IOD dla podmiotów medycznych — zewnętrzny Inspektor Ochrony Danych

Placówka medyczna to najbardziej wymagające środowisko ochrony danych, jakie istnieje — każdy pacjent oznacza dane szczególnej kategorii z art. 9 RODO, powołanie IOD jest w praktyce obowiązkowe, dokumentację medyczną trzeba przechowywać co najmniej 20 lat, a sektor zdrowia jest jednym z najczęściej kontrolowanych i najczęściej atakowanych. Pełnimy funkcję zewnętrznego Inspektora Ochrony Danych dla podmiotów leczniczych: szpitali, przychodni, klinik, laboratoriów i gabinetów — łącząc znajomość RODO, przepisów medycznych i cyberbezpieczeństwa.

IOD DLA PODMIOTÓW MEDYCZNYCHDlaczego to nie jest zwykłe RODO?Dane szczególne art. 9Każdy pacjent to dane zdrowotne —najwyższy reżim ochronyIOD obowiązkowyDane o zdrowiu na dużą skalę= obowiązek z art. 37 RODODokumentacja 20+ latRetencja dokumentacji medycznejto osobna dyscyplinaKontrole i incydentyOchrona zdrowia pod lupą UODO,szpitale w zakresie NIS2

Czy podmiot medyczny musi mieć IOD?

W zdecydowanej większości przypadków — tak. Art. 37 RODO nakazuje wyznaczenie inspektora, gdy główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych — a dokładnie tym jest udzielanie świadczeń zdrowotnych. Wyjątek dotyczy w zasadzie tylko indywidualnych praktyk (pojedynczy lekarz przyjmujący własnych pacjentów); już przychodnia z kilkoma lekarzami i rejestracją zwykle spełnia przesłankę „dużej skali”. Podmioty publiczne (szpitale, ZOZ-y) mają obowiązek zawsze. Szczegóły procedury opisujemy w przewodniku jak powołać IOD.

Co wyróżnia ochronę danych w medycynie?

Dane zdrowotne na każdym kroku. Rejestracja, wywiad, dokumentacja, wyniki badań, teleporady, monitoring na oddziale — wszystko to dane z art. 9, których przetwarzanie opiera się nie na zgodzie pacjenta, lecz na przesłance celów zdrowotnych (art. 9 ust. 2 lit. h). Błędne oparcie działalności leczniczej o zgody to jeden z najczęstszych błędów, które zastajemy — pełen katalog przesłanek omawiamy w analizie art. 9 ust. 2 RODO.

Retencja, jakiej nie ma nigdzie indziej. Dokumentacja medyczna: co do zasady 20 lat, dokumentacja dzieci do 2. roku życia — 22 lata, zdjęcia RTG — 10 lat, skierowania — 5 lat. Do tego EDM, systemy gabinetowe i archiwa papierowe. Ułożenie tego wymaga procedur, których nie da się skopiować z „uniwersalnego wzoru RODO”.

Prawa pacjenta ≠ prawa z RODO. Udostępnianie dokumentacji medycznej reguluje ustawa o prawach pacjenta — i krzyżuje się z prawem dostępu z RODO. Kto może odebrać dokumentację, komu wolno udzielić informacji przez telefon, co z osobami upoważnionymi i bliskimi po śmierci pacjenta — to codzienne pytania rejestracji, na które personel musi znać odpowiedzi.

Sektor pod presją. Ochrona zdrowia jest regularnie kontrolowana przez UODO i jednocześnie należy do najczęściej atakowanych (ransomware na szpitale). Większe podmioty lecznicze są też objęte NIS2 jako podmioty ważne lub kluczowe — sprawdź naszą usługę wdrożenia NIS2.

Co obejmuje outsourcing IOD dla podmiotu medycznego?

  • formalne pełnienie funkcji IOD i zgłoszenie do UODO,
  • audyt otwarcia: dokumentacja, EDM, rejestracja, obiegi papierowe, monitoring, umowy z laboratoriami i dostawcami IT,
  • dokumentacja dopasowana do specyfiki medycznej (rejestr czynności, procedury udostępniania dokumentacji, upoważnienia, retencja, DPIA dla systemów medycznych),
  • szkolenia personelu — rejestracji, pielęgniarek, lekarzy, administracji (różne role, różne ryzyka),
  • obsługa naruszeń: od zgubionej dokumentacji po atak ransomware — ocena, zgłoszenie w 72 h, komunikacja z pacjentami,
  • wsparcie przy kontrolach UODO, NFZ i akredytacjach,
  • opiniowanie teleporad, nowych systemów, aplikacji pacjenta i przetwarzania w chmurze,
  • bieżące odpowiedzi na pytania personelu — także te „z rejestracji, na już”.

Pełny zakres funkcji opisujemy na stronie outsourcingu funkcji IOD.

Dla kogo?

Szpitale i ZOZ-y, przychodnie POZ i specjalistyczne, kliniki (w tym stomatologiczne i medycyny estetycznej), laboratoria diagnostyczne, centra rehabilitacji, podmioty telemedyczne oraz sieci placówek. Dla podmiotów z Warszawy i Mazowsza oferujemy obsługę stacjonarną — audyty i szkolenia na miejscu.

Ile to kosztuje?

Podmioty medyczne wyceniamy indywidualnie, bo rozpiętość jest duża: inna jest skala ryzyka gabinetu, inna sieci przychodni, a inna szpitala. Orientacyjnie mieścimy się w widełkach od ok. 2000 zł netto miesięcznie dla mniejszych placówek do 5000 zł i więcej dla podmiotów regulowanych o dużej skali. Audyt otwarcia jest w cenie, umowę podpisujemy w 24 godziny. Czynniki cenotwórcze rozbieramy w artykule ile kosztuje zewnętrzny IOD.

Najczęstsze pytania

Czy mały gabinet lekarski musi mieć IOD?
Indywidualna praktyka pojedynczego lekarza — zwykle nie (to wyjątek wskazany wprost w wytycznych). Przychodnia z kilkoma lekarzami, rejestracją i tysiącami pacjentów rocznie — niemal na pewno tak.

Czy pacjent musi wyrażać zgodę na przetwarzanie danych?
Nie na leczenie — podstawą jest art. 9 ust. 2 lit. h RODO, nie zgoda. Zgody są potrzebne na działania dodatkowe: marketing, newsletter, przypomnienia SMS wykraczające poza organizację świadczeń.

Co z dokumentacją po zmarłych pacjentach?
RODO nie chroni danych osób zmarłych, ale dokumentacja medyczna podlega dalej przepisom o prawach pacjenta — w tym zasadom udostępniania osobom upoważnionym i bliskim. To jeden z obszarów, gdzie procedury muszą łączyć oba reżimy.

Czy IOD musi znać się na medycynie?
Musi rozumieć specyfikę sektora: dokumentację medyczną, EDM, prawa pacjenta, tajemnicę zawodową i realia pracy rejestracji. Inspektor „ogólny”, bez praktyki medycznej, będzie generował procedury oderwane od rzeczywistości placówki.

Porozmawiajmy o ochronie danych w Twojej placówce

Umów bezpłatną konsultację — sprawdzimy, czy Twój podmiot ma obowiązek powołania IOD, i zaproponujemy zakres dopasowany do skali placówki. Skontaktuj się z nami — odpowiadamy tego samego dnia roboczego.