Dodatkowe kontrole UODO w podmiotach medycznych
Dodatkowe kontrole UODO w podmiotach medycznych. Jak czytamy w Komunikacie UODO zapowiedziano dodatkowe kontrole podmiotów sektora ochrony zdrowia w 2026 roku. Przedmiotem zainteresowania organu będą przede wszystkim sposoby zabezpieczenia danych osobowych pacjentów, stosowane środki techniczne i organizacyjne oraz przeprowadzane analizy ryzyka.
UODO zwiększa kontrole w ochronie zdrowia
Decyzja Prezesa UODO o przeprowadzeniu dodatkowych kontroli jest związana m.in. z ostatnimi przypadkami naruszeń ochrony danych osobowych pacjentów, w tym z cyberatakiem na firmę MyDr.
UODO wskazuje, że dodatkowe kontrole mają służyć sprawdzeniu, w jaki sposób podmioty sektora ochrony zdrowia chronią dane osób korzystających z ich usług.
Szczególne znaczenie ma fakt, że podmioty medyczne przetwarzają dane dotyczące zdrowia, a więc dane należące do szczególnych kategorii danych osobowych, wymagające odpowiedniego poziomu ochrony.
Co może być przedmiotem kontroli UODO?
Z komunikatu UODO wynika, że szczególne znaczenie będzie miała weryfikacja stosowanych przez podmioty medyczne środków technicznych i organizacyjnych oraz przeprowadzonej analizy ryzyka.
W praktyce warto zatem sprawdzić między innymi:
- czy analiza ryzyka została przeprowadzona prawidłowo i odpowiada aktualnym zagrożeniom,
- czy zastosowane zabezpieczenia wynikają z przeprowadzonej analizy ryzyka,
- kto ma dostęp do danych pacjentów i dokumentacji medycznej,
- czy zakres uprawnień pracowników jest odpowiednio ograniczony,
- jak zabezpieczone są systemy informatyczne wykorzystywane do przetwarzania danych,
- czy obowiązują procedury reagowania na naruszenia ochrony danych,
- czy personel wie, jak postępować w przypadku wystąpienia incydentu,
- czy prowadzona dokumentacja RODO odpowiada rzeczywistym procesom przetwarzania danych,
- czy stosowane rozwiązania organizacyjne i techniczne są okresowo weryfikowane.
Samo posiadanie dokumentacji RODO nie oznacza jeszcze, że podmiot jest właściwie przygotowany do kontroli. Istotne jest również to, czy przyjęte procedury są stosowane w praktyce i czy odpowiadają rzeczywistemu sposobowi przetwarzania danych w placówce.
Analiza ryzyka – jeden z kluczowych obszarów
W przypadku podmiotów leczniczych szczególnego znaczenia nabiera prawidłowo przeprowadzona analiza ryzyka dla ochrony danych osobowych. Powinna ona uwzględniać rzeczywiste procesy występujące w danej placówce, wykorzystywane systemy informatyczne, zakres przetwarzanych danych, dostęp pracowników i współpracowników do informacji oraz możliwe zagrożenia związane zarówno z błędami ludzkimi, jak i incydentami technicznymi czy cyberatakami. Wyniki analizy ryzyka powinny znajdować odzwierciedlenie w zastosowanych środkach bezpieczeństwa. Dlatego przed kontrolą warto odpowiedzieć sobie na podstawowe pytanie: Czy potrafimy wykazać, dlaczego w naszej placówce zastosowano właśnie takie, a nie inne zabezpieczenia danych pacjentów?
Czy Twoja placówka jest przygotowana na kontrolę UODO?
Kontrola UODO może ujawnić nie tylko brak wymaganych dokumentów, ale również rozbieżności pomiędzy dokumentacją a rzeczywistym sposobem działania placówki. Warto więc przeprowadzić audyt ochrony danych osobowych w podmiocie leczniczym jeszcze przed ewentualnym wszczęciem kontroli.
Taka weryfikacja może obejmować między innymi: analizę ryzyka → dokumentację RODO → uprawnienia dostępowe → bezpieczeństwo systemów → procedury naruszeń → realizację praw pacjentów → umowy powierzenia → organizację ochrony danych osobowych. Pozwala to zidentyfikować obszary wymagające poprawy i uporządkować ochronę danych osobowych w placówce.
Przygotuj podmiot medyczny do kontroli UODO z Proste to RODO
Proste to RODO wspiera podmioty lecznicze w zakresie wdrażania i utrzymania zgodności z przepisami o ochronie danych osobowych.
