Zgłoszenie naruszenia ochrony danych w 72h — co robić, gdy wyciekły dane w gabinecie

Zgubiony laptop z dokumentacją. Mail z wynikami wysłany do niewłaściwego pacjenta. Skradziona teczka. Zaszyfrowane przez ransomware dyski w rejestracji. To nie są scenariusze z filmu — to najczęstsze naruszenia ochrony danych w gabinetach medycznych. I w każdym z nich liczy się czas: od stwierdzenia naruszenia masz w miarę możliwości 72 godziny, by zgłosić je do Prezesa UODO (art. 33 RODO).

Ten przewodnik prowadzi Cię przez całą procedurę krok po kroku — spokojnie, bez paniki. Najważniejsze na start: nie każde naruszenie trzeba zgłaszać do UODO, ale każde trzeba odnotować u siebie.

Uwaga: w gabinecie przetwarzasz dane o zdrowiu — dane szczególnej kategorii (art. 9 RODO). Próg „wysokiego ryzyka" jest tu osiągany dużo łatwiej niż przy zwykłych danych kontaktowych. Traktuj każde zdarzenie poważnie.

Co liczy się jako naruszenie ochrony danych

Naruszenie to każde zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych. W praktyce gabinetu najczęściej:

• Zgubiony lub skradziony nośnik — laptop, telefon, pendrive, dysk z dokumentacją.
• Mail do złego adresata — wyniki albo lista pacjentów do niewłaściwej osoby (DW zamiast UDW).
• Kradzież lub zagubienie dokumentacji papierowej — teczki, karty, skierowania.
• Ransomware / atak — zaszyfrowanie albo wyciek bazy pacjentów.
• Nieuprawniony dostęp — były pracownik z aktywnym loginem, podejrzenie kartoteki bez podstawy.
• Wyrzucenie dokumentów bez zniszczenia — karty w koszu zamiast w niszczarce.

To, czy naruszenie trzeba zgłosić, rozstrzyga się dopiero po ocenie ryzyka, nie na oko.

Procedura krok po kroku (art. 33–34 RODO)

Krok 1 — Wykryj i zabezpiecz (od razu)

Gdy dowiesz się o zdarzeniu, zatrzymaj szkodę i zanotuj moment stwierdzenia naruszenia — od tej chwili biegnie 72 godziny. „Stwierdzenie" to moment uzasadnionej pewności, że doszło do naruszenia, nie pierwszy sygnał. Konkretnie: odetnij źródło (zdalne czyszczenie laptopa, cofnięcie maila, zmiana haseł, odłączenie zainfekowanego komputera); zapisz fakty (co, kiedy, czyje dane, ile osób); nie kasuj śladów.

Krok 2 — Oceń ryzyko dla pacjentów

Pytasz: czy naruszenie może skutkować ryzykiem dla praw i wolności osób? Bierzesz pod uwagę rodzaj danych (dane o zdrowiu = wysoka waga), liczbę osób i rekordów, czy dane były zaszyfrowane/nieczytelne, realne skutki.

Krok 3 — Zgłoś do UODO w 72 godzinach (jeśli jest ryzyko)

Zgłaszasz bez zbędnej zwłoki — w miarę możliwości w 72 godziny od stwierdzenia. Jeśli nie zdążysz, i tak zgłaszasz, ale dołączasz wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1).

Co zawiera zgłoszenie (art. 33 ust. 3): opis charakteru naruszenia (kategorie i przybliżona liczba osób oraz rekordów); dane kontaktowe IOD lub punktu kontaktowego; opis możliwych konsekwencji; opis zastosowanych/proponowanych środków zaradczych. Brakujące informacje możesz przekazywać etapowo.

Jak zgłosić (kanały UODO): formularz na biznes.gov.pl, ePUAP (skrytka UODO/SkrytkaESP), „pismo ogólne", poczta. Elektronicznie podpisujesz profilem zaufanym lub podpisem kwalifikowanym.

Krok 4 — Zawiadom pacjentów (tylko przy wysokim ryzyku)

Przy wysokim ryzyku masz obowiązek z art. 34: zawiadomić bez zbędnej zwłoki same osoby, jasnym, prostym językiem (opis naruszenia, kontakt IOD, możliwe konsekwencje, podjęte środki).

Kiedy nie musisz zawiadamiać (art. 34 ust. 3): dane objęte środkami (np. szyfrowaniem) czyniącymi je nieczytelnymi; zastosowano środki eliminujące prawdopodobieństwo wysokiego ryzyka; zawiadomienie wymagałoby niewspółmiernie dużego wysiłku (wtedy komunikat publiczny). Stąd realna korzyść z szyfrowania nośników. W praktyce skuteczne szyfrowanie obniża też samo ryzyko naruszenia — a jeśli sprawia, że staje się ono mało prawdopodobne dla praw i wolności osób, może wpłynąć również na ocenę obowiązku zgłoszenia z art. 33. To jednak zawsze ocena konkretnego przypadku, nie automatyczna reguła — przy danych o zdrowiu traktuj zdarzenie poważnie i w razie wątpliwości zgłoś.

