Przetwarzanