Wyciek danych u dostawcy oprogramowania - co robi placówka i jakie są konsekwencje?

Zgłoszenie naruszenia do Prezesa UODO składa placówka, a nie firma, która dostarcza jej oprogramowanie. Dostawca ma wobec Ciebie jeden obowiązek, opisany w art. 33 ust. 2 RODO: powiadomić Cię, że doszło do naruszenia. Ocena ryzyka, zgłoszenie w ciągu 72 godzin, decyzja o zawiadomieniu pacjentów i cała dokumentacja sprawy zostają po stronie podmiotu leczniczego, bo w języku RODO to placówka jest administratorem, czyli tym, kto decyduje, po co i jak przetwarza dane pacjentów. Poniżej kolejność działań i terminy, licząc od chwili, w której dowiadujesz się o zdarzeniu u dostawcy.

Jakie obowiązki ma placówka i za co odpowiada?

To jest najczęstsza i najzupełniej zrozumiała obiekcja, a odpowiedź na nią wymaga rozdzielenia dwóch rzeczy, które w mediach zlewają się w jedną. Placówka nie odpowiada za cudze włamanie. Odpowiada za własne obowiązki, których zaniedbanie to włamanie dopiero ujawnia, i to jest różnica widoczna gołym okiem w zarzutach stawianych przez organ.

Te obowiązki warto mieć wypisane w jednym miejscu, bo to one, a nie cudze włamanie, są przedmiotem oceny urzędu. Środkowa kolumna odpowiada na pytanie, w czym dostawca pomaga, a w czym musisz poradzić sobie sam.

Najlepiej widać to na sprawie spoza ochrony zdrowia, w której naruszenie powstało wyłącznie po stronie dostawcy. Administratorem był sprzedawca energii, jego dostawca modernizował cyfrowe archiwum i udostępnił nowo utworzoną bazę tak, że dane mogły skopiować osoby nieuprawnione. Ucierpiało ponad 90 tys. osób. Prezes UODO ukarał dostawcę kwotą ponad 250 tys. zł, a jego klienta kwotą blisko 5 mln zł, a Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 20 maja 2026 r. uznał obie kary za skuteczne, proporcjonalne i odstraszające.

Istotne jest jednak nie to, ile wyniosły, tylko za co zostały nałożone, bo każda ze stron dostała inny zestaw zarzutów. Dostawcy postawiono brak testowania zabezpieczeń, użycie danych rzeczywistych do testów bez pseudonimizacji i niepełną konfigurację zabezpieczeń, czyli art. 32 w związku z art. 28 ust. 3 lit. c i f. Administratorowi postawiono art. 5 ust. 1 lit. f, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32. Żaden z zarzutów wobec klienta nie brzmiał „u Twojego dostawcy doszło do włamania”. Wszystkie dotyczyły tego, czego nie zrobił sam.

Dlaczego jego kara wyszła wyższa, tłumaczą dwa przepisy, które rzadko trafiają do omówień. Art. 24 ust. 1 RODO każe placówce nie tylko wdrożyć zabezpieczenia, ale też umieć pokazać, że je wdrożyła. Art. 5 ust. 2 nazywa to rozliczalnością i sprowadza się do jednego: masz udowodnić, zamiast zapewniać. Administrator decyduje o celach przetwarzania, więc jego zakres obowiązków jest z definicji szerszy niż zakres wykonawcy.

Dostawca nie jest przy tym bezkarny i to też trzeba powiedzieć wprost. Kary z art. 83 stosuje się tak samo do placówki, jak i do dostawcy, a w opisywanej sprawie dostawca zapłacił ponad 250 tys. zł za swoje własne zaniedbania. Dodatkowo art. 28 ust. 10 RODO stanowi, że procesor, który sam zaczyna decydować o celach i sposobach przetwarzania, jest w tym zakresie uznawany za administratora ze wszystkimi tego konsekwencjami.

