Polityka haseł w firmie: podstawa prawna, zasady z Biuletynu UODO i dowody na kontrolę
czytaj więcej
Masz w archiwum teczki pacjentów sprzed kilkudziesięciu lat i nie wiesz, czy wolno je zniszczyć? Irlandzki organ ochrony danych właśnie pokazał, ile kosztuje trzymanie ich dłużej, niż trzeba: 300 tys. euro kary tylko za to, osobno od kary za brak zabezpieczeń.
Wyjaśniam, jaki jest okres przechowywania dokumentacji medycznej w Polsce, od kiedy go liczyć i co zrobić z aktami po terminie.
Spis treści
Akta trzymane za długo - kara 300 tys. euro dla irlandzkiej służby zdrowia
Z 645 tys. euro kar, które Komisja Ochrony Danych (DPC) nałożyła na irlandzką publiczną służbę zdrowia (Health Service Executive, HSE) decyzją przekazaną 25 sierpnia 2026 r., aż 300 tys. przypada na samo trzymanie akt za długo. Do kar doszły upomnienie i nakazy.
To naruszenie zasady ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO (unijnego rozporządzenia o ochronie danych osobowych): HSE trzymała papierowe akta w formie pozwalającej zidentyfikować pacjentów dłużej, niż było to niezbędne. Tyle samo DPC nałożyła za brak zabezpieczeń, a mniejsze kwoty za spóźnione zgłoszenie i niezawiadomienie osób.
W komunikacie DPC te dwa wątki idą razem: akta, których już nie powinno być, są dodatkowym celem dla każdego, kto dostanie się do magazynu. Opis sprawy: Biuletyn Urzędu Ochrony Danych Osobowych (UODO) i komunikat DPC.
Jak długo przechowywać dokumentację medyczną w Polsce
Okresy wyznacza art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Dotyczą każdej dokumentacji medycznej, papierowej i elektronicznej:
Wszystkie przypadki z art. 29 ust. 1:
- zasada: 20 lat od końca roku ostatniego wpisu,
- pacjent zmarł na skutek uszkodzenia ciała lub zatrucia: 30 lat od końca roku zgonu,
- dane o losach krwi i jej składników: 30 lat od końca roku ostatniego wpisu,
- dzieci do ukończenia 2. roku życia: 22 lata,
- zdjęcia rentgenowskie (RTG) trzymane osobno, poza dokumentacją: 10 lat od końca roku ich wykonania,
- skierowania i zlecenia lekarza: 5 lat od końca roku udzielenia świadczenia; jeśli pacjent nie przyszedł i skierowania nie odebrał, wystarczą 2 lata od końca roku jego wystawienia.
Od kiedy liczyć termin
Termin nie biegnie od dnia wizyty. Przy zasadzie 20 lat liczy się koniec roku, w którym dokonano ostatniego wpisu, przy zgonie na skutek uszkodzenia ciała lub zatrucia koniec roku zgonu, a przy zdjęciach RTG przechowywanych poza dokumentacją koniec roku, w którym je wykonano. Zwykły zgon pacjenta terminu nie zmienia. Jeśli ostatni wpis w dokumentacji pacjenta pochodzi z marca 2026 r., można ją zniszczyć najwcześniej po 31 grudnia 2046 r.
Okres przechowywania dokumentacji medycznej dzieci do 2. roku życia
Dla dokumentacji dziecka do ukończenia 2. roku życia ustawa przewiduje 22 lata (art. 29 ust. 1 pkt 4), ale nie mówi, od kiedy je liczyć. Bezpieczniej liczyć tak jak przy zasadzie ogólnej, od końca roku ostatniego wpisu. Dokumentacja starszych dzieci podlega ogólnej zasadzie 20 lat.
Niszczenie dokumentacji medycznej po upływie terminu
Gdy termin minie, ustawa daje dwie możliwości (art. 29 ust. 2): zniszczenie w sposób, który nie pozwoli ustalić tożsamości pacjenta, albo przekazanie akt samemu pacjentowi, jego przedstawicielowi ustawowemu bądź osobie, którą pacjent do tego upoważnił.