Oferujemy wsparcie obejmujące m.in.:
- audyt RODO w podmiocie leczniczym,
- analizę ryzyka i ocenę skutków dla ochrony danych,
- przygotowanie i aktualizację dokumentacji ochrony danych osobowych,
- weryfikację stosowanych środków technicznych i organizacyjnych,
- przegląd uprawnień dostępowych,
- przygotowanie procedur dotyczących naruszeń ochrony danych,
- wsparcie w zakresie ochrony danych pacjentów,
- konsultacje dotyczące zgodności procesów medycznych z RODO,
- przygotowanie podmiotu do kontroli UODO.
Potrzebujesz wsparcia oddzwonimy ...
Zgodnie z art. 13 RODO Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1) [dalej „RODO”] informuje się co następuje. Administratorem Danych Osobowych [dalej ADO] jest: Przedsiębiorstwo Wielobranżowe Aleksandra Kubik ul. Obrońców Westerplatte 13 lok 37, 42-200 Częstochowa, NIP: 9491984104, REGON: 368912262, Adres kontaktowy email: biuro@prostetorodo.pl Numer telefonu kontaktowego: 694494240.
Pana/Pani dane osobowe udostępnione za pośrednictwem „Formularza na stronie WWW” przetwarzane będą w celu: przesyłania informacji handlowych dotyczących produktów, usług, promocji i wydarzeń związanych z działalnością ADO, w tym marketingu bezpośredniego, na podstawie art. 6 ust. 1 lit. a) RODO w związku z art. 398 Ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej [Dz.U. z 2024r., poz. 1221] adekwatnie do dokonanego wyboru za pośrednictwem rozmów telefonicznych lub wiadomości SMS/MMS, korespondencji elektronicznej, ewentualnego dochodzenia roszczeń i obrony przed ewentualnymi roszczeniami, na podstawie art. 6 ust. 1 lit. f) RODO –przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez ADO. Podanie przez Pana/Panią danych osobowych Pana/Pani dotyczących jest dobrowolne, aczkolwiek ich nie podanie skutkuje brakiem możliwości realizacji celów przetwarzania, o jakich mowa w niniejszym dokumencie.
Pani/Pana dane osobowe będą udostępniane uprawnionym na podstawie przepisów prawa podmiotom i organom publicznym adekwatnie do charakteru sprawy w szczególności: zewnętrznej kancelarii prawnej oraz podmiotom, z którymi ADO zawarł umowy powierzenia przetwarzania danych osobowych, które są podmiotami działającymi na zlecenie i w jego imieniu, w szczególności są nimi: podmiot zewnętrzny świadczący usług IT, podmiot zewnętrzny świadczący usługi hostingowe. Pani/Pana dane przetwarzać będziemy, dopóki istnieć będzie potrzeba realizacji celu, w jakim zostały pozyskane, z zastrzeżeniem jednak, iż w przypadku kiedy przetwarzanie danych realizowane jest na podstawie art. 6 ust. 1 lit a) RODO ma Pani/Pan prawo w dowolnym momencie wycofać wyrażoną zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. W celu wycofania zgody prosimy o przesłanie emial: biuro @ prostetorodo.pl można także stosowne oświadczenie przekazać na adres siedziby ADO.
Ma Pani/Pan prawo do: żądania od ADO dostępu do danych osobowych Pani/Pana dotyczących, żądania od ADO sprostowania danych osobowych Pani/Pana dotyczących, żądania od ADO usunięcia danych osobowych Pani/Pana dotyczących, żądania od ADO ograniczenia przetwarzania danych osobowych Pani/Pana dotyczących, wniesienia sprzeciwu wobec przetwarzania danych osobowych Pani/Pana dotyczących, żądania od ADO przeniesienia danych osobowych Pani/Pana dotyczących, cofnięcia zgody w dowolnym momencie bez konsekwencji dla przetwarzania, którego dokonano przed jej cofnięciem, jeśli dane zbierane są na podstawie zgody. Zakres każdego z tych praw oraz sytuacje, z których można z nich skorzystać, wynikają z przepisów RODO. Z praw tych może Pan/Pani skorzystać składając wniosek u ADO. Ma Pani/Pan prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO. W związku z przetwarzaniem Pani/Pana danych nie będzie Pani/Pan podlegać decyzjom, które opierać się będą wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu. Pani/Pana dane nie są przekazywane poza Europejski Obszar Gospodarczy.