Inaczej wygląda to wobec pacjenta, bo tu przepis celowo ułatwia mu życie. Art. 82 ust. 4 RODO ustanawia odpowiedzialność solidarną, więc pacjent może pozwać samą placówkę o całość szkody, bez wnikania w to, po czyjej stronie leżał błąd. Placówka, która zapłaci, ma potem regres do dostawcy na podstawie ust. 5, w części odpowiadającej jego odpowiedzialności.

Różnica sprowadza się do jednego zdania. Za firewall dostawcy odpowiada dostawca, a placówka odpowiada za to, kogo wybrała, jak go nadzorowała i co zrobiła w pierwszych 72 godzinach.

Ta sama lista rozłożona w czasie pokazuje rzecz, która przesądza o wyniku kontroli. Większości z tych obowiązków nie da się nadrobić po zdarzeniu, bo powstają, zanim cokolwiek się wydarzy.

Obowiązki placówki wobec danych pacjentów w trzech etapach. Zanim podpiszesz umowę: sprawdzenie dostawcy, notatka z weryfikacji, umowa powierzenia i rejestr czynności przetwarzania. Na co dzień: uprawnienia i dostępy, bezpieczeństwo w gabinecie oraz cykliczne sprawdzanie dostawcy. Po incydencie: ocena ryzyka, zgłoszenie do UODO i zawiadomienie pacjentów. Większość obowiązków powstaje, zanim cokolwiek się wydarzy.

Powiększ

Kto zgłasza naruszenie, dostawca czy placówka?

Obowiązek zgłoszenia spoczywa na placówce, bo w języku RODO to ona jest administratorem danych pacjentów. Dostawca jest podmiotem przetwarzającym, czyli wykonawcą, który robi z danymi tylko to, co placówka mu poleci. RODO rozdziela te role w dwóch sąsiednich ustępach jednego przepisu. Art. 33 ust. 1 nakazuje placówce zgłosić naruszenie urzędowi. Art. 33 ust. 2 nakazuje dostawcy zgłosić je placówce.

Z tego podziału wynika rzecz, która zaskakuje przy każdym większym incydencie u dostawcy. Firma obsługująca tysiąc placówek nie składa jednego zgłoszenia w imieniu wszystkich. Wytyczne Europejskiej Rady Ochrony Danych mówią wprost, że dostawca obsługujący wielu klientów raportuje incydent każdemu z nich osobno. Każda placówka prowadzi potem własną ocenę i odpowiada za własną decyzję.

Dostawca może wypełnić formularz za placówkę, jeśli przewiduje to umowa powierzenia i placówka go do tego upoważniła. Te same wytyczne dodają jednak zdanie, które przesądza sprawę: odpowiedzialność prawna za zgłoszenie zostaje przy placówce. Zdanie z komunikatu dostawcy w rodzaju „żadne działania po Państwa stronie nie są wymagane” nie jest więc zwolnieniem z obowiązku, tylko opinią jednej ze stron umowy.

Czego możesz żądać od dostawcy?

Umowa powierzenia zobowiązuje dostawcę do pomocy przy wykonaniu obowiązków z art. 32 do 36 RODO, więc także przy zgłoszeniu naruszenia. Podstawą jest art. 28 ust. 3 lit. f RODO, więc mowa o obowiązku umownym. Zakres pomocy wyznacza to, czego wymaga od placówki art. 33 ust. 3, więc listę pytań można ułożyć wprost z tego przepisu.

Wysłać warto pięć rzeczy naraz, jednym mailem, żeby została data. Czwarty punkt jest tym, o którym najłatwiej zapomnieć, a przesądza o obowiązku wobec pacjentów, bo szyfrowanie uniemożliwiające odczyt jest wyłączeniem z art. 34 ust. 3 lit. a.

1. Jakich kategorii danych dotyczy naruszenie w naszej placówce?
2. Ilu mniej więcej naszych pacjentów obejmuje zdarzenie?
3. Z jakiego przedziału czasu pochodzą objęte dane?
4. Czy zbiory były zaszyfrowane w sposób uniemożliwiający odczyt?
5. Jakie środki zaradcze zostały już wdrożone?

