Kodeks postępowania RODO w ochronie zdrowia — co realnie daje placówce medycznej

Placówki medyczne przetwarzają jedne z najbardziej wrażliwych danych — informacje o zdrowiu pacjentów. Jednocześnie od początku obowiązywania RODO to właśnie sektor ochrony zdrowia zgłaszał najwięcej wątpliwości interpretacyjnych: jak pogodzić dokumentację medyczną z prawem do usunięcia danych, jak podejść do monitoringu, kiedy można nagrywać zabieg. W odpowiedzi na te problemy powstało narzędzie, o którym wiele placówek wciąż nie wie: zatwierdzony przez UODO kodeks postępowania dla sektora ochrony zdrowia.

To nie jest kolejny nieformalny „poradnik dobrych praktyk”. Kodeks postępowania to instytucja przewidziana wprost w RODO (art. 40–41), a jego stosowanie ma realną moc prawną — pomaga wykazać zgodność z przepisami i jest brane pod uwagę, gdy organ nadzorczy rozważa nałożenie kary.

W tym artykule wyjaśniam, czym jest kodeks postępowania na gruncie RODO, do kogo jest skierowany kodeks dla sektora ochrony zdrowia, jakie konkretne wątpliwości rozstrzyga, jakie realne korzyści daje placówce oraz o czym trzeba pamiętać, rozważając przystąpienie do niego.

Czym jest kodeks postępowania na gruncie RODO

Kodeks postępowania to mechanizm przewidziany w art. 40 RODO. Organizacje reprezentujące administratorów lub podmioty przetwarzające dane w danej branży mogą opracować dokument, który doprecyzowuje i ułatwia właściwe stosowanie RODO z uwzględnieniem specyfiki sektora.

Kluczowe jest to, że kodeks nie jest wewnętrznym dokumentem jednej firmy — aby miał moc, musi zostać zatwierdzony przez organ nadzorczy (Prezesa UODO). Dodatkowo, zgodnie z art. 41 RODO, przestrzeganie zatwierdzonego kodeksu monitoruje niezależny podmiot akredytowany przez organ nadzorczy, który weryfikuje, czy członkowie faktycznie stosują jego postanowienia. To właśnie ten nadzór odróżnia kodeks od zwykłego zbioru zaleceń.

Kodeks dla sektora ochrony zdrowia — fakty

Prezes UODO zatwierdził Kodeks postępowania dla sektora ochrony zdrowia 11 grudnia 2023 r. — jako drugi zatwierdzony kodeks branżowy w Polsce. Najważniejsze fakty:

Twórca. Wnioskodawcą była Polska Federacja Szpitali, działająca wraz z komitetem sterującym skupiającym m.in. Fundację Telemedyczna Grupa Robocza, Pracodawców Medycyny Prywatnej, Konfederację Lewiatan, Polską Izbę Informatyki i Telekomunikacji oraz Porozumienie Zielonogórskie.

Adresaci. Wbrew obiegowej opinii, kodeks nie jest zarezerwowany dla dużych szpitali. Kierowany jest do wszystkich podmiotów wykonujących działalność leczniczą (PWDL) — bez względu na formę prawną, strukturę właścicielską, udział w publicznym finansowaniu oraz zakres i rodzaj prowadzonej działalności. Obejmuje więc zarówno szpitale, jak i indywidualne praktyki lekarskie, pielęgniarskie czy fizjoterapeutyczne. Co istotne, dla najmniejszych podmiotów przewiduje wprost ułatwienia (o czym niżej). Kodeks stosuje się także do podmiotów przetwarzających działających na zlecenie PWDL (przede wszystkim w zakresie wymogów bezpieczeństwa z rozdziału 5). Jest to jednocześnie pierwszy kodeks umożliwiający także szpitalom publicznym potwierdzanie zgodności przetwarzania z RODO. Kodeks nie obejmuje natomiast podmiotów spoza działalności leczniczej — np. z branży fitness, lifestyle czy dietetycznej — nawet jeśli przetwarzają one dane o zdrowiu.

Podmiot monitorujący. Funkcję tę pełni akredytowana przez UODO spółka KPMG Advisory sp. z o.o. sp.k., która przyjmuje nowe podmioty, prowadzi punkt kontaktowy i weryfikuje stosowanie kodeksu wśród członków z sektora prywatnego.

