Zgoda pacjenta RODO: co pacjent podpisuje, a czego nie musi

Nowy pacjent podchodzi do rejestracji. Dostaje kartkę z nagłówkiem „Zgoda pacjenta RODO” i zdaniem „Wyrażam zgodę na przetwarzanie moich danych osobowych w celu udzielenia świadczeń zdrowotnych”. Podpisuje, bo wszyscy podpisują. A co, jeśli następny pacjent odmówi? Nie przyjmiesz go?

Przed takim formularzem ostrzegamy na szkoleniu z RODO dla placówek medycznych. Do leczenia pacjent nie podpisuje żadnej zgody na RODO, bo podstawą jest przepis, a nie zgoda. Z tego wpisu dowiesz się, co wpisać w formularzu zamiast zgody, czym udowodnić, że pacjent dostał klauzulę informacyjną, i pod którymi dokumentami podpis pacjenta naprawdę jest potrzebny.

Czy pacjent musi wyrazić zgodę na przetwarzanie danych osobowych?

Nie. Placówka musi prowadzić, przechowywać i udostępniać dokumentację medyczną, bo nakazuje jej to art. 24 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. W języku RODO to obowiązek prawny administratora, czyli art. 6 ust. 1 lit. c RODO.

Dane o zdrowiu to tak zwane dane szczególnej kategorii, więc potrzebna jest jeszcze podstawa z art. 9 RODO. Tą podstawą jest art. 9 ust. 2 lit. h: przetwarzanie niezbędne do diagnozy medycznej, leczenia i zapewnienia opieki zdrowotnej, na podstawie przepisów prawa. Art. 9 ust. 3 RODO dodaje warunek: dane przetwarza osoba objęta tajemnicą zawodową, ktoś działający na jej odpowiedzialność albo inna osoba również zobowiązana do tajemnicy.

To samo mówi kodeks postępowania dla małych placówek medycznych, który Prezes UODO (Urzędu Ochrony Danych Osobowych) zatwierdził w grudniu 2022 r. Na s. 14 czytamy, że placówka „nie musi pozyskiwać dodatkowych zgód na przetwarzanie danych osobowych pacjentów” w celu udzielania świadczeń, bo ma do tego podstawę w przepisie. Formalnie stosują go tylko placówki z regionalnych struktur Porozumienia Zielonogórskiego, które do niego przystąpiły i przeszły kontrolę podmiotu monitorującego. Jako ściągawka przyda się jednak w każdym gabinecie.

Ten sam kierunek widać w Biuletynie UODO 3/2026. Przy pytaniu NFZ o udostępnianie danych pacjentów w programach pilotażowych Prezes UODO przypomniał swoje zastrzeżenia do rozporządzeń Ministra Zdrowia o tych programach. Jednym z postulatów jest „niezbędność wyeliminowania zgody pacjenta jako podstawy przetwarzania danych osobowych”.

Co się stanie, gdy pacjent cofnie taką zgodę?

Zgodę z RODO można wycofać w każdej chwili (art. 7 ust. 3 RODO). Pacjent, który podpisał „zgodę na przetwarzanie danych do leczenia”, może więc wrócić po tygodniu i napisać: cofam. I… nic się nie zmieni, bo dokumentację i tak musisz przechowywać, co do zasady przez 20 lat od końca roku ostatniego wpisu (art. 29 ust. 1 ustawy o prawach pacjenta). Więcej o tym w artykule okres przechowywania dokumentacji medycznej: 20 lat i wyjątki.

UODO nazywa taką praktykę wprost. W wydaniu specjalnym Biuletynu UODO ze stycznia 2025 r. czytamy, że zbieranie zgody tam, gdzie działa inna podstawa, „wprowadza w błąd osobę, która udziela zgody”, bo ta jest przekonana, że po wycofaniu zgody dane przestaną być przetwarzane. Urząd łączy to z naruszeniem zasady przejrzystości i rzetelności z art. 5 ust. 1 lit. a RODO.