Drugą podstawą, o której placówki zapominają najczęściej, jest art. 28 ust. 3 lit. h RODO. Daje on placówce prawo do wszelkich informacji niezbędnych do wykazania zgodności oraz do przeprowadzenia audytu i inspekcji u dostawcy, także przez upoważnionego audytora.

Cztery zdania, które usłyszysz po wycieku

Każde większe naruszenie u dostawcy produkuje ten sam zestaw zdań i wszystkie brzmią rozsądnie. Trzy z nich padają z ust dostawcy, czwarte rodzi się w placówce w drugiej dobie, gdy ktoś pyta, czy zgłoszenie samo w sobie nie ściągnie kłopotów. Poniżej każde z nich razem z przepisem, który je rozstrzyga, żeby dało się je odbić w rozmowie bez szukania po dokumentach.

Warto zwrócić uwagę na kolejność, bo ona odpowiada temu, jak te zdania przychodzą w czasie. Pierwsze dwa usłyszysz w pierwszej dobie, trzecie w okolicach trzeciej, a czwarte pojawia się dopiero wtedy, gdy placówka policzy własne ryzyko i zacznie się zastanawiać, czy nie lepiej przeczekać.

Od kiedy biegnie 72 godziny?

Termin liczy się od stwierdzenia naruszenia, czyli od chwili, w której placówka ma rozsądny stopień pewności, że doszło do incydentu naruszającego dane. Data samego włamania nie ma tu znaczenia i nie ma go też data zakończenia analizy powłamaniowej. Wytyczne EROD 9/2022 opisują stwierdzenie jako stan wiedzy, czyli coś innego niż moment domknięcia śledztwa.

Dla naruszenia u dostawcy punktem wyjścia jest reguła z punktu 44 tych wytycznych: placówka jest uznana za stwierdzającą naruszenie z chwilą, gdy dostawca ją o nim poinformował. Zwłoka dostawcy nie zjada więc terminu placówki. Art. 33 ust. 2 RODO nie wyznacza dostawcy żadnej liczby godzin, mówi tylko o braku zbędnej zwłoki, a EROD zaleca powiadomienie niezwłoczne właśnie po to, żeby placówka zdążyła ze swoimi 72 godzinami.

Druga droga do stwierdzenia jest tą, która zaskakuje placówki najczęściej. Jeżeli o sprawie dowiadujesz się z komunikatu urzędu albo z mediów i masz podstawy sądzić, że dotyczy danych Twoich pacjentów, to jest sygnał, po którym trzeba działać. Wytyczne EROD wymagają, żeby czynności wstępne zamknąć krótko po pierwszym sygnale, a dłuższy czas dopuszczają wyłącznie w przypadkach wyjątkowych. Milczące czekanie na oficjalne pismo dostawcy jest opóźnieniem, które później trzeba uzasadnić.

Termin 72 godzin na zgłoszenie wycieku do UODO biegnie od stwierdzenia naruszenia. Zegar startuje w dwóch przypadkach: gdy dostawca zawiadamia placówkę o naruszeniu oraz gdy placówka dowiaduje się o sprawie z mediów. Zegar nie startuje w dwóch pozostałych: data, kiedy doszło do włamania, oraz moment, w którym dostawca skończy analizę powłamaniową, są bez wpływu na bieg terminu.

Powiększ

Co zrobić, gdy 72 godziny już minęły?

Spóźnione zgłoszenie jest zawsze lepsze od jego braku, a przepis wprost przewiduje tę sytuację. Art. 33 ust. 1 RODO kończy się zdaniem, że do zgłoszenia przekazanego po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. Placówka nie traci więc możliwości zgłoszenia, tylko dokłada do niego uzasadnienie.

Samo uzasadnienie ma znaczenie i warto je napisać uczciwie. Powołanie się na komunikat dostawcy jako na jedyną przyczynę zwłoki jest ryzykowne, bo obowiązek oceny ciąży na placówce. Lepiej opisać kolejność faktów: kiedy dotarła pierwsza informacja, jakie pytania poszły do dostawcy i którego dnia przyszła odpowiedź pozwalająca ocenić zakres.

