Dane medyczne to dane szczególnej kategorii
Boisz się, że Twoje
dane medyczne wyciekły?
Zobacz, co możesz zrobić.
Wyjaśniamy prostym językiem, czym są dane medyczne, jakie obowiązki ma wobec nich lekarz i przychodnia, oraz czego możesz się domagać.
01
Czym są dane medyczne
RODO nie używa słowa „dane medyczne”. Mówi o danych szczególnej kategorii - informacjach, których ujawnienie może Ci najbardziej zaszkodzić. Ich przetwarzanie jest domyślnie zakazane i staje się legalne tylko w wyjątkach wymienionych w art. 9 ust. 2 RODO - na przykład dla profilaktyki i leczenia.
Zdrowie i leczenie
Rozpoznania, wyniki badań, leki, zwolnienia, historia wizyt, teleporady, skierowania.
Dane genetyczne
Wyniki badań DNA - mówią też o Twojej rodzinie, której nikt o zgodę nie pytał.
Dane biometryczne
Odcisk palca, wzór twarzy lub tęczówki, jeśli służą do identyfikacji.
Życie seksualne i orientacja
Także dane o ciąży, leczeniu niepłodności czy chorobach przenoszonych drogą płciową.
Zdrowie psychiczne i uzależnienia
Formalnie część danych o zdrowiu - w praktyce najczęściej wykorzystywane przeciwko pacjentowi.
Dane pośrednie
Sam fakt wizyty w konkretnej poradni - onkologicznej, psychiatrycznej, uzależnień - to już dana o zdrowiu.
+ Zobacz treść przepisu - art. 9 ust. 1 RODO
„Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.”
Rozporządzenie (UE) 2016/679 - EUR‑Lex
02
Dlaczego dane medyczne trzeba chronić?
Hasło lub e-mail możesz zmienić, ale historii swojej choroby nie zmienisz. Raz ujawnione dane medyczne przestają być Twoją tajemnicą, a stają się dostępne publicznie - dla każdego.
01
Ujawnienie danych jest nieodwracalne
Dane genetyczne i historia chorób są stałe. Jeśli cokolwiek wycieknie, chociaż raz, to już zawsze inni mogą dowiedzieć się o Tobie i historii Twojej choroby - także za dwadzieścia lat.
02
Prowadzą do dyskryminacji
Jeśli ktoś pozna historię Twojego leczenia, np. konsultacji psychiatrycznej, możesz stracić pracę w służbach mundurowych albo nie dostać pozwolenia na broń. Jeśli ubezpieczyciel pozna szczegóły Twoich chorób, może odmówić wypłaty odszkodowania.
03
Dotyczą nie tylko Ciebie
Twój wynik badania genetycznego mówi o rodzeństwie, dzieciach i rodzicach. Nikt z nich nie wyraził na to zgody.
04
Niszczą zaufanie do leczenia
Jeśli Twoje dane wyciekną, to nic dziwnego, jeśli kolejnym razem będziesz chciał w ogóle uniknąć wizyty w gabinecie. I z powodu braku zaufania do lekarza Twoje zdrowie może być zagrożone!
03
Obowiązki lekarzy względem Ciebie
Pamiętaj, że Twoje dane są chronione prawem. Lekarza obowiązują przepisy, a ich naruszenie może skutkować odpowiedzialnością administracyjną, cywilną i zawodową.
+ Zachować tajemnicę zawodową art. 40 u.z.l.
Lekarz ma obowiązek zachowania w tajemnicy wszystkiego, o czym dowiedział się w związku z leczeniem - także po śmierci pacjenta. Wyjątki są zamknięte i wąskie (m.in. zgoda pacjenta, zagrożenie życia, przepis ustawy). Podstawa: art. 40 ustawy o zawodach lekarza i lekarza dentysty oraz art. 13–14 ustawy o prawach pacjenta.
+ Zabezpieczyć dane technicznie i organizacyjnie art. 32 RODO
Szyfrowanie nośników, indywidualne konta w systemie, kontrola dostępu, kopie zapasowe, zamykane szafy na dokumentację papierową, umowy powierzenia z firmą IT i laboratorium (art. 28 RODO). Środki muszą być adekwatne do ryzyka - a przy danych o zdrowiu ryzyko jest z definicji wysokie.
