Projekt ustawy o zmianie niektórych ustaw w celu wzmocnienia ochrony danych i cyberbezpieczeństwa

Informacje o publikacji dokumentu

Pierwsza publikacja:: 10.11.2026 14:39 Monika Majewska
Wytwarzający/ Odpowiadający:: Minister Cyfryzacji

Tytuł	Wersja	Dane zmiany / publikacji
Projekt ustawy o zmianie niektórych ustaw w celu wzmocnienia ochrony danych i cyberbezpieczeństwa	1.0	10.11.2026 14:39 Monika Majewska

Aby uzyskać archiwalną wersję należy skontaktować się z Redakcją BIP

{"register":{"columns":[{"header":"Numer projektu","value":"UD504","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"sequence":{"regex":"UD{#UD_1}"},"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Rodzaj dokumentu","registerId":20874195,"dictionaryValues":[{"id":"Projekty ustaw","value":"Projekty ustaw"}],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Typ dokumentu","registerId":20874195,"dictionaryValues":[{"id":"D – pozostałe projekty","value":"D – pozostałe projekty"}],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Informacja dodatkowa","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Cele projektu oraz informacja o przyczynach i potrzebie rozwiązań planowanych w projekcie","value":"Celem projektu jest zwiększenie odporności systemu ochrony danych osobowych na zagrożenia związane z powierzaniem przetwarzania danych podmiotom zewnętrznym, zwłaszcza gdy jeden usługodawca obsługuje wielu administratorów. Proponowane środki obejmują zarówno wzmocnienie przejrzystości i bezpieczeństwa takiego przetwarzania, jak i ułatwienie osobom fizycznym reagowania na nieuprawnione ujawnienie ich danych osobowych.\nImpulsem do przygotowania projektu było naruszenie bezpieczeństwa systemów podmiotu przetwarzającego, które dotyczyło danych osobowych 19 mln osób, w tym informacji o zdrowiu. Zdarzenie uwidoczniło, że incydent u jednego podmiotu przetwarzającego może wywołać skutki dla wielu podmiotów leczniczych i innych administratorów oraz dla znacznej grupy obywateli. Uzasadnia to podjęcie działań odnoszących się do ryzyk wynikających ze skupienia danych osobowych i zależności od zewnętrznych dostawców.\nSzczególnego uwzględnienia wymaga sytuacja, w której jeden podmiot przetwarzający świadczy usługi na rzecz więcej niż 100 administratorów lub przetwarza dane osobowe dotyczące więcej niż 100 000 osób. Spełnienie choćby jednego z tych kryteriów oznacza objęcie podmiotu projektowanymi obowiązkami informacyjnymi. Przy takiej skali działalności naruszenie bezpieczeństwa u jednego podmiotu przetwarzającego oddziałuje równocześnie na wielu administratorów oraz dotyczy znacznej liczby osób, których dane są przetwarzane. Administratorzy powierzający dane temu samemu podmiotowi przetwarzającemu mogą przy tym dysponować różnym zakresem informacji o stosowanych zabezpieczeniach i wynikach ich weryfikacji, mimo że ryzyko związane z działalnością usługodawcy dotyczy ich wszystkich.\nObowiązujące przepisy RODO nakładają już na administratorów i podmioty przetwarzające obowiązki dotyczące bezpieczeństwa danych osobowych. W szczególności art. 28 RODO wymaga korzystania z usług podmiotów przetwarzających zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, natomiast art. 32 ust. 1 lit. d RODO przewiduje proces regularnego testowania, mierzenia i oceniania skuteczności tych środków. Samo istnienie tych obowiązków nie zapewnia jednak administratorom jednolitego, odpowiednio szczegółowego i aktualnego zakresu informacji o sposobie ich wykonywania przez podmioty przetwarzające dane na dużą skalę. Projekt ma zatem uzupełnić obowiązujące regulacje o określone obowiązki informacyjne wobec administratorów, obejmujące w szczególności stosowane zabezpieczenia, ew. korzystanie z dalszych podmiotów przetwarzających, miejsce przetwarzania danych, informacje o audytach i wynikach przeprowadzonych czynności weryfikacyjnych, a także o zmianach mogących wpływać na poziom bezpieczeństwa danych. Rozwiązanie nie ustanawia nowego obowiązku przeprowadzania testów w określonych odstępach czasu, lecz służy zapewnieniu administratorom informacji potrzebnych do rzeczywistej oceny bezpieczeństwa powierzonego przetwarzania.\nUwzględnienia wymaga też bezpieczeństwo danych osobowych zawartych w dokumentacji medycznej, których przetwarzanie jest często powierzane zewnętrznym dostawcom usług informatycznych. Ze względu na charakter tych informacji oraz możliwe następstwa ich nieuprawnionego ujawnienia istotne jest zapewnienie odpowiednich gwarancji bezpieczeństwa również po stronie podmiotów, którym powierzono ich przetwarzanie. Ryzyko to występuje niezależnie od liczby administratorów obsługiwanych przez danego usługodawcę oraz liczby osób, których dane przetwarza.\nUzasadnia to potrzebę ustanowienia wymagania dotyczącego certyfikacji procesów zarządzania cyberbezpieczeństwem związanych z powierzonym przetwarzaniem dokumentacji medycznej. Proponowane rozwiązanie ma umożliwiać potwierdzenie spełniania określonych wymagań bezpieczeństwa w ramach krajowego systemu certyfikacji cyberbezpieczeństwa. Nie zakłada przy tym certyfikacji całego przedsiębiorstwa ani tworzenia odrębnego systemu certyfikacji dla sektora ochrony zdrowia.