Dane szczególnej kategorii — art. 9 RODO

Dane o Twoim zdrowiu są najwrażliwszymi danymi, jakie o Tobie istnieją.

Wyjaśniamy prostym językiem, czym są dane medyczne, jakie obowiązki ma wobec nich lekarz i przychodnia, oraz czego możesz się domagać. Każde twierdzenie z podstawą prawną — RODO, ustawa o ochronie danych osobowych, ustawa o prawach pacjenta.

Wygeneruj zapytanie do lekarza Najpierw wyjaśnij mi podstawy

✓Dokument powstaje w Twojej przeglądarce ✓Bez konta i bez logowania ✓Stan prawny: sierpień 2026

Jak działa generator

Wypełniasz formularz

Dane zostają w pamięci karty przeglądarki.

Pismo składa się lokalnie

Treść i PDF generuje kod strony, nie serwer.

Pobierasz i wysyłasz sam

PDF do podpisu albo gotowy tekst e‑maila.

Twoje imię, PESEL, rozpoznanie ani adres placówki nigdy nie opuszczają Twojego urządzenia. Nie mamy ich, więc nie możemy ich utracić.

Czym są dane medyczne

RODO nie używa słowa „dane medyczne”. Mówi o danych szczególnej kategorii — informacjach, których ujawnienie może Ci najbardziej zaszkodzić. Ich przetwarzanie jest domyślnie zakazane i staje się legalne tylko w wyjątkach wymienionych w art. 9 ust. 2 RODO — na przykład dla profilaktyki i leczenia.

Zdrowie i leczenie

Rozpoznania, wyniki badań, leki, zwolnienia, historia wizyt, teleporady, skierowania.

Dane genetyczne

Wyniki badań DNA — mówią też o Twojej rodzinie, której nikt o zgodę nie pytał.

Dane biometryczne

Odcisk palca, wzór twarzy lub tęczówki, jeśli służą do identyfikacji.

Życie seksualne i orientacja

Także dane o ciąży, leczeniu niepłodności czy chorobach przenoszonych drogą płciową.

Zdrowie psychiczne i uzależnienia

Formalnie część danych o zdrowiu — w praktyce najczęściej wykorzystywane przeciwko pacjentowi.

Dane pośrednie

Sam fakt wizyty w konkretnej poradni — onkologicznej, psychiatrycznej, uzależnień — to już dana o zdrowiu.

+ Zobacz treść przepisu — art. 9 ust. 1 RODO

„Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.”

Rozporządzenie (UE) 2016/679 — EUR‑Lex

Dlaczego trzeba ich chronić szczególnie

Hasło można zmienić. Numeru karty można zastrzec. Rozpoznania sprzed dziesięciu lat nie można odwołać — a raz ujawnione zostaje w obiegu na zawsze.

Są nieodwracalne

Dane genetyczne i historia chorób są stałe. Wyciek raz na zawsze zmienia to, co inni mogą o Tobie wiedzieć — także za dwadzieścia lat.

Prowadzą do dyskryminacji

Rekrutacja, ubezpieczenie, kredyt, sprawa rozwodowa, opieka nad dzieckiem. Informacja o leczeniu psychiatrycznym lub uzależnieniu potrafi zamknąć drzwi bez jednego słowa uzasadnienia.

Dotyczą nie tylko Ciebie

Twój wynik badania genetycznego mówi o rodzeństwie, dzieciach i rodzicach. Nikt z nich nie wyraził na to zgody.

Niszczą zaufanie do leczenia

Pacjent, który boi się, że jego karta trafi w niepowołane ręce, przemilcza objawy. Tajemnica nie jest formalnością — jest warunkiem skutecznej diagnozy.

Co musi zrobić lekarz i placówka

To nie są dobre praktyki, a obowiązki prawne. Ich naruszenie oznacza odpowiedzialność administracyjną, cywilną i zawodową.

+ Zachować tajemnicę zawodową art. 40 u.z.l.

Lekarz ma obowiązek zachowania w tajemnicy wszystkiego, o czym dowiedział się w związku z leczeniem — także po śmierci pacjenta. Wyjątki są zamknięte i wąskie (m.in. zgoda pacjenta, zagrożenie życia, przepis ustawy). Podstawa: art. 40 ustawy o zawodach lekarza i lekarza dentysty oraz art. 13–14 ustawy o prawach pacjenta.

+ Zabezpieczyć dane technicznie i organizacyjnie art. 32 RODO

Szyfrowanie nośników, indywidualne konta w systemie, kontrola dostępu, kopie zapasowe, zamykane szafy na dokumentację papierową, umowy powierzenia z firmą IT i laboratorium (art. 28 RODO). Środki muszą być adekwatne do ryzyka — a przy danych o zdrowiu ryzyko jest z definicji wysokie.

+ Udzielać dostępu tylko osobom uprawnionym art. 26 u.p.p.

Dokumentację udostępnia się pacjentowi, jego przedstawicielowi ustawowemu i osobie upoważnionej. Personel może zaglądać wyłącznie do danych potrzebnych do wykonywanych zadań — „bo byłem ciekawy” jest naruszeniem, nawet gdy nic nie wyszło poza gabinet.