Zawartość. Dokument liczy 112 stron, z czego znaczną część stanowi 10 praktycznych załączników — m.in. wzór zgody na przetwarzanie danych, przykładowa procedura analizy ryzyka, wykaz zabezpieczeń systemów IT, wykaz norm z zakresu bezpieczeństwa informacji oraz wzory wniosków o uzyskanie statusu podmiotu przestrzegającego kodeksu.

Charakter. Stosowanie kodeksu jest dobrowolne.

Co kodeks rozstrzyga w praktyce — przykłady

Największą wartością kodeksu są konkretne rozstrzygnięcia dylematów, z którymi placówki mierzą się na co dzień. Kilka przykładów prosto z jego treści:

Monitoring wizyjny. Kodeks doprecyzowuje podstawy prawne monitoringu w placówce (art. 6 ust. 1 lit. e lub f oraz — dla danych pacjentów — art. 9 ust. 2 lit. i RODO, w związku z art. 23a ustawy o działalności leczniczej), wskazuje maksymalny okres przechowywania nagrań — 3 miesiące — oraz przesądza, że monitorowanie pokoi łóżkowych oznacza co do zasady bieżący podgląd bez nagrywania (nagranie tylko wtedy, gdy zgodnie ze wskazaniami wiedzy medycznej ma stanowić część dokumentacji). To dokładnie ten obszar, który UODO zapowiada kontrolować w 2026 roku.

Nagrywanie świadczeń zdrowotnych. Utrwalanie przebiegu zabiegów w celach zdrowotnych (np. zabiegi endoskopowe, monitorowanie pola operacyjnego, badania snu) staje się częścią dokumentacji medycznej. Natomiast nagrywanie w celach innych niż zdrowotne — badania naukowe, cele komercyjne czy szkoleniowe — wymaga wyraźnej zgody pacjenta (art. 9 ust. 2 lit. a RODO).

„Duża skala” a obowiązek IOD. Kodeks przesądza, że indywidualne praktyki (lekarska, pielęgniarska, fizjoterapeutyczna) co do zasady nie przetwarzają danych „na dużą skalę” — a więc nie muszą powoływać inspektora ochrony danych z tego tytułu (art. 37 ust. 1 lit. c RODO), choć obowiązek może wynikać z innych przesłanek. To realne ułatwienie dla najmniejszych podmiotów.

Prawo do usunięcia danych a dokumentacja medyczna. Kodeks porządkuje granice prawa do bycia zapomnianym w zderzeniu z ustawowym obowiązkiem przechowywania dokumentacji medycznej — jednego z najczęstszych źródeł nieporozumień w sektorze.

To pokazuje, że kodeks nie jest zbiorem ogólników, lecz odpowiada na realne pytania placówek — od podstaw prawnych, przez prawa pacjenta (art. 13–21 RODO), po bezpieczeństwo i analizę ryzyka.

Co realnie daje placówce — korzyści

Najważniejsze pytanie brzmi: po co placówce przystępować do kodeksu? Korzyści są konkretne.

Dowód zgodności. Kodeks wprost stanowi, że jego stosowanie jest okolicznością potwierdzającą wywiązywanie się z obowiązków nałożonych przez RODO i służy realizacji zasady rozliczalności. Dotyczy to w szczególności obowiązku stosowania odpowiednich środków ochrony danych (art. 24 i art. 32 RODO). Zamiast budować argumentację od zera, placówka opiera się na standardzie zaakceptowanym przez organ nadzorczy.

Uwzględnienie przy wymiarze kary. To jeden z najsilniejszych argumentów. Zgodnie z art. 83 ust. 2 lit. j RODO, rozważając nałożenie kary i jej wysokość, organ nadzorczy w każdym przypadku musi wziąć pod uwagę, czy podmiot stosuje zatwierdzony kodeks postępowania. Prawidłowe stosowanie kodeksu działa więc na korzyść placówki.

Gotowy standard i wzory. Załączniki (wzór zgody, procedura analizy ryzyka, wykaz zabezpieczeń) oszczędzają czas i ograniczają ryzyko błędu przy tworzeniu dokumentacji samodzielnie.

