Lista kontrolna RODO dla gabinetu — sprawdź w 10 minut, czy masz wszystko

Prowadzisz gabinet i nie wiesz, czy „masz RODO ogarnięte"? Nie musisz czytać rozporządzenia od deski do deski. Poniżej jest praktyczna lista kontrolna RODO dla gabinetu lekarskiego — przejdź ją punkt po punkcie i odhacz to, co naprawdę masz wdrożone (a nie tylko „gdzieś leży w segregatorze"). Na końcu podpowiadamy, jak czytać wynik.

Jedna uwaga na start: gabinet przetwarza dane o zdrowiu, czyli szczególną kategorię danych (art. 9 RODO). To podnosi poprzeczkę — część obowiązków, z których zwolnione są zwykłe firmy, Ciebie dotyczy bez wyjątku. Najważniejszy przykład: rejestr czynności przetwarzania (RCP) jest obowiązkowy niezależnie od liczby zatrudnionych (art. 30 ust. 5 RODO).

Jeśli potrzebujesz opisu, co dokładnie zawiera każdy dokument, mamy osobną stronę: Dokumentacja RODO dla gabinetu lekarskiego. Tutaj skupiamy się na działaniu — odhaczasz i wiesz, gdzie są dziury.

---

Checklista RODO gabinet lekarski

1. Dokumenty podstawowe

• Klauzule informacyjne dla pacjentów (art. 13) — czy pacjent przy pierwszej wizycie dostaje informację, kto przetwarza jego dane, w jakim celu i jak długo?
• Polityka ochrony danych / bezpieczeństwa (art. 24, 32) — czy masz spisany dokument opisujący zasady ochrony danych? Jeśli „wiem to w głowie" — to znaczy, że go nie ma.
• Klauzule zgody (tam, gdzie potrzebne) — np. marketing, newsletter, zdjęcia „przed/po". Leczenie zgody nie wymaga, ale dodatkowe cele już tak.
• Regulamin / informacja o monitoringu — jeśli masz kamery, czy jest tabliczka informacyjna i opis zasad nagrywania?

2. Rejestry

• Rejestr czynności przetwarzania — RCP (art. 30) — obowiązkowy mimo małego zespołu (dane o zdrowiu). Czy wymienia realne procesy: kartoteka, rejestracja, rozliczenia, e-recepty?
• Rejestr kategorii czynności (art. 30 ust. 2) — tylko jeśli przetwarzasz dane na zlecenie innego podmiotu. Jeśli nie — pomiń.
• Rejestr umów powierzenia — lista firm, którym przekazujesz dane (system gabinetowy, hosting, księgowość, laboratorium).
• Rejestr naruszeń ochrony danych (art. 33 ust. 5) — miejsce, gdzie zapisujesz każdy incydent (nawet niezgłoszony do UODO). Pusty rejestr to dobry znak — ale musi istnieć.

3. Personel

• Upoważnienia do przetwarzania danych (art. 29) — czy każda osoba z dostępem do danych ma pisemne upoważnienie?
• Ewidencja osób upoważnionych — lista, kto i od kiedy ma dostęp.
• Zobowiązania do poufności — czy upoważnieni podpisali oświadczenie? Obowiązuje także po zakończeniu współpracy.
• Szkolenie zespołu — czy ludzie wiedzą, co robić przy zagubionym dokumencie albo telefonie „z NFZ" proszącym o dane? Czy jest na to ślad?

4. Bezpieczeństwo

• Analiza ryzyka (art. 32) — ocena, co może pójść nie tak i jak się zabezpieczasz.
• Zabezpieczenia techniczne — hasła, szyfrowanie dysków, kopie zapasowe, kontrola dostępu. Sprawdź, czy kopia faktycznie się robi.
• Zabezpieczenia fizyczne — zamykane szafy na kartoteki, kontrola dostępu, niszczarka.
• Ocena obowiązku DPIA (art. 35) — dla danych o zdrowiu ocena skutków bywa wymagana; w praktyce warto sprawdzić, czy Twoje przetwarzanie odpowiada operacjom z wykazu UODO, i udokumentować swoją ocenę (nawet jeśli wyjdzie, że DPIA nie jest konieczna).

5. Naruszenia

• Procedura na wypadek naruszenia (art. 33–34) — kto co robi, gdy dojdzie do wycieku.
• Świadomość terminu 72 godzin — naruszenie zgłasza się do UODO w ciągu 72 godzin od stwierdzenia.
• Ścieżka powiadomienia pacjentów (art. 34) — kiedy musisz poinformować samych pacjentów (wysokie ryzyko).