+ Udzielać dostępu tylko osobom uprawnionym art. 26 u.p.p.
Dokumentację udostępnia się pacjentowi, jego przedstawicielowi ustawowemu i osobie upoważnionej. Personel może zaglądać wyłącznie do danych potrzebnych do wykonywanych zadań - „bo byłem ciekawy” jest naruszeniem, nawet gdy nic nie wyszło poza gabinet.
+ Poinformować o przetwarzaniu i odpowiedzieć na wniosek art. 13–15 RODO
Klauzula informacyjna w rejestracji to minimum. Na Twoje pytanie o cele, odbiorców, okres przechowywania i źródło danych placówka musi odpowiedzieć - bez zbędnej zwłoki, najpóźniej w miesiąc (art. 12 ust. 3 RODO).
+ Zgłosić naruszenie ochrony danych art. 33–34 RODO
Naruszenie zgłasza się Prezesowi UODO w 72 godziny. Jeśli ryzyko dla pacjentów jest wysokie - a przy danych o zdrowiu zwykle jest - placówka musi powiadomić także Ciebie, bez zbędnej zwłoki i zrozumiałym językiem.
+ Wyznaczyć inspektora ochrony danych (IOD) art. 37 RODO
Podmioty przetwarzające dane o zdrowiu na dużą skalę mają obowiązek wyznaczyć IOD i opublikować jego dane kontaktowe. To pierwszy adres, na który warto skierować pytanie o swoje dane.
04
Twoje prawa jako pacjenta
ART. 15 RODO
Dostęp do danych i kopia
Możesz zapytać, co o Tobie wiedzą, i otrzymać kopię. Pierwsza kopia danych jest bezpłatna.
ART. 16 RODO
Sprostowanie
Błędne nazwisko, PESEL czy adres muszą zostać poprawione. Wpisu klinicznego się nie „kasuje” - dodaje się adnotację.
ART. 18 RODO
Ograniczenie przetwarzania
Gdy kwestionujesz prawidłowość danych, możesz żądać „zamrożenia” ich wykorzystywania do czasu wyjaśnienia.
ART. 21 RODO
Sprzeciw
Wobec przetwarzania w celach innych niż leczenie - marketingu, badań, profilowania, ankiet.
ART. 7 UST. 3 RODO
Wycofanie zgody
Zgodę na newsletter, SMS‑y i ankiety możesz odwołać w każdej chwili, tak łatwo jak jej udzielono.
ART. 77 RODO
Skarga do UODO
Bezpłatna. Prezes UODO może nakazać zmianę praktyk i nałożyć administracyjną karę pieniężną.
ART. 82 RODO
Odszkodowanie
Za szkodę majątkową i niemajątkową - w tym za samo naruszenie prywatności - odpowiada administrator.
ART. 23 U.P.P.
Prawo do dokumentacji
Niezależna od RODO ścieżka: wgląd, wyciąg, odpis, kopia lub wydruk dokumentacji medycznej.
Czego zwykle nie możesz
Żądać usunięcia dokumentacji medycznej. Placówka ma ustawowy obowiązek jej przechowywania - z reguły 20 lat od ostatniego wpisu - więc „prawo do zapomnienia” tu nie działa (art. 17 ust. 3 lit. b RODO w związku z art. 29 ustawy o prawach pacjenta).
05
Terminy, które warto znać
1 mies.
Na odpowiedź na Twój wniosek z RODO (art. 12 ust. 3).
+2 mies.
Możliwe przedłużenie w skomplikowanych sprawach - musisz zostać o nim poinformowany w pierwszym miesiącu.
72 h
Na zgłoszenie naruszenia ochrony danych Prezesowi UODO (art. 33 RODO).
20 lat
Podstawowy okres przechowywania dokumentacji medycznej od ostatniego wpisu.
