Klauzula informacyjna RODO dla pacjenta

Pacjent, który zapisuje się na wizytę, podaje w rejestracji imię, nazwisko, PESEL i numer telefonu. Chwilę później mówi lekarzowi, co mu dolega. Od tej chwili placówka przetwarza dane o zdrowiu. RODO chce, żeby pacjent wiedział, co się z nimi dzieje: kto je przetwarza, po co, komu je przekazuje i jak długo je trzyma. Służy do tego klauzula informacyjna RODO dla pacjenta. Obowiązek ten wynika z art. 13 RODO i dotyczy każdego administratora w ochronie zdrowia, od indywidualnej praktyki lekarskiej po szpital. Stoi za nim zasada przejrzystości z art. 5 ust. 1 lit. a RODO.

Co grozi za brak klauzuli informacyjnej RODO dla pacjenta?

Za naruszenie obowiązku informacyjnego Prezes UODO może nałożyć karę do 20 milionów euro lub do 4% rocznego obrotu przedsiębiorstwa (art. 83 ust. 5 lit. b RODO). W 2024 roku Prezes UODO nałożył na jedną z placówek medycznych dwie kary na łącznie ponad 1,1 miliona złotych (decyzja DKN.5131.4.2024), między innymi za to, że nie poinformowano osób objętych monitoringiem o przetwarzaniu ich danych. Decyzja nie jest jeszcze prawomocna. Z kolei 16 września 2026 roku Prezes UODO Mirosław Wróblewski zapowiedział, że do końca roku skontroluje kolejne podmioty z sektora ochrony zdrowia, po głośnym wycieku danych pacjentów z firmy MyDr.

Co znajdziesz w tym wpisie

Poprawna klauzula informacyjna RODO dla pacjenta nie jest trudna do przygotowania. Trzeba znać elementy, które musi zawierać, i pilnować, żeby pacjent faktycznie ją dostał. W tym wpisie pokazuję, kiedy przekazać klauzulę informacyjną RODO dla pacjenta, co w niej napisać i jak wdrożyć ją w codziennej pracy gabinetu. Omawiam też błędy, których warto unikać. Skupiam się na sytuacji podstawowej, gdy dane zbierasz bezpośrednio od pacjenta. Przypadek, gdy dane pochodzą od innego podmiotu (art. 14 RODO), omawiam krótko w osobnym fragmencie. Pojęcia prawne podaję w słowniczku na końcu, w brzmieniu przepisów.

Klauzula zawiera:

dane administratora,
dane kontaktowe Inspektora Ochrony Danych, jeśli został wyznaczony,
cele przetwarzania i podstawy prawne,
odbiorców danych,
okres przechowywania danych,
prawa pacjenta,
informację czy podanie danych jest obowiązkowe, i co się stanie, gdy pacjent ich nie poda,
informacje o przekazaniu danych poza EOG i o zautomatyzowanych decyzjach, jeśli dotyczą Twojej placówki.

Czym jest klauzula informacyjna RODO dla pacjenta i kiedy trzeba ją przekazać pacjentowi

Zacznijmy od nazwy, bo bywa myląca. Samo RODO nie używa słowa „klauzula”. Mówi o „informacjach podawanych w przypadku zbierania danych od osoby, której dane dotyczą” (art. 13). Potocznie, także w materiałach UODO, przyjęło się jednak określenie „klauzula informacyjna”. Spotkasz też „informację dla pacjenta” albo „obowiązek informacyjny”. Wszystkie te określenia dotyczą tego samego obowiązku, który spełnia klauzula informacyjna RODO dla pacjenta.

Kiedy przekazać klauzulę informacyjną RODO dla pacjenta

Obowiązek z art. 13 RODO powstaje w momencie, gdy dane zbierasz od samego pacjenta. W codziennej pracy placówki dzieje się to wiele razy, na przykład:

przy rejestracji, gdy pacjent wypełnia formularz lub deklarację,
podczas wizyty i wywiadu medycznego,
gdy umawia się telefonicznie, mailowo lub przez stronę internetową,
podczas teleporady albo wizyty domowej.

Informację dostaje też osoba, od której zbierasz dane przy okazji leczenia, na przykład rodzic lub inny przedstawiciel ustawowy dziecka. Gdy pacjentem jest dziecko, trzeba uważać na język: informacja skierowana do niego musi być napisana tak, żeby ją zrozumiało (art. 12 ust. 1 RODO).

