D DaneMedyczne.pl Wzory pism
Dane medyczne to dane szczególnej kategorii

Boisz się, że Twoje
dane medyczne wyciekły?
Zobacz, co możesz zrobić.

Wyjaśniamy prostym językiem, czym są dane medyczne, jakie obowiązki ma wobec nich lekarz i przychodnia, oraz czego możesz się domagać.

Pobierz wzór pisma Najpierw wyjaśnij mi podstawy
01

Czym są dane medyczne

RODO nie używa słowa „dane medyczne”. Mówi o danych szczególnej kategorii - informacjach, których ujawnienie może Ci najbardziej zaszkodzić. Ich przetwarzanie jest domyślnie zakazane i staje się legalne tylko w wyjątkach wymienionych w art. 9 ust. 2 RODO - na przykład dla profilaktyki i leczenia.

Zdrowie i leczenie
Rozpoznania, wyniki badań, leki, zwolnienia, historia wizyt, teleporady, skierowania.
Dane genetyczne
Wyniki badań DNA - mówią też o Twojej rodzinie, której nikt o zgodę nie pytał.
Dane biometryczne
Odcisk palca, wzór twarzy lub tęczówki, jeśli służą do identyfikacji.
Życie seksualne i orientacja
Także dane o ciąży, leczeniu niepłodności czy chorobach przenoszonych drogą płciową.
Zdrowie psychiczne i uzależnienia
Formalnie część danych o zdrowiu - w praktyce najczęściej wykorzystywane przeciwko pacjentowi.
Dane pośrednie
Sam fakt wizyty w konkretnej poradni - onkologicznej, psychiatrycznej, uzależnień - to już dana o zdrowiu.
+ Zobacz treść przepisu - art. 9 ust. 1 RODO
„Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.”
Rozporządzenie (UE) 2016/679 - EUR‑Lex
02

Dlaczego dane medyczne trzeba chronić?

Hasło lub e-mail możesz zmienić, ale historii swojej choroby nie zmienisz. Raz ujawnione dane medyczne przestają być Twoją tajemnicą, a stają się dostępne publicznie - dla każdego.

01
Ujawnienie danych jest nieodwracalne
Dane genetyczne i historia chorób są stałe. Jeśli cokolwiek wycieknie, chociaż raz, to już zawsze inni mogą dowiedzieć się o Tobie i historii Twojej choroby - także za dwadzieścia lat.
02
Prowadzą do dyskryminacji
Jeśli ktoś pozna historię Twojego leczenia, np. konsultacji psychiatrycznej, możesz stracić pracę w służbach mundurowych albo nie dostać pozwolenia na broń. Jeśli ubezpieczyciel pozna szczegóły Twoich chorób, może odmówić wypłaty odszkodowania.
03
Dotyczą nie tylko Ciebie
Twój wynik badania genetycznego mówi o rodzeństwie, dzieciach i rodzicach. Nikt z nich nie wyraził na to zgody.
04
Niszczą zaufanie do leczenia
Jeśli Twoje dane wyciekną, to nic dziwnego, jeśli kolejnym razem będziesz chciał w ogóle uniknąć wizyty w gabinecie. I z powodu braku zaufania do lekarza Twoje zdrowie może być zagrożone!
03

Obowiązki lekarzy względem Ciebie

Pamiętaj, że Twoje dane są chronione prawem. Lekarza obowiązują przepisy, a ich naruszenie może skutkować odpowiedzialnością administracyjną, cywilną i zawodową.

+ Zachować tajemnicę zawodową art. 40 u.z.l.
Lekarz ma obowiązek zachowania w tajemnicy wszystkiego, o czym dowiedział się w związku z leczeniem - także po śmierci pacjenta. Wyjątki są zamknięte i wąskie (m.in. zgoda pacjenta, zagrożenie życia, przepis ustawy). Podstawa: art. 40 ustawy o zawodach lekarza i lekarza dentysty oraz art. 13–14 ustawy o prawach pacjenta.
+ Zabezpieczyć dane technicznie i organizacyjnie art. 32 RODO
Szyfrowanie nośników, indywidualne konta w systemie, kontrola dostępu, kopie zapasowe, zamykane szafy na dokumentację papierową, umowy powierzenia z firmą IT i laboratorium (art. 28 RODO). Środki muszą być adekwatne do ryzyka - a przy danych o zdrowiu ryzyko jest z definicji wysokie.
+ Udzielać dostępu tylko osobom uprawnionym art. 26 u.p.p.
Dokumentację udostępnia się pacjentowi, jego przedstawicielowi ustawowemu i osobie upoważnionej. Personel może zaglądać wyłącznie do danych potrzebnych do wykonywanych zadań - „bo byłem ciekawy” jest naruszeniem, nawet gdy nic nie wyszło poza gabinet.
+ Poinformować o przetwarzaniu i odpowiedzieć na wniosek art. 13–15 RODO
Klauzula informacyjna w rejestracji to minimum. Na Twoje pytanie o cele, odbiorców, okres przechowywania i źródło danych placówka musi odpowiedzieć - bez zbędnej zwłoki, najpóźniej w miesiąc (art. 12 ust. 3 RODO).
+ Zgłosić naruszenie ochrony danych art. 33–34 RODO
Naruszenie zgłasza się Prezesowi UODO w 72 godziny. Jeśli ryzyko dla pacjentów jest wysokie - a przy danych o zdrowiu zwykle jest - placówka musi powiadomić także Ciebie, bez zbędnej zwłoki i zrozumiałym językiem.
+ Wyznaczyć inspektora ochrony danych (IOD) art. 37 RODO
Podmioty przetwarzające dane o zdrowiu na dużą skalę mają obowiązek wyznaczyć IOD i opublikować jego dane kontaktowe. To pierwszy adres, na który warto skierować pytanie o swoje dane.
04

