16 września 2026 roku Urząd Ochrony Danych Osobowych opublikował komunikat, którego żadna przychodnia nie powinna przegapić: prezes UODO zdecydował, że jeszcze w tym roku obejmie kontrolami kolejne podmioty sektora ochrony zdrowia. Nie jest to zapowiedź na przyszły rok ani ogólna deklaracja o wzmożonym nadzorze. To drugi strumień kontroli, dołożony do planu realizowanego od stycznia, i na tyle poważny, że z jego powodu urząd przesunął zaplanowane na ten rok kontrole internetowych platform dostaw na 2027 rok.
Szczegółowego zakresu tych dodatkowych kontroli urząd nie podał. Zapowiedział ogólnie, że sprawdzi, w jaki sposób chronione są dane pacjentów, bez katalogu kontrolowanych zagadnień. Podał za to dwie inne rzeczy i z nich da się złożyć konkretną listę: plan na 2026 rok mówi, co jest na celowniku planowo, a sprawozdanie za 2025 rok mówi, co kontrolerzy znaleźli u siedmiu placówek sprawdzonych rok wcześniej.
Dwa strumienie kontroli, dwa różne zakresy
Pierwszy strumień to plan kontroli sektorowych, ogłoszony 8 stycznia 2026 roku. Podmioty lecznicze są w nim jednym z pięciu wskazanych sektorów, a zakres jest zawężony bardzo konkretnie, w tym dosłownym brzmieniu:
„Podmioty lecznicze – przetwarzanie danych osobowych przy wykorzystaniu monitoringu wizyjnego, w szczególności dotyczących dzieci, w tym w ramach szpitalnych oddziałów dziecięcych, przychodni/poradni dla dzieci.”
Jeśli prowadzisz poradnię dla dzieci i masz kamery, jesteś dokładnie w tym opisie. Co z tego wynika praktycznie dla monitoringu wizyjnego w placówce, rozpisywaliśmy osobno.
Drugi strumień to właśnie te dodatkowe kontrole z września. Urząd tłumaczy je wprost największym wyciekiem danych pacjentów ostatnich lat i zapowiada, że sprawdzi, „w jaki sposób chronione są dane osób korzystających z ich usług”.
Rok 2025 w liczbach, które tłumaczą tę zapowiedź
Sprawozdanie Prezesa UODO za 2025 rok, opublikowane 1 września 2026, pokazuje skalę, po której widać, że to nie jest retoryka.
Do urzędu wpłynęło 22 435 zgłoszeń naruszeń ochrony danych, o 51 procent więcej niż rok wcześniej. Skarg złożono 12 827, o 61 procent więcej. Kontroli przeprowadzono 76, o 52 procent więcej niż w 2024 roku, z czego 41 z planu sektorowego. Kar pieniężnych nałożono 32, w 20 sprawach, na łączną kwotę 64 436 940,25 zł. Rok wcześniej było ich 27 na niecałe 14 mln zł, więc sama suma kar wzrosła o 363 procent w ciągu roku, przy wzroście ich liczby o 18,5 procent.
W samym urzędzie działa wyodrębniony Wydział do spraw Sektora Zdrowia, Zatrudnienia i Szkolnictwa, dwanaście osób zajmujących się skargami z tego sektora. Ten jeden fakt mówi więcej niż deklaracje: ochrona zdrowia nie jest dla UODO tematem dorywczym.
Jedno zastrzeżenie do tych liczb, żeby nie wyciągać z nich więcej niż mówią: w sprawozdaniu nie ma osobnej statystyki dla samej ochrony zdrowia. Jest kategoria łączona „zdrowie, zatrudnienie i szkolnictwo”, w której odnotowano 390 skarg.
Sześć rzeczy, które UODO znalazł w placówkach. Sprawdź je u siebie
To jest najcenniejszy fragment całego sprawozdania i w praktyce gotowa lista kontrolna. W 2025 roku kontrolą sektorową objęto siedem podmiotów: szpitale, jednostki naukowo-badawcze i przychodnie. Sprawdzano między innymi szkolenia, zarządzanie uprawnieniami do systemów z danymi pacjentów, politykę kopii zapasowych, środki techniczne i organizacyjne oraz procedury bezpieczeństwa. Oto niektóre nieprawidłowości dostrzeżone przez urząd:
- Szkolono wyłącznie nowo zatrudnionych, bez szkoleń uzupełniających dla reszty personelu i bez szkoleń specjalistycznych dla działu IT
- Procedury nadawania i odbierania uprawnień do systemów istniały na papierze, ale nie były stosowane
- Brak rozliczalności użytkowników: żadnych rejestrów logowania, pobierania i zmian plików, brak ewidencji nadawania uprawnień, brak wykazu osób z dostępem zdalnym
- Kopie zapasowe przechowywane w tym samym miejscu co baza produkcyjna
- Brak testowania, mierzenia i oceniania skuteczności zabezpieczeń oraz brak testów odtwarzania z kopii zapasowych
- Brak rozliczalności fizycznego dostępu do serwerowni: dwa komplety kluczy bez żadnej ewidencji wydań
Nie każda z tych rzeczy wystąpiła w każdej z siedmiu placówek, a klucze do serwerowni urząd opisuje wprost u jednej z nich.
