Twoje dane - Twoja sprawa 2026/2027: co szkoła dostaje i co musi zrobić
czytaj więcej
Jeśli stare teczki pacjentów leżą u Ciebie w piwnicy, magazynie albo zamkniętej filii, ta decyzja dotyczy też Ciebie. Za takie przechowywanie dokumentacji medycznej irlandzki organ ukarał właśnie publiczną służbę zdrowia kwotą 645 tys. euro.
Opisuję, za co dokładnie są kary i dlaczego samo trzymanie akt za długo kosztowało tyle samo, co brak zabezpieczeń. Dalej: polskie terminy przechowywania i niszczenia, kary dla prywatnej placówki i SPZOZ oraz lista do sprawdzenia we własnym archiwum.
Spis treści
Akta pacjentów w opuszczonych budynkach - kara 645 tys. euro dla irlandzkiej służby zdrowia
Irlandzka Komisja Ochrony Danych (DPC) nałożyła na Health Service Executive (HSE), czyli publiczną służbę zdrowia, łącznie 645 tys. euro kar, udzieliła jej upomnienia i wydała szereg nakazów. Decyzję przekazano HSE 25 sierpnia 2026 r., a DPC ogłosiła ją 2 września.
Sprawa zaczęła się od nieuprawnionego wejścia intruzów do dwóch nieczynnych szpitali psychiatrycznych: St. Loman's w Mullingar, skażonego azbestem, i St. Conal's w Letterkenny, z poważnym problemem pleśni. Intruzi publikowali w mediach społecznościowych nagrania pokazujące leżącą tam dokumentację medyczną. O kolejnym wejściu, do piwnicy St. Loman's, HSE sama dowiedziała się z mediów społecznościowych.
Co znaleźli kontrolerzy
Żeby sprawdzić, czy to wypadki jednostkowe, czy problem systemowy, DPC przeprowadziła 12 kontroli obiektów w całym kraju. Kontrolerzy znaleźli dokumenty zniszczone przez pleśń, zalane, zanieczyszczone odchodami zwierząt i przysypane gruzem.
Akta leżały m.in. w nieużywanych łazienkach i kabinach, w kontenerze w budynku gospodarczym, w pomieszczeniach bez oświetlenia i ogrzewania oraz w opuszczonych budynkach. Część była w takim nieładzie, że nie dało się ich uznać za uporządkowane ani dostępne.
Za co dokładnie są kary
DPC rozbiła kwotę na cztery naruszenia RODO, czyli unijnego rozporządzenia o ochronie danych osobowych:
- 300 tys. euro za brak zabezpieczeń: zasada integralności i poufności (art. 5 ust. 1 lit. f) i art. 32 ust. 1,
- 300 tys. euro za przechowywanie danych dłużej, niż było to niezbędne (art. 5 ust. 1 lit. e),
- 30 tys. euro za niezgłoszenie w 72 godziny dwóch naruszeń w St. Loman's (art. 33 ust. 1),
- 15 tys. euro za niezawiadomienie osób, których dane dotyczyły (art. 34 ust. 1).
Jako okoliczność obciążającą DPC uwzględniła wcześniejsze podobne naruszenia HSE przy papierowej dokumentacji. Źródła: Biuletyn Urzędu Ochrony Danych Osobowych (UODO) i komunikat DPC.
Archiwum dokumentacji medycznej trzymane za długo to osobne naruszenie
Najciekawsze w tej decyzji jest to, że za trzymanie akt ponad potrzebny okres organ wymierzył tyle samo, co za brak zabezpieczeń. Zbędne akta to nie tylko problem porządkowy: każdy rok ich trzymania to dodatkowe ryzyko, że ktoś je zobaczy. DPC wskazała też drugą stronę: zaniedbane akta mogą nie być dostępne, gdy są potrzebne do dalszego leczenia.
Jak długo w Polsce przechowuje się dokumentację medyczną i jak ją niszczyć
W Polsce okresy przechowywania wyznacza art. 29 ustawy o prawach pacjenta. Zasada to 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu. Wyjątki są dłuższe albo krótsze:
- 30 lat przy zgonie pacjenta na skutek uszkodzenia ciała lub zatrucia (od końca roku zgonu) oraz przy danych potrzebnych do monitorowania losów krwi,
- 22 lata dla dokumentacji dzieci do ukończenia 2. roku życia,
- 10 lat dla zdjęć rentgenowskich przechowywanych poza dokumentacją pacjenta (od końca roku wykonania zdjęcia),
- 5 lat dla skierowań i zleceń (od końca roku udzielenia świadczenia), a 2 lata od końca roku wystawienia, gdy pacjent nie zgłosił się na świadczenie i nie odebrał skierowania.
Po upływie terminu placówka niszczy dokumentację w sposób uniemożliwiający identyfikację pacjenta albo wydaje ją pacjentowi, jego przedstawicielowi ustawowemu lub osobie upoważnionej (art. 29 ust. 2).
Kogo pacjent może upoważnić do swojej dokumentacji i co jeszcze podpisuje w przychodni, opisuję we wpisie Zgoda pacjenta na RODO: co pacjent podpisuje, a czego nie musi.
