Proste to RODO w medycynie w oświacie w firmie

Wdrożenie RODO w firmie / w szkole / w podmiocie medycznym

Wdrożenie RODO Inspektor Ochrony Danych Częstochowa
Sklep RODO
Wdrożenia RODO
Zewnętrzny IOD

Wdrożenie RODO w firmie / w oświacie / w medycynie

Dokumentacja RODO dla firmy, dla podmiotów medycznych, przychodni, szpitali, lekarzy, dla placówek oświatowych. Usługa zewnętrznego Inspektora Ochrony Danych w firmach, w podmiotach medycznych, w szkołach. Szkolenia z zakresu ochrony danych oraz cyberbezpieczeństwa. Audyt Bezpieczeństwa Informacji KRI. Dofinansowania dla samorządów, dla podmiotów medycznych na cyberbezpieczeństwo.

Menu

RODO w medycynie

Informacja dla Pacjentów o naruszeniu ochrony danych osobowych

przez
Informacja dla Pacjentów o naruszeniu ochrony danych osobowych

Informacja dla Pacjentów o naruszeniu ochrony danych osobowych

Informacja dla Pacjentów o naruszeniu ochrony danych osobowych. Jak wynika z treści komunikatu opublikowanego na stronach internetowych laboratorium (Laboratoria Medyczne Optimed Sp. z o.o.) doszło do zdarzenia, jakie zakwalifikowane zostało, jako incydent bezpieczeństwa polegający na nieuprawnionym dostępie do infrastruktury informatycznej. 

Dowiedz się więcej

Wykroczenia przeciwko prawom pracownika – nowe przepisy i wyższe grzywny do 90 000 zł

przez
Nowe przepisy i wyższe kary grzywny za wykroczenia przeciwko prawom pracownika

Zmiany w Kodeksie pracy 2026 – nowe wykroczenia i wyższe kary dla pracodawców

Wykroczenia przeciwko prawom pracownika – nowe przepisy i wyższe grzywny do 90 000 zł.  Z dniem 8 lipca 2026 r. za sprawą wejścia w życie przepisów Ustawy z dnia 11 marca 2026 r. o zmianie ustawy o Państwowej Inspekcji Pracy oraz niektórych innych ustaw, w Ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy (Dz. U. z 2025 r. poz. 277, 807, 1423 i 1661 oraz z 2026 r. poz. 25) wprowadza się zmiany do rozdziału trzynastego „Odpowiedzialność za wykroczenia przeciwko prawom pracownika”. Ustawodawca za sprawą przepisów nowelizujących dokonuje powiązania rozwiązań kodeksowych z nowymi kompetencjami PIP, o których pisałem w tekście „Stwierdzenie stosunku pracy przez PIP – nowe kompetencje inspektora pracy”. Celem jest nie tylko zapewnienie spójności przepisów, ale również zwiększenie gwarancji, skuteczności przestrzegania m.in. nowych regulacji.

Dowiedz się więcej

Nowe stanowisko Ministerstwa Zdrowia: Kto może wykonywać zabiegi medycyny estetycznej w 2026 roku?

przez
Nowe stanowisko Ministerstwa Zdrowia: Kto może wykonywać zabiegi medycyny estetycznej w 2026 roku?

Nowe stanowisko Ministerstwa Zdrowia: Kto może wykonywać zabiegi medycyny estetycznej w 2026 roku?

Nowe stanowisko Ministerstwa Zdrowia: Kto może wykonywać zabiegi medycyny estetycznej w 2026 roku?​ Medycyna estetyczna, określana obecnie jako medycyna estetyczno-naprawcza, została jednoznacznie zakwalifikowana przez Ministerstwo Zdrowia jako część systemu ochrony zdrowia. Oznacza to, że nie jest to już traktowane jako zwykła usługa kosmetyczna, lecz jako świadczenie zdrowotne wymagające odpowiednich kwalifikacji, procedur oraz nadzoru medycznego. Stanowisko to ma kluczowe znaczenie zarówno dla lekarzy, jak i branży beauty, ponieważ porządkuje dotychczasowe wątpliwości interpretacyjne.

