RODO dla gabinetu medycznego 2026 - checklist 30 punktów
Dane medyczne to kategoria szczególna (art. 9 RODO) z najwyższym poziomem wrażliwości i najsurowszymi sankcjami za naruszenia. Gabinet medyczny w 2026 musi mieć pełen RODO compliance: dokumenty, zgody, technologia, procedury, dokumentacja audytowa.
W tym artykule pełny checklist 30 punktów RODO dla gabinetu medycznego z konkretnymi krokami compliance, dokumenty do podpisania i sankcje za nieprzestrzeganie.
Dlaczego RODO medyczne to "extra hard mode"
| Dane standardowe (np. e-commerce) | Dane medyczne (gabinet) |
|---|---|
| Limit kar: 20M EUR / 4% obrotu | Limit kar: 4% obrotu (zawsze) |
| Przechowywanie: 1-5 lat | 20 lat (dokumentacja medyczna) |
| Hosting: EU lub SCC (USA) | EU obowiązkowy, NIE USA |
| Zgoda na marketing: opcjonalna | Zgoda informowana (informed consent) |
| Wyciek = utracone dane klienta | Wyciek = sankcja kryminalna + cywilna |
Checklist 30 punktów
Dokumenty i procedury (10 punktów)
1. Polityka prywatności na stronie WWW - Wymaga: lista danych zbieranych, podstawa prawna (art. 9 ust. 2 lit. h RODO), retencja, prawa pacjenta - Aktualizuj co 12 mies - ✅ Test: czy każda strona ma link "Polityka prywatności" w stopce?
2. Polityka cookies + banner zgodności - Wymaga: opt-in na non-essential cookies (analytics, marketing) - Cookiebot/CookieYes (40-80 zł/mies) lub custom - ✅ Test: czy pacjent widzi banner przed pierwszą wizytą strony?
3. Regulamin świadczenia usług medycznych - Wymaga: zakres usług, ceny, anulowanie, reklamacje, dane lekarza (PWZ) - ✅ Test: dostępny na stronie + w gabinecie fizycznie?
4. Klauzula informacyjna RODO - Czytana / przekazana pacjentowi przed pierwszą wizytą - Format: krótka 1-2 stron + długa wersja online - ✅ Test: czy każdy nowy pacjent ją otrzymuje?
5. Zgoda informowana na zabieg/badanie - Każdy zabieg = osobna zgoda (nie zbiorcza) - Wymagana sygnatura pacjenta (papier lub e-podpis) - ✅ Test: czy zgoda jest w karcie pacjenta przed zabiegiem?
6. Zgoda na teleporadę - OSOBNA od zgody na wizytę stacjonarną - Wymaga zaznaczenia ryzyk specyficznych (jakość połączenia, prywatność) - ✅ Test: czy każdy nowy pacjent teleporady ma podpisaną zgodę?
7. Zgoda na przetwarzanie szczególnej kategorii danych - Art. 9 ust. 2 lit. h RODO (zdrowie) - Może być wbudowana w klauzulę informacyjną - ✅ Test: czy zgoda jest jasno wyrażona pisemnie?
8. Procedura przetwarzania incydentów (data breach) - 72 godziny na zgłoszenie do PUODO - Dokumentacja: kogo dotyczy, jakie dane, co zrobiono - ✅ Test: czy zespół wie co robić w przypadku wycieku?
9. Procedura praw pacjenta (RODO) - Dostęp, sprostowanie, ograniczenie, sprzeciw, przenoszenie - Czas reakcji: 30 dni - ✅ Test: jak pacjent może wnieść wniosek? Email? Formularz?
10. Rejestr czynności przetwarzania (RCPD) - Wymagany art. 30 RODO - Lista: jakie dane, podstawa, cel, kategorie, retencja - ✅ Test: czy rejestr jest aktualny (ostatnia aktualizacja w 12 mies)?
Personel i organizacja (5 punktów)
11. Inspektor Ochrony Danych (IOD) - Obowiązkowy dla gabinetu medycznego (art. 37 RODO) - Możesz wyznaczyć siebie (solo lekarz) lub zlecić zewnętrznemu - Zewnętrzny IOD: 200-800 zł/mies - ✅ Test: czy IOD jest zgłoszony do PUODO?
12. Szkolenie pracowników z RODO - Coroczne, dokumentowane - Każdy nowy pracownik = szkolenie przed dostępem do danych - ✅ Test: certyfikaty szkoleniowe w aktach personalnych?
13. Umowy o powierzeniu danych (DPA) z podwykonawcami - Każdy podwykonawca (księgowość, IT, czyszczenie, software) = DPA - Standardowy template MIB/UODO - ✅ Test: czy każdy podwykonawca podpisał DPA?
14. Zgoda na delegowanie do laboratoriów - Współpraca z laboratoriami diagnostycznymi = osobna zgoda - Wymaga oczywistego informowania pacjenta - ✅ Test: czy pacjent wie, że jego materiał idzie do labu zewnętrznego?