Warunki przechowywania w gabinecie prywatnym i w szpitalu
Rozporządzenie o dokumentacji medycznej uznaje dokumentację za zabezpieczoną, gdy w sposób ciągły jest dostępna wyłącznie dla osób uprawnionych i chroniona metodami i środkami, których skuteczność jest powszechnie uznawana (§ 1 ust. 4 rozporządzenia Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania). Wymaga też m.in. szacowania ryzyka i udokumentowanych procedur dostępu oraz przechowywania (§ 1 ust. 5).
Najbliżej sprawy HSE jest § 1 ust. 7: placówka zapewnia warunki, które chronią dokumentację przed zniszczeniem, uszkodzeniem, utratą i dostępem osób nieupoważnionych, a jednocześnie pozwalają z niej skorzystać bez zbędnej zwłoki. Akta w pleśni i zalanym magazynie łamią oba warunki naraz. Dotyczy to tak samo szpitala, jak jednoosobowego gabinetu z szafą na akta.
Jaka kara grozi polskiej placówce
Te same naruszenia w Polsce oceniałby Prezes Urzędu Ochrony Danych Osobowych. Za naruszenie zasad z art. 5 RODO kara wynosi do 20 mln euro, a w przypadku przedsiębiorstwa do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, jeśli ta kwota jest wyższa (art. 83 ust. 5 RODO). Za art. 32-34 próg jest niższy: 10 mln euro albo 2% (art. 83 ust. 4).
Wyjątkiem są m.in. samodzielne publiczne zakłady opieki zdrowotnej (SPZOZ) i instytuty badawcze: dla nich ustawa o ochronie danych osobowych ogranicza karę do 100 tys. zł (art. 102 ust. 1). Prywatny gabinet, przychodnia czy szpital działający jako spółka podlegają pełnej skali z art. 83 RODO.
Co sprawdzić w swoim archiwum dokumentacji medycznej
Nakazy DPC, uzupełnione o polskie terminy, układają się w listę także dla polskiej placówki:
1
Spis miejsc
Wypisz wszystkie miejsca z papierową dokumentacją, także piwnice, magazyny i stare filie.
2
Ocena warunków
Sprawdź zamki, wilgoć, oświetlenie i to, kto ma klucz. Akta z miejsc, które się nie nadają, przenieś.
3
Śledzenie lokalizacji
Prowadź ewidencję, która teczka leży gdzie, żeby szybko ją znaleźć i zauważyć brak.
4
Regularny przegląd terminów
Regularnie, najlepiej raz w roku (terminy z art. 29 kończą się z końcem roku kalendarzowego), wybierz akta po terminie i zniszcz je tak, żeby nie dało się zidentyfikować pacjenta.
Przy niszczeniu sprawdź, czy dokumentacja nie jest materiałem archiwalnym w rozumieniu ustawy o narodowym zasobie archiwalnym, bo wtedy obowiązują osobne zasady (art. 29 ust. 3 ustawy o prawach pacjenta).
Najczęstsze pytania o przechowywanie dokumentacji medycznej
Jak długo trzeba przechowywać dokumentację medyczną?+
Co do zasady 20 lat od końca roku, w którym dokonano ostatniego wpisu. Wyjątki to m.in. 30 lat przy zgonie z powodu urazu lub zatrucia, 22 lata dla dzieci do 2. roku życia i 10 lat dla zdjęć RTG przechowywanych osobno.
Czy można przechowywać dokumentację medyczną dłużej, na wszelki wypadek?+
Co do zasady nie. Po upływie terminu placówka ma ją zniszczyć albo wydać pacjentowi (art. 29 ust. 2), chyba że dokumentacja jest materiałem archiwalnym (art. 29 ust. 3). Trzymanie danych dłużej, niż to niezbędne, narusza art. 5 ust. 1 lit. e RODO, a w sprawie HSE kosztowało 300 tys. euro.
Jak zniszczyć dokumentację medyczną?+
Tak, żeby nie dało się zidentyfikować pacjenta, którego dotyczyła (art. 29 ust. 2 ustawy o prawach pacjenta). Jeśli robi to firma zewnętrzna, potrzebna jest umowa powierzenia przetwarzania danych (art. 28 RODO), a protokół zniszczenia warto zachować jako dowód, że akta zniszczono po terminie.
Co sprawdzić w takiej umowie, od stopnia zniszczenia po numery plomb na certyfikacie, opisałem we wpisie Umowa powierzenia z firmą niszczącą dokumenty - co w niej sprawdzić.
Czy włamanie do archiwum trzeba zgłosić do UODO?+
Tak, chyba że jest mało prawdopodobne, by naruszenie stworzyło ryzyko dla pacjentów, a przy dokumentacji medycznej to rzadki przypadek. Zgłoszenie składa się bez zbędnej zwłoki, w miarę możliwości w 72 godziny (art. 33 ust. 1 RODO). W sprawie HSE organ nałożył za spóźnione zgłoszenia 30 tys. euro.
Papierowe akta pacjentów - od czego zacząć
Zacznij od spisu miejsc, w których leżą akta, i dat ostatnich wpisów w najstarszych teczkach. O zabezpieczeniu dokumentacji elektronicznej piszę we wpisie Wyciek danych medycznych: kara dla szpitala we Francji, kary w Polsce i co sprawdzić w przychodni.
Jeśli chcesz, żeby ktoś przejrzał archiwum i procedury za Ciebie, zajrzyj do usługi audyt RODO, a procedury przechowywania i niszczenia przygotujemy w ramach usługi dokumentacja RODO.