Zgłoszenie nie musi być kompletne za pierwszym razem. Art. 33 ust. 4 RODO pozwala przekazywać informacje sukcesywnie, w miarę jak przybywa ustaleń. Zgłoszenie wstępne z opisem zdarzenia i przybliżoną skalą, uzupełniane później, jest zgodne z przepisem i lepsze od zgłoszenia idealnego, wysłanego dwa tygodnie za późno.

Osobno działa art. 33 ust. 5 RODO, o którym łatwo zapomnieć w gorącym tygodniu. Administrator dokumentuje wszelkie naruszenia, także te, których nie zgłasza organowi, razem z okolicznościami, skutkami i podjętymi działaniami. Ta dokumentacja ma pozwolić urzędowi zweryfikować, czy przepis był przestrzegany, więc jej brak jest osobnym problemem niezależnie od tego, czy decyzja o niezgłaszaniu była trafna.

Czy trzeba zawiadomić pacjentów?

Zawiadomienie pacjentów jest wymagane przy wysokim ryzyku naruszenia ich praw lub wolności. Przy dokumentacji medycznej ocena wypada twierdząco w większości przypadków, bo w grę wchodzą dane o zdrowiu, numery PESEL i adresy. Art. 34 ust. 3 RODO przewiduje jednak trzy wyłączenia i każde z nich trzeba sprawdzić osobno.

Samo pojęcie wysokiego ryzyka nie jest w RODO zdefiniowane i tu zaczyna się bezradność przy tej ocenie. Kryteria podają wytyczne EROD 9/2022 i jest ich siedem: rodzaj naruszenia, charakter, wrażliwość i ilość danych, łatwość identyfikacji osób, waga oraz trwałość skutków, szczególne cechy osoby, której dane dotyczą, szczególne cechy administratora i liczba objętych osób. Dla placówki medycznej dwa z nich są przesądzone z góry. Wytyczne podają organizację medyczną jako przykład administratora, przy którym zagrożenie dla osób jest większe, bo przetwarza szczególne kategorie danych, a naruszenia obejmujące dane o zdrowiu wymieniają obok dokumentów tożsamości i danych finansowych jako zdolne wyrządzić szkodę same z siebie. Przy wątpliwościach wytyczne każą przechylić się w stronę zawiadomienia.

Pierwsze wyłączenie to szyfrowanie, które uniemożliwia odczyt osobom nieuprawnionym. Drugie to środki zastosowane po zdarzeniu, jeśli eliminują prawdopodobieństwo wysokiego ryzyka. Trzecie to niewspółmiernie duży wysiłek, przy którym zamiast zawiadomień indywidualnych wydaje się komunikat publiczny. Pierwsze wyłączenie zależy wyłącznie od dostawcy, więc pytanie o szyfrowanie zbiorów należy zadać mu od razu, jeszcze przed oceną ryzyka.

Pokusa, żeby uznać brak dowodów wycieku za dowód jego braku, jest bardzo duża i UODO już ją rozstrzygnął w sprawie podmiotu leczniczego, który po ataku ransomware zgłosił zdarzenie urzędowi oraz policji, ale nie zawiadomił pacjentów.

Z dokonanych ustaleń wynika jedynie, że nie ma śladu wycieku danych. Nie jest to jednak jednoznaczne z tym, że hakerzy tych danych sobie nie skopiowali.

Ta sama pokusa kosztowała klienta w sprawie opisanej wyżej. Firma początkowo uznała, że wysokiego ryzyka nie ma, i zawiadomiła klientów dopiero po interwencji Prezesa UODO. Uprawnienie urzędu do takiego żądania wynika z art. 34 ust. 4 RODO. Innej placówce medycznej niezgłoszenie naruszenia i niezawiadomienie pacjenta o ujawnieniu jego danych przyniosło karę 10 tys. zł.