Dowiedz się więcej

Stwierdzenie stosunku pracy przez PIP – nowe kompetencje inspektora pracy

przez
Stwierdzenie stosunku pracy przez PIP – nowe kompetencje inspektora pracy

Stwierdzenie stosunku pracy przez PIP – nowe kompetencje inspektora pracy

Stwierdzenie stosunku pracy przez PIP – nowe kompetencje inspektora pracy.  Dnia 8 lipca 2026 r. wchodzą w życie przepisy Ustawy z dnia 11 marca 2026 r. (Dz.U.2026.473) o zmianie ustawy o Państwowej Inspekcji Pracy oraz niektórych innych ustaw.

Dowiedz się więcej

Czy informacje o umowach o pracę zamieszcza się w Centralnym Rejestrze Umów JSFP

przez
Czy informacje o umowach o pracę zamieszcza się w Centralnym Rejestrze Umów JSFP

Czy informacje o umowach o pracę zamieszcza się w Centralnym Rejestrze Umów JSFP?

Czy informacje o umowach o pracę zamieszcza się w Centralnym Rejestrze Umów JSFP?​. Dnia 1 lipca 2026r., wchodzą w życie przepisy regulujące kwestie wprowadzania i aktualizowania informacji do Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych. Warto przygotować się do obsługi tego procesu, dlatego będziemy starali się udzielać praktycznych informacji w temacie.

Dowiedz się więcej

Informacje o naruszeniach trafiać będą prosto do PUODO

przez
Informacje o naruszeniach prosto do PUODO Ustawa KSC

Informacje o naruszeniach trafiać będą prosto do PUODO

Informacje o naruszeniach trafiać będą prosto do PUODO. Stwierdzenie podczas sprawowania nadzoru podejrzenia naruszenia ochrony danych osobowych. Nowelizacja przepisów Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, która to weszła w życie  kwietnia 2026 r. przewiduje nowy obowiązek, w wyniku realizacji którego dochodzić będzie do przekazywania do Prezesa UODO informacji o zdarzeniach, co do których, co najmniej stwierdzono w trakcie realizacji nadzoru, iż stanowią one naruszenie ochrony danych osobowych. 

Dowiedz się więcej

Koniec z obowiązkiem przechowywania papierowych zgłoszeń do ZUS

przez
Koniec z obowiązkiem przechowywania papierowych zgłoszeń do ubezpieczeń społecznych

Koniec z obowiązkiem przechowywania papierowych zgłoszeń do ZUS

Koniec z obowiązkiem przechowywania papierowych zgłoszeń do ZUS – z dniem 4 listopada 2025r. weszły w życie przepisy Ustawy z dnia 12 września 2025 r. (Dz.U.2025.1409) o zmianie ustawy o systemie ubezpieczeń społecznych. Zgodnie z art. 1 ww. Ustawy zmieniającej w ustawie z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. z 2025 r. poz. 350, z późn. zm.) w art. 36 uchyla się ust. 8.

Dowiedz się więcej

Zalecenia dla sektora ochrony zdrowia i innych podmiotów KSC

przez
Zalecenia dla sektora ochrony zdrowia i innych podmiotów KSC

Zalecenia dla sektora ochrony zdrowia i innych podmiotów KSC

Komunikat Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa – zalecenia dla sektora ochrony zdrowia i innych podmiotów KSC

Dokonanie przeglądu zasobów teleinformatycznych pod kątem IoCs z załącznika nr 1 może pozwolić na wykrycie obecności cyberprzestępców w własnej infrastrukturze, a dzięki temu ustrzec się przed zaszyfrowaniem i kradzieżą danych w ramach ataku typu ransomware. Weryfikacji powinny dokonać szczególnie podmioty z sektora ochrony zdrowia, jednak zalecane jest to wszystkim organizacjom, gdyż grupa hakerska, z którą wiązane są ostatnie cyberataki, atakowała także podmioty z innych sektorów. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa przedstawia także zalecenia, których wdrożenie w ramach organizacji pozwoli podnieść jej bezpieczeństwo i ustrzec się przed skutecznym przeniknięciem cyberprzestępców do infrastruktury. Komunikat powstał przy współpracy Ministerstwa Cyfryzacji i sektorowego zespołu cyberbezpieczeństwa CSIRT CeZ oraz zespołów reagowania na incydenty bezpieczeństwa komputerowego poziomu krajowego CSIRT NASK i CSIRT GOV.