+ Poinformować o przetwarzaniu i odpowiedzieć na wniosek art. 13–15 RODO

Klauzula informacyjna w rejestracji to minimum. Na Twoje pytanie o cele, odbiorców, okres przechowywania i źródło danych placówka musi odpowiedzieć — bez zbędnej zwłoki, najpóźniej w miesiąc (art. 12 ust. 3 RODO).

+ Zgłosić naruszenie ochrony danych art. 33–34 RODO

Naruszenie zgłasza się Prezesowi UODO w 72 godziny. Jeśli ryzyko dla pacjentów jest wysokie — a przy danych o zdrowiu zwykle jest — placówka musi powiadomić także Ciebie, bez zbędnej zwłoki i zrozumiałym językiem.

+ Wyznaczyć inspektora ochrony danych (IOD) art. 37 RODO

Podmioty przetwarzające dane o zdrowiu na dużą skalę mają obowiązek wyznaczyć IOD i opublikować jego dane kontaktowe. To pierwszy adres, na który warto skierować pytanie o swoje dane.

Podstawy prawne

Pięć aktów, na które możesz się powołać w rozmowie z placówką. Linki prowadzą do źródeł urzędowych.

EUR‑LEX · 32016R0679

RODO

Rozporządzenie (UE) 2016/679. Art. 9 — dane o zdrowiu, art. 15 — dostęp, art. 32 — bezpieczeństwo, art. 77 — skarga.

ISAP · DZ.U. 2018 POZ. 1000

Ustawa o ochronie danych osobowych

Z 10 maja 2018 r. Reguluje postępowanie przed Prezesem UODO, kontrole i sankcje krajowe.

ISAP · DZ.U. 2009 NR 52 POZ. 417

Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta

Prawo do tajemnicy (art. 13–14), do dokumentacji (art. 23–27) i okresy jej przechowywania (art. 29).

ISAP · DZ.U. 2020 POZ. 1666

Rozporządzenie MZ o dokumentacji medycznej

Jak dokumentacja ma być prowadzona, przechowywana i udostępniana — w tym w postaci elektronicznej.

ISAP · DZ.U. 1997 NR 28 POZ. 152

Ustawa o zawodach lekarza i lekarza dentysty

Art. 40 — tajemnica lekarska, jej granice i wyjątki.

Twoje prawa jako pacjenta

ART. 15 RODO

Dostęp do danych i kopia

Możesz zapytać, co o Tobie wiedzą, i otrzymać kopię. Pierwsza kopia danych jest bezpłatna.

ART. 16 RODO

Sprostowanie

Błędne nazwisko, PESEL czy adres muszą zostać poprawione. Wpisu klinicznego się nie „kasuje” — dodaje się adnotację.

ART. 18 RODO

Ograniczenie przetwarzania

Gdy kwestionujesz prawidłowość danych, możesz żądać „zamrożenia” ich wykorzystywania do czasu wyjaśnienia.

ART. 21 RODO

Sprzeciw

Wobec przetwarzania w celach innych niż leczenie — marketingu, badań, profilowania, ankiet.

ART. 7 UST. 3 RODO

Wycofanie zgody

Zgodę na newsletter, SMS‑y i ankiety możesz odwołać w każdej chwili, tak łatwo jak jej udzielono.

ART. 77 RODO

Skarga do UODO

Bezpłatna. Prezes UODO może nakazać zmianę praktyk i nałożyć administracyjną karę pieniężną.

ART. 82 RODO

Odszkodowanie

Za szkodę majątkową i niemajątkową — w tym za samo naruszenie prywatności — odpowiada administrator.

ART. 23 U.P.P.

Prawo do dokumentacji

Niezależna od RODO ścieżka: wgląd, wyciąg, odpis, kopia lub wydruk dokumentacji medycznej.

Czego zwykle nie możesz

Żądać usunięcia dokumentacji medycznej. Placówka ma ustawowy obowiązek jej przechowywania — z reguły 20 lat od ostatniego wpisu — więc „prawo do zapomnienia” tu nie działa (art. 17 ust. 3 lit. b RODO w związku z art. 29 ustawy o prawach pacjenta).

Terminy, które warto znać

1 mies.

Na odpowiedź na Twój wniosek z RODO (art. 12 ust. 3).

+2 mies.

Możliwe przedłużenie w skomplikowanych sprawach — musisz zostać o nim poinformowany w pierwszym miesiącu.

72 h

Na zgłoszenie naruszenia ochrony danych Prezesowi UODO (art. 33 RODO).

20 lat

Podstawowy okres przechowywania dokumentacji medycznej od ostatniego wpisu.

+ Wyjątki od okresu 20 lat — art. 29 ustawy o prawach pacjenta

30 lat — gdy zgon nastąpił wskutek uszkodzenia ciała lub zatrucia. 22 lata — dokumentacja dzieci do ukończenia 2. roku życia. 10 lat — zdjęcia rentgenowskie przechowywane poza dokumentacją pacjenta. 5 lat — skierowania i zlecenia lekarza. Po upływie terminu placówka niszczy dokumentację w sposób uniemożliwiający identyfikację — albo, na Twój wniosek, wydaje ją Tobie.