Jakie są konsekwencje dla placówki i jak je zmniejszyć?

Kara nie jest automatyczna i od tego trzeba zacząć, bo pierwsze dni po komunikacie dostawcy zwykle wyglądają odwrotnie. Art. 83 ust. 4 lit. a RODO przewiduje wprawdzie za naruszenie obowiązków zgłoszeniowych karę do 10 mln EUR albo 2% światowego obrotu, ale realne kary w polskiej ochronie zdrowia mieszczą się w przedziale od kilkunastu do kilkudziesięciu tysięcy złotych. Kwoty liczone w milionach pojawiają się tam, gdzie organ stwierdza brak zabezpieczeń i brak nadzoru, a nie samo spóźnione zgłoszenie.

Konsekwencje są cztery i różnią się wysokością oraz tym, kto je uruchamia. Kara administracyjna zależy od organu, odszkodowanie od pacjenta, który pójdzie do sądu, a środki naprawcze przychodzą razem z postępowaniem. Czwarta pozycja jest w tym zestawieniu po to, żeby ją z listy zdjąć.

Art. 83 ust. 2 RODO każe organowi rozstrzygnąć osobno dwie rzeczy: czy w ogóle nałożyć karę pieniężną i w jakiej wysokości. Poniżej pełna lista okoliczności, którym urząd ma poświęcić należytą uwagę, w kolejności z przepisu i bez języka prawniczego. Cztery pozycje z gwiazdką placówka kontroluje sama, nawet gdy naruszenie powstało u dostawcy.

1. Charakter, waga i czas trwania naruszenia, ilu osób dotyczy i jak bardzo ucierpiały.
2. Czy doszło do niego umyślnie, czy przez nieuwagę.
3. Co placówka zrobiła, żeby ograniczyć szkodę pacjentów. *
4. Jakie zabezpieczenia były wdrożone przed zdarzeniem, w rozumieniu art. 25 i 32. *
5. Czy wcześniej zdarzały się już podobne naruszenia.
6. Jak placówka współpracowała z urzędem przy usuwaniu skutków. *
7. Jakich kategorii danych dotyczyło naruszenie.
8. Skąd urząd się o nim dowiedział i czy placówka zgłosiła je sama. *
9. Czy placówka zastosowała się do wcześniejszych środków nałożonych w tej samej sprawie.
10. Czy stosuje zatwierdzony kodeks postępowania albo certyfikację.
11. Wszystko inne, co obciąża albo łagodzi, w tym korzyści osiągnięte dzięki naruszeniu.

Najmocniejsza jest litera h, czyli sposób, w jaki organ dowiedział się o naruszeniu, a w szczególności to, czy i w jakim zakresie zgłosiła je sama placówka. Zgłoszenie z własnej inicjatywy jest okolicznością, którą przepis każe zważyć na korzyść placówki. To odwraca rachunek kuszący w pierwszym tygodniu, bo zgłoszenie ryzyka kary nie zwiększa, tylko je zmniejsza.

Pozostałe trzy dźwignie to litera c, czyli działania podjęte, żeby zminimalizować szkodę pacjentów, litera f, czyli stopień współpracy z organem, oraz litera d, czyli stopień odpowiedzialności oceniany przez pryzmat środków technicznych i organizacyjnych wdrożonych na podstawie art. 25 i 32. Ta ostatnia jest najważniejsza w praktyce, bo mierzy się ją dokumentami, które albo powstały przed zdarzeniem, albo nie powstały wcale.

Obie przywołane wyżej sprawy pokazują literę d w działaniu. Podmiotowi leczniczemu z Pajęczna organ policzył przede wszystkim brak analizy ryzyka, a sam atak ransomware był okolicznością, która ten brak ujawniła. W obu sprawach ukarane zostało to, czego nie zrobiono przed zdarzeniem, a nie samo zdarzenie.