15. Procedura uprawnień dostępu do danych - Tylko pracownicy autoryzowani widzą dane pacjentów - Logging dostępu (kto, kiedy, co) - ✅ Test: czy system loguje dostępy?
Technologia (10 punktów)
16. Hosting EU dla danych pacjentów - Server w UE (NIE USA, NIE Indie, NIE Rosja) - Calendesk EU, Fakturownia EU OK - ✅ Test: gdzie fizycznie znajdują się serwery?
17. Encrypted backup - Codzienny backup pełen - Encrypted at rest (AES-256) - 20 lat retencja (medyczna) - ✅ Test: czy backup się restoruje (test 2× rocznie)?
18. SSL/TLS na stronie WWW - HTTPS dla wszystkich stron - Certificate ważny (auto-renewal) - ✅ Test: padlock w przeglądarce, brak warnings?
19. End-to-end encryption dla teleporady - Whereby, Microsoft Teams Premium - native E2E - Zoom standardowy - NIE E2E (transit only) - ✅ Test: jakiego rozwiązania używasz?
20. Strong password policy - Minimum 12 znaków, mixed case + numbers + symbols - Zmiana co 90 dni - 2FA dla wszystkich pracowników - ✅ Test: czy każde konto ma 2FA?
21. Anti-malware / antivirus na komputerach - Wszystkie urządzenia z dostępem do danych medycznych - Auto-update - ✅ Test: ostatnia aktualizacja?
22. Wifi separacja: prywatne vs guest - Pracowniczy wifi = osobna sieć od guest wifi - Guest wifi NIE ma dostępu do systemu medycznego - ✅ Test: czy są 2 osobne SSID?
23. Procedura niszczenia danych po retencji - Papier: niszczarka P-7 (najwyższy poziom security) - Cyfrowe: secure wipe (DOD 5220.22-M) - ✅ Test: czy procedura niszczenia jest opisana?
24. Mobile device management (MDM) - Jeśli używasz telefonów / tabletów z dostępem do danych medycznych - Wymuszone PIN, encryption, wipe-on-loss - ✅ Test: czy każdy mobile jest w MDM?
25. Logging i audit trail - Kto i kiedy widział dane danego pacjenta - 12 mies retencja logów minimum - ✅ Test: czy system loguje dostęp?
Pacjent (5 punktów)
26. Prawo dostępu do danych - Pacjent prosi → 30 dni na wydanie kopii dokumentacji - Format: PDF / wydruk - ✅ Test: jak procesujesz wniosek dostępu?
27. Prawo do bycia zapomnianym (z wyłączeniami) - Medyczne dokumenty = 20 lat retencja (NIE można usunąć przedwcześnie) - Marketing data (newsletter) = TAK, możesz usunąć - ✅ Test: jak rozróżniasz?
28. Prawo do przenoszenia danych - Pacjent prosi o eksport do innego gabinetu - Format: PDF / standard medyczny - ✅ Test: jak procesujesz wniosek?
29. Klauzula informacyjna w mailu - Każdy mail wychodzący z gabinetu = stopka z RODO info - ✅ Test: czy template emaila ma stopkę?
30. RODO consent w formularzu kontaktowym/rezerwacyjnym - Checkbox "Zgadzam się na przetwarzanie..." obowiązkowy - NIE wcześniej zaznaczony (opt-in, nie opt-out) - ✅ Test: czy formularz wymaga checkbox?
Sankcje za nieprzestrzeganie
PUODO (administracyjne)
- Standard: do 4% rocznego obrotu lub 20M EUR (większa kwota)
- W praktyce 2024 dla małych gabinetów: 5 000 - 50 000 zł za "lżejsze" naruszenia
- Recydywa: kary 2-5× wyższe
Cywilne (od pacjenta)
- Odszkodowanie cywilne za szkody (zazwyczaj 5 000 - 50 000 zł per pacjent)
- Zadośćuczynienie za naruszenie godności
- Możliwe class action gdy wyciek 100+ pacjentów
Kryminalne (przestępstwa)
- Art. 107 ust. 1 RODO: do 2 lat więzienia za nieuprawnione przetwarzanie szczególnej kategorii
- Realnie: tylko za umyślne ujawnienie / sprzedaż danych
Najczęstsze błędy
Błąd 1: "RODO to checkbox w formularzu" RODO to system: dokumenty + technologia + procedury + szkolenie. Sam checkbox = naruszenie.
Błąd 2: "Backup w Dropbox / Google Drive USA" USA cloud = NIE compliance (zazwyczaj). Wymaga oddzielnych umów + Standard Contractual Clauses. EU cloud (OVH, Aruba EU) prostsze.
Błąd 3: "Email z PDF dokumentacji do pacjenta" NIEZASZYFROWANY email z danymi medycznymi = naruszenie. Wymaga: encrypted email (PGP) lub portal pacjenta.