\nW przypadku dokumentacji medycznej pacjent nie zawsze otrzymuje informacje pozwalające ustalić, który konkretnie usługodawca przetwarza jego dane na zlecenie świadczeniodawcy. Ogólne komunikaty o kategoriach odbiorców lub możliwych podmiotach współpracujących nie zapewniają pełnej wiedzy o rzeczywistym powierzeniu przetwarzania i zmianach w tym zakresie. Zasadne jest zatem określenie bardziej jednoznacznego obowiązku informowania pacjenta o tożsamości podmiotu przetwarzającego dokumentację medyczną, zakresie powierzonych czynności, danych kontaktowych oraz zmianach tych informacji. Pozwoli to zwiększyć przejrzystość relacji między świadczeniodawcą, podmiotem przetwarzającym i pacjentem, również w sytuacji wystąpienia incydentu.\nProjekt łączy pięć kierunków interwencji: większą przejrzystość powierzania dokumentacji medycznej, dostęp administratorów do informacji o bezpieczeństwie u dużych podmiotów przetwarzających, certyfikację określonych procesów zarządzania cyberbezpieczeństwem przy powierzaniu dokumentacji medycznej, sprawniejsze udostępnianie informacji o naruszeniach w usłudze Bezpieczne Dane oraz powiadamianie pacjentów o zdarzeniach medycznych. Rozwiązania te mają ograniczać ryzyko naruszeń i ułatwiać reakcję na ich skutki.\nDoświadczenia związane z naruszeniami obejmującymi znaczne zbiory danych wskazują również na potrzebę usprawnienia udostępniania osobom fizycznym informacji pozwalających im ustalić, czy ich dane zostały pozyskane lub ujawnione w sposób nieuprawniony. Znaczenie ma w szczególności możliwość wykorzystania informacji pozostających w dyspozycji podmiotów objętych projektowanymi obowiązkami oraz w określonych przypadkach, organów prowadzących postępowania przygotowawcze. Sprawne przekazanie odpowiedniego zakresu danych do CSIRT NASK może zwiększyć skuteczność istniejącej usługi umożliwiającej zainteresowanym osobom weryfikację, czy ujawnione informacje ich dotyczą.\nProjektowane rozwiązanie ma uzupełniać funkcjonujące mechanizmy reagowania na naruszenia ochrony danych osobowych, bez zastępowania obowiązków wynikających z art. 33 i 34 RODO. Potrzeba interwencji dotyczy przede wszystkim określenia zasad przekazywania danych na potrzeby usługi Bezpieczne Dane, z uwzględnieniem ograniczenia ich zakresu do niezbędnego minimum oraz uniknięcia wielokrotnego przekazywania informacji dotyczących tego samego naruszenia.\nIstotnym problemem pozostaje również brak mechanizmu aktywnego sygnalizowania pacjentowi odnotowania zdarzenia medycznego, który umożliwiałby szybkie zauważenie zdarzeń niepowiązanych z faktycznie uzyskaną receptą lub świadczeniem. Planowane powiadomienia mają wzmocnić możliwość samodzielnej kontroli przez osoby fizyczne takich informacji, bez umieszczania szczegółów dotyczących zdrowia w samym komunikacie.\nPotrzeba wprowadzenia tego rozwiązania wynika z różnicy między udostępnieniem pacjentowi informacji o zdarzeniu medycznym a aktywnym zwróceniem jego uwagi na fakt odnotowania takiego zdarzenia. W szczególności w przypadku nieuprawnionego wykorzystania danych pacjenta czas uzyskania informacji może mieć znaczenie dla wykrycia nieprawidłowości i podjęcia odpowiednich działań. Projektowana regulacja ma w tym zakresie wykorzystywać istniejące narzędzia cyfrowe, przy zachowaniu rozdzielenia samego powiadomienia od dostępu do szczegółowych informacji dotyczących zdrowia.\nDodatkowo konieczne jest usunięcie luki prawnej utrudniającej realizację istniejącego obowiązku zabezpieczenia i przekazania dokumentacji medycznej po śmierci lekarza prowadzącego indywidualną praktykę. Obecne przepisy przewidują przekazanie dokumentacji podmiotowi przejmującemu działalność albo właściwej okręgowej izbie lekarskiej, lecz nie zapewniają dostatecznego mechanizmu wcześniejszego precyzyjnego wskazania i ustanowienia uprawnionej osoby lub podmiotu, który faktycznie wykona wymagane czynności.\nTrudności związane z realizacją tego obowiązku mogą dotyczyć w szczególności ustalenia miejsca przechowywania dokumentacji, zapewnienia zgodnego z prawem dostępu do niej oraz podjęcia czynności niezbędnych do jej zabezpieczenia i przekazania. Ma to szczególne znaczenie w przypadku dokumentacji prowadzonej w postaci elektronicznej, gdy wykonanie wymaganych czynności może być uzależnione od posiadania odpowiednich uprawnień dostępowych i informacji o sposobie przechowywania danych.\nProjektowana interwencja ustawodawcza ma zatem charakter uzupełniający wobec już obowiązujących regulacji. Jej celem jest wypełnienie luki prawnej dotyczącej mechanizmu realizacji już ustanowionego obowiązku, w szczególności przez umożliwienie wcześniejszego wyznaczenia osoby lub podmiotu odpowiedzialnego za zabezpieczenie i przekazanie dokumentacji oraz poinformowanie o tym właściwej okręgowej izby lekarskiej. Nie chodzi o ustanowienie nowego systemu postępowania z dokumentacją medyczną, lecz o zapewnienie rzeczywistej wykonalności obowiązku wynikającego z już obowiązujących przepisów ustawowych.