Nawet gdy incydent zaczyna się u dostawcy dokumentacji medycznej, placówka musi zająć się jego skutkami u siebie. Do obsługi dochodzą pytania pacjentów, analiza obowiązków i możliwe roszczenia. Polisa cyber może pomóc finansować określone działania, ale jej zakres trzeba sprawdzić przed zdarzeniem.
MyDr: dlaczego to temat także dla właściciela gabinetu
13 sierpnia 2026 r. UODO poinformował o planowanej kontroli MyDr po wycieku danych dotyczących zdrowia. Urząd wskazał, że spółka przetwarza dane powierzone przez placówki będące jej klientami. Skala naruszenia nie była wtedy w pełni znana. Źródło: komunikat UODO wymieniony poniżej.
Dla konkretnej przychodni istotne są jej własne dane: zakres naruszenia, kategorie informacji, liczba osób i sposób wykorzystania systemu. Nie każda placówka korzystająca z danego produktu ma identyczną sytuację.
Dostawca systemu nie zastępuje administratora danych
UODO przypomina, że placówka powierzająca dane musi ustalić, czy incydent dotyczy jej działalności, i ocenić ryzyko. Obowiązki zgłoszenia organowi i zawiadomienia pacjentów wymagają odrębnej oceny. Naruszenie podlegające zgłoszeniu należy zgłosić bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia. Pacjentów zawiadamia się bez zbędnej zwłoki, co do zasady przy wysokim ryzyku, z uwzględnieniem wyjątków RODO.
Brak kompletu informacji nie oznacza, że można dowolnie odkładać działanie. Ustalenia, decyzje i kolejne informacje trzeba dokumentować. To zadanie do skoordynowania z osobą odpowiedzialną za ochronę danych, prawnikiem i dostawcą systemu.
Obowiązkowe OC medyczne i cyber odpowiadają na różne potrzeby
Obowiązkowe OC podmiotu wykonującego działalność leczniczą dotyczy szkód będących następstwem udzielania świadczeń zdrowotnych albo niezgodnego z prawem zaniechania ich udzielenia. To zakres wynikający z rozporządzenia, a nie ogólna ochrona wszystkich kosztów działalności placówki.
Nie należy z samego posiadania OC wyciągać wniosku, że pokryje ono obsługę wycieku, zawiadomienia czy informatykę śledczą. Konkretną odpowiedzialność ocenia się według okoliczności i właściwych umów. Zakres cyber trzeba sprawdzić osobno, również w pakiecie, który zawiera kilka rodzajów ochrony.
Co może obejmować ochrona cyber placówki
W odpowiednio dobranym wariancie można przewidzieć obsługę prawną incydentu, koszty informacji dla pacjentów, pracę specjalistów IT oraz obronę przed objętymi umową roszczeniami i należne świadczenia. Są to możliwe elementy ochrony, a nie obietnica wypłaty przy każdym wycieku. Przykłady takich zakresów przedstawiają materiały ubezpieczycieli wskazane w źródłach.
Warto także osobno rozważyć przerwę w pracy placówki. Koszty reakcji na ujawnienie danych i strata wskutek niedostępnego systemu to różne scenariusze. Sam wyciek nie musi oznaczać przestoju, a ochrona przestoju wymaga sprawdzenia osobnych warunków.
Na co spojrzeć przy tysiącach kart pacjentów
Sprawdź, czy definicje obejmują dane dotyczące zdrowia i naruszenie u dostawcy elektronicznej dokumentacji medycznej. Następnie porównaj limit kosztów reakcji, zawiadomień i roszczeń oraz to, czy te wydatki korzystają ze wspólnej sumy.
Ustal, kto odbiera zgłoszenie, jak uruchamia się zespół pomocy i czy trzeba wcześniej uzgodnić wykonawcę lub koszt. W rozmowie o ochronie uwzględnij również dostęp pracowników do systemu, uwierzytelnianie wieloskładnikowe i faktycznie działające kopie zapasowe. Lista wymagań zależy od konkretnej oferty.
Żądanie pacjenta nie jest jeszcze zasądzonym odszkodowaniem
Wpływające pismo wymaga analizy, ale sama wskazana w nim kwota nie przesądza odpowiedzialności ani wysokości należnego świadczenia. Nie ma jednej automatycznej stawki odszkodowania za wyciek danych. Trzeba ocenić podstawę żądania i okoliczności konkretnej sprawy.
Po otrzymaniu roszczenia zachowaj dokumenty i postępuj według zasad zgłoszenia przewidzianych w polisie. Przed uznaniem odpowiedzialności lub zawarciem ugody sprawdź wymagania umowy i skonsultuj sprawę. Nowa polisa nie daje automatycznej ochrony skutków incydentu znanego przed jej zawarciem.
Jak BTLA może pomóc uporządkować ochronę
Zestawimy obecne OC i cyber z tym, jak placówka korzysta z systemów, oraz z zakresem powierzanych danych. Wyjaśnimy różnice między kosztami reakcji, odpowiedzialnością i przestojem. Przy istniejącym zdarzeniu zaczynamy od dokumentów i warunków już zawartych umów.
Na pierwszą rozmowę wystarczą nazwy systemów, przybliżona liczba kart pacjentów i informacje o obecnych polisach. Nie przesyłaj danych pacjentów ani dokumentacji leczenia przez ogólny formularz lub e-mail. Zadzwoń: 32 307 70 37 lub napisz ogólny opis na [email protected]. Omówimy potrzebny zakres informacji i dalszy kontakt.
Źródła i data weryfikacji
Sprawdzono 05.10.2026. Przed zakupem zweryfikuj aktualne dokumenty otrzymanej propozycji.
Opracowanie redakcyjne: BTLA Broker. Omówienie publicznie opisanego incydentu; nie jest to historia klienta ani sprawy prowadzonej przez BTLA.