+ Wyjątki od okresu 20 lat - art. 29 ustawy o prawach pacjenta
30 lat - gdy zgon nastąpił wskutek uszkodzenia ciała lub zatrucia. 22 lata - dokumentacja dzieci do ukończenia 2. roku życia. 10 lat - zdjęcia rentgenowskie przechowywane poza dokumentacją pacjenta. 5 lat - skierowania i zlecenia lekarza. Po upływie terminu placówka niszczy dokumentację w sposób uniemożliwiający identyfikację - albo, na Twój wniosek, wydaje ją Tobie.
06
Gdy Twoje dane wyciekły
KROK 1
Zbierz dowody
Zrzuty ekranu, e‑maile, data i godzina, imiona osób, które widziały dane. Nic nie usuwaj.
KROK 2
Napisz do placówki i IOD
Zapytaj o zakres naruszenia, zgłoszenie do UODO i działania zaradcze. Wyznacz 14 dni.
KROK 3
Złóż skargę do UODO
Bezpłatnie, na podstawie art. 77 RODO. Urząd ma obowiązek zbadać sprawę i poinformować Cię o wyniku.
KROK 4
Rozważ żądanie zapłaty lub pozew
Art. 82 RODO i art. 4 ustawy o prawach pacjenta dają podstawę do odszkodowania i zadośćuczynienia. W poważniejszych przypadkach możesz ich dochodzić od podmiotu leczniczego (administratora danych) lub podmiotu przetwarzającego dane.
Pytanie, które dostajemy najczęściej
Czy należy mi się odszkodowanie przy wycieku danych?
Krótka odpowiedź brzmi: możliwe, że tak.
Jednak zależy to od konkretnego przypadku i może wiązać się z koniecznością pójścia do sądu. Nikt na 100% nie będzie w stanie powiedzieć, czy otrzymasz jakieś pieniądze w przypadku wycieku danych (medycznych lub innych) z winy podmiotu, który był obowiązany je chronić.
Nawet jeśli nie zdecydujesz się dochodzić roszczeń na drodze sądowej lub nie otrzymasz żadnej rekompensaty, warto jednak dowiedzieć się, jakie dane mogły zostać ujawnione i jakie działania podjął podmiot, aby ograniczyć skutki bezprawnego ujawnienia Twoich danych.
Trzy podstawy, na które możesz się powołać
Nie wykluczają się wzajemnie. W jednym pozwie można powołać więcej niż jedną.
art. 82 RODO
Odszkodowanie na podstawie RODO
Odpowiada administrator, czyli podmiot leczniczy, a także podmiot przetwarzający dane na jego zlecenie. Należy się zarówno odszkodowanie za szkodę majątkową, jak i zadośćuczynienie za niemajątkową.
- Samo naruszenie nie wystarczy. Trzeba wykazać szkodę. Tak orzekł Trybunał Sprawiedliwości UE i podtrzymał to w wyroku z 4 września 2025 r.
- Nie ma jednak progu istotności. Szkodą niemajątkową bywa sama utrata kontroli nad danymi oraz obawa, że zostaną wykorzystane przeciwko Tobie.
- Ciężar dowodu jest przesunięty. To administrator musi wykazać, że nie ponosi winy za zdarzenie i że jego zabezpieczenia były odpowiednie do ryzyka.
- Sąd nie karze, tylko wyrównuje. Świadczenie ma charakter kompensacyjny, więc wysokość odpowiada Twojej szkodzie, a nie zamożności placówki.
art. 23, 24 i 448 k.c.
Naruszenie dóbr osobistych
Informacja o Twoim zdrowiu należy do sfery prywatności chronionej jako dobro osobiste. Ujawnienie jej bez podstawy prawnej narusza to dobro niezależnie od RODO.
- Bezprawność jest domniemana. Artykuł 24 kodeksu cywilnego odwraca ciężar dowodu: to pozwany musi udowodnić, że działał zgodnie z prawem. W praktyce bywa to droga łatwiejsza niż wykazywanie szkody z RODO.
- Zadośćuczynienie pieniężne przyznaje sąd na podstawie art. 448 k.c., alternatywnie może zasądzić zapłatę na cel społeczny.