\n","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Istota rozwiązań planowanych w projekcie, w tym proponowane środki realizacji","value":"Projekt obejmuje pięć zasadniczych kierunków interwencji w obszarze ochrony danych osobowych i cyberbezpieczeństwa dotyczących przejrzystości powierzania danych, informowania o bezpieczeństwie przetwarzania, certyfikacji procesów zarządzania cyberbezpieczeństwem, ograniczania skutków wycieków oraz powiadomień medycznych. Odrębnym uzupełniającym elementem projektu jest zapewnienie skutecznej realizacji obowiązku zabezpieczenia i przekazania dokumentacji medycznej po śmierci lekarza prowadzącego indywidualną praktykę lekarską. Jest to mechanizm umożliwiający skuteczne wykonanie istniejących obowiązków dotyczących tej dokumentacji po śmierci lekarza.\n\n1. Obowiązki podmiotu udzielającego świadczeń zdrowotnych\nW ustawie z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta proponuje się doprecyzować obowiązek świadczeniodawcy w taki sposób, aby pacjent otrzymywał precyzyjne informacje identyfikujące podmiot, któremu powierzono przetwarzanie jego dokumentacji medycznej, wraz z określeniem zakresu czynności, konkretnych danych kontaktowych oraz informacji o zmianach w tym zakresie. Wykorzystanie istniejących kanałów komunikacji będzie możliwe, o ile zapewni realizację tego obowiązku.\n\n2. Nowe obowiązki dla podmiotów masowo przetwarzających dane\nNowe przepisy obejmą podmioty przetwarzające świadczące usługi na rzecz więcej niż 100 administratorów albo przetwarzających dane osobowe dotyczące więcej niż 100 000 osób; wystarczy spełnienie jednego z tych warunków. Podmioty te będą przekazywać administratorom bardziej szczegółowe informacje o stosowanych zabezpieczeniach, ew. dalszych podmiotach przetwarzających, miejscu przetwarzania, audytach i wynikach już przeprowadzonych testów, pomiarów oraz ocen. Informacje o wynikach tych czynności mają być udostępniane nie rzadziej niż raz na dwa lata, a istotne zmiany warunków przetwarzania - bez zbędnej zwłoki. Jeżeli w danym okresie nie przeprowadzono czynności weryfikacyjnych, podmiot przetwarzający wskaże ten fakt i przyczyny. Projekt nie wprowadza obowiązku wykonywania testów co dwa lata ani nowego, odrębnego reżimu testowania ponad wymagania art. 32 RODO.\nProjektowane obowiązki informacyjne mają zapewnić administratorom dostęp do informacji istotnych dla oceny gwarancji bezpieczeństwa oferowanych przez podmioty przetwarzające. Ich zakres będzie odnosił się zarówno do warunków organizacyjnych i technicznych powierzania danych, jak i do wyników czynności weryfikacyjnych wykonywanych w ramach obowiązujących już wymagań RODO. Rozwiązanie nie będzie zatem polegało na ustanowieniu nowego obowiązku okresowego przeprowadzania testów lub audytów, lecz na określeniu zasad udostępniania administratorom jasnych informacji o czynnościach przeprowadzonych przez podmiot przetwarzający.\n\n3. Mechanizmy certyfikacji\nPowierzenie przetwarzania danych zawartych w dokumentacji medycznej będzie powiązane z wymogiem certyfikacji właściwych procesów zarządzania cyberbezpieczeństwem podmiotu, któremu powierzane są dane. Wymóg ten ma zastosowanie niezależnie od liczby obsługiwanych administratorów i osób, których dane dotyczą. Ocena będzie odnosić się do procesów wykorzystywanych w określonej działalności, a nie automatycznie do całego przedsiębiorstwa ani do każdego świadczeniodawcy. Zakres wymagań może obejmować m.in. zarządzanie dostępem, aktualizacjami, konfiguracją i kopiami zapasowymi. Świadczeniodawca będzie weryfikował spełnienie warunku certyfikacji przez kontrahenta.\nCertyfikacja będzie realizowana w ramach krajowego systemu certyfikacji cyberbezpieczeństwa, na zasadach określonych w ustawie z dnia 25 czerwca 2025 r. o krajowym systemie certyfikacji cyberbezpieczeństwa. Minister właściwy do spraw informatyzacji ma zapewnić objęcie procesów zarządzania cyberbezpieczeństwem właściwym krajowym schematem certyfikacji, który określi szczegółowe wymagania podlegające ocenie oraz zasady potwierdzania ich spełnienia. Projekt nie przewiduje tworzenia odrębnego systemu certyfikacji przeznaczonego wyłącznie dla sektora ochrony zdrowia. Wymóg certyfikacji procesów związanych z powierzonym przetwarzaniem dokumentacji medycznej pozostanie niezależny od obowiązków informacyjnych przewidzianych dla podmiotów przetwarzających dane osobowe na rzecz więcej niż 100 administratorów lub dotyczące więcej niż 100 000 osób. Jeżeli ten sam podmiot będzie objęty obydwoma rozwiązaniami, nie będzie to oznaczało konieczności uzyskania dwóch odrębnych certyfikacji, ponieważ obowiązki informacyjne dużych podmiotów przetwarzających nie ustanawiają samodzielnego obowiązku certyfikacji.