Informację wystarczy przekazać raz. Jeśli pacjent dostał klauzulę w rejestracji, na przykład razem z formularzem, lekarz nie musi jej powtarzać na wizycie, a przy kolejnych wizytach nie trzeba jej wręczać od nowa. Pacjent już ją ma, więc obowiązek jest spełniony (art. 13 ust. 4 RODO). Nowa informacja jest potrzebna dopiero, gdy zmieni się coś istotnego, na przykład dane placówki, cele przetwarzania albo odbiorcy danych. Warto też mieć dowód, że pacjent klauzulę dostał. O tym piszę niżej.

Dane od innych podmiotów: art. 14 RODO

W placówkach medycznych dane często pochodzą od kogoś innego niż pacjent. To na przykład wyniki z zewnętrznego laboratorium, dokumentacja z innej placówki, informacje od lekarza kierującego albo dane osoby bliskiej, którą pacjent upoważnił do dostępu do dokumentacji. W takich sytuacjach stosujesz art. 14 RODO zamiast art. 13.

Klauzula jest zbliżona do podstawowej, ale ma dwa dodatkowe elementy: kategorie przetwarzanych danych (art. 14 ust. 1 lit. d) oraz źródło, z którego dane pochodzą (art. 14 ust. 2 lit. f). Inaczej wygląda też termin. Informację przekazujesz w rozsądnym terminie, najpóźniej w ciągu miesiąca od pozyskania danych. Termin bywa krótszy: jeśli dane posłużą do kontaktu z daną osobą, informujesz ją najpóźniej przy pierwszym kontakcie, a jeśli chcesz je ujawnić innemu odbiorcy, najpóźniej przy pierwszym ujawnieniu (art. 14 ust. 3).

Obowiązek nie obejmuje sytuacji, gdy osoba już ma te informacje, oraz gdy dane muszą pozostać poufne ze względu na tajemnicę zawodową (art. 14 ust. 5 lit. a i d). Ten wyjątek wymaga jednak indywidualnej oceny. Szczegółowo omówię art. 14 w osobnym wpisie.

Forma przekazania klauzuli informacyjnej RODO dla pacjenta

RODO nie narzuca jednej formy. Informację można przekazać na piśmie lub w inny sposób, także elektronicznie, a na żądanie pacjenta nawet ustnie, o ile potwierdzisz jego tożsamość (art. 12 ust. 1 RODO). W praktyce placówki łączą kilka rozwiązań: wydruk dołączony do formularza rejestracyjnego, deklaracji lub umowy, tablicę w rejestracji i poczekalni oraz stronę internetową albo e-mail.

Wytyczne WP260 o przejrzystości, publikowane przez UODO, zalecają podejście warstwowe. Pierwsza warstwa to krótka wiadomość z najważniejszymi rzeczami: kto jest administratorem, po co przetwarza dane i jakie prawa ma pacjent. Druga warstwa to pełna klauzula, do której ta krótka odsyła. Pierwsza może brzmieć na przykład tak: „Administratorem Twoich danych jest Centrum Medyczne X. Przetwarzamy je, żeby udzielić Ci świadczenia i prowadzić dokumentację medyczną. Pełną informację znajdziesz na tablicy w rejestracji i na naszej stronie”. Pełny tekst musi być dostępny w jednym miejscu. Pacjent nie powinien szukać go po kilku podstronach.

Jak formułować treść klauzuli informacyjnej RODO dla pacjenta

Informacja ma być zwięzła, przejrzysta, zrozumiała i łatwo dostępna, napisana jasnym i prostym językiem (art. 12 ust. 1 RODO). Wytyczne WP260 dodają, że zrozumiałość oceniasz z punktu widzenia przeciętnego pacjenta. Klauzula napisana językiem ustawy może być formalnie poprawna, ale pacjent jej nie zrozumie.

Jak to zrobić w praktyce? Pisz krótkimi zdaniami i w stronie czynnej: „Przetwarzamy Twoje dane, żeby…”. Unikaj słów typu „może”, „niektóre”, „często”, „możliwe”, bo pacjent nie dowiaduje się z nich, co faktycznie dzieje się z jego danymi. Porównaj dwa zapisy. Pierwszy: „Dane mogą być czasem przekazywane niektórym podmiotom współpracującym”. Drugi: „Twoje dane przekazujemy laboratorium diagnostycznemu, z którym współpracujemy, oraz firmie obsługującej nasz system informatyczny”. Dopiero drugi zapis daje pacjentowi konkretną wiedzę. Dobrze też oddzielić klauzulę od regulaminu i umowy, żeby nie zginęła w długim tekście, i używać wypunktowań tam, gdzie wymieniasz kilka rzeczy.