Załącznik nr 1

Przegląd zasobów IT pod kątem wskaźników kompromitacji z załącznika nr 1 może pomóc organizacjom wykryć obecność cyberprzestępców we własnej infrastrukturze, a dzięki temu ustrzec się przed zaszyfrowaniem i kradzieżą danych w ramach ataku typu ransomware.

Wskaźniki kompromitacji (IoCs)

Połączenia do VPN:
170.62.100[.]118
178.238.10[.]243
208.131.130[.]107
23.234.113[.]182
23.234.117[.]55
62.164.177[.]19
66.235.168[.]200
66.235.168[.]21
66.235.168[.]213
66.235.168[.]216
89.238.165[.]238
89.38.227[.]190
45.227.254[.]50
Eksfiltracja do s3:
16.1.15[.]2

Potencjalnie powiązane detekcje malware:
SHA256 3ac9c4bb817b07f51c608e7477a7057f3ed154c291f8d942b9189aad4f05d745
SHA256 b4708e9b2c941cd87bd09037fa15c8f7f3f40c3aea9c1f25711c6c079043b37b

Użyte narzędzia:
rclone
nmap
Advanced IP Scanner
Net Scan (netscan.exe)

Załącznik nr 2

Przedstawione przez Pełnomocnika zalecenia (załącznik nr 2) pozwolą podnieść bezpieczeństwo organizacji i uniknąć przeniknięcia cyberprzestępców do infrastruktury.

Ochrona brzegowa i dostęp zdalny

  • Aktualizacja systemów: Weryfikacja wszystkich firewalli brzegowych pod kątem pracy na najnowszych, stabilnych wersjach oprogramowania (firmware). Dostęp administracyjny do urządzeń musi być realizowany wyłącznie z wydzielonej sieci zarządzającej (managementowej).
  • Zarządzanie uprawnieniami: Przegląd i autoryzacja wszystkich kont o podwyższonych uprawnieniach na urządzeniach sieciowych.
  • Zabezpieczenie dostępu zdalnego:
    • Weryfikacja zasadności kont VPN oraz połączeń RDP. RDP dostępne bezpośrednio z sieci publicznej nie powinny istnieć – dostęp do zasobów wewnętrznych musi odbywać się wyłącznie poprzez szyfrowany tunel VPN.
    • Wdrożenie polityki Least Privilege: dopuszczenie tylko niezbędnego ruchu sieciowego do celów służbowych.
    • Wymuszenie uwierzytelniania wieloskładnikowego (MFA) dla wszystkich połączeń VPN i RDP.
    • Weryfikacja odporności VPN na ataki typu brute force (np. ograniczenie ilości nieudanych logowań do N prób).
    • Ograniczenie użytkownika do tylko jednej aktywnej sesji w danym czasie.
  • Monitoring i Geofencing:
    • Cykliczne monitorowanie ruchu sieciowego i analiza podejrzanych zdarzeń.
    • Wdrożenie Geo-blockingu: ograniczenie ruchu przychodzącego wyłącznie do regionu Polski lub Europy.
  • Kontrola ruchu wychodzącego: Udostępnienie ruchu do sieci publicznej (egress) tylko i wyłącznie z urządzeń, które wymagają tego do poprawnej pracy operacyjnej.