\n\n4. Szybka informacja o naruszeniu\nProjekt zakłada przekazywanie do CSIRT NASK niezbędnych danych identyfikujących osoby, których dane zostały pozyskane lub ujawnione w sposób nieuprawniony w związku z incydentem lub cyberzagrożeniem tak, aby możliwe było ich wykorzystanie w usłudze Bezpieczne Dane. Obowiązek ma obejmować podmioty kluczowe, podmioty ważne oraz określonych w projekcie podmiotów przetwarzających dane na dużą skalę. Przekazanie informacji dotyczących tego samego zdarzenia nastąpi jednokrotnie, nawet gdy podmiot spełnia więcej niż jedną przesłankę objęcia obowiązkiem. Przewidziane zostaną również zasady przekazywania danych przez organ prowadzący postępowanie przygotowawcze, gdy wcześniejsze czynności procesowe uniemożliwiły wykonanie obowiązku przez właściwy podmiot, z poszanowaniem wymogów ochrony postępowania i informacji. Mechanizm pozostanie odrębny od obowiązków wynikających z RODO, w tym zawiadomienia administratora na podstawie art. 33 ust. 2.\n\n5. Powiadomienia o zdarzeniach medycznych\nZakłada się uruchomienie powiadomień o zarejestrowaniu zdarzenia medycznego z wykorzystaniem mObywatela i mojeIKP. Komunikat ma sygnalizować zdarzenie odnoszące się do pacjenta, np. wystawienie recepty lub udzielenie świadczenia, bez prezentowania w powiadomieniu szczegółowych informacji o zdrowiu. Ich sprawdzenie będzie wymagało uwierzytelnienia w odpowiedniej usłudze. Szczegóły funkcjonalne i termin wdrożenia zostaną określone we współpracy z podmiotami odpowiedzialnymi za te systemy, z uwzględnieniem istniejących rozwiązań przewidzianych w ustawie o systemie informacji w ochronie zdrowia.\nW zakresie dokumentacji medycznej po śmierci lekarza prowadzącego indywidualną praktykę lekarską lub indywidualną specjalistyczną praktykę lekarską projekt uzupełni obowiązujące regulacje o mechanizm wcześniejszego wyznaczenia osoby albo podmiotu odpowiedzialnego za zabezpieczenie i przekazanie dokumentacji. Przewiduje się także zawiadomienie właściwej okręgowej izby lekarskiej o wyznaczeniu oraz o zmianach tych informacji. Celem jest zapewnienie faktycznej wykonalności już istniejącego obowiązku przekazania dokumentacji podmiotowi przejmującemu działalność albo właściwej izbie, a nie stworzenie nowego systemu przechowywania dokumentacji.\nRelacja projektowanych rozwiązań do EHDS.\nPrzeanalizowano projektowane rozwiązania w kontekście rozporządzenia ustanawiającego europejską przestrzeń danych dotyczących zdrowia (EHDS), uwzględniając w szczególności zakres regulacji odnoszących się do danych dotyczących zdrowia oraz cele i charakter proponowanych obowiązków krajowych. W wyniku tej analizy nie stwierdzono sprzeczności projektowanych rozwiązań z przepisami EHDS. Proponowane zmiany służą przede wszystkim wzmocnieniu ochrony danych osobowych i bezpieczeństwa ich przetwarzania oraz zapewnieniu skutecznej realizacji obowiązków wynikających z prawa krajowego; nie ustanawiają alternatywnego wobec EHDS systemu udostępniania danych dotyczących zdrowia.\nW ramach przeprowadzonej analizy uwzględniono w szczególności odmienne cele i zakresy obu regulacji, w tym wymagania EHDS odnoszące się do systemów elektronicznej dokumentacji medycznej oraz przewidziany w tym rozporządzeniu harmonogram rozpoczęcia stosowania poszczególnych przepisów. Weryfikacja nie wykazała, aby projektowane mechanizmy dotyczące bezpieczeństwa powierzonego przetwarzania danych, informowania pacjentów oraz zapewnienia realizacji istniejących obowiązków krajowych pozostawały w sprzeczności z analizowanymi przepisami EHDS. Ocena ta odnosi się do obecnie określonych wymagań tego rozporządzenia, z uwzględnieniem konieczności dalszej weryfikacji w świetle szczegółowych aktów wykonawczych, które mają zostać przyjęte na jego podstawie.","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Oddziaływanie na życie społeczne nowych regulacji prawnych","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Spodziewane skutki i następstwa projektowanych regulacji prawnych","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Sposoby mierzenia efektów nowych regulacji prawnych","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Organ odpowiedzialny za opracowanie projektu","registerId":20874195,"dictionaryValues":[{"id":"MC","value":"MC"}],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Organ współpracujący przy opracowaniu projektu","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":false,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Osoba odpowiedzialna za opracowanie projektu","value":"Michał Gramatyka Sekretarz Stanu","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Organ odpowiedzialny za przedłożenie projektu RM","registerId":20874195,"dictionaryValues":[{"id":"MC","value":"MC"}],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Planowany termin przyjęcia projektu przez RM","value":"I kwartał 2027 r.","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Informacja o rezygnacji z prac nad projektem","value":"","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"},{"header":"Status realizacji","registerId":20874195,"dictionaryValues":[],"nestedValues":[],"showInContent":true,"positionSelector":".article-area__article h2","insertMethod":"after"}]}}