6. IOD (Inspektor Ochrony Danych)

• Ocena, czy musisz wyznaczyć IOD (art. 37, motyw 91) — pojedyncza praktyka zwykle nie musi; większa przychodnia działająca „na dużą skalę" zwykle już tak. Sprawdź i udokumentuj ocenę.
• Zgłoszenie IOD do UODO (jeśli dotyczy) — czy zgłoszony i czy dane opublikowane.

7. Dowody wdrożenia (rozliczalność)

• Daty i wersje dokumentów — czy wiadomo, która wersja obowiązuje?
• Ślad przeglądów — czy widać, że dokumenty są okresowo aktualizowane, a nie z 2018 i zapomniane?
• Realizacja praw pacjenta — czy potrafisz pokazać, jak obsługujesz wniosek o dostęp/usunięcie?
• Retencja zgodna z prawem — dokumentację medyczną przechowuje się co do zasady 20 lat (22 lata dzieci do 2. r.ż., 30 lat w określonych przypadkach zgonu). Nie usuwaj za wcześnie ani nie trzymaj „w nieskończoność".

---

Jak interpretować wynik

Policz braki (puste pola) — to orientacyjny termometr, nie wyrok:

• 0–2 braki — dobre miejsce. Domknij pojedyncze punkty i zadbaj o cykliczny przegląd.
• 3–6 braków — masz fundamenty, ale są realne dziury. Uporządkuj w 2–4 tygodnie; zacznij od RCP, analizy ryzyka i procedury naruszeń.
• 7+ braków — to nie panika, to sygnał: zajmij się tym priorytetowo. Zacznij od dokumentów podstawowych i rejestrów.

Najważniejsze zastrzeżenie: sama checklista to za mało. RODO opiera się na zasadzie rozliczalności (art. 5 ust. 2) — musisz nie tylko mieć dokumenty, ale też udowodnić, że je stosujesz. Odhaczona „polityka bezpieczeństwa", która leży nieprzeczytana, w razie kontroli waży tyle co nic. Dlatego sekcja „Dowody wdrożenia" jest równie ważna jak posiadanie plików.

Jeśli martwi Cię sama kontrola, mamy osobny przewodnik: Kontrola UODO w gabinecie.

---

Zrób to szybciej — darmowy audyt ze score

Przejście tej listy ręcznie zajmuje kilkanaście minut i wymaga, żebyś sam ocenił każdy punkt. Możesz to zrobić za Ciebie: darmowy audyt moje-rodo.pl zadaje proste pytania i zwraca wynik (score) — czarno na białym widzisz, co masz, czego brakuje i co jest pilne.

Jeśli wyjdą braki, moje-rodo.pl dostarcza komplet dokumentów + żywy system, który aktualizuje się razem z gabinetem. Od 999 zł za komplet, abonament od 199 zł/mc.

➡️ Zrób darmowy audyt RODO i poznaj swój wynik → moje-rodo.pl

Najczęstsze pytania

Czy mały, jednoosobowy gabinet naprawdę musi mieć RODO? Tak. Wielkość nie zwalnia z obowiązków — a ponieważ przetwarzasz dane o zdrowiu, część wymogów (jak RCP) dotyczy Cię niezależnie od liczby pracowników.

Czy muszę mieć Inspektora Ochrony Danych (IOD)? Pojedyncza praktyka zwykle nie musi (motyw 91 RODO). Obowiązek pojawia się przy przetwarzaniu „na dużą skalę". Kluczowe jest udokumentowanie własnej oceny.

Mam dokumenty od kogoś sprzed lat — czy to wystarczy? Niekoniecznie. Liczy się, czy są aktualne i czy je stosujesz. Zasada rozliczalności (art. 5 ust. 2) wymaga dowodów wdrożenia, nie samego pliku.

Ile czasu mam na zgłoszenie wycieku danych? Bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin od stwierdzenia naruszenia. Dlatego warto mieć gotową procedurę, zanim coś się wydarzy.

Jak długo przechowywać dokumentację pacjentów? Co do zasady 20 lat od końca roku ostatniego wpisu. Wyjątki: 22 lata (dzieci do 2. r.ż.), 30 lat (określone przypadki zgonu).

Czym ta lista różni się od strony z dokumentami? Ta strona to narzędzie do samodzielnego sprawdzenia zgodności. Opis poszczególnych dokumentów znajdziesz na stronie Dokumentacja RODO dla gabinetu lekarskiego.

Powiązane artykuły

• RODO dla praktyk medycznych
• Dokumentacja RODO dla gabinetu lekarskiego
• Kontrola UODO w gabinecie

---

Materiał edukacyjny, nie porada prawna. Stan prawny: czerwiec 2026. Decyzję o zgodności podejmuje administrator danych (gabinet) — w razie wątpliwości skonsultuj z IOD/prawnikiem albo skorzystaj z moje-rodo, gdzie dokumenty i dowody powstają pod Twój profil.