Poświadczenia i konta (Active Directory)

  • Analiza anomalii logowań: Weryfikacja logowań o niestandardowych godzinach, odbiegających od typowego harmonogramu pracy podmiotu.
  • Nadzór nad uprawnieniami: Szczególny nadzór nad aktywnością kont o wysokich uprawnieniach (IT, Kadra Zarządzająca). Zaleca się wdrożenie systemów klasy PAM (Privileged Access Management), które automatyzują ten proces, eliminując konieczność ręcznego przeglądania sesji. Warto rozważyć wdrożenie systemu klasy SIEM (Security Information and Event Management) i za pomocą reguł stworzyć alerty dotyczące nietypowych zachowań.
  • Audyt i higiena kont:
    • Regularny przegląd serwerów oraz systemów wykorzystywanych przez organizację i natychmiastowe usuwanie kont byłych pracowników oraz kont nieużywanych.
    • Bezwzględny zakaz logowania się kontami z uprawnieniami Administratora Domeny na stacjach roboczych (ochrona przed kradzieżą tokenów).
    • Profilaktyczny reset haseł dla kluczowych kont administracyjnych. Przy ustanawianiu nowego hasła musi ono być o odpowiedniej długości (min. 16-20 znaków); z kombinacją wielkich i małych liter, cyfr oraz znaków specjalnych. Każde konto administracyjne powinno mieć osobne, unikalne hasło dla każdego z wykorzystywanych systemów.
  • Ochrona AD
    • Ograniczenie dostępu sieciowego do kontrolerów domeny do niezbędnego minimum.
    • Monitorowanie operacji na bazie „NTDS.dit” oraz zmian w uprawnieniach grup wrażliwych. Wskazane jest wykorzystanie narzędzi typu SIEM lub dedykowanych skanerów bezpieczeństwa AD, które w czasie rzeczywistym alarmują o próbach nieautoryzowanego dostępu do bazy poświadczeń.
  • Wsparcie zewnętrzne: Ścisłe monitorowanie połączeń dostawców i firm trzecich. Uprawnienia powinny być przyznawane czasowo i tylko do niezbędnych zasobów. Należy regularnie weryfikować ważność i zasadność utrzymywania poszczególnych kont serwisowych. 

Ochrona Punktów Końcowych (Endpoint AV/EDR)

  • Skanowanie profilaktyczne: Pełne skanowanie wszystkich hostów i serwerów (ze szczególnym uwzględnieniem systemów Windows).
  • Analiza logów bezpieczeństwa: KRYTYCZNE: Regularny, codzienny przegląd dzienników zdarzeń AV/EDR pod kątem alertów typu „malware detection”. Ignorowanie tych alertów jest najczęstszą przyczyną udanych ataków ransomware.
  • Modernizacja: Docelowe wdrożenie rozwiązań klasy EDR/XDR dla zapewnienia lepszej widoczności ataków bezsygnaturowych.

Ochrona Punktów Końcowych (Endpoint AV/EDR)

  • Skanowanie profilaktyczne: Pełne skanowanie wszystkich hostów i serwerów (ze szczególnym uwzględnieniem systemów Windows).
  • Analiza logów bezpieczeństwa: KRYTYCZNE: Regularny, codzienny przegląd dzienników zdarzeń AV/EDR pod kątem alertów typu „malware detection”.
  • Ignorowanie tych alertów jest najczęstszą przyczyną udanych ataków ransomware.
  • Modernizacja: Docelowe wdrożenie rozwiązań klasy EDR/XDR dla zapewnienia lepszej widoczności ataków bezsygnaturowych.

Kopie zapasowe (Backup)

  • Separacja uprawnień: System backupu nie może pracować na poświadczeniach domenowych. Należy stosować wyłącznie konta lokalne dla serwerów backupu i systemów zarządzania.
  • Segmentacja: System kopii zapasowych musi znajdować się w całkowicie odizolowanym segmencie sieci.
  • Weryfikacja i Retencja: Regularne testy odtwarzania danych oraz kopii odmiejscowionych. Absolutnym minimum jest przechowywanie kopii w trybie WORM (Write Once, Read Many) z ustaloną retencją, co uniemożliwia ich usunięcie lub zaszyfrowanie przez atakującego.