UD504

Projekty ustaw

D – pozostałe projekty

Celem projektu jest zwiększenie odporności systemu ochrony danych osobowych na zagrożenia związane z powierzaniem przetwarzania danych podmiotom zewnętrznym, zwłaszcza gdy jeden usługodawca obsługuje wielu administratorów. Proponowane środki obejmują zarówno wzmocnienie przejrzystości i bezpieczeństwa takiego przetwarzania, jak i ułatwienie osobom fizycznym reagowania na nieuprawnione ujawnienie ich danych osobowych.
Impulsem do przygotowania projektu było naruszenie bezpieczeństwa systemów podmiotu przetwarzającego, które dotyczyło danych osobowych 19 mln osób, w tym informacji o zdrowiu. Zdarzenie uwidoczniło, że incydent u jednego podmiotu przetwarzającego może wywołać skutki dla wielu podmiotów leczniczych i innych administratorów oraz dla znacznej grupy obywateli. Uzasadnia to podjęcie działań odnoszących się do ryzyk wynikających ze skupienia danych osobowych i zależności od zewnętrznych dostawców.
Szczególnego uwzględnienia wymaga sytuacja, w której jeden podmiot przetwarzający świadczy usługi na rzecz więcej niż 100 administratorów lub przetwarza dane osobowe dotyczące więcej niż 100 000 osób. Spełnienie choćby jednego z tych kryteriów oznacza objęcie podmiotu projektowanymi obowiązkami informacyjnymi. Przy takiej skali działalności naruszenie bezpieczeństwa u jednego podmiotu przetwarzającego oddziałuje równocześnie na wielu administratorów oraz dotyczy znacznej liczby osób, których dane są przetwarzane. Administratorzy powierzający dane temu samemu podmiotowi przetwarzającemu mogą przy tym dysponować różnym zakresem informacji o stosowanych zabezpieczeniach i wynikach ich weryfikacji, mimo że ryzyko związane z działalnością usługodawcy dotyczy ich wszystkich.
Obowiązujące przepisy RODO nakładają już na administratorów i podmioty przetwarzające obowiązki dotyczące bezpieczeństwa danych osobowych. W szczególności art. 28 RODO wymaga korzystania z usług podmiotów przetwarzających zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, natomiast art. 32 ust. 1 lit. d RODO przewiduje proces regularnego testowania, mierzenia i oceniania skuteczności tych środków. Samo istnienie tych obowiązków nie zapewnia jednak administratorom jednolitego, odpowiednio szczegółowego i aktualnego zakresu informacji o sposobie ich wykonywania przez podmioty przetwarzające dane na dużą skalę. Projekt ma zatem uzupełnić obowiązujące regulacje o określone obowiązki informacyjne wobec administratorów, obejmujące w szczególności stosowane zabezpieczenia, ew. korzystanie z dalszych podmiotów przetwarzających, miejsce przetwarzania danych, informacje o audytach i wynikach przeprowadzonych czynności weryfikacyjnych, a także o zmianach mogących wpływać na poziom bezpieczeństwa danych. Rozwiązanie nie ustanawia nowego obowiązku przeprowadzania testów w określonych odstępach czasu, lecz służy zapewnieniu administratorom informacji potrzebnych do rzeczywistej oceny bezpieczeństwa powierzonego przetwarzania.
Uwzględnienia wymaga też bezpieczeństwo danych osobowych zawartych w dokumentacji medycznej, których przetwarzanie jest często powierzane zewnętrznym dostawcom usług informatycznych. Ze względu na charakter tych informacji oraz możliwe następstwa ich nieuprawnionego ujawnienia istotne jest zapewnienie odpowiednich gwarancji bezpieczeństwa również po stronie podmiotów, którym powierzono ich przetwarzanie. Ryzyko to występuje niezależnie od liczby administratorów obsługiwanych przez danego usługodawcę oraz liczby osób, których dane przetwarza.
Uzasadnia to potrzebę ustanowienia wymagania dotyczącego certyfikacji procesów zarządzania cyberbezpieczeństwem związanych z powierzonym przetwarzaniem dokumentacji medycznej. Proponowane rozwiązanie ma umożliwiać potwierdzenie spełniania określonych wymagań bezpieczeństwa w ramach krajowego systemu certyfikacji cyberbezpieczeństwa. Nie zakłada przy tym certyfikacji całego przedsiębiorstwa ani tworzenia odrębnego systemu certyfikacji dla sektora ochrony zdrowia.
W przypadku dokumentacji medycznej pacjent nie zawsze otrzymuje informacje pozwalające ustalić, który konkretnie usługodawca przetwarza jego dane na zlecenie świadczeniodawcy. Ogólne komunikaty o kategoriach odbiorców lub możliwych podmiotach współpracujących nie zapewniają pełnej wiedzy o rzeczywistym powierzeniu przetwarzania i zmianach w tym zakresie. Zasadne jest zatem określenie bardziej jednoznacznego obowiązku informowania pacjenta o tożsamości podmiotu przetwarzającego dokumentację medyczną, zakresie powierzonych czynności, danych kontaktowych oraz zmianach tych informacji. Pozwoli to zwiększyć przejrzystość relacji między świadczeniodawcą, podmiotem przetwarzającym i pacjentem, również w sytuacji wystąpienia incydentu.
