Urząd Ochrony Danych Osobowych (UODO) ogłosił plan kontroli na 2026 rok. Pod lupę UODO trafiły podmioty lecznicze korzystające z monitoringu wizyjnego – w szczególności te, które przetwarzają dane osobowe dotyczące dzieci.
Jeśli w Twojej placówce medycznej zainstalowane zostały kamery, powinieneś sprawdzić, czy wdrożone procedury ochrony danych osobowych pochodzących z monitoringu są aktualne, a sam monitoring nie narusza praw pacjentów.
Na co należy zwrócić uwagę?
Podczas kontroli urzędnicy będą analizować każdy aspekt słuszności działania monitoringu wizyjnego w Twoim podmiocie leczniczym i jego podstaw prawnych. Tak też warto upewnić się, że działasz legalnie i nie masz powodów do obaw. UODO nie bada bowiem jedynie tego, czy masz wdrożoną procedurę ochrony danych, ale czy ją rozumiesz i stosujesz w praktyce.
Skoncentruj się zatem na następujących aspektach:
1. Lokalizacja kamer: Czy kamery umieszczone są w dopuszczalnym przez prawo miejscu?
W pierwszej kolejności powinieneś zweryfikować, czy lokalizacja monitoringu wizyjnego zgodna jest z art. 23a ustawy o działalności leczniczej. Zgodnie z tym przepisem, kamery mogą znajdować się:
1) w pomieszczeniach ogólnodostępnych np. poczekalniach, korytarzach, parkingu, czy terenie wokół placówki
2) w pomieszczeniach świadczenia usług zdrowotnych oraz pobytu pacjentów np. pokojach łóżkowych, pomieszczeniach higieniczno-sanitarnych, przebieralniach, szatniach, jeżeli wynika to z przepisów odrębnych. Będą to zatem pomieszczenia zespołu porodowego, oddziału dziecięcego, psychiatrycznego oraz anestezjologii
3) w pomieszczeniach, w których są udzielane świadczenia zdrowotne, jeżeli jest to konieczne w procesie leczenia pacjentów lub do zapewnienia im bezpieczeństwa – z tego rozwiązania mogą skorzystać jednak jedynie szpitale, zakłady opiekuńczo-lecznicze, zakłady pielęgnacyjno-opiekuńcze, zakłady rehabilitacji leczniczej i hospicja.
Powyższe oznacza, że m.in. przychodnie, poradnie, czy prywatne gabinety lekarskie nie mogą instalować kamer w miejscach udzielania świadczeń zdrowotnych (gabinetach lekarskich), powołując się na „bezpieczeństwo” i „konieczność leczenia pacjenta”. Jeśli nie masz wyraźnej podstawy prawnej – w gabinecie kamera wisieć nie powinna.
W każdym przypadku należy pamiętać jednak o naczelnych kryteriach zainstalowania kamer – potrzeby umieszczenia monitoringu w danym pomieszczeniu, konieczności ochrony danych osobowych, a nade wszystko poszanowania intymności i godności pacjenta, w tym przekazywania obrazu z monitoringu w sposób uniemożliwiający ukazywanie intymnych czynności fizjologicznych.
2. Obowiązek informacyjny: Czy każdy wie o nagrywaniu? Jako kierownik podmiotu wykonującego działalność leczniczą powinieneś określić sposób obserwacji pomieszczeń w regulaminie organizacyjnym.
Co istotne, każda osoba, która jest obserwowana w ramach monitoringu wizyjnego, powinna być o tym fakcie odpowiednio poinformowana.
Informacja o tym, że monitoring jest prowadzony i jaki jest jego zakres, powinna zostać umieszczona w widocznym miejscu – tak, aby każdy mógł się z nią zapoznać. Informacja może przybrać formę piktogramu przedstawiającego kamerę albo tabliczki z informacją słowną.
3. Bezpieczeństwo danych: Kto ma dostęp do danych osobowych pochodzących z monitoringu? Przez jaki okres przechowywane są dane?
Jako osoba prowadząca podmiot leczniczy powinieneś zadbać o to, aby dostęp do nagrań miało jak najmniejsze grono osób. Istotne jest także zabezpieczenie nośników z plikami wideo przed zniszczeniem, kradzieżą lub innymi negatywnymi skutkami.
Nagrania obrazu uzyskane w wyniku monitoringu zawierające dane osobowe podmiot leczniczy może przetwarzać wyłącznie do celów, dla których dane zostały zebrane i przechowywać przez okres nie dłuższy niż 3 miesiące od dnia nagrania. Po upływie tego okresu, nagrania obrazu zawierające dane osobowe powinny zostać zniszczone.
4. Niezbędność: Czy monitoring jest naprawdę konieczny?
Wykorzystanie danych osobowych w podmiotach leczniczych oznacza w większości przypadków przetwarzanie danych osobowych szczególnej kategorii – dotyczących zdrowia. Podstawy przetwarzania tych danych powinny być zatem jasne i precyzyjne.
Za główny cel wprowadzenia monitoringu wizyjnego, uznaje się konieczność zapewnienia bezpieczeństwa pacjentów i pracowników podmiotu leczniczego.
Każdorazowo jednak, przed zainstalowaniem monitoringu, należy zweryfikować, czy istnieje możliwość zastosowania mniej inwazyjnych metod zapewniania bezpieczeństwa pacjentom.
Powyższe pokazuje jak duży nacisk kładzie UODO na ocenę słuszności wdrożenia monitoringu. Przed zainstalowaniem kamer, należy zatem ważyć interes podmiotu leczniczego i pacjenta – w tym jego praw do prywatności, bezpieczeństwa oraz intymności.
Jaki monitoring nie jest dopuszczalny?
Niedopuszczalne jest zainstalowanie w placówkach leczniczych atrap kamer monitoringu wizyjnego oraz monitoringu dźwiękowego, a także takiego monitoringu, który narusza prawa pacjenta do poszanowania intymności oraz godności, a także zapewnienia ochrony danych osobowych pacjentów.
Jakie są konsekwencje uchybień?
Prezes UODO nie nakłada administracyjnych kar pieniężnych za naruszenia w zakresie RODO automatycznie.
Podczas kontroli, w razie wykrycia naruszeń, Prezes UODO może:
- udzielić upomnienia;
- wydać ostrzeżenie;
- podjąć decyzję dotyczącą ograniczenia lub zakazania częściowego bądź całkowitego przetwarzania danych osobowych.
Wysokość kar administracyjnych jest zależna od rodzaju popełnionego naruszenia i może wynosić:
a) do 10 mln euro, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa – np. za naruszenia po stronie administratora czy podmiotu przetwarzającego w zakresie prowadzenia dokumentacji, zgłaszania naruszeń, kwestii bezpieczeństwa
b) do 20 mln euro, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa – za naruszenia większej wagi, np. podstawowych zasad przetwarzania, w tym warunków zgody, praw osób f izycznych, których dane dotyczą, przekazywania danych osobowych pacjenta poza EOG, nieprzestrzegania nakazów lub decyzji organów nadzorczych UODO.
Choć maksymalne kary liczone są w milionach euro, w praktyce ich wysokość jest miarkowana i zależy od skali naruszenia oraz szybkości reakcji administratora.
Masz wątpliwości, czy Twoje kamery działają legalnie?
Pomagam placówkom medycznym uporządkować monitoring, dokumentację i procedury zgodnie z aktualnymi wymaganiami UODO.
Co oferuję?
- audyt lokalizacji kamer
- weryfikacja klauzul informacyjnych i regulaminów organizacyjnych
- aktualizacja procedur RODO