Wyjątkiem jest dokumentacja, która jest materiałem archiwalnym w rozumieniu ustawy o narodowym zasobie archiwalnym i archiwach. Dla niej obowiązują przepisy wydane na podstawie tej ustawy (art. 29 ust. 3). Firma, której zlecasz niszczenie, przetwarza dane w Twoim imieniu, więc potrzebujesz z nią umowy powierzenia (art. 28 RODO). Od niej dostajesz też protokół zniszczenia z datą i wykazem teczek. To dowód na wypadek kontroli, bo przestrzeganie terminów musisz umieć wykazać sam (art. 5 ust. 2 RODO).
Kara za zbyt długie przechowywanie dokumentacji w Polsce
Zasada ograniczenia przechowywania należy do podstawowych zasad z art. 5 RODO. Za jej naruszenie grozi kara do 20 mln euro, a w przypadku przedsiębiorstwa do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, jeśli ta kwota jest wyższa (art. 83 ust. 5 RODO).
Samodzielnym publicznym zakładom opieki zdrowotnej (SPZOZ), instytutom badawczym i innym jednostkom wymienionym w art. 102 ust. 1 ustawy o ochronie danych osobowych grozi najwyżej 100 tys. zł. Limit nie obejmuje placówek prywatnych, także szpitali w formie spółki: dla nich obowiązują kwoty z RODO.
Jak uporządkować okresy przechowywania w placówce
DPC nakazała HSE m.in. wdrożenie procedur regularnego testowania, oceniania i weryfikowania zgodności z własnymi zasadami retencji. W polskiej placówce sprowadza się to do trzech rzeczy:
- przy każdej kategorii danych w rejestrze czynności przetwarzania podaj, kiedy planujesz je usunąć (art. 30 ust. 1 lit. f RODO); dla dokumentacji medycznej to terminy z art. 29,
- przy każdej teczce albo w systemie zapisz rok ostatniego wpisu, żeby dało się wyliczyć termin,
- po każdym 31 grudnia sprawdź, której dokumentacji skończył się termin, i zniszcz ją albo wydaj pacjentowi.
Najczęstsze pytania o okres przechowywania dokumentacji medycznej
Czy pacjent może żądać usunięcia swojej dokumentacji przed upływem okresu przechowywania?+
Co do zasady nie. Prawo do usunięcia danych nie działa, gdy przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego (art. 17 ust. 3 lit. b RODO), a obowiązek przechowywania wynika z art. 29 ustawy o prawach pacjenta.
Czy okresy przechowywania dotyczą też dokumentacji elektronicznej?+
Tak. Art. 29 dotyczy dokumentacji medycznej w ogóle i nie rozróżnia postaci papierowej i elektronicznej, więc terminy liczy się tak samo dla teczek i dla wpisów w systemie.
Jak długo przechowywać dokumentację medyczną po śmierci pacjenta?+
Co do zasady 20 lat od końca roku ostatniego wpisu. Jeśli przyczyną zgonu było uszkodzenie ciała lub zatrucie, 30 lat od końca roku zgonu (art. 29 ust. 1 pkt 1).
Co z dokumentacją, gdy zamykam praktykę albo placówkę?+
Przejmuje ją podmiot, który przejmuje Twoje zadania. Jeśli takiego nie ma, za papierową dokumentację odpowiada: przy placówce niebędącej przedsiębiorcą, np. SPZOZ, podmiot tworzący; przy prywatnej placówce i praktyce zawodowej podmiot udzielający świadczeń, z którym zawarłeś umowę o przechowywanie dokumentacji; a w razie śmierci lekarza, pielęgniarki, położnej, fizjoterapeuty albo diagnosty właściwa izba zawodowa (art. 30a ust. 2-3 ustawy o prawach pacjenta). Dokumentację elektroniczną po zamknięciu działalności przechowuje w Systemie Informacji Medycznej jednostka podległa ministrowi zdrowia, a Ty przed zamknięciem informujesz pacjentów, gdzie ją znajdą (art. 30a ust. 8-9). Okresy z art. 29 biegną dalej.
Przegląd archiwum dokumentacji medycznej - zacznij od najstarszych teczek
Zacznij od najstarszych teczek w archiwum i sprawdź rok ostatniego wpisu. O tym, kto i ile płaci, gdy dane pacjentów wyciekną, piszę we wpisie Wyciek danych medycznych - kary, odszkodowania i zgłoszenie do UODO przy wycieku u dostawcy, a o przekazywaniu danych innym podmiotom we wpisie Udostępnianie danych osobowych.
Okresy przechowywania i harmonogram niszczenia ustawimy w ramach dokumentacji RODO.