Przejdź tę listę jeszcze raz, a zobaczysz w niej schemat, którego samo sprawozdanie nie nazywa. Cztery z sześciu zarzutów nie dotyczą tego, że czegoś nie opisano, tylko tego, że nie da się udowodnić, iż zabezpieczenia i procedury naprawdę działają. Procedura uprawnień istniała, ale jej nie stosowano. Kopie zapasowe robiono, ale nigdy nie sprawdzono, czy dadzą się odtworzyć. Dostępy do systemu z danymi pacjentów nadawano, ale bez rejestru, kto i komu. Klucze do serwerowni były, tylko nikt nie notował, kto je bierze. Placówka z pełnym segregatorem polityk może oblać taką kontrolę w komplecie. To jest najważniejsza lekcja z tego zestawienia i ten sam mechanizm opisywaliśmy przy cyberbezpieczeństwie w POZ.
Jak przebiega kontrola
Kontrolę reguluje rozdział 9 ustawy o ochronie danych osobowych z 10 maja 2018 roku, artykuły 78 do 91. Z tego rozdziału trzeba znać kilka twardych ram.
Kontrolujący zaczyna od okazania imiennego upoważnienia razem z legitymacją służbową. Upoważnienie musi zawierać podstawę prawną, zakres przedmiotowy kontroli, datę rozpoczęcia i przewidywany termin zakończenia. Zakres przedmiotowy jest tu najważniejszy, bo wyznacza granice tego, o co kontrolerzy mogą pytać.
Mają prawo wstępu do pomieszczeń w godzinach od 6:00 do 22:00, wglądu do dokumentów związanych z zakresem kontroli, oględzin nośników i systemów informatycznych, żądania pisemnych i ustnych wyjaśnień oraz przesłuchiwania pracowników w charakterze świadków. Mogą też zlecić ekspertyzę, a Prezes UODO może dołączyć do zespołu osobę z wiedzą specjalistyczną, na przykład informatyka.
Czynności trwają maksymalnie 30 dni od okazania upoważnienia. Potem powstaje protokół, a Ty masz 7 dni od jego przedstawienia na podpisanie go albo złożenie pisemnych zastrzeżeń. Jeśli w tym terminie nie zrobisz ani jednego, ani drugiego, traktuje się to jako odmowę podpisania.
Dwie rzeczy, o których łatwo zapomnieć. Po pierwsze, jeśli po kontroli Prezes UODO uzna, że mogło dojść do naruszenia przepisów, jest obowiązany wszcząć osobne postępowanie administracyjne, i dopiero w nim zapada decyzja z ewentualną karą. Kontrola sama w sobie kary nie wymierza. Po drugie, obowiązek współpracy z kontrolującym jest sankcjonowany przez prawo karne, nie administracyjne: artykuł 108 ustawy mówi, że kto udaremnia albo utrudnia prowadzenie kontroli, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch. To już nie jest decyzja Prezesa UODO, tylko sprawa dla prokuratury, całkowicie niezależna od późniejszej kary za samo naruszenie.
Centrum medyczne zgłosiło kradzież kart pamięci, dostało karę za coś znacznie większego
26 lipca 2023 roku placówka sama zgłosiła do UODO naruszenie: zagubienie albo kradzież kart pamięci z dwóch urządzeń monitoringu. Zachowała się więc tak, jak każą przepisy. Osiem dni później, 3 sierpnia, na portalu internetowym ukazał się artykuł, w którym pracownik ujawnił, że na oddziale zamontowano ukryte kamery z mikrofonem, schowane w routerze i w zegarkach, o czym personel nie był informowany, a nagrania obejmowały noworodki i wcześniaki bez wiedzy rodziców. 28 lutego 2024 roku Prezes UODO wszczął postępowanie z urzędu.
Decyzja zapadła 17 stycznia 2025 roku (sygnatura DKN.5131.4.2024) i zawiera dwie osobne kary. 687 534,75 zł za niezgodne z prawem przetwarzanie danych, w tym danych szczególnej kategorii, przez monitoring na dwóch salach szpitalnych, oraz za brak obowiązku informacyjnego wobec osób nagrywanych (m.in. art. 6 ust. 1, art. 9 ust. 1, art. 13 ust. 1 i 2 RODO). Drugie 458 356,50 zł za niezastosowanie środków bezpieczeństwa odpowiadających ryzyku przy używaniu zewnętrznych nośników danych (m.in. art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2 RODO). Razem 1 145 891,25 zł. Placówka zaskarżyła decyzję, a Wojewódzki Sąd Administracyjny w Warszawie skargę oddalił. UODO poinformowało o tym 30 października 2025 roku. W portalu orzeczeń decyzja ma dziś status nieprawomocnej.
Morał dla zarządzającego jest niewygodny, ale prosty: zgłoszenie incydentu niczego nie zamyka, a informacja o reszcie i tak przychodzi. Tu przyszła od własnego pracownika, przez gazetę. Zgłoszenie było obowiązkiem i placówka postąpiła słusznie. Problem w tym, że reszta domu nie była posprzątana.
Nie każda sprawa kończy się karą
Dopiszę to dla równowagi, bo straszenie jest złym doradcą przy planowaniu. Sprawozdanie za 2025 rok opisuje sprawy z sektora zdrowia zakończone upomnieniem, nie karą pieniężną: szpital, który dopuścił ekipę telewizyjną do nagrania fragmentu operacji pacjentki pod narkozą mimo jej sprzeciwu, oraz szpital, który opublikował w mediach społecznościowych zdjęcie położnej z noworodkiem pacjentki. W tej drugiej sprawie placówka tłumaczyła się przekroczeniem uprawnień przez pracownicę, a urząd odpowiedział, że za organizację procesu odpowiada administrator.
Jest też sprawa, w której UODO nie postawiło na swoim: zawiadomienia do prokuratury w sprawie ukrytego monitoringu w sali reanimacyjnej SOR zakończyły się umorzeniem dochodzenia, a sąd rejonowy utrzymał umorzenie mimo zażalenia urzędu. Wniosek jest taki, że nie każde uchybienie to automatycznie sześciocyfrowa kara, a ustalenia urzędu też bywają skutecznie kwestionowane. Warto o tym pamiętać choćby dlatego, że ten sam spokój przydaje się przy kontrolach Rzecznika Praw Pacjenta. To nie zmienia jednak arytmetyki: 32 kary na ponad 64 mln zł w jednym roku to fakt.
Jeden ruch na ten tydzień
Wróć do listy nieprawidłowości stwierdzonych przez UODO i przejdź ją punkt po punkcie z osobą odpowiedzialną za IT oraz z inspektorem ochrony danych. Przy każdym punkcie odpowiedz nie na pytanie „czy mamy procedurę”, tylko na pytanie „czym udowodnię, że ją stosujemy”. Jeśli przy którymkolwiek punkcie odpowiedzią jest sam dokument, a nie rejestr, ewidencja albo protokół z testu, masz dokładnie tę lukę, którą urząd opisał po ubiegłorocznej kontroli siedmiu placówek.
Stan prawny na 21 września 2026 roku. Tekst opisuje ogólne zasady postępowania kontrolnego i ustalenia opublikowane przez Prezesa UODO; nie zastępuje analizy konkretnej sytuacji placówki ani porady prawnej.
Źródła
- Plan kontroli sektorowych UODO na rok 2026, ogłoszony 8 stycznia 2026 r., z aktualizacją z 17 września 2026 r.: https://uodo.gov.pl/pl/138/4029. Dostęp: 21.09.2026.
- Urząd Ochrony Danych Osobowych, komunikat z 16 września 2026 r. „Dodatkowe kontrole UODO w podmiotach sektora ochrony zdrowia”: https://uodo.gov.pl/pl/138/4570. Dostęp: 21.09.2026.
- Sprawozdanie z działalności Prezesa Urzędu Ochrony Danych Osobowych w roku 2025, opublikowane 1 września 2026 r., w szczególności rozdziały o sprawach sektora zdrowia i o kontrolach sektorowych: https://uodo.gov.pl/pl/file/7930 (komunikat: https://bip.uodo.gov.pl/pl/138/4555). Dostęp: 21.09.2026.
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 ze zm.), w szczególności rozdział 9 „Kontrola przestrzegania przepisów o ochronie danych osobowych” (art. 78–91) oraz art. 108: https://api.sejm.gov.pl/eli/acts/DU/2018/1000. Dostęp: 21.09.2026.
- Decyzja Prezesa UODO z dnia 17 stycznia 2025 r., sygn. DKN.5131.4.2024: https://orzeczenia.uodo.gov.pl/document/urn:ndoc:gov:pl:uodo:2024:dkn_5131_4/content, oraz komunikat prasowy UODO z 3 lutego 2025 r.: https://uodo.gov.pl/pl/138/3543. Dostęp: 21.09.2026.
- Komunikat UODO z 30 października 2025 r. o oddaleniu przez Wojewódzki Sąd Administracyjny w Warszawie skargi na powyższą decyzję: https://uodo.gov.pl/pl/138/3941. Dostęp: 21.09.2026.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), w szczególności art. 6, 9, 13, 24, 25 i 32.