Termin przekazania klauzuli informacyjnej RODO dla pacjenta

Klauzulę przekazujesz podczas pozyskiwania danych (art. 13 ust. 1 RODO), czyli najpóźniej w chwili, gdy je zbierasz. Najlepiej przy rejestracji, przed wizytą. Jeśli pacjent rejestruje się przez telefon i dane zbierasz już w trakcie rozmowy, informacja powinna paść zanim je zapiszesz. Kodeks postępowania dla sektora ochrony zdrowia dopuszcza w takiej sytuacji między innymi krótkie nagranie na infolinii albo wiadomość e-mail lub SMS.

Jeśli po jakimś czasie chcesz wykorzystać dane w nowym celu, informujesz pacjenta jeszcze przed takim dalszym przetwarzaniem (art. 13 ust. 3 RODO). O istotnych zmianach samej klauzuli wytyczne WP260 radzą informować przed ich wejściem w życie.

Kiedy nie musisz przekazywać informacji

Są sytuacje, w których nie musisz powtarzać całej procedury. Obowiązku nie masz, gdy pacjent już ma te informacje, w zakresie, w jakim je ma (art. 13 ust. 4 RODO). Dotyczy to na przykład stałego pacjenta, który dostał aktualną klauzulę, a od tamtej pory nic się nie zmieniło. Nie musisz więc wręczać mu tej samej kartki przy każdej wizycie.

Wyjątek obejmuje wyłącznie to, co pacjent faktycznie wie, a udowodnić to musisz Ty. Jeśli zmieniły się dane placówki, cele przetwarzania albo odbiorcy, pacjent powinien dostać nową informację. Pamiętaj też o rozliczalności (art. 5 ust. 2 RODO): zachowaj dowód przekazania klauzuli, na przykład formularz, zdjęcie tablicy lub kopię strony, i wpisz na dokumencie datę ostatniej aktualizacji. Zaleca to Kodeks postępowania dla sektora ochrony zdrowia.

Co musi zawierać klauzula informacyjna RODO dla pacjenta

Art. 13 ust. 1 i 2 RODO wymienia, co musi się znaleźć w klauzuli. Poniżej każdy element z osobna: co wpisać i jak może wyglądać przykładowy zapis.

Administrator (art. 13 ust. 1 lit. a RODO)

Pacjent musi wiedzieć, kto odpowiada za jego dane. Wpisujesz więc tożsamość i dane kontaktowe administratora: nazwę lub firmę, adres oraz e-mail albo telefon. Firmę podajesz, jeśli placówka jest przedsiębiorcą, na przykład spółką. Nazwę, jeśli nim nie jest, na przykład w samodzielnym publicznym zakładzie opieki zdrowotnej. W indywidualnej praktyce administratorem jest lekarz, więc piszesz jego imię i nazwisko, firmę praktyki oraz adres wykonywania działalności. Dobrze dorzucić numery rejestrowe: NIP, REGON, a jeśli placówka ma, to także KRS.

Przykładowy zapis: „Administratorem Twoich danych osobowych jest Centrum Medyczne X sp. z o.o. z siedzibą w Lublinie, ul. Przykładowa 1, NIP 000-000-00-00, REGON 000000000 tel. 81 000 00 00, e-mail: kontakt@centrum.pl„.

Tu najłatwiej o pomyłkę, gdy wpisze się samą nazwę marki albo kierownika zamiast podmiotu prawnego. UODO zwraca na to uwagę w swoich materiałach, na przykładzie szkół, które jako administratora podają dyrektora zamiast szkoły. W podmiocie leczniczym administratorem jest sam podmiot.

Inspektor Ochrony Danych (art. 13 ust. 1 lit. b RODO)

Jeśli wyznaczyłeś Inspektora Ochrony Danych, pacjent powinien wiedzieć, jak się z nim skontaktować. Podaj e-mail, telefon albo adres. IOD to punkt kontaktowy w sprawach danych i korzystania z praw, więc pacjent nie musi go szukać na własną rękę. Kto w ogóle musi mieć IOD? Między innymi organ lub podmiot publiczny oraz administrator, którego główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych, do których należą dane o zdrowiu (art. 37 ust. 1 RODO). Mała praktyka lekarska zwykle takiego obowiązku nie ma, ale może wyznaczyć IOD dobrowolnie.

Przykładowy zapis: „Administrator wyznaczył Inspektora Ochrony Danych, z którym możesz się skontaktować pod adresem e-mail: iod@centrum.pl lub listownie na adres siedziby”.

Jeśli inspektora nie wyznaczyłeś, pomiń ten punkt. Nie wpisuj IOD, którego placówka nie ma.

Cele i podstawy prawne (art. 13 ust. 1 lit. c i d RODO)

Pacjent ma się dowiedzieć, po co przetwarzasz jego dane i na jakiej podstawie prawnej to robisz. Każdy cel opisz osobno i do każdego dopisz jego podstawę.