- Oprócz pieniędzy możesz żądać zaniechania naruszeń i usunięcia ich skutków, na przykład oświadczenia o odpowiedniej treści i formie.
art. 4 u.p.p.
Naruszenie praw pacjenta
Ustawa o prawach pacjenta daje osobną podstawę. Prawo do tajemnicy informacji związanych z pacjentem jest jednym z praw chronionych tą ustawą.
- Warunkiem jest wina podmiotu. Przy zawinionym naruszeniu praw pacjenta sąd może przyznać zadośćuczynienie, również na podstawie art. 448 k.c.
- Podstawa tajemnicy to art. 13 i 14 ustawy o prawach pacjenta oraz art. 40 ustawy o zawodach lekarza i lekarza dentysty.
- Dane o zdrowiu to kategoria szczególna w rozumieniu art. 9 RODO, co podnosi wagę naruszenia w ocenie sądu.
Zanim pójdziesz do sądu: dwie drogi bezpłatne
Skarga do Prezesa UODO
art. 77 RODO
Bezpłatna. Urząd zbada sprawę i może nakazać placówce zmianę praktyk oraz nałożyć na nią karę pieniężną, ale te pieniądze trafiają do budżetu państwa, nie do Ciebie. Decyzja stwierdzająca naruszenie jest natomiast mocnym dowodem w późniejszym procesie cywilnym.
Wniosek do Rzecznika Praw Pacjenta
art. 50 u.p.p.
Bezpłatny. Rzecznik prowadzi postępowanie wyjaśniające, jeśli informacje uprawdopodobniają naruszenie praw pacjenta. Może też wziąć udział w Twojej sprawie cywilnej przed sądem, co bywa realnym wsparciem dla pacjenta bez pełnomocnika.
Co realnie wzmacnia sprawę
Konkretna szkoda
Nie sam fakt wycieku, lecz co się po nim wydarzyło: telefony od nieznanych osób, próby wyłudzeń, utrata pracy lub ubezpieczenia, pogorszenie stanu zdrowia.
Zakres ujawnienia
Jakie dokładnie dane wypłynęły, do kogo trafiły i jak długo były dostępne. Stąd znaczenie wniosku o informację, zanim placówka uporządkuje ślady.
Reakcja placówki
Czy zgłosiła naruszenie Prezesowi UODO w 72 godziny, czy powiadomiła Ciebie i co zrobiła, żeby ograniczyć skutki. Milczenie działa na jej niekorzyść.
Charakter danych
Rozpoznanie psychiatryczne, leczenie uzależnień czy wynik badania genetycznego waży w ocenie sądu więcej niż samo imię i nazwisko.
Ta sekcja opisuje stan prawny na sierpień 2026 r. i ma charakter informacyjny. Nie jest poradą prawną i nie zastępuje oceny konkretnej sprawy przez adwokata lub radcę prawnego.
07
Wzory pism
Sześć gotowych wzorów z prawidłowymi podstawami prawnymi. Nie prosimy Cię o żadne dane - wzór zawiera pola w nawiasach kwadratowych, które wypełniasz samodzielnie po pobraniu.
Wybierz wzór
Wzór do samodzielnego wypełnienia
Uzupełnij pola w NAWIASACH KWADRATOWYCH, usuń nawiasy i podpisz. Zachowaj potwierdzenie nadania - od jego daty liczy się miesięczny termin na odpowiedź.
Wzory pism mają charakter informacyjny i nie stanowią porady prawnej. W sprawie skomplikowanej - zwłaszcza przy roszczeniu odszkodowawczym - skonsultuj się z prawnikiem.
08
Najczęstsze pytania
+Czy placówka może odmówić wydania mojej dokumentacji?
Nie, jeśli wnioskuje pacjent, jego przedstawiciel ustawowy albo osoba upoważniona. Może natomiast wskazać formę udostępnienia i termin odbioru. Odmowa wymaga podstawy prawnej - poproś o nią na piśmie, to najlepszy załącznik do skargi.
+Czy muszę zapłacić za kopię dokumentacji?
