Wyciek danych osobowych pacjentów. Będą dodatkowe kontrole UODO

• Dodatkowe kontrole UODO w podmiotach sektora ochrony zdrowia
• Co się zmieni w planie kontroli sektorowych?

Dodatkowe kontrole UODO w podmiotach sektora ochrony zdrowia

Zapowiadane kontrole mają związek z mającym miejsce w ostatnim czasie największym wyciekiem danych osobowych pacjentów, w szczególności danych wrażliwych dotyczących zdrowia, przetwarzanych przez placówki medyczne.

"Po doniesieniach medialnych o wycieku danych z firmy MyDr, Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski niezwłocznie podjął decyzję o przeprowadzeniu kontroli w tej firmie. Jej przedmiotem są zastosowane środki techniczne i organizacyjne oraz analiza ryzyka przeprowadzona przez spółkę. UODO jednocześnie wciąż przyjmuje od administratorów zgłoszenia naruszenia ochrony danych" - czytamy w komunikacie urzędu.

W związku jednak ze wspomnianym cyberatakiem, a także wieloma innymi przypadkami naruszeń, Prezes UODO zdecydował, że potrzebne jest przeprowadzenie kontroli na szerszą skalę w zakresie przetwarzania danych dotyczących zdrowia jeszcze w tym roku. Dlatego podjął decyzję o dokonaniu kontroli do końca 2026 r. na podstawie uzyskanych przez Prezesa Urzędu ww. informacji oraz w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679 w podmiotach sektora ochrony zdrowia w celu sprawdzenia, w jaki sposób chronią one dane osób korzystających z ich usług.

Prezes UODO przypomina, iż kontrole w podmiotach sektora ochrony zdrowia prowadzone są w ramach kontroli sektorowych UODO od 2025 roku. W 2025 r. kontrole w tym sektorze dotyczyły bezpieczeństwa danych osobowych, a w roku obecnym – w szczególności stosowanego monitoringu wizyjnego. "Jednak zagrożenia w obszarze przetwarzania danych medycznych skutkują koniecznością przeprowadzenia jeszcze w tym roku dodatkowych zintensyfikowanych kontroli w kolejnych podmiotach, w szczególności celem weryfikacji stosowanych przez nie zabezpieczeń" - podkreśla UODO.

Co się zmieni w planie kontroli sektorowych?

Oznacza to dokonanie zmian w planie kontroli sektorowych na rok 2026. Zaplanowane na ten rok kontrole sektorowe internetowych platform dostaw (przetwarzanie danych osobowych w związku ze świadczeniem usług pośrednictwa w sprzedaży towarów i usług za pomocą aplikacji internetowych) zostały przesunięte na I i II kwartał 2027 roku. Bez zmian odbywają się natomiast sektorowe kontrole organów przetwarzających dane osobowe w Wielkoskalowych Systemach Unii Europejskiej, w tym przetwarzanie danych osobowych SIS/VIS na podstawie przepisów ustawy o udziale Rzeczpospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym , aktów wykonawczych oraz przepisów Unii Europejskiej.

Bez zmian pozostaje plan kontroli sektorowych, jeśli chodzi o podmioty prowadzące Biuletyn Informacji Publicznej i podmioty marketingowe. W przypadku tych pierwszych przedmiotem kontroli jest sposób przetwarzania danych osobowych w związku z realizacją obowiązku prowadzenia BIP, w szczególności w zakresie anonimizacji danych oraz udostępniania przebiegu sesji rad gminy. Te drugie zaś kontrolowane są w szczególności w zakresie podstaw prawnych przetwarzania danych osobowych w celach marketingowych.

Źródło: UODO