Dane o zdrowiu to szczególna kategoria danych, której przetwarzanie co do zasady jest zakazane (art. 9 ust. 1 RODO). Dlatego oprócz zwykłej podstawy z art. 6 potrzebujesz jeszcze jednej, z art. 9 ust. 2. W placówce medycznej będzie to najczęściej art. 9 ust. 2 lit. h, czyli przetwarzanie niezbędne do profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej lub leczenia. Typowy zestaw celów wygląda tak:

udzielanie świadczeń zdrowotnych i prowadzenie dokumentacji medycznej: art. 9 ust. 2 lit. h RODO w związku z art. 6 ust. 1 lit. c RODO oraz przepisami ustawy o działalności leczniczej i ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta,
kontakt w sprawach organizacyjnych: art. 6 ust. 1 lit. b i f RODO,
informacje o usługach lub promocjach: wyłącznie na podstawie odrębnej zgody, art. 6 ust. 1 lit. a RODO,
dochodzenie lub obrona przed roszczeniami: art. 6 ust. 1 lit. f RODO.
Cel marketingowy wymaga osobnej uwagi. Zgoda na informacje o promocjach musi być osobna i dobrowolna, a pacjent, który jej nie udzieli, nadal ma prawo do leczenia na takich samych zasadach. Jeśli opierasz się na art. 6 ust. 1 lit. f RODO, opisz też swój prawnie uzasadniony interes, na przykład ochronę przed roszczeniami.

Nie wystarczy jedna zbiorcza formuła w stylu „zgoda, umowa lub prawnie uzasadniony interes”. Każdemu celowi przypisz jego podstawę.

Odbiorcy danych (art. 13 ust. 1 lit. e RODO)

Pacjent chce wiedzieć, komu przekazujesz jego dane. Podajesz więc odbiorców albo ich kategorie. Nie musisz wymieniać każdego laboratorium z nazwy, ale kategoria powinna być na tyle konkretna, żeby pacjent rozumiał, kto widzi jego dane. W placówce medycznej będą to zwykle:

personel medyczny i pomocniczy upoważniony przez administratora,
laboratoria diagnostyczne i lekarze konsultujący,
firmy świadczące usługi informatyczne, serwisowe, hostingowe lub archiwizacyjne,
osoby upoważnione przez pacjenta do uzyskania informacji lub dokumentacji,
podmioty publiczne uprawnione do dostępu do danych, takie jak NFZ, ZUS czy Centrum e-Zdrowie.

Przykładowy zapis: „Twoje dane przekazujemy laboratoriom diagnostycznym i lekarzom konsultującym, z którymi współpracujemy przy leczeniu, oraz firmom obsługującym nasz system informatyczny”.

Ogólnik w rodzaju „podmioty współpracujące z administratorem” nie mówi pacjentowi nic konkretnego.

Okres przechowywania (art. 13 ust. 2 lit. a RODO)

Podaj, jak długo przechowujesz dane. Jeśli nie da się wskazać konkretnego okresu, podaj kryteria jego ustalenia. Dokumentację medyczną przechowuje się co do zasady 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta). Przykład: jeśli ostatni wpis w dokumentacji pacjenta pochodzi z 12 marca 2026 roku, przechowujesz ją do końca 2046 roku.

Od tej reguły są wyjątki, na przykład 22 lata dla dokumentacji dzieci do ukończenia 2. roku życia. Wpisz do klauzuli te, które dotyczą Twojej placówki. Pełną listę wyjątków omówię w osobnym wpisie. Dane przetwarzane na podstawie zgody, na przykład do celów marketingowych, trzymasz do czasu jej cofnięcia, chyba że masz inną podstawę do dalszego przetwarzania.

Nie pisz „przez okres niezbędny do realizacji celów„. Taki zapis nie mówi pacjentowi, jak długo trwa przechowywanie.

Prawa pacjenta (art. 13 ust. 2 lit. b, c i d RODO)

RODO daje pacjentowi cały zestaw uprawnień i musisz go o nich poinformować. Samo ogólne zdanie „przysługują Ci prawa wynikające z RODO” nie wystarczy. Wymień je i w kilku słowach wyjaśnij, na czym polegają:

prawo dostępu do danych i otrzymania ich kopii (art. 15),
prawo do sprostowania danych, gdy są nieprawidłowe lub nieaktualne (art. 16),
prawo do usunięcia danych lub ograniczenia ich przetwarzania (art. 17 i 18), przy czym usunięcie nie obejmuje dokumentacji medycznej w okresie, w którym ustawa nakazuje ją przechowywać (art. 17 ust. 3 lit. b RODO),
prawo do przenoszenia danych (art. 20), gdy przetwarzanie opiera się na zgodzie lub umowie,
prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie administratora (art. 21),
prawo cofnięcia zgody w każdej chwili, bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia (art. 7 ust. 3), jeśli jakiekolwiek przetwarzanie się na niej opiera,
prawo wniesienia skargi do Prezesa UODO (art. 77).