Projekt łączy pięć kierunków interwencji: większą przejrzystość powierzania dokumentacji medycznej, dostęp administratorów do informacji o bezpieczeństwie u dużych podmiotów przetwarzających, certyfikację określonych procesów zarządzania cyberbezpieczeństwem przy powierzaniu dokumentacji medycznej, sprawniejsze udostępnianie informacji o naruszeniach w usłudze Bezpieczne Dane oraz powiadamianie pacjentów o zdarzeniach medycznych. Rozwiązania te mają ograniczać ryzyko naruszeń i ułatwiać reakcję na ich skutki.
Doświadczenia związane z naruszeniami obejmującymi znaczne zbiory danych wskazują również na potrzebę usprawnienia udostępniania osobom fizycznym informacji pozwalających im ustalić, czy ich dane zostały pozyskane lub ujawnione w sposób nieuprawniony. Znaczenie ma w szczególności możliwość wykorzystania informacji pozostających w dyspozycji podmiotów objętych projektowanymi obowiązkami oraz w określonych przypadkach, organów prowadzących postępowania przygotowawcze. Sprawne przekazanie odpowiedniego zakresu danych do CSIRT NASK może zwiększyć skuteczność istniejącej usługi umożliwiającej zainteresowanym osobom weryfikację, czy ujawnione informacje ich dotyczą.
Projektowane rozwiązanie ma uzupełniać funkcjonujące mechanizmy reagowania na naruszenia ochrony danych osobowych, bez zastępowania obowiązków wynikających z art. 33 i 34 RODO. Potrzeba interwencji dotyczy przede wszystkim określenia zasad przekazywania danych na potrzeby usługi Bezpieczne Dane, z uwzględnieniem ograniczenia ich zakresu do niezbędnego minimum oraz uniknięcia wielokrotnego przekazywania informacji dotyczących tego samego naruszenia.
Istotnym problemem pozostaje również brak mechanizmu aktywnego sygnalizowania pacjentowi odnotowania zdarzenia medycznego, który umożliwiałby szybkie zauważenie zdarzeń niepowiązanych z faktycznie uzyskaną receptą lub świadczeniem. Planowane powiadomienia mają wzmocnić możliwość samodzielnej kontroli przez osoby fizyczne takich informacji, bez umieszczania szczegółów dotyczących zdrowia w samym komunikacie.
Potrzeba wprowadzenia tego rozwiązania wynika z różnicy między udostępnieniem pacjentowi informacji o zdarzeniu medycznym a aktywnym zwróceniem jego uwagi na fakt odnotowania takiego zdarzenia. W szczególności w przypadku nieuprawnionego wykorzystania danych pacjenta czas uzyskania informacji może mieć znaczenie dla wykrycia nieprawidłowości i podjęcia odpowiednich działań. Projektowana regulacja ma w tym zakresie wykorzystywać istniejące narzędzia cyfrowe, przy zachowaniu rozdzielenia samego powiadomienia od dostępu do szczegółowych informacji dotyczących zdrowia.
Dodatkowo konieczne jest usunięcie luki prawnej utrudniającej realizację istniejącego obowiązku zabezpieczenia i przekazania dokumentacji medycznej po śmierci lekarza prowadzącego indywidualną praktykę. Obecne przepisy przewidują przekazanie dokumentacji podmiotowi przejmującemu działalność albo właściwej okręgowej izbie lekarskiej, lecz nie zapewniają dostatecznego mechanizmu wcześniejszego precyzyjnego wskazania i ustanowienia uprawnionej osoby lub podmiotu, który faktycznie wykona wymagane czynności.
Trudności związane z realizacją tego obowiązku mogą dotyczyć w szczególności ustalenia miejsca przechowywania dokumentacji, zapewnienia zgodnego z prawem dostępu do niej oraz podjęcia czynności niezbędnych do jej zabezpieczenia i przekazania. Ma to szczególne znaczenie w przypadku dokumentacji prowadzonej w postaci elektronicznej, gdy wykonanie wymaganych czynności może być uzależnione od posiadania odpowiednich uprawnień dostępowych i informacji o sposobie przechowywania danych.
Projektowana interwencja ustawodawcza ma zatem charakter uzupełniający wobec już obowiązujących regulacji. Jej celem jest wypełnienie luki prawnej dotyczącej mechanizmu realizacji już ustanowionego obowiązku, w szczególności przez umożliwienie wcześniejszego wyznaczenia osoby lub podmiotu odpowiedzialnego za zabezpieczenie i przekazanie dokumentacji oraz poinformowanie o tym właściwej okręgowej izby lekarskiej. Nie chodzi o ustanowienie nowego systemu postępowania z dokumentacją medyczną, lecz o zapewnienie rzeczywistej wykonalności obowiązku wynikającego z już obowiązujących przepisów ustawowych.

