Dodatkowe kontrole UODO w ochronie zdrowia – czy Twoja organizacja jest gotowa?

16 września 2026 r. Prezes UODO Mirosław Wróblewski ogłosił, że jeszcze przed końcem roku inspektorzy zapukają do kolejnych podmiotów z sektora ochrony zdrowia. Impulsem była skala wycieku danych pacjentów z platformy MyDr, określana przez UODO jako największy w ostatnim czasie wyciek danych osobowych pacjentów, w tym danych dotyczących zdrowia. 

Kontrola w MyDr już trwa. UODO bada m.in. zastosowane środki techniczne i organizacyjne oraz analizę ryzyka przeprowadzoną przez spółkę. Jednocześnie Urząd zapowiedział zmianę planu kontroli sektorowych na 2026 r. tak, aby jeszcze w tym roku objąć dodatkowymi kontrolami kolejne podmioty z sektora ochrony zdrowia.

Co może sprawdzić UODO?

Inspektorzy skupią się na tym, jak naprawdę chronisz dane pacjentów – nie na tym, co masz w dokumentach. W centrum uwagi znajdą się:

• środki techniczne i organizacyjne – czy są adekwatne do skali, charakteru i ryzyk związanych z przetwarzaniem danych medycznych;
• analizę ryzyka i DPIA – czy są aktualne, konkretne i powiązane z rzeczywistymi systemami oraz procesami;
• obsługę naruszeń ochrony danych – czy organizacja prawidłowo identyfikuje, dokumentuje i zgłasza incydenty;
• nadzór nad dostawcami i procesorami – w tym dostawcami IT, platformami medycznymi, operatorami systemów i podwykonawcami;
• dokumentację RODO i rozliczalność – czyli zdolność do wykazania zgodności na podstawie konkretnych dokumentów, decyzji, procedur i dowodów wdrożenia;
• monitoring wizyjny – który już wcześniej znajdował się w obszarze kontroli sektorowych UODO w ochronie zdrowia.

Dlaczego to ważne właśnie teraz?

Dane dotyczące zdrowia należą do najbardziej chronionych kategorii danych osobowych, dlatego w razie incydentu UODO będzie weryfikować nie tylko przebieg naruszenia, ale też to, czy organizacja wcześniej właściwie oceniła ryzyka i wdrożyła adekwatne zabezpieczenia.

W praktyce kontrola często ujawnia nie tyle całkowity brak procedur, ile luki w ich stosowaniu: nieaktualną analizę ryzyka, dokumentację niezgodną z rzeczywistymi procesami, niewystarczający nadzór nad dostawcami IT, nieprzetestowane procedury naruszeń czy trudności w szybkim zebraniu dowodów zgodności.

Znaczenie ma również sposób współpracy z organem. Utrudnianie kontroli, brak sprawnej komunikacji lub nieprzygotowanie zespołu mogą istotnie zwiększyć ryzyko sankcji.

Jak możemy pomóc?

W Osborne Clarke wspieramy podmioty z sektora ochrony zdrowia, medtech i life sciences w przygotowaniu do kontroli UODO oraz w praktycznym zarządzaniu zgodnością z RODO. Skupiamy się na obszarach, które najczęściej mają znaczenie dla regulatora:

• szybki przegląd gotowości do kontroli – sprawdzamy, czy organizacja wie, kto odpowiada za kontakt z UODO, gdzie znajduje się dokumentacja i jak szybko można zebrać wymagane informacje;
• przegląd dokumentacji i luk rozliczalności – weryfikujemy, czy dokumenty RODO odpowiadają rzeczywistym procesom, systemom i relacjom z dostawcami;
• analiza ryzyka i DPIA – oceniamy, czy analizy są aktualne, konkretne i możliwe do obrony przed organem;
• audyt dostawców i procesorów – sprawdzamy umowy, podpowierzenia i mechanizmy nadzoru nad dostawcami IT oraz innymi podmiotami przetwarzającymi;
• symulacja kontroli UODO – testujemy, jak organizacja poradziłaby sobie z pytaniami regulatora i jakie dowody zgodności może przedstawić;
• wsparcie w trakcie kontroli – pomagamy w analizie żądań UODO, przygotowaniu odpowiedzi i zarządzaniu komunikacją z organem.

Warto działać przed kontrolą

Zapowiedź UODO pokazuje, że ochrona danych medycznych będzie jednym z priorytetów regulatora. Dobrze przygotowana organizacja może szybciej odpowiedzieć na pytania organu, ograniczyć ryzyko eskalacji i wykazać, że zgodność z RODO działa w praktyce, a nie tylko w dokumentach.