W gabinecie wyjaśnij wprost, że prawo do usunięcia nie obejmuje dokumentacji medycznej. Pacjent może zakładać, że ma prawo zażądać skasowania wszystkiego, co o nim zapisano, a ustawa na to nie pozwala.

Przy skardze wskaż konkretny organ, czyli Prezesa UODO.

Obowiązek podania danych i jego skutki (art. 13 ust. 2 lit. e RODO)

Napisz, czy podanie danych jest wymogiem ustawowym lub umownym albo warunkiem zawarcia umowy, czy pacjent musi je podać i co się stanie, jeśli tego nie zrobi. Przepis wymaga obu elementów: informacji o charakterze obowiązku i o skutkach odmowy.

W gabinecie rozróżnienie jest proste. Dane potrzebne do udzielenia świadczenia i prowadzenia dokumentacji medycznej wymagają przepisy, a odmowa ich podania może uniemożliwić udzielenie świadczenia. Numer telefonu i adres e-mail są dobrowolne, choć ułatwiają kontakt w sprawie wizyty.

Przykładowy zapis: „Podanie danych niezbędnych do udzielenia świadczenia i prowadzenia dokumentacji medycznej jest wymagane przepisami prawa. Odmowa ich podania może uniemożliwić realizację wizyty. Podanie numeru telefonu i adresu e-mail jest dobrowolne„.

Rozróżnienie jest potrzebne, żeby pacjent wiedział, których danych może odmówić bez konsekwencji.

Przekazanie danych poza EOG i zautomatyzowane decyzje (art. 13 ust. 1 lit. f i ust. 2 lit. f RODO)

Ten punkt wypełniasz tylko wtedy, gdy dotyczy Twojej placówki. W gabinecie zwykle nie występuje, ale łatwo to przeoczyć. Dane mogą trafić poza Europejski Obszar Gospodarczy, gdy korzystasz z chmury, systemu rejestracji online albo oprogramowania dostawcy, który trzyma dane na serwerach w państwie trzecim. Zautomatyzowane podejmowanie decyzji, w tym profilowanie, ma miejsce na przykład wtedy, gdy system sam, bez udziału człowieka, ocenia pacjentów lub ich ryzyko.

Jeśli którakolwiek z tych sytuacji Cię dotyczy, napisz, dokąd trafiają dane i jakie zabezpieczenia stosujesz (art. 44–49 RODO), albo opisz zasady podejmowania decyzji i ich skutki dla pacjenta.

Dostawcę chmury łatwo pominąć, bo „to tylko oprogramowanie”. Z punktu widzenia RODO to takie samo przekazanie danych jak każde inne.

Jak wdrożyć klauzulę informacyjną RODO dla pacjenta w gabinecie

Nawet dobrze napisana klauzula nie spełni swojej funkcji, jeśli nie trafia do pacjentów. Obowiązek informacyjny jest spełniony dopiero wtedy, gdy pacjent faktycznie dostaje informację w chwili zbierania danych albo wcześniej. Wdrożenie to więc w dużej mierze kwestia organizacji pracy.

Pacjenci trafiają do placówki różnymi drogami, więc klauzulę warto umieścić w kilku miejscach naraz:

w formularzu rejestracyjnym, deklaracji, umowie lub zgodzie na świadczenie, czyli w dokumentach, które pacjent dostaje na początku leczenia,
na tablicy informacyjnej w rejestracji i poczekalni, gdzie zobaczy ją każdy wchodzący,
na stronie internetowej, w pełnej wersji oraz w skróconej przy każdym formularzu kontaktowym,
w zapowiedzi telefonicznej lub stopce e-maila, w skróconej formie z odnośnikiem do pełnej treści.

Sam link w stopce strony albo zapis w regulaminie nie wystarczą. Pacjent ma faktycznie zetknąć się z informacją. Samo umożliwienie jej znalezienia nie wystarcza. Przy teleporadach i wizytach domowych Kodeks postępowania dla sektora ochrony zdrowia dopuszcza spełnienie obowiązku przez dokumenty przekazane na początku leczenia albo przez klauzulę umieszczoną w systemie, za pomocą którego pacjent zamawia wizytę.

