Dodatkowe, zintensyfikowane kontrole UODO w placówkach medycznych jeszcze w tym roku

W komunikacie Urząd Ochrony Danych Osobowych przypomina, że po doniesieniach medialnych o wycieku danych z firmy MyDr Prezes UODO podjął decyzję o przeprowadzeniu kontroli w tej firmie. Jej przedmiotem są zastosowane środki techniczne i organizacyjne oraz analiza ryzyka przeprowadzona przez spółkę. UODO jednocześnie wciąż przyjmuje od administratorów zgłoszenia naruszenia ochrony danych.

– Jednak w związku ze wspomnianym cyberatakiem, a także wieloma innymi przypadkami naruszeń, Prezes UODO zdecydował, że potrzebne jest przeprowadzenie kontroli na szerszą skalę w zakresie przetwarzania danych dotyczących zdrowia jeszcze w tym roku. Dlatego podjął decyzję o dokonaniu kontroli do końca 2026 r. na podstawie uzyskanych przez Prezesa UODO ww. informacji oraz w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679 w podmiotach sektora ochrony zdrowia w celu sprawdzenia, w jaki sposób chronią one dane osób korzystających z ich usług – czytamy w komunikacie urzędu. 

UODO przypomina, że kontrole w podmiotach z sektora ochrony zdrowia prowadzone są w ramach kontroli sektorowych UODO od 2025 roku. W 2025 r. planowe kontrole w tym sektorze dotyczyły bezpieczeństwa danych osobowych, a w roku obecnym – w szczególności stosowanego monitoringu wizyjnego. Jednak, zdaniem urzędu, zagrożenia w obszarze przetwarzania danych medycznych skutkują koniecznością przeprowadzenia jeszcze w tym roku dodatkowych zintensyfikowanych kontroli w kolejnych podmiotach, w szczególności w celu weryfikacji stosowanych przez nie zabezpieczeń.

Zmiany w prawie po wycieku danych medycznych z MyDr. Ministerstwo przedstawia „Cyber Piątkę” Ministerstwo Cyfryzacji zapowiedziało wprowadzenie nowych przepisów wzmacniających bezpieczeństwo danych medycznych. Zmiana polegać ma m.in. na zwiększeniu wymagań wobec firm przetwarzających dane powierzone im przez szpitale czy przychodnie. Nowe obowiązki mają też dotyczyć bezpośrednio placówek medycznych. Z kolei pacjenci mają zyskać szerszą wiedzę na temat tego, co się dzieje z ich danymi.

Przeprowadzenie dodatkowych kontroli w placówkach ochrony zdrowia wiąże się z wprowadzeniem zmian w planie kontroli sektorowych na rok 2026. – Zaplanowane na ten rok kontrole sektorowe internetowych platform dostaw (przetwarzanie danych osobowych w związku ze świadczeniem usług pośrednictwa w sprzedaży towarów i usług za pomocą aplikacji internetowych) zostały przesunięte na I i II kwartał 2027 roku – czytamy.

– Bez zmian odbywają się natomiast sektorowe kontrole organów przetwarzających dane osobowe w Wielkoskalowych Systemach Unii Europejskiej, w tym przetwarzanie danych osobowych SIS/VIS na podstawie przepisów ustawy o udziale Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym, aktów wykonawczych oraz przepisów Unii Europejskiej.

UODO dodaje, że jeśli chodzi o podmioty prowadzące Biuletyn Informacji Publicznej i podmioty marketingowe, plan kontroli pozostaje bez zmian. W przypadku tych pierwszych przedmiotem kontroli jest sposób przetwarzania danych osobowych w związku z realizacją obowiązku prowadzenia BIP, w szczególności w zakresie anonimizacji danych oraz udostępniania przebiegu sesji rad gminy. Te drugie zaś kontrolowane są w szczególności w zakresie podstaw prawnych przetwarzania danych osobowych w celach marketingowych.

Przeczytaj także: „Wyciek danych z MyDr – czy twoje dane są bezpieczne”.