Usługi zewnętrzne i narzędzia

  • Usługi publikowane: Monitorowanie logów z usług dostępnych publicznie (np. telemedycyna, portale pacjenta). Kluczowe jest wdrożenie mechanizmów wykrywania i blokowania ataków typu Brute Force oraz aktualizacja systemów (rekomendowane możliwości przeprowadzenia aktualizacji w 24h od wykrycia krytycznej podatności) i odpowiednio maksymalna ich izolacja od systemów wewnętrznych na wypadek kompromitacji.
  • Narzędzia administracyjne: Monitorowanie wykorzystania narzędzi do synchronizacji i transferu danych (np. Rclone, WinSCP) – ich nagłe pojawienie się na stacjach roboczych może świadczyć o próbie eksfiltracji danych przez cyberprzestępców.

Komunikat Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa – zalecenia dla sektora ochrony zdrowia i innych podmiotów KSC

Dokumentacja RODO/ RCPD / DPIA / Ocena Ryzyka

Dokumentacja RODO do KSeF

Wybierz interesujący tematycznie dział Sklepu RODO

Podmioty medyczne

Dokumentacja RODO
dla podmiotów medycznych

Wejdź do sklepu >>>
Placówki Oświatowe

Dokumentacja RODO
dla podmiotów oświatowych

Wejdź do sklepu >>>
Przedsiębiorcy i firmy

Dokumentacja RODO
dla firm i przedsiębiorstw

Wejdź do sklepu >>>
Stanowiska IOD

Stanowiska IOD
Zalecenia i sanowiska

Wejdź do sklepu >>>
Oferta usług informatycnzych

Oferta
usług informatycznych

Wejdź do sklepu >>>
Niszczarki do dokumentów

Oferta
niszczarki do dokumentów

Wejdź do sklepu >>>

Czy potrzebna zgoda na newsletter? RODO 2026 – wyjaśnienie

przez
czy można wysyłać newsletter bez zgody

Czy potrzebna zgoda na newsletter? RODO 2026 – wyjaśnienie

Czy potrzebuję zgody na newsletter? (2026 – wyjaśnienie krok po kroku). Newsletter to jedno z najskuteczniejszych narzędzi marketingowych. Pozwala budować relacje z klientami, zwiększać sprzedaż i wracać do osób, które już odwiedziły Twoją stronę.

Dowiedz się więcej

Umowa powierzenia przetwarzania danych a usługi doręczania przesyłek kurierskich

przez
Umowa powierzenia przetwarzania danych a usługi doręczania przesyłek kurierskich - wybrane fragmenty Decyzji PUODO DKN.5112.1.2023

Umowa powierzenia przetwarzania danych a usługi doręczania przesyłek kurierskich

Umowa powierzenia przetwarzania danych a usługi doręczania przesyłek kurierskich – pytanie o to, czy z firmą kurierską, należy zawierać umowę powierzenia przetwarzania danych, jest pytaniem które z zauważalną regularnością pojawia się w dyskusjach. Za sprawą Komunikatu Prezesa UODO [DKN.5112.1.2023]  „Naruszenie przepisów RODO przez firmę kurierską” ponownie pojawiły się pytania dotyczące tego zagadnienia. Pojawiły się również opinie dotyczące zapadłego rozstrzygnięcia. Postanowiłem przytoczyć kilka jego fragmentów, aby uświadomić, pewien fakt, wprost wyartykułowany w treści Decyzji PUODO. Uprzedzam jednak, w tym krótkim opracowaniu nie dotykam kwestii związanej z rozstrzygnięciem zapadłym w sprawie, ale odnoszę się do głosów, jakie pojawiły się po publikacji treści rozstrzygnięcia, jakoby za zasadne i celowe uznawać należy, w kontekście analizowanej Decyzji PUODO, zawieranie umów powierzenia przetwarzania danych osobowych, przez klientów zlecających usługę dostarczenia przesyłki kurierskiej. 

Dowiedz się więcej