Wdrożenie można podzielić na pięć kroków:

Zbierz dane placówki: nazwę lub firmę, adres, numery rejestrowe, dane kontaktowe i ewentualnie dane IOD. To najprostszy etap, ale od niego zależy poprawność całego dokumentu.
Przypisz podstawę prawną do każdego celu przetwarzania, pamiętając o różnicy między danymi zwykłymi (art. 6) a danymi o zdrowiu (art. 9 ust. 2 lit. h). Jeśli prowadzisz marketing, osobno wskaż cel, który wymaga zgody.
Wybierz formy przekazania klauzuli z listy powyżej i przygotuj odpowiednie wersje: pełną, skróconą na tablicę i skróconą do stopki e-maila.
Przeszkol rejestrację. Osoby przyjmujące pacjentów powinny wiedzieć, kiedy i jak przekazywać klauzulę nowym pacjentom, także przy rejestracji telefonicznej, i gdzie szukać odpowiedzi na pytania.
Aktualizuj klauzulę, gdy zmienią się cele, odbiorcy, dane administratora lub przepisy, i archiwizuj dowody jej przekazania razem z datą aktualizacji.

Czy pacjent musi coś podpisać? RODO tego nie wymaga. Podpis albo zaznaczenie pola w formularzu to jednak dobra praktyka, bo podczas kontroli to Ty musisz wykazać, że obowiązek został spełniony.

Najczęstsze błędy w klauzuli informacyjnej RODO dla pacjentów

Te nieprawidłowości wracają w materiałach UODO. Sprawdź swoją klauzulę pod ich kątem.

Brak danych IOD mimo jego wyznaczenia

Jeśli wyznaczyłeś Inspektora Ochrony Danych, jego dane kontaktowe muszą być w klauzuli. To jedno z najłatwiejszych do wykrycia uchybień, bo kontrolujący porównuje klauzulę z zawiadomieniem o wyznaczeniu IOD.

Podstawa prawna niepowiązana z konkretnym celem

Gdy wpiszesz zbiorczą formułę zamiast przypisać podstawę do każdego celu, pacjent nie wie, dlaczego przetwarzasz jego dane w danym zakresie. Rozbij cele i przy każdym wskaż podstawę.

Ogólnikowy okres przechowywania

Zapis „przez czas niezbędny do realizacji celów” nie spełnia wymogu art. 13 ust. 2 lit. a RODO. Podaj konkretny okres albo jasne kryteria jego ustalenia, a przy dokumentacji medycznej odwołaj się do 20 lat i wyjątków z ustawy.

Skarga bez wskazania Prezesa UODO

Informacja o prawie do skargi jest obowiązkowa, ale musi wskazywać organ. Samo „do właściwego organu nadzorczego” nie wystarczy. Napisz wprost: do Prezesa Urzędu Ochrony Danych Osobowych.

Wpisanie niewłaściwego administratora

Administratorem jest ten, kto prowadzi działalność. W spółce lub innym podmiocie leczniczym jest to sam podmiot, więc wpisanie lekarza lub kierownika jest błędem. W indywidualnej praktyce lekarskiej jest odwrotnie: działalność prowadzi lekarz, więc to jego wpisujesz jako administratora, razem z nazwą praktyki. Błędem jest wtedy podanie samej nazwy marki lub gabinetu bez lekarza. Pomyłki wynikają zwykle z kopiowania wzoru przygotowanego dla drugiego rodzaju placówki.

Wzór dla sklepu internetowego bez dostosowania do prawa medycznego

Ogólne wzory klauzul pomijają specyfikę placówek medycznych: dane o zdrowiu, podstawę z art. 9 ust. 2 lit. h RODO, okresy przechowywania dokumentacji medycznej i odbiorców takich jak laboratoria czy NFZ. Klauzula z takiego wzoru będzie niepełna, nawet jeśli na pierwszy rzut oka wygląda dobrze.

Klauzula ukryta w regulaminie

Informacja umieszczona tylko w regulaminie strony, bez skróconej wersji w miejscu zbierania danych, nie spełnia wymogu dostępności. Pacjent ma ją dostać wtedy, gdy oddaje dane.

Brak aktualizacji

Klauzula opisująca stan sprzed zmiany systemu, dostawcy czy IOD jest nieprawdziwa. Wpisz na niej datę aktualizacji i przeglądaj ją przy każdej zmianie w sposobie przetwarzania danych.

Gotowy wzór klauzuli informacyjnej dla pacjenta RODO: kiedy wystarczy, a kiedy nie

Gotowy wzór sprawdza się w standardowej placówce o prostej strukturze: jeden gabinet lub niewielka przychodnia, jeden system do prowadzenia dokumentacji, współpraca z kilkoma laboratoriami. Oszczędza czas i zmniejsza ryzyko, że pominiesz któryś element z art. 13 RODO. Trzeba go tylko uzupełnić danymi placówki i dopasować do tego, jak faktycznie przetwarzasz dane. Elementy opisane wyżej możesz wykorzystać jako checklistę.