Jest też drugi problem. Zgoda musi być dobrowolna, a kodeks dla małych placówek medycznych zastrzega, że zgód nie wolno przedkładać do podpisu jako koniecznego elementu udzielenia świadczenia. Zgoda, bez której nie ma wizyty, nie jest dobrowolna.

Co wpisać zamiast zgody: potwierdzenie otrzymania informacji

Wzór, który naprawdę przyda się w rejestracji, nie jest „zgodą pacjenta RODO”. Pacjent nie wyraża zgody, tylko potwierdza, że dostał informację o przetwarzaniu danych. Wystarczy jedno zdanie pod klauzulą albo na karcie rejestracyjnej:

Potwierdzam, że otrzymałem(-am) informację o przetwarzaniu moich danych osobowych przez [nazwa placówki].

Zgoda jest podstawą przetwarzania i pacjent może ją cofnąć. Potwierdzenie to tylko dowód, że wykonałeś obowiązek informacyjny. Nie ma tu czego cofać, bo fakt przekazania informacji już się wydarzył.

Unikaj słów „wyrażam zgodę”, „zgadzam się” i „akceptuję” w tym miejscu. Każde z nich zamienia informację w zgodę, a wtedy wracasz do problemów z poprzedniej sekcji.

Czy pacjent musi podpisać klauzulę informacyjną?

Nie musi. Art. 13 RODO każe placówce przekazać pacjentowi informację, kto jest administratorem, po co przetwarza dane, komu je przekazuje i jakie prawa ma pacjent. Przepis nie każe zbierać podpisu.

Ale jest art. 5 ust. 2 RODO, czyli zasada rozliczalności: to administrator musi umieć wykazać, że przestrzega przepisów. Podpis pod klauzulą nie jest obowiązkowy, ale dowód, że klauzula trafiła do pacjenta, jest. Samo „przecież mówiliśmy” na kontroli nie wystarczy.

Jak to wygląda w praktyce, widać w sprawie opisanej w Biuletynie UODO 4/2024. Szkoła językowa wręczyła dziecku klauzulę informacyjną, w której brakowało podstawowych informacji, i nie umiała wykazać, że dziewczyna się z nią zapoznała. Liczyła też, że dziecko przekaże klauzulę matce. Skończyło się upomnieniem za naruszenie art. 13 i 14 RODO, a sąd administracyjny oddalił skargę szkoły. To nie gabinet, ale mechanizm jest ten sam.

Jakie ślady podpowiada kodeks?

Kodeks dla małych placówek medycznych (s. 72) wymienia konkretne dowody spełnienia obowiązku informacyjnego:

• podpisane formularze, na których znajduje się klauzula informacyjna;
• zdjęcia tablic informacyjnych w rejestracji;
• nagranie komunikatu na początku rozmowy telefonicznej;
• kopię strony internetowej, na której widnieje klauzula.

Przy zapisach przez internet kodeks podaje przykład okienka do zaznaczenia przy zakładaniu konta: „Tak, potwierdzam zapoznanie się z regulaminem oraz zasadami dotyczącymi przetwarzania danych osobowych”. W programie gabinetowym takim śladem może być też odhaczenie, że pacjent przy pierwszej wizycie dostał klauzulę. Pacjent nie chce nic podpisywać? Odnotuj, że informację przekazałeś, i przyjmij go normalnie.

Kiedy podpis albo oświadczenie pacjenta są potrzebne

Są dokumenty, przy których oświadczenie pacjenta jest naprawdę konieczne. Tylko że żaden z nich nie jest „zgodą na RODO” do leczenia.

Upoważnienie do informacji o stanie zdrowia

Pacjent ma prawo zgodzić się, żeby informacje o jego zdrowiu dostała inna osoba, na przykład żona, syn albo sąsiadka, która go wozi do lekarza (art. 9 ust. 3 ustawy o prawach pacjenta). Poza przedstawicielem ustawowym, np. rodzicem niepełnoletniego dziecka, i sytuacją, gdy pacjent jest nieprzytomny albo nie rozumie informacji (wtedy lekarz informuje osobę bliską, art. 31 ust. 6 ustawy o zawodach lekarza i lekarza dentysty), bez takiego upoważnienia nie podajesz rodzinie wyników ani informacji o zdrowiu pacjenta, także przez telefon.