Pierwsza kopia danych w trybie art. 15 ust. 3 RODO jest bezpłatna. Ustawa o prawach pacjenta dopuszcza opłatę za kolejne udostępnienia w niektórych formach - dlatego w naszym wzorze wniosek składany jest w trybie RODO.
+Czy mogę zażądać usunięcia moich danych medycznych?
Zwykle nie. Dokumentacja medyczna jest prowadzona i przechowywana na podstawie ustawy, a art. 17 ust. 3 lit. b RODO wyłącza w takim przypadku prawo do usunięcia. Możesz jednak żądać usunięcia danych zebranych ponad obowiązek - np. numeru telefonu wykorzystywanego do marketingu.
+Recepcja pyta o powód wizyty przy innych pacjentach. Czy to naruszenie?
Tak, jeśli osoby postronne słyszą informacje o Twoim zdrowiu. Placówka ma obowiązek zorganizować rejestrację tak, by zapewnić poufność (art. 32 RODO w związku z art. 13 ustawy o prawach pacjenta). Masz prawo poprosić o rozmowę na osobności.
+Czy pracodawca może dowiedzieć się, na co choruję?
Nie. Otrzymuje informację o niezdolności do pracy i jej okresie, a z badań profilaktycznych - orzeczenie o zdolności do pracy. Rozpoznanie pozostaje objęte tajemnicą lekarską.
+Ile czasu ma UODO na rozpatrzenie skargi?
Postępowanie prowadzone jest według Kodeksu postępowania administracyjnego - zasadniczo miesiąc, a w sprawie wymagającej postępowania wyjaśniającego dwa miesiące. W praktyce trwa dłużej; masz prawo pytać o stan sprawy.
09
Słowniczek
Administrator danych
Podmiot decydujący o celach przetwarzania - przychodnia, szpital, praktyka lekarska. To on odpowiada za Twoje dane.
Podmiot przetwarzający
Firma działająca na zlecenie administratora: dostawca systemu gabinetowego, laboratorium, firma niszcząca dokumenty. Wymaga umowy powierzenia.
IOD
Inspektor ochrony danych. Osoba w placówce odpowiedzialna za nadzór nad ochroną danych; jej kontakt musi być podany publicznie.
Naruszenie ochrony danych
Przypadkowe lub bezprawne ujawnienie, utrata, zmiana lub dostęp do danych. Zgubiony pendrive to naruszenie, nawet gdy nikt danych nie odczytał.
Dane szczególnej kategorii
Kategoria z art. 9 RODO, potocznie „dane wrażliwe”. Obejmuje dane o zdrowiu, genetyczne i biometryczne.
EDM
Elektroniczna dokumentacja medyczna. Prowadzona i wymieniana na zasadach ustawy o systemie informacji w ochronie zdrowia.
10
Podstawy prawne
Akty prawne, które regulują bezpieczeństwo Twoich danych medycznych.
EUR‑LEX · 32016R0679
RODO
Rozporządzenie (UE) 2016/679. Art. 9 - dane o zdrowiu, art. 15 - dostęp, art. 32 - bezpieczeństwo, art. 77 - skarga.
ISAP · DZ.U. 2018 POZ. 1000
Ustawa o ochronie danych osobowych
Z 10 maja 2018 r. Reguluje postępowanie przed Prezesem UODO, kontrole i sankcje krajowe.
ISAP · DZ.U. 2009 NR 52 POZ. 417
Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta
Prawo do tajemnicy (art. 13–14), do dokumentacji (art. 23–27) i okresy jej przechowywania (art. 29).
ISAP · DZ.U. 2020 POZ. 1666
Rozporządzenie MZ o dokumentacji medycznej
Jak dokumentacja ma być prowadzona, przechowywana i udostępniana - w tym w postaci elektronicznej.
ISAP · DZ.U. 1997 NR 28 POZ. 152
Ustawa o zawodach lekarza i lekarza dentysty
Art. 40 - tajemnica lekarska, jej granice i wyjątki.
Zapytaj swoją placówkę, co robi z Twoimi danymi.
Pobierz wzór pisma lub e-maila i uzupełnij samodzielnie danymi swoimi i swojego lekarza lub podmiotu leczniczego.