Są jednak sytuacje, w których standardowy wzór nie odda rzeczywistości i potrzebne jest indywidualne opracowanie:

telemedycyna i dostawca chmury spoza EOG, bo opisu zabezpieczeń przy transferze danych nie zmieścisz w jednym zdaniu standardowego wzoru,
placówka zatrudniająca kilkanaście osób, która przetwarza równolegle dane pracowników i pacjentów i potrzebuje odrębnych klauzul,
podmiot korzystający z zewnętrznego laboratorium lub systemu HIS jako odrębnego administratora, bo taką relację trzeba opisać, a typowy wzór jej nie przewiduje.

Gotowy, edytowalny wzór „Informacja dla pacjenta (RODO)” znajdziesz w Pakiecie RODO dla Podmiotów leczniczych oraz w Pakiecie RODO dla praktyki lekarskiej.

Najczęściej zadawane pytania o klauzulę informacyjną RODO dla pacjenta

Czy klauzula informacyjna RODO musi być podpisana przez pacjenta?

Nie. RODO wymaga, żebyś przekazał informację, a nie żeby pacjent coś podpisał. Warto jednak umieć udowodnić, że to zrobiłeś, na przykład przez adnotację w dokumentacji albo zaznaczenie pola w formularzu elektronicznym.

Czy klauzulę trzeba przekazywać pacjentowi przy każdej wizycie?

Nie. Jeśli pacjent już dostał aktualną klauzulę i nic się nie zmieniło, nie musisz przekazywać jej ponownie (art. 13 ust. 4 RODO). Gdy zmienią się dane administratora, cele, odbiorcy albo inne elementy klauzuli, pacjent powinien dostać nową informację.

Czy zgoda pacjenta jest potrzebna pod klauzulą informacyjną?

Nie. Zgoda nie jest tu ani wymagana, ani zalecana jako główna podstawa przetwarzania danych o zdrowiu. Solidniejszą podstawę daje przepis prawa (art. 9 ust. 2 lit. h RODO). Zgoda niosłaby ryzyko, bo pacjent może ją w każdej chwili wycofać, co utrudniałoby prowadzenie dokumentacji medycznej. Zgody potrzebujesz tylko do celów dodatkowych, takich jak informacje o promocjach.

Czy klauzula z art. 13 wystarczy, gdy dane dostaję od innej placówki lub laboratorium?

Nie. Gdy dane nie pochodzą od samego pacjenta, stosujesz art. 14 RODO. Klauzula musi wtedy dodatkowo wskazywać kategorie danych i ich źródło, a informację przekazujesz w terminach z art. 14 ust. 3, najpóźniej w ciągu miesiąca.

Czy klauzula obowiązuje także przy teleporadzie?

Tak. Obowiązek informacyjny nie zależy od formy udzielania świadczenia. Przy teleporadzie umieszczasz klauzulę w systemie, przez który pacjent rejestruje się lub łączy z lekarzem, albo wysyłasz ją e-mailem lub SMS-em przed zebraniem danych.

Jak często aktualizować klauzulę informacyjną RODO?

Za każdym razem, gdy zmienią się okoliczności przetwarzania: dane administratora lub IOD, odbiorcy danych, cele przetwarzania albo przepisy. Klauzula ma zawsze odzwierciedlać aktualny stan faktyczny i prawny, a na dokumencie warto umieścić datę ostatniej aktualizacji.

Czy wzór klauzuli dla podmiotu leczniczego różni się od wzoru dla indywidualnej praktyki?

Tak, i to wyraźnie. W podmiocie leczniczym administratorem jest sam podmiot, a w indywidualnej praktyce lekarz, który ją prowadzi. Różnią się też dane do wpisania (nazwa lub firma, NIP, REGON, KRS, adres siedziby lub wykonywania działalności), zakres odbiorców danych i rola IOD. Używanie tego samego dokumentu bez dostosowania prowadzi do błędów formalnych.

Co grozi za brak prawidłowej klauzuli informacyjnej RODO?

Prezes UODO może wszcząć postępowanie administracyjne i nałożyć administracyjną karę pieniężna do 20 milionów euro lub do 4% rocznego obrotu przedsiębiorstwa (art. 83 ust. 5 lit. b RODO). Przykładem jest opisana na początku decyzja z 2024 roku. Poza karą Prezes UODO może nakazać zaprzestania przetwarzania danych albo poinformowania pacjentów o stwierdzonym naruszeniu.