Gdy Twoje dane wyciekły

KROK 1

Zbierz dowody

Zrzuty ekranu, e‑maile, data i godzina, imiona osób, które widziały dane. Nic nie usuwaj.

KROK 2

Napisz do placówki i IOD

Zapytaj o zakres naruszenia, zgłoszenie do UODO i działania zaradcze. Wyznacz 14 dni.

KROK 3

Złóż skargę do UODO

Bezpłatnie, na podstawie art. 77 RODO. Urząd ma obowiązek zbadać sprawę i poinformować Cię o wyniku.

KROK 4

Rozważ roszczenie

Art. 82 RODO i art. 4 ustawy o prawach pacjenta dają podstawę do odszkodowania i zadośćuczynienia.

Kreator pisma

Sześć gotowych wzorów z prawidłowymi podstawami prawnymi. Wypełniasz formularz, dostajesz PDF do podpisu i tekst do wklejenia w e‑mail. Wszystko liczy się w Twojej przeglądarce — nie wysyłamy Twoich danych nigdzie.

KROK 1 / 5 · Wybór dokumentu

Co chcesz wysłać?

Wybierz jeden dokument. Zawsze możesz wrócić i wygenerować kolejny.

Wzory pism mają charakter informacyjny i nie stanowią porady prawnej. W sprawie skomplikowanej — zwłaszcza przy roszczeniu odszkodowawczym — skonsultuj się z prawnikiem.

Najczęstsze pytania

+Czy placówka może odmówić wydania mojej dokumentacji?

Nie, jeśli wnioskuje pacjent, jego przedstawiciel ustawowy albo osoba upoważniona. Może natomiast wskazać formę udostępnienia i termin odbioru. Odmowa wymaga podstawy prawnej — poproś o nią na piśmie, to najlepszy załącznik do skargi.

+Czy muszę zapłacić za kopię dokumentacji?

Pierwsza kopia danych w trybie art. 15 ust. 3 RODO jest bezpłatna. Ustawa o prawach pacjenta dopuszcza opłatę za kolejne udostępnienia w niektórych formach — dlatego w naszym wzorze wniosek składany jest w trybie RODO.

+Czy mogę zażądać usunięcia moich danych medycznych?

Zwykle nie. Dokumentacja medyczna jest prowadzona i przechowywana na podstawie ustawy, a art. 17 ust. 3 lit. b RODO wyłącza w takim przypadku prawo do usunięcia. Możesz jednak żądać usunięcia danych zebranych ponad obowiązek — np. numeru telefonu wykorzystywanego do marketingu.

+Recepcja pyta o powód wizyty przy innych pacjentach. Czy to naruszenie?

Tak, jeśli osoby postronne słyszą informacje o Twoim zdrowiu. Placówka ma obowiązek zorganizować rejestrację tak, by zapewnić poufność (art. 32 RODO w związku z art. 13 ustawy o prawach pacjenta). Masz prawo poprosić o rozmowę na osobności.

+Czy pracodawca może dowiedzieć się, na co choruję?

Nie. Otrzymuje informację o niezdolności do pracy i jej okresie, a z badań profilaktycznych — orzeczenie o zdolności do pracy. Rozpoznanie pozostaje objęte tajemnicą lekarską.

+Ile czasu ma UODO na rozpatrzenie skargi?

Postępowanie prowadzone jest według Kodeksu postępowania administracyjnego — zasadniczo miesiąc, a w sprawie wymagającej postępowania wyjaśniającego dwa miesiące. W praktyce trwa dłużej; masz prawo pytać o stan sprawy.

Słowniczek

Administrator danych

Podmiot decydujący o celach przetwarzania — przychodnia, szpital, praktyka lekarska. To on odpowiada za Twoje dane.

Podmiot przetwarzający

Firma działająca na zlecenie administratora: dostawca systemu gabinetowego, laboratorium, firma niszcząca dokumenty. Wymaga umowy powierzenia.

IOD

Inspektor ochrony danych. Osoba w placówce odpowiedzialna za nadzór nad ochroną danych; jej kontakt musi być podany publicznie.

Naruszenie ochrony danych

Przypadkowe lub bezprawne ujawnienie, utrata, zmiana lub dostęp do danych. Zgubiony pendrive to naruszenie, nawet gdy nikt danych nie odczytał.

Dane szczególnej kategorii

Kategoria z art. 9 RODO, potocznie „dane wrażliwe”. Obejmuje dane o zdrowiu, genetyczne i biometryczne.

EDM

Elektroniczna dokumentacja medyczna. Prowadzona i wymieniana na zasadach ustawy o systemie informacji w ochronie zdrowia.

Zapytaj swoją placówkę, co robi z Twoimi danymi.

Jedno pismo, prawidłowa podstawa prawna, miesięczny termin na odpowiedź. Dokument powstaje w Twojej przeglądarce.

Otwórz kreator