Błąd 4: "Tabletu w gabinecie nie ma PIN-a" Każde urządzenie z dostępem do danych medycznych = PIN + encryption + auto-lock.
Błąd 5: "DPA z apką = nie potrzebne" Każdy software vendor (Calendesk, Fakturownia, Mailchimp) = DPA wymagany.
Audit i monitoring
Coroczne: - Pełen RODO audit (zewnętrzny audytor) - 2 000-5 000 zł - Update polityk prywatności - Szkolenie odświeżające personel - Test backup restoration
Co kwartał: - Review uprawnień dostępu (czy ex-pracownicy nadal mają dostęp?) - Review subprocessor'ów (czy DPA aktualne?)
Co miesiąc: - Audit log review (anomalie w dostępie?) - Update software / patche security
Koszty RODO compliance
Solo gabinet, low-volume: - Setup polityk + dokumentów: 1 500 - 3 000 zł (template prawnika) - IOD wewnętrzny (samodzielnie): 0 zł - Hosting EU: included w software (Calendesk, etc.) - Annual audit: 0 zł (DIY) - Razem rok 1: 1 500 - 3 000 zł
Mid-size klinika (5+ specjalistów): - Setup z prawnikiem: 5 000 - 15 000 zł - IOD zewnętrzny: 500-800 zł/mies = 6 000 - 9 600 zł/rok - Annual audit: 3 000 - 5 000 zł - Razem rok 1: 15 000 - 30 000 zł
Jak się to ma do Twojego biznesu
RODO compliance dla gabinetu medycznego nie jest opcją - to obowiązek prawny z poważnymi sankcjami. Lepiej zainwestować 2-15k zł w setup niż 50-500k zł w sankcję.
Pakiet PRO Simple Flow za 6 900 zł obejmuje setup strony Shopify z RODO compliance: polityka, cookies, formularz consent, EU hosting, encrypted backup. Wdrożenie 10-14 dni.
Wymagania prawne dla strony medycznej: Strona dla gabinetu lekarskiego.
Setup teleporady z RODO: Konsultacja online lekarz.
Bezpłatna konsultacja 15 minut pomoże ocenić RODO status Twojego gabinetu.
FAQ - najczęstsze pytania
Czy solo lekarz musi mieć IOD? TAK. Gabinet medyczny przetwarza szczególną kategorię danych (zdrowie) - IOD obowiązkowy. Możesz wyznaczyć siebie.
Czy Mailchimp jest RODO compliant? Częściowo. Mailchimp ma DPA, ale serwery w USA - wymaga SCC + ocena ryzyka. Lepiej: Klaviyo EU, Brevo (Sendinblue) EU.
Co o Google Workspace dla gabinetu? Google Workspace ma EU hosting opcjonalny - sprawdź ustawienia. Dla bardzo wrażliwych danych medycznych lepiej: ProtonMail, Tuta Mail (EU dedicated).
Czy mogę używać Gmail dla pacjentów? NIE rekomendowane dla danych medycznych. Maile niezaszyfrowane + serwery USA. Dla podstawowej komunikacji OK, dla dokumentacji NIE.
Co o WhatsApp w gabinecie? NIEDOPUSZCZALNE. WhatsApp = E2E ale Meta zbiera metadane. NIE używaj WhatsApp dla danych medycznych. Alternatywa: Signal lub Element (Matrix).
Czy mogę nagrywać teleporady? TAK, ZA ZGODĄ pacjenta + encrypted storage 20 lat. Większość lekarzy NIE nagrywa - tylko notatki w karcie.
Co o Wifi-publicznym? Nigdy nie pracuj z danymi pacjentów w publicznym wifi (kafejka, lotnisko). VPN obowiązkowy jeśli musisz.
Czy mogę używać Booksy dla gabinetu medycznego? Booksy ma DPA i EU hosting. OK dla rezerwacji, ALE dokumentacja medyczna nie idzie do Booksy - tylko do P1 / certyfikowanego software.
Co jeśli pacjent prosi o usunięcie danych? Częściowe usunięcie: dane marketingowe TAK. Dokumentacja medyczna: NIE (20 lat retencja prawna).
Jak długo trwa RODO audit? Solo gabinet: 1 dzień. Mid-size klinika: 3-5 dni z audytorem zewnętrznym.
Czy mogę ignorować RODO bo "mam mały biznes"? NIE. Limit kar to procent obrotu - mały biznes = mała kara, ALE rekord sankcji = utrata reputacji + reputacja w branży.
Co o pacjentach z UE (DE, FR)? Jeśli przyjmujesz pacjentów UE = stosujesz najwyższe standardy RODO (oni mogą skarżyć w swoim kraju). Polskie standardy = wystarczające.
Czy mogę używać AI (ChatGPT) do diagnostyki? NIE dla danych pacjentów. ChatGPT/Claude na cloud USA bez DPA = naruszenie RODO. Wyjątek: lokalne LLM (Ollama) na własnym serwerze.
Komentarze: 0