Jest jeszcze mechanizm, o którym rzadko się pamięta przy szacowaniu ryzyka. Art. 83 ust. 3 RODO stanowi, że przy kilku naruszeniach popełnionych w ramach tych samych albo powiązanych operacji przetwarzania łączna kara nie przekracza wysokości kary za najpoważniejsze z nich. Sankcje za spóźnione zgłoszenie i za brak zawiadomienia pacjentów nie sumują się więc bez końca.

Granica tego wszystkiego jest jednak wyraźna i lepiej ją znać. Żadne z tych działań nie daje gwarancji, a art. 82 ust. 3 RODO zwalnia z odpowiedzialności odszkodowawczej wyłącznie tego, kto udowodni, że w żaden sposób nie ponosi winy za zdarzenie. Placówka chroni się więc nie przed samym incydentem, tylko przed zarzutem, że przed nim nie zrobiła nic.

Kiedy zgłoszenie do UODO nie wystarczy?

Dla większości prywatnych placówek zgłoszenie do UODO jest jedynym wymaganym, ponieważ próg z ustawy o krajowym systemie cyberbezpieczeństwa zaczyna się przy 50 zatrudnionych. Gabinet i mała klinika są poniżej tej granicy, więc obowiązki wobec zespołów CSIRT po prostu nie powstają. Ta granica jest ważniejsza niż sama ustawa, bo połowa omówień branżowych podaje nowe obowiązki tak, jakby dotyczyły każdego podmiotu leczniczego.

Powyżej progu obraz się zmienia. Podmiot leczniczy figuruje w załączniku nr 1 do ustawy o KSC, więc staje się podmiotem ważnym, a przy co najmniej 250 zatrudnionych podmiotem kluczowym. Wtedy dochodzą dwa własne terminy: wczesne ostrzeżenie o incydencie poważnym w ciągu 24 godzin i zgłoszenie samego incydentu w ciągu 72 godzin od wykrycia. Biegną one równolegle do terminu z RODO i dotyczą innego organu.

Nowelizacja wdrażająca dyrektywę NIS 2 została ogłoszona 2 marca 2026 r. i weszła w życie po upływie miesiąca od ogłoszenia. Ustawa daje 12 miesięcy na wdrożenie obowiązków, a kary przewiduje dopiero po upływie dwóch lat od wejścia w życie. Harmonogram wpisów do wykazu podmiotów kluczowych i ważnych wynika natomiast z komunikatu ministra właściwego do spraw informatyzacji, a nie z samej ustawy, więc daty krążące w omówieniach są planem urzędu, a nie terminem ustawowym.

Co się zmienia, gdy wyciek jest u Ciebie?

Zgubiony laptop, ransomware na komputerze w rejestracji, teczka wyniesiona z gabinetu albo skierowanie wydane niewłaściwej osobie to też naruszenia ochrony danych i podlegają dokładnie tym samym przepisom. Obowiązki są identyczne, zmieniają się trzy rzeczy.

1. Nikt Cię nie zawiadomi. Termin 72 godzin biegnie od chwili, w której sam masz rozsądny stopień pewności, że doszło do incydentu. Nie ma maila od dostawcy, od którego można odliczać, więc datę stwierdzenia ustalasz Ty i Ty ją potem uzasadniasz.
2. Informacje zbierasz sam. Nie ma od kogo żądać zakresu danych ani liczby osób, bo to Twoje systemy i Twoi ludzie. Pięć pytań z listy powyżej zadajesz wtedy własnej rejestracji, informatykowi i sobie.
3. Nie ma regresu. Jeżeli pacjent wystąpi o odszkodowanie, nie masz do kogo pójść po zwrot części kwoty, bo art. 82 ust. 5 RODO działa tylko wtedy, gdy w tym samym przetwarzaniu uczestniczył ktoś jeszcze.

Reszta jest bez zmian. Ta sama ocena ryzyka, ten sam formularz, ten sam obowiązek zawiadomienia pacjentów przy wysokim ryzyku i ta sama lista okoliczności, które zmniejszają karę. Dostawca w tym scenariuszu nie odpowiada za nic, chyba że incydent wyszedł z części systemu, którą prowadzi.