Nadzór i wiarygodność. Monitorowanie przez akredytowany podmiot daje pacjentom, partnerom i płatnikom potwierdzenie, że placówka realnie dba o zgodność — co ma znaczenie wizerunkowe i kontraktowe.

Pewność interpretacyjna. Kodeks odpowiada na wątpliwości, z którymi sektor mierzył się od początku obowiązywania RODO, redukując ryzyko błędnej interpretacji przepisów.

O czym trzeba pamiętać

Kodeks nie jest rozwiązaniem „magicznym” i warto podejść do niego świadomie.

Po pierwsze, przystąpienie jest dobrowolne, ale wiąże się z poddaniem się monitorowaniu przez podmiot akredytowany (KPMG) — co oznacza określone obowiązki i zasady współpracy. Po drugie, kodeks nie zastępuje wdrożenia RODO — to placówka musi faktycznie wdrożyć i stosować jego postanowienia; samo przystąpienie „na papierze” nie chroni. Po trzecie, stosowanie kodeksu nie zwalnia z odpowiedzialności ani nie wyłącza uprawnień UODO — organ nadzorczy zachowuje pełne kompetencje kontrolne. Wreszcie, podmiotem monitorującym jest KPMG, a nie UODO — to niezależny nadzór branżowy, a nie „certyfikat od urzędu”.

Jak przygotować placówkę do stosowania kodeksu

Rozsądna droga do skorzystania z kodeksu prowadzi przez kilka kroków:

1. Ocena dopasowania — czy kodeks odpowiada skali i profilowi placówki (od indywidualnej praktyki po szpital).
2. Przegląd obecnego stanu — audyt dokumentacji i procesów pod kątem wymogów kodeksu: podstawy prawne, klauzule, rejestr czynności, analiza ryzyka, zabezpieczenia.
3. Uzupełnienie luk — dostosowanie procedur i wzorów do standardu kodeksu.
4. Przystąpienie i monitorowanie — zgłoszenie do podmiotu monitorującego i poddanie się weryfikacji.
5. Utrzymanie zgodności — bieżące stosowanie postanowień i aktualizacja przy zmianach.

Dlaczego to szczególnie ważne w 2026 roku

Temat jest wyjątkowo aktualny. W planie kontroli sektorowych UODO na 2026 rok znalazły się podmioty lecznicze — konkretnie bezpieczeństwo danych przy stosowaniu monitoringu wizyjnego, ze szczególnym uwzględnieniem danych dzieci. Kodeks zawiera osobną sekcję o monitoringu (podstawy prawne, retencja, pokoje łóżkowe), więc jego stosowanie — a przynajmniej audyt gotowości — to realne przygotowanie na wypadek wizyty organu.

Checklist — zanim przystąpisz do kodeksu

• Ustalono, czy kodeks pasuje do skali i profilu placówki.
• Przeprowadzono audyt zgodności obecnej dokumentacji i procesów.
• Zweryfikowano podstawy prawne przetwarzania danych pacjentów i pracowników.
• Wdrożono analizę ryzyka i środki bezpieczeństwa (art. 24 i 32 RODO).
• Uporządkowano klauzule informacyjne i realizację praw pacjenta.
• Zweryfikowano monitoring wizyjny (podstawa, retencja 3 mies., pokoje łóżkowe) i zasady nagrywania świadczeń.
• Sprawdzono obowiązek powołania IOD z uwzględnieniem skali przetwarzania.
• Zaplanowano zgłoszenie do podmiotu monitorującego i bieżące utrzymanie zgodności.

Potrzebujesz przygotować placówkę medyczną do stosowania kodeksu RODO?

Kodeks postępowania dla sektora ochrony zdrowia to realna szansa dla placówek medycznych — od indywidualnych praktyk po szpitale — ale by z niej skorzystać, trzeba najpierw doprowadzić ochronę danych do wymaganego standardu. W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont pomagamy podmiotom leczniczym ocenić gotowość, przeprowadzić audyt RODO i dostosować dokumentację oraz procesy — tak, aby placówka mogła bezpiecznie stosować kodeks i była przygotowana na kontrolę UODO.