Projekt obejmuje pięć zasadniczych kierunków interwencji w obszarze ochrony danych osobowych i cyberbezpieczeństwa dotyczących przejrzystości powierzania danych, informowania o bezpieczeństwie przetwarzania, certyfikacji procesów zarządzania cyberbezpieczeństwem, ograniczania skutków wycieków oraz powiadomień medycznych. Odrębnym uzupełniającym elementem projektu jest zapewnienie skutecznej realizacji obowiązku zabezpieczenia i przekazania dokumentacji medycznej po śmierci lekarza prowadzącego indywidualną praktykę lekarską. Jest to mechanizm umożliwiający skuteczne wykonanie istniejących obowiązków dotyczących tej dokumentacji po śmierci lekarza.

1. Obowiązki podmiotu udzielającego świadczeń zdrowotnych
W ustawie z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta proponuje się doprecyzować obowiązek świadczeniodawcy w taki sposób, aby pacjent otrzymywał precyzyjne informacje identyfikujące podmiot, któremu powierzono przetwarzanie jego dokumentacji medycznej, wraz z określeniem zakresu czynności, konkretnych danych kontaktowych oraz informacji o zmianach w tym zakresie. Wykorzystanie istniejących kanałów komunikacji będzie możliwe, o ile zapewni realizację tego obowiązku.

2. Nowe obowiązki dla podmiotów masowo przetwarzających dane
Nowe przepisy obejmą podmioty przetwarzające świadczące usługi na rzecz więcej niż 100 administratorów albo przetwarzających dane osobowe dotyczące więcej niż 100 000 osób; wystarczy spełnienie jednego z tych warunków. Podmioty te będą przekazywać administratorom bardziej szczegółowe informacje o stosowanych zabezpieczeniach, ew. dalszych podmiotach przetwarzających, miejscu przetwarzania, audytach i wynikach już przeprowadzonych testów, pomiarów oraz ocen. Informacje o wynikach tych czynności mają być udostępniane nie rzadziej niż raz na dwa lata, a istotne zmiany warunków przetwarzania - bez zbędnej zwłoki. Jeżeli w danym okresie nie przeprowadzono czynności weryfikacyjnych, podmiot przetwarzający wskaże ten fakt i przyczyny. Projekt nie wprowadza obowiązku wykonywania testów co dwa lata ani nowego, odrębnego reżimu testowania ponad wymagania art. 32 RODO.
Projektowane obowiązki informacyjne mają zapewnić administratorom dostęp do informacji istotnych dla oceny gwarancji bezpieczeństwa oferowanych przez podmioty przetwarzające. Ich zakres będzie odnosił się zarówno do warunków organizacyjnych i technicznych powierzania danych, jak i do wyników czynności weryfikacyjnych wykonywanych w ramach obowiązujących już wymagań RODO. Rozwiązanie nie będzie zatem polegało na ustanowieniu nowego obowiązku okresowego przeprowadzania testów lub audytów, lecz na określeniu zasad udostępniania administratorom jasnych informacji o czynnościach przeprowadzonych przez podmiot przetwarzający.

3. Mechanizmy certyfikacji
Powierzenie przetwarzania danych zawartych w dokumentacji medycznej będzie powiązane z wymogiem certyfikacji właściwych procesów zarządzania cyberbezpieczeństwem podmiotu, któremu powierzane są dane. Wymóg ten ma zastosowanie niezależnie od liczby obsługiwanych administratorów i osób, których dane dotyczą. Ocena będzie odnosić się do procesów wykorzystywanych w określonej działalności, a nie automatycznie do całego przedsiębiorstwa ani do każdego świadczeniodawcy. Zakres wymagań może obejmować m.in. zarządzanie dostępem, aktualizacjami, konfiguracją i kopiami zapasowymi. Świadczeniodawca będzie weryfikował spełnienie warunku certyfikacji przez kontrahenta.
Certyfikacja będzie realizowana w ramach krajowego systemu certyfikacji cyberbezpieczeństwa, na zasadach określonych w ustawie z dnia 25 czerwca 2025 r. o krajowym systemie certyfikacji cyberbezpieczeństwa. Minister właściwy do spraw informatyzacji ma zapewnić objęcie procesów zarządzania cyberbezpieczeństwem właściwym krajowym schematem certyfikacji, który określi szczegółowe wymagania podlegające ocenie oraz zasady potwierdzania ich spełnienia. Projekt nie przewiduje tworzenia odrębnego systemu certyfikacji przeznaczonego wyłącznie dla sektora ochrony zdrowia. Wymóg certyfikacji procesów związanych z powierzonym przetwarzaniem dokumentacji medycznej pozostanie niezależny od obowiązków informacyjnych przewidzianych dla podmiotów przetwarzających dane osobowe na rzecz więcej niż 100 administratorów lub dotyczące więcej niż 100 000 osób. Jeżeli ten sam podmiot będzie objęty obydwoma rozwiązaniami, nie będzie to oznaczało konieczności uzyskania dwóch odrębnych certyfikacji, ponieważ obowiązki informacyjne dużych podmiotów przetwarzających nie ustanawiają samodzielnego obowiązku certyfikacji.

