Dodatkowe kontrole UODO w podmiotach sektora ochrony zdrowia

W związku z mającym miejsce w ostatnim czasie największym wyciekiem danych osobowych pacjentów, w szczególności danych wrażliwych dotyczących zdrowia, przetwarzanych przez placówki medyczne, prezes UODO Mirosław Wróblewski podjął decyzję o tym, aby jeszcze w tym roku objąć kontrolami kolejne podmioty sektora ochrony zdrowia i sprawdzić, w jaki sposób chronione są dane osób korzystających z ich usług. 

Po doniesieniach medialnych o wycieku danych z firmy MyDr, Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski niezwłocznie podjął decyzję o przeprowadzeniu kontroli w tej firmie. Jej przedmiotem są zastosowane środki techniczne i organizacyjne oraz analiza ryzyka przeprowadzona przez spółkę. UODO jednocześnie wciąż przyjmuje od administratorów zgłoszenia naruszenia ochrony danych.

Jednak w związku ze wspomnianym cyberatakiem, a także wieloma innymi przypadkami naruszeń, Prezes UODO zdecydował, że potrzebne jest przeprowadzenie kontroli na szerszą skalę w zakresie przetwarzania danych dotyczących zdrowia jeszcze w tym roku. Dlatego podjął decyzję o dokonaniu kontroli do końca 2026 r. na podstawie uzyskanych przez Prezesa Urzędu ww. informacji oraz w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679 w podmiotach sektora ochrony zdrowia w celu sprawdzenia, w jaki sposób chronią one dane osób korzystających z ich usług.

Jednocześnie Prezes UODO pragnie przypomnieć, że kontrole w podmiotach sektora ochrony zdrowia prowadzone są w ramach kontroli sektorowych UODO od 2025 roku. W 2025 r. kontrole w tym sektorze dotyczyły bezpieczeństwa danych osobowych, a w roku obecnym – w szczególności stosowanego monitoringu wizyjnego. Jednak zagrożenia w obszarze przetwarzania danych medycznych skutkują koniecznością przeprowadzenia jeszcze w tym roku dodatkowych zintensyfikowanych kontroli w kolejnych podmiotach, w szczególności celem weryfikacji stosowanych przez nie zabezpieczeń.

W związku z tym konieczne było dokonanie zmian w planie kontroli sektorowych na rok 2026. Zaplanowane na ten rok kontrole sektorowe internetowych platform dostaw (przetwarzanie danych osobowych w związku ze świadczeniem usług pośrednictwa w sprzedaży towarów i usług za pomocą aplikacji internetowych) zostały przesunięte na I i II kwartał 2027 roku. Bez zmian odbywają się natomiast sektorowe kontrole organów przetwarzających dane osobowe w Wielkoskalowych Systemach Unii Europejskiej, w tym przetwarzanie danych osobowych SIS/VIS na podstawie przepisów ustawy  o udziale Rzeczpospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym , aktów wykonawczych oraz przepisów Unii Europejskiej.

Plan kontroli sektorowych jeśli chodzi o podmioty prowadzące Biuletyn Informacji Publicznej i podmioty marketingowe pozostaje bez zmian. W przypadku tych pierwszych przedmiotem kontroli jest sposób przetwarzania danych osobowych w związku z realizacją obowiązku prowadzenia BIP, w szczególności w zakresie anonimizacji danych oraz udostępniania przebiegu sesji rad gminy. Te drugie zaś kontrolowane są w szczególności w zakresie podstaw prawnych przetwarzania danych osobowych w celach marketingowych.