Podstawy prawne

Akty prawne, które regulują bezpieczeństwo Twoich danych medycznych.

EUR‑LEX · 32016R0679
RODO
Rozporządzenie (UE) 2016/679. Art. 9 - dane o zdrowiu, art. 15 - dostęp, art. 32 - bezpieczeństwo, art. 77 - skarga.
ISAP · DZ.U. 2018 POZ. 1000
Ustawa o ochronie danych osobowych
Z 10 maja 2018 r. Reguluje postępowanie przed Prezesem UODO, kontrole i sankcje krajowe.
ISAP · DZ.U. 2009 NR 52 POZ. 417
Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta
Prawo do tajemnicy (art. 13–14), do dokumentacji (art. 23–27) i okresy jej przechowywania (art. 29).
ISAP · DZ.U. 2020 POZ. 1666
Rozporządzenie MZ o dokumentacji medycznej
Jak dokumentacja ma być prowadzona, przechowywana i udostępniana - w tym w postaci elektronicznej.
ISAP · DZ.U. 1997 NR 28 POZ. 152
Ustawa o zawodach lekarza i lekarza dentysty
Art. 40 - tajemnica lekarska, jej granice i wyjątki.
05

Twoje prawa jako pacjenta

ART. 15 RODO
Dostęp do danych i kopia
Możesz zapytać, co o Tobie wiedzą, i otrzymać kopię. Pierwsza kopia danych jest bezpłatna.
ART. 16 RODO
Sprostowanie
Błędne nazwisko, PESEL czy adres muszą zostać poprawione. Wpisu klinicznego się nie „kasuje” - dodaje się adnotację.
ART. 18 RODO
Ograniczenie przetwarzania
Gdy kwestionujesz prawidłowość danych, możesz żądać „zamrożenia” ich wykorzystywania do czasu wyjaśnienia.
ART. 21 RODO
Sprzeciw
Wobec przetwarzania w celach innych niż leczenie - marketingu, badań, profilowania, ankiet.
ART. 7 UST. 3 RODO
Wycofanie zgody
Zgodę na newsletter, SMS‑y i ankiety możesz odwołać w każdej chwili, tak łatwo jak jej udzielono.
ART. 77 RODO
Skarga do UODO
Bezpłatna. Prezes UODO może nakazać zmianę praktyk i nałożyć administracyjną karę pieniężną.
ART. 82 RODO
Odszkodowanie
Za szkodę majątkową i niemajątkową - w tym za samo naruszenie prywatności - odpowiada administrator.
ART. 23 U.P.P.
Prawo do dokumentacji
Niezależna od RODO ścieżka: wgląd, wyciąg, odpis, kopia lub wydruk dokumentacji medycznej.
Czego zwykle nie możesz
Żądać usunięcia dokumentacji medycznej. Placówka ma ustawowy obowiązek jej przechowywania - z reguły 20 lat od ostatniego wpisu - więc „prawo do zapomnienia” tu nie działa (art. 17 ust. 3 lit. b RODO w związku z art. 29 ustawy o prawach pacjenta).
06

Terminy, które warto znać

1 mies.
Na odpowiedź na Twój wniosek z RODO (art. 12 ust. 3).
+2 mies.
Możliwe przedłużenie w skomplikowanych sprawach - musisz zostać o nim poinformowany w pierwszym miesiącu.
72 h
Na zgłoszenie naruszenia ochrony danych Prezesowi UODO (art. 33 RODO).
20 lat
Podstawowy okres przechowywania dokumentacji medycznej od ostatniego wpisu.
+ Wyjątki od okresu 20 lat - art. 29 ustawy o prawach pacjenta
30 lat - gdy zgon nastąpił wskutek uszkodzenia ciała lub zatrucia. 22 lata - dokumentacja dzieci do ukończenia 2. roku życia. 10 lat - zdjęcia rentgenowskie przechowywane poza dokumentacją pacjenta. 5 lat - skierowania i zlecenia lekarza. Po upływie terminu placówka niszczy dokumentację w sposób uniemożliwiający identyfikację - albo, na Twój wniosek, wydaje ją Tobie.
07