Co poprawić w umowie powierzenia

Umowa powierzenia jest jedynym miejscem, w którym placówka może sobie wywalczyć warunki lepsze niż minimum z przepisu. Dwie rzeczy dają tu najwięcej.

Najważniejsza zmiana w umowie to zamiana zwrotu „bez zbędnej zwłoki” na konkretną liczbę godzin, w których dostawca ma powiadomić placówkę. Wytyczne EROD 9/2022 zalecają to wprost: umowa powinna określać wczesne powiadomienie przez podmiot przetwarzający, wspierające termin 72 godzin po stronie placówki. Bez liczby placówka nie ma czym mierzyć zwłoki, a przy sporze nie ma czego egzekwować.

Drugą rzeczą jest udokumentowana weryfikacja dostawcy przed podpisaniem umowy, wymagana przez art. 28 ust. 1 RODO. Słowo „udokumentowana” brzmi groźnie, więc warto powiedzieć wprost, co się pod nim kryje, bo przepis nie żąda ani audytu, ani zewnętrznej firmy. Żąda rzeczy, którą da się pokazać z datą, a podstawą tego wymogu są art. 5 ust. 2 i art. 24 ust. 1 RODO, które każą umieć pokazać, że zabezpieczenia faktycznie wdrożyłeś.

Rodzi się przy tym uzasadnione pytanie: skoro to obowiązkowe, dlaczego dostawcy nie dołączają takiego kompletu do umowy? Odpowiedź leży w tym, po czyjej stronie przepis kładzie który obowiązek. Dostawca ma obowiązek udostępnić informacje, co wynika z art. 28 ust. 3 lit. h RODO, ale obowiązek oceny i wykazania spoczywa na placówce, z art. 28 ust. 1 w związku z art. 5 ust. 2. Dostawca może swoje gwarancje wykazać kodeksem postępowania albo certyfikacją, co art. 28 ust. 5 wprost dopuszcza, tyle że jest to jego uprawnienie, z którego korzystać nie musi.

Stąd praktyka, którą widać na rynku. Umowę powierzenia dostaniesz od dostawcy prawie zawsze, bo jej brak uderza w niego samego. Opis zabezpieczeń bywa dołączony jako załącznik, choć art. 28 ust. 3 lit. c wymaga jedynie, żeby umowa stanowiła, że dostawca stosuje środki z art. 32, bez ich wyliczania. Notatki, że Ty to oceniłeś i uznałeś za wystarczające, nie dostarczy Ci nikt, bo to jest dokument placówki.

W praktyce komplet mieści się w jednym mailu i jednym dokumencie:

1. Wysłana do dostawcy ankieta bezpieczeństwa oraz jego odpowiedź, mailem, żeby została data.
2. Kopie tego, co dostawca przysłał, czyli opis zabezpieczeń i obowiązujące u niego procedury.
3. Notatka na jedną stronę z wnioskiem, dlaczego uznaliście gwarancje za wystarczające.
4. Ślad po skorzystaniu z prawa kontroli z art. 28 ust. 3 lit. h albo notatka, dlaczego na tym etapie z niego nie skorzystaliście.
5. Sama umowa powierzenia z kompletem elementów wymaganych przez art. 28 ust. 3.

Dwa z tych dokumentów przygotowaliśmy jako wzory do edycji, żeby nie trzeba było ich pisać od zera. Pobranie nie wymaga podania adresu e-mail.

Całość musi istnieć w dniu podpisania umowy. Dokument sporządzony po incydencie niczego już nie dowodzi, bo weryfikacja z definicji ma powierzenie poprzedzać. Pytania, które warto wpisać do ankiety, znajdziesz w gotowym wzorze powyżej. Ten sam zestaw pytań przydaje się przy wyborze systemu dla gabinetu i przy zmianie dostawcy.

