Apel ORL w Warszawie do Ministra Cyfryzacji i Ministra Zdrowia w sprawie bezpieczeństwa danych medycznych pacjentów

APEL NR 2/R-X/26 

OKRĘGOWEJ RADY LEKARSKIEJ W WARSZAWIE  

Z DNIA 7 PAŹDZIERNIKA 2026 ROKU  

do Ministra Cyfryzacji i Ministra Zdrowia  

w sprawie bezpieczeństwa danych medycznych pacjentów 

Okręgowa Rada Lekarska w Warszawie z niepokojem przyjmuje informacje o masowych naruszeniach bezpieczeństwa danych pacjentów przetwarzanych w systemach MyDr i Medyc. Skala tych zdarzeń każe postawić pytanie nie tylko o bezpieczeństwo konkretnych systemów informatycznych, lecz o skuteczność całego modelu ochrony danych medycznych w Polsce.  

Dane dotyczące zdrowia nie są zwykłymi danymi osobowymi. Stanowią szczególną kategorię danych w rozumieniu art. 9 RODO, a ich charakter wymaga najwyższego poziomu ochrony. Informacje o stanie zdrowia, rozpoznaniach, leczeniu, przyjmowanych lekach czy historii choroby należą do najbardziej wrażliwej sfery prywatności człowieka. Ich bezprawnego ujawnienia nie można cofnąć, a jego skutki mogą towarzyszyć pacjentowi przez całe życie.  

Tym bardziej nie do zaakceptowania jest system, w którym dane milionów pacjentów mogą zostać skupione w infrastrukturze jednego komercyjnego dostawcy, podczas gdy państwo nie dysponuje skutecznym mechanizmem stałego nadzoru nad poziomem jej zabezpieczenia. Koncentracja danych szczególnych kategorii na taką skalę sama w sobie staje się ryzykiem systemowym. Jeden błąd, jedna podatność albo jedno zaniedbanie nie może otwierać dostępu do informacji dotyczących zdrowia znacznej części społeczeństwa. 

Nie można również akceptować modelu odpowiedzialności, w którym lekarz albo podmiot leczniczy ponosi konsekwencje naruszenia powstałego w infrastrukturze technologicznej, nad którą nie sprawuje rzeczywistej kontroli. Odpowiedzialność za bezpieczeństwo danych musi odpowiadać zakresowi faktycznej kontroli nad sposobem ich przetwarzania i zabezpieczenia. Dostawca systemu, który decyduje o architekturze rozwiązania, jego zabezpieczeniach i środowisku technicznym, musi ponosić realną odpowiedzialność prawną, organizacyjną i finansową za uchybienia pozostające w tej sferze. 

Okręgowa Rada Lekarska w Warszawie oczekuje zatem niezwłocznego stworzenia mechanizmu rzeczywistego nadzoru nad podmiotami przetwarzającymi dane dotyczące zdrowia na dużą skalę, obejmującego obowiązkowe audyty bezpieczeństwa, wymagania adekwatne do liczby przetwarzanych danych oraz rozwiązania ograniczające ryzyko ich nadmiernej koncentracji. Nie wystarczy reagować na kolejne wycieki. Państwo ma obowiązek stworzyć system, który zminimalizuje ryzyko ich powstania i ograniczy dotkliwość skutków zarówno pacjentów, jak i lekarzy. 

Okręgowa Rada Lekarska w Warszawie apeluje zatem do Ministra Cyfryzacji i Ministra Zdrowia o niezwłoczne podjęcie prac legislacyjnych zmierzających do wzmocnienia ochrony danych medycznych, jednoznacznego określenia odpowiedzialności dostawców systemów informatycznych oraz ustanowienia skutecznego nadzoru nad podmiotami, które przetwarzają dane dotyczące zdrowia milionów obywateli. Im większa skala przetwarzania danych medycznych, tym wyższy musi być standard bezpieczeństwa, silniejszy nadzór państwa i dalej idąca odpowiedzialność podmiotu, który sprawuje nad nimi faktyczną kontrolę. 

Okręgowa Rada Lekarska w Warszawie deklaruje gotowość do udziału w pracach nad tymi rozwiązaniami i oczekuje włączenia samorządu lekarskiego w ich przygotowanie od etapu założeń legislacyjnych.