Gdy Twoje dane wyciekły

KROK 1
Zbierz dowody
Zrzuty ekranu, e‑maile, data i godzina, imiona osób, które widziały dane. Nic nie usuwaj.
KROK 2
Napisz do placówki i IOD
Zapytaj o zakres naruszenia, zgłoszenie do UODO i działania zaradcze. Wyznacz 14 dni.
KROK 3
Złóż skargę do UODO
Bezpłatnie, na podstawie art. 77 RODO. Urząd ma obowiązek zbadać sprawę i poinformować Cię o wyniku.
KROK 4
Rozważ roszczenie
Art. 82 RODO i art. 4 ustawy o prawach pacjenta dają podstawę do odszkodowania i zadośćuczynienia.
08

Wzory pism

Sześć gotowych wzorów z prawidłowymi podstawami prawnymi. Nie prosimy Cię o żadne dane - wzór zawiera pola w nawiasach kwadratowych, które wypełniasz samodzielnie po pobraniu.

Wybierz wzór
Wzory pism mają charakter informacyjny i nie stanowią porady prawnej. W sprawie skomplikowanej - zwłaszcza przy roszczeniu odszkodowawczym - skonsultuj się z prawnikiem.
09

Najczęstsze pytania

+Czy placówka może odmówić wydania mojej dokumentacji?
Nie, jeśli wnioskuje pacjent, jego przedstawiciel ustawowy albo osoba upoważniona. Może natomiast wskazać formę udostępnienia i termin odbioru. Odmowa wymaga podstawy prawnej - poproś o nią na piśmie, to najlepszy załącznik do skargi.
+Czy muszę zapłacić za kopię dokumentacji?
Pierwsza kopia danych w trybie art. 15 ust. 3 RODO jest bezpłatna. Ustawa o prawach pacjenta dopuszcza opłatę za kolejne udostępnienia w niektórych formach - dlatego w naszym wzorze wniosek składany jest w trybie RODO.
+Czy mogę zażądać usunięcia moich danych medycznych?
Zwykle nie. Dokumentacja medyczna jest prowadzona i przechowywana na podstawie ustawy, a art. 17 ust. 3 lit. b RODO wyłącza w takim przypadku prawo do usunięcia. Możesz jednak żądać usunięcia danych zebranych ponad obowiązek - np. numeru telefonu wykorzystywanego do marketingu.
+Recepcja pyta o powód wizyty przy innych pacjentach. Czy to naruszenie?
Tak, jeśli osoby postronne słyszą informacje o Twoim zdrowiu. Placówka ma obowiązek zorganizować rejestrację tak, by zapewnić poufność (art. 32 RODO w związku z art. 13 ustawy o prawach pacjenta). Masz prawo poprosić o rozmowę na osobności.
+Czy pracodawca może dowiedzieć się, na co choruję?
Nie. Otrzymuje informację o niezdolności do pracy i jej okresie, a z badań profilaktycznych - orzeczenie o zdolności do pracy. Rozpoznanie pozostaje objęte tajemnicą lekarską.
+Ile czasu ma UODO na rozpatrzenie skargi?
Postępowanie prowadzone jest według Kodeksu postępowania administracyjnego - zasadniczo miesiąc, a w sprawie wymagającej postępowania wyjaśniającego dwa miesiące. W praktyce trwa dłużej; masz prawo pytać o stan sprawy.
10

Słowniczek

Administrator danych
Podmiot decydujący o celach przetwarzania - przychodnia, szpital, praktyka lekarska. To on odpowiada za Twoje dane.
Podmiot przetwarzający
Firma działająca na zlecenie administratora: dostawca systemu gabinetowego, laboratorium, firma niszcząca dokumenty. Wymaga umowy powierzenia.
IOD
Inspektor ochrony danych. Osoba w placówce odpowiedzialna za nadzór nad ochroną danych; jej kontakt musi być podany publicznie.
Naruszenie ochrony danych
Przypadkowe lub bezprawne ujawnienie, utrata, zmiana lub dostęp do danych. Zgubiony pendrive to naruszenie, nawet gdy nikt danych nie odczytał.
Dane szczególnej kategorii
Kategoria z art. 9 RODO, potocznie „dane wrażliwe”. Obejmuje dane o zdrowiu, genetyczne i biometryczne.
EDM
Elektroniczna dokumentacja medyczna. Prowadzona i wymieniana na zasadach ustawy o systemie informacji w ochronie zdrowia.

Zapytaj swoją placówkę, co robi z Twoimi danymi.

Pobierz wzór pisma lub e-maila i uzupełnij samodzielnie danymi swoimi i swojego lekarza lub podmiotu leczniczego.

Zobacz wzory pism