Rozporządzenie Ministra Zdrowia w sprawie dokumentacji medycznej (§ 8) mówi, co ma być w takim oświadczeniu: imię i nazwisko osoby upoważnionej oraz dane do kontaktu z nią. Oświadczenie złożone w placówce, czyli inaczej niż przez Internetowe Konto Pacjenta (IKP), trafia do dokumentacji pacjenta. Zanim pacjent je złoży, placówka ma mu powiedzieć, że może to zrobić także przez IKP, i jaki to ma skutek. Ta sama zasada dotyczy upoważnienia do dokumentacji i zgody na zabieg.

Upoważnienie do dokumentacji medycznej

To osobne oświadczenie (art. 26 ust. 1 ustawy o prawach pacjenta). Osoba upoważniona do informacji o zdrowiu nie ma przez to prawa odebrać kopii dokumentacji i odwrotnie. Dlatego w dobrym formularzu są dwa oddzielne pola, a nie jedno „upoważniam do wszystkiego”.

Nie myl tego z upoważnieniem, które dostaje Twoja rejestratorka czy informatyk. To inny dokument, wystawia go placówka, a nie pacjent. Piszemy o nim we wpisie upoważnienie do przetwarzania danych osobowych: co podpisać i kiedy.

Zgoda na badanie albo zabieg

Pacjent zgadza się na świadczenie po tym, jak dostanie informację o swoim stanie zdrowia i proponowanym leczeniu (art. 16 ustawy o prawach pacjenta). To zgoda medyczna, a nie zgoda z RODO. Przy zwykłej wizycie wystarczy zgoda ustna albo zachowanie, które nie budzi wątpliwości (art. 17 ust. 4). Na piśmie wyraża się ją dopiero przy zabiegu operacyjnym albo metodzie leczenia lub diagnostyki o podwyższonym ryzyku (art. 18 ust. 1).

Zgoda na marketing, newsletter i SMS-y z ofertą

Tu zgoda z RODO jest na miejscu (art. 6 ust. 1 lit. a i art. 7 RODO). Ma być osobna, dobrowolna i możliwa do cofnięcia, a Ty musisz umieć wykazać, że ją dostałeś (art. 7 ust. 1 RODO). Kodeks dla małych placówek medycznych dodaje, że na marketing mailem i telefonem potrzebna jest odrębna zgoda na każdy z tych kanałów.

Potwierdzenie wizyty, zmiana jej terminu, odwołanie czy informacja o zmianie organizacyjnej, która wpływa na zaplanowaną wizytę, to nie marketing. Kodeks wskazuje, że takie wiadomości nie wymagają zgody, bo są ściśle związane z udzielaniem świadczeń.

RODO w gabinecie lekarskim: jak ułożyć dokumenty w rejestracji

U klientów z branży medycznej układamy to w trzech warstwach. Pacjent nie dostaje stosu kartek do podpisu, a placówka ma dowód, że informację przekazała.

Obok klauzuli RODO wisi zwykle informacja o prawach pacjenta. To inny obowiązek, z art. 11 ustawy o prawach pacjenta, i inna treść, więc nie łącz ich w jeden plakat.

Jeśli chcesz, żeby ktoś przejrzał Twoje formularze i zamienił „zgody” na właściwe dokumenty, zobacz, jak przygotowujemy RODO w placówce medycznej.

Najczęstsze pytania o zgodę pacjenta RODO

Pamiętaj

Zgoda pacjenta RODO przy leczeniu jest zbędna, a w formularzu potrafi wprowadzić pacjenta w błąd. Pacjent dostaje klauzulę informacyjną, a Ty zostawiasz ślad, że ją przekazałeś. Podpis jest potrzebny tam, gdzie pacjent sam o czymś decyduje: kto dowie się o jego zdrowiu, kto odbierze dokumentację, czy zgadza się na zabieg i czy chce dostawać oferty.