Trzecia rzecz dotyczy usuwania danych i jest w ochronie zdrowia szczególna. Art. 29 ust. 1 ustawy o prawach pacjenta każe przechowywać dokumentację medyczną 20 lat od końca roku ostatniego wpisu, z wyjątkami, ale ust. 2 tego samego artykułu nakazuje po tym okresie zniszczyć ją w sposób uniemożliwiający identyfikację pacjenta. Placówka nie może więc skracać retencji dowolnie, ale ma prawo i obowiązek pytać dostawcę, czy jego system faktycznie usuwa dane po upływie tych terminów. Zbiór, którego już nie powinno być, powiększa skutki każdego przyszłego incydentu.

Warto też sprawdzić, czy w umowie stoi obowiązek przekazania placówce logów dostępu do danych pacjentów. Bez nich odpowiedź na pytanie „czyich pacjentów dotyczy zdarzenie” jest niemożliwa, a to właśnie jej wymaga art. 33 ust. 3 lit. a przy każdym zgłoszeniu. Pozostałe wymagania, które prawo stawia dokumentacji i systemom, zebrane są we wpisie przepisy w gabinecie lekarskim.

Podsumowanie

• Zgłoszenie do UODO składa placówka, a dostawca ma tylko powiadomić ją o naruszeniu, co wynika z dwóch sąsiednich ustępów art. 33 RODO.
• Termin 72 godzin biegnie od stwierdzenia naruszenia, czyli od informacji od dostawcy albo od chwili, w której placówka ma z innego źródła podstawy sądzić, że sprawa dotyczy jej danych.
• Zgłoszenie po terminie jest możliwe i wymaga wyłącznie wyjaśnienia przyczyn opóźnienia, a informacje wolno uzupełniać sukcesywnie.
• Pacjentów zawiadamia się przy wysokim ryzyku, a trzy wyłączenia z art. 34 ust. 3 sprawdza się osobno. Brak śladów wycieku nie jest dowodem, że go nie było.
• Konsekwencje są cztery, a nie jedna. Kara administracyjna, odszkodowanie dla pacjenta, środki naprawcze organu i odpowiedzialność karna, która akurat za sam wyciek nie grozi.
• Kara nie jest automatyczna. Art. 83 ust. 2 RODO każe ważyć jedenaście okoliczności, a zgłoszenie z własnej inicjatywy jest wprost wymienione jako jedna z nich.
• Od dostawcy żąda się zakresu danych, liczby pacjentów, przedziału czasu, informacji o szyfrowaniu i opisu środków zaradczych, na podstawie art. 28 ust. 3 lit. f.
• Gdy wyciek jest po Twojej stronie, obowiązki są identyczne. Zmienia się to, że nikt Cię nie zawiadomi, informacje zbierasz sam i nie masz do kogo skierować regresu.
• Prywatne placówki poniżej 50 zatrudnionych nie mają obowiązków z ustawy o KSC. Powyżej tego progu dochodzą terminy 24 i 72 godzin wobec CSIRT.
• W umowie powierzenia zamień „bez zbędnej zwłoki” na liczbę godzin, udokumentuj weryfikację dostawcy przed podpisaniem i zapewnij sobie dostęp do logów.

Źródła

• Rozporządzenie 2016/679 (RODO), tekst skonsolidowany, art. 28, 33, 34, 82 i 83
• Wytyczne EROD 9/2022 w sprawie zgłaszania naruszeń ochrony danych osobowych, wersja 2.0
• UODO, Zgłoszenie naruszenia ochrony danych, formularz i sposoby złożenia
• UODO, Administracyjna kara pieniężna dla SPZOZ w Pajęcznie, decyzja DKN.5131.57.2022
• UODO, 10 tys. zł kary za ujawnienie danych pacjenta, decyzja DKN.5131.34.2021
• UODO, Za proces przetwarzania danych odpowiada administrator oraz podmiot przetwarzający
• UODO, WSA ponownie potwierdził słuszność decyzji karowej, sygn. II SA/Wa 458/26
• Dziennik Ustaw, nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
• Dziennik Ustaw, ustawa o prawach pacjenta, tekst jednolity (Dz.U. 2024 poz. 581), art. 29