Gdzie znaleźć gotowy wzór klauzuli informacyjnej dla pacjenta?

Gotowy, edytowalny wzór „Informacja dla pacjenta (RODO)” jest częścią Pakietu RODO dla Podmiotów leczniczych i Pakietu RODO dla praktyki lekarskiej w sklepie zdrowieiprawo.pl.

Podsumowanie

UODO zapowiedział kontrole w sektorze ochrony zdrowia do końca roku, więc teraz jest dobry moment na przegląd klauzuli informacyjnej RODO dla pacjenta. Sprawdź dane administratora i IOD, podstawy prawne przypisane do każdego celu, okres przechowywania i prawa pacjenta. Upewnij się też, że klauzula trafia do pacjentów w chwili zbierania danych. Braki uzupełnij przed ewentualną kontrolą.

Jeśli chcesz mieć pewność, że klauzula i reszta dokumentacji są kompletne, sięgnij po gotowy, edytowalny Pakiet RODO dla Podmiotów leczniczych. Prowadzisz jednoosobową praktykę? Sprawdź Pakiet RODO dla praktyki lekarskiej. Pełną ofertę znajdziesz w sklepie zdrowieiprawo.pl.

Słowniczek pojęć

Pojęcia użyte we wpisie, w brzmieniu przepisów. Skrót RODO oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Pojęcia z RODO

Dane osobowe (art. 4 pkt 1 RODO): wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
Dane dotyczące zdrowia (art. 4 pkt 15 RODO): dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej, w tym o korzystaniu z usług opieki zdrowotnej, ujawniające informacje o stanie jej zdrowia. W potocznym języku to dane medyczne. Należą do szczególnych kategorii danych z art. 9 RODO.
Przetwarzanie (art. 4 pkt 2 RODO): operacja lub zestaw operacji wykonywanych na danych osobowych, taka jak zbieranie, utrwalanie, przechowywanie, ujawnianie poprzez przesłanie, usuwanie lub niszczenie.
Administrator (art. 4 pkt 7 RODO): osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W praktyce w placówce medycznej jest nim zwykle podmiot leczniczy, a w indywidualnej praktyce lekarz.
Odbiorca (art. 4 pkt 9 RODO): osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią.
Inspektor Ochrony Danych (IOD): RODO nie definiuje tego pojęcia, ale w art. 37 ust. 1 wskazuje, kiedy administrator musi go wyznaczyć, na przykład, gdy jego główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych, do których należą dane o zdrowiu. Dane kontaktowe IOD administrator publikuje (art. 37 ust. 7 RODO).
Organ nadzorczy (art. 4 pkt 21 RODO): niezależny organ publiczny ustanowiony przez państwo członkowskie zgodnie z art. 51 RODO. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (UODO).

Pojęcia z ustawy o działalności leczniczej i prawach pacjenta

Pacjent (art. 3 ust. 1 pkt 4 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta): osoba zwracająca się o udzielenie świadczeń zdrowotnych lub korzystająca ze świadczeń zdrowotnych udzielanych przez podmiot udzielający świadczeń zdrowotnych lub osobę wykonującą zawód medyczny. W rozumieniu RODO jest to jednocześnie osoba, której dane dotyczą.
Świadczenie zdrowotne (art. 2 ust. 1 pkt 10 ustawy o działalności leczniczej): działania służące zachowaniu, ratowaniu, przywracaniu lub poprawie zdrowia oraz inne działania medyczne wynikające z procesu leczenia lub przepisów odrębnych regulujących zasady ich wykonywania.
Podmiot leczniczy (art. 4 ust. 1 ustawy o działalności leczniczej): między innymi przedsiębiorca we wszelkich formach przewidzianych dla wykonywania działalności gospodarczej, samodzielny publiczny zakład opieki zdrowotnej, jednostka budżetowa oraz fundacja lub stowarzyszenie, którego statut dopuszcza prowadzenie działalności leczniczej. Szerszym pojęciem jest podmiot wykonujący działalność leczniczą (art. 2 ust. 1 pkt 5 tej ustawy), który obejmuje także lekarza wykonującego zawód w ramach praktyki zawodowej. Lekarz z indywidualną praktyką nie jest więc podmiotem leczniczym, ale ma te same obowiązki z RODO.

Adw. Jakub Kurianowicz
Stan prawny na 13 października 2026 r. Artykuł ma charakter informacyjny i nie zastępuje porady prawnej. W razie wątpliwości skonsultuj konkretną sytuację z prawnikiem.

Jakub_Kurianowicz

13.10.2026

Baza wiedzy RODO Wszystkie

Komentarze są wyłączone.