Krok 5 — Odnotuj w rejestrze naruszeń (zawsze)

Bezwzględnie obowiązkowy (art. 33 ust. 5). Dokumentujesz KAŻDE naruszenie — także niezgłaszane do UODO. Wpis: okoliczności, przebieg, skutki, działania zaradcze. Jeśli oceniłeś „niskie ryzyko" i nie zgłosiłeś — uzasadnienie tej decyzji też zapisujesz w rejestrze. Brak rejestru sam w sobie jest naruszeniem przepisów.

Krok 6 — Wyciągnij wnioski

Wróć do przyczyny: dlaczego do tego doszło i jak zapobiec (szyfrowanie dysków, polityka czystego biurka, szkolenie z wysyłki maili, kontrola dostępów).

Dlaczego procedurę i rejestr trzeba mieć PRZED naruszeniem

72 godziny to mało — a zegar rusza w najgorszym momencie. Jeśli teraz nie wiesz, gdzie jest formularz zgłoszenia, kto ocenia ryzyko i gdzie wpisać zdarzenie do rejestru, przepalisz pół terminu na szukanie. Procedura i rejestr to nie papier do szuflady — to instrukcja działania na kryzys.

moje-rodo.pl daje jedno i drugie jako żywy system: gotową procedurę naruszeń dopasowaną do gabinetu, rejestr naruszeń w aplikacji (z miejscem na ocenę ryzyka i decyzję o zgłoszeniu) oraz wdrożenie z dowodami pod kontrolę. Komplet od 999 zł, system w abonamencie od 199 zł/mc.

➡️ Sprawdź gotowość swojego gabinetu — zrób bezpłatny audyt RODO. W kilka minut zobaczysz, czy masz procedurę naruszeń i rejestr gotowe na kryzys, i co domknąć, zanim ruszy zegar 72h. → moje-rodo.pl

Najczęstsze pytania

Czy zawsze mam dokładnie 72 godziny na zgłoszenie? Termin to „bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia". Po przekroczeniu nadal zgłaszasz, ale z wyjaśnieniem opóźnienia (art. 33 ust. 1). Liczy się moment stwierdzenia, nie samego zdarzenia.

Zgubiłem laptopa z danymi pacjentów — co robić? Zabezpiecz (zdalne czyszczenie, zmiana haseł), zanotuj moment stwierdzenia, oceń ryzyko. Jeśli dysk był zaszyfrowany, dane są nieczytelne — to zmniejsza ryzyko i zwykle zwalnia z zawiadamiania pacjentów (art. 34 ust. 3). Niezależnie — odnotuj w rejestrze.

Wysłałem maila z wynikami do złego pacjenta — to naruszenie? Tak, to nieuprawnione ujawnienie danych o zdrowiu. Spróbuj wycofać wiadomość i poproś odbiorcę o usunięcie, oceń ryzyko i — przy danych medycznych — najczęściej zgłoś do UODO. Zawsze wpisz do rejestru.

Kiedy NIE muszę zgłaszać naruszenia do UODO? Gdy jest mało prawdopodobne, by skutkowało ryzykiem dla praw i wolności osób (np. drobne zdarzenie na danych zaszyfrowanych). Ale nawet wtedy odnotowujesz je w wewnętrznym rejestrze i zapisujesz uzasadnienie decyzji.

Co dokładnie musi zawierać zgłoszenie do UODO? Co najmniej: opis charakteru naruszenia (kategorie i przybliżona liczba osób oraz rekordów), dane kontaktowe IOD/punktu kontaktowego, opis możliwych konsekwencji, opis środków zaradczych (art. 33 ust. 3). Można uzupełniać etapowo.

Czym jest rejestr naruszeń i czy muszę go prowadzić? Tak — obowiązek z art. 33 ust. 5. Dokumentujesz każde naruszenie (okoliczności, przebieg, skutki, działania), niezależnie od zgłoszenia do UODO. Jego brak to samodzielne naruszenie, a UODO może go żądać przy kontroli.

Powiązane artykuły

• RODO dla praktyk medycznych — od czego zacząć
• Kontrola UODO w gabinecie — jak się przygotować
• Dokumentacja RODO dla gabinetu lekarskiego — co musisz mieć

---

Materiał edukacyjny, nie porada prawna. Stan prawny: czerwiec 2026. Decyzję o zgodności podejmuje administrator danych (gabinet) — w razie wątpliwości skonsultuj z IOD/prawnikiem albo skorzystaj z moje-rodo, gdzie dokumenty i dowody powstają pod Twój profil.