Rzecznik Praw Pacjenta o problemach z ochroną danych medycznych

Rzecznik Praw Pacjenta Bartłomiej Chmielowiec ogłosił 14 lipca 2026 r., że brak odpowiednich zabezpieczeń danych medycznych w jednym z zakładów opieki zdrowotnej narusza zbiorowe prawa pacjentów. Sprawa dotyczyła sytuacji, w której osoby nieuprawnione uzyskały dostęp do danych pacjentów po przejęciu korespondencji e-mail.

Jak poinformował RPP, problem nie polegał wyłącznie na samym cyberataku. Kluczowe było to, że placówka nie wdrożyła adekwatnych środków organizacyjnych i technicznych, które miały chronić dane medyczne przed dostępem osób trzecich. Chmielowiec podkreślił, że podmioty lecznicze muszą stosować właściwe zasady ochrony danych pacjentów i dokumentacji medycznej oraz zabezpieczać elementy swoich systemów teleinformatycznych.

W toku postępowania Rzecznik wskazał szereg uchybień. W placówce nie było centralnego zarządzania pocztą elektroniczną, użytkownicy mogli samodzielnie tworzyć reguły przekierowywania wiadomości, a zdalny dostęp do sieci wewnętrznej z prywatnych urządzeń nie był odpowiednio kontrolowany. RPP zwrócił też uwagę na brak weryfikacji i egzekwowania szyfrowania korespondencji elektronicznej zawierającej dane pacjentów. Według ustaleń do incydentu doszło po utworzeniu filtra, który automatycznie przekierowywał wiadomości ze skrzynek pocztowych placówki na nieuprawniony adres e-mail.

Zakres ujawnionych informacji był szeroki. Osoby nieuprawnione mogły poznać numery PESEL, imiona i nazwiska, adresy, informacje o okresach hospitalizacji, dane dotyczące zgonów, rozpoznania zasadnicze i współistniejące, numery prawa wykonywania zawodu lekarza oraz kody komórek organizacyjnych. Rzecznik przypomniał, że dokumentacja medyczna zawiera dane szczególnych kategorii w rozumieniu RODO, a więc dane wymagające podwyższonej ochrony.

RPP wskazał także, jakie zabezpieczenia powinny stosować placówki medyczne. W decyzji wymienił m.in. szyfrowanie wiadomości e-mail i plików, blokowanie automatycznego przekierowywania poczty poza domenę organizacji, ograniczenie pracy zdalnej do zatwierdzonych urządzeń służbowych, blokadę zewnętrznych nośników danych i regularne analizy ryzyka. Rzecznik nakazał usunięcie nieprawidłowości i oczekuje na stanowisko podmiotu leczniczego.

Kontekst tej decyzji wykracza poza pojedynczą sprawę. W ochronie zdrowia dane pacjentów należą do najbardziej wrażliwych informacji, a RODO nakłada na administratorów obowiązek wdrożenia adekwatnych zabezpieczeń. Wcześniejsze incydenty pokazywały już, że błędy w zarządzaniu pocztą elektroniczną i dostępem do systemów mogą prowadzić do wycieków danych.

Dla placówek medycznych oznacza to konieczność dokładniejszej kontroli poczty, pracy zdalnej i dostępu do dokumentacji. Rzecznik jasno sygnalizuje, że odpowiedzialność za ochronę danych nie kończy się na reakcji po incydencie, ale obejmuje także przewidywanie ryzyk i zapobieganie im z wyprzedzeniem.