4. Szybka informacja o naruszeniu
Projekt zakłada przekazywanie do CSIRT NASK niezbędnych danych identyfikujących osoby, których dane zostały pozyskane lub ujawnione w sposób nieuprawniony w związku z incydentem lub cyberzagrożeniem tak, aby możliwe było ich wykorzystanie w usłudze Bezpieczne Dane. Obowiązek ma obejmować podmioty kluczowe, podmioty ważne oraz określonych w projekcie podmiotów przetwarzających dane na dużą skalę. Przekazanie informacji dotyczących tego samego zdarzenia nastąpi jednokrotnie, nawet gdy podmiot spełnia więcej niż jedną przesłankę objęcia obowiązkiem. Przewidziane zostaną również zasady przekazywania danych przez organ prowadzący postępowanie przygotowawcze, gdy wcześniejsze czynności procesowe uniemożliwiły wykonanie obowiązku przez właściwy podmiot, z poszanowaniem wymogów ochrony postępowania i informacji. Mechanizm pozostanie odrębny od obowiązków wynikających z RODO, w tym zawiadomienia administratora na podstawie art. 33 ust. 2.

5. Powiadomienia o zdarzeniach medycznych
Zakłada się uruchomienie powiadomień o zarejestrowaniu zdarzenia medycznego z wykorzystaniem mObywatela i mojeIKP. Komunikat ma sygnalizować zdarzenie odnoszące się do pacjenta, np. wystawienie recepty lub udzielenie świadczenia, bez prezentowania w powiadomieniu szczegółowych informacji o zdrowiu. Ich sprawdzenie będzie wymagało uwierzytelnienia w odpowiedniej usłudze. Szczegóły funkcjonalne i termin wdrożenia zostaną określone we współpracy z podmiotami odpowiedzialnymi za te systemy, z uwzględnieniem istniejących rozwiązań przewidzianych w ustawie o systemie informacji w ochronie zdrowia.
W zakresie dokumentacji medycznej po śmierci lekarza prowadzącego indywidualną praktykę lekarską lub indywidualną specjalistyczną praktykę lekarską projekt uzupełni obowiązujące regulacje o mechanizm wcześniejszego wyznaczenia osoby albo podmiotu odpowiedzialnego za zabezpieczenie i przekazanie dokumentacji. Przewiduje się także zawiadomienie właściwej okręgowej izby lekarskiej o wyznaczeniu oraz o zmianach tych informacji. Celem jest zapewnienie faktycznej wykonalności już istniejącego obowiązku przekazania dokumentacji podmiotowi przejmującemu działalność albo właściwej izbie, a nie stworzenie nowego systemu przechowywania dokumentacji.
Relacja projektowanych rozwiązań do EHDS.
Przeanalizowano projektowane rozwiązania w kontekście rozporządzenia ustanawiającego europejską przestrzeń danych dotyczących zdrowia (EHDS), uwzględniając w szczególności zakres regulacji odnoszących się do danych dotyczących zdrowia oraz cele i charakter proponowanych obowiązków krajowych. W wyniku tej analizy nie stwierdzono sprzeczności projektowanych rozwiązań z przepisami EHDS. Proponowane zmiany służą przede wszystkim wzmocnieniu ochrony danych osobowych i bezpieczeństwa ich przetwarzania oraz zapewnieniu skutecznej realizacji obowiązków wynikających z prawa krajowego; nie ustanawiają alternatywnego wobec EHDS systemu udostępniania danych dotyczących zdrowia.
W ramach przeprowadzonej analizy uwzględniono w szczególności odmienne cele i zakresy obu regulacji, w tym wymagania EHDS odnoszące się do systemów elektronicznej dokumentacji medycznej oraz przewidziany w tym rozporządzeniu harmonogram rozpoczęcia stosowania poszczególnych przepisów. Weryfikacja nie wykazała, aby projektowane mechanizmy dotyczące bezpieczeństwa powierzonego przetwarzania danych, informowania pacjentów oraz zapewnienia realizacji istniejących obowiązków krajowych pozostawały w sprzeczności z analizowanymi przepisami EHDS. Ocena ta odnosi się do obecnie określonych wymagań tego rozporządzenia, z uwzględnieniem konieczności dalszej weryfikacji w świetle szczegółowych aktów wykonawczych, które mają zostać przyjęte na jego podstawie.

Michał Gramatyka Sekretarz Stanu

I kwartał 2027 r.