każdy z tych elementów jest standardem rynkowym, a nie luksusem.
Co istotne dla kalkulacji ryzyka osobistego: kara UODO nakładana jest na konkretną osobę prawną, czyli placówkę. Ale w przypadku ustawy o KSC inspekcja sprawdza, czy kierownik osobiście wykonał ciążące na nim obowiązki. To zmienia logikę zarządzania ryzykiem. Do tej pory możliwe było zlecenie problemu komuś i traktowanie go jako zamkniętego. Od kwietnia 2026 roku taka kalkulacja nie znajduje pokrycia w przepisach.
Pytanie, na które warto odpowiedzieć przed końcem tygodnia
Nie ma w Polsce dziś branży bardziej narażonej regulacyjnie niż medyczna. Spotykają się tu wszystkie zmienne, których nie lubi nadzór: dane szczególnej kategorii w rozumieniu art. 9 RODO, słaba infrastruktura IT po stronie wielu placówek, duża liczba podmiotów (czyli statystyczna pewność, że ktoś zostanie skontrolowany), rosnąca liczba ataków, dwa równoległe reżimy unijne, oraz wzrastająca świadomość prawna pacjentów, którzy coraz częściej traktują wyciek danych jak realną szkodę, a nie incydent techniczny.
Pytanie, które powinno zadać sobie każdy kierownik podmiotu leczniczego, nie brzmi „czy moja strona jest ładna”. Brzmi: „czy gdyby jutro o godzinie 8:00 wszedł inspektor UODO albo zespół kontrolny z ustawy o KSC, miałbym mu co pokazać poza ekranem startowym mojej witryny”. Jeśli odpowiedź brzmi „muszę sprawdzić u informatyka”, to jest problem. Jeśli odpowiedź brzmi „nie wiem”, to jest poważny problem.
Najlepszy moment na audyt zgodności był rok temu. Drugi najlepszy jest teraz, zanim wpłynie pierwsza skarga pacjenta, zanim CSIRT odnotuje incydent z numerem REGON Twojej placówki, zanim 72-godzinny zegar zacznie odliczać w niedzielę o 23:00. Compliance w medycynie nie jest projektem jednorazowym. Jest procesem ciągłym, którego brak jest dziś sygnałem ryzyka czytelnym zarówno dla regulatora, jak i dla pacjenta, który zanim wybierze Twoją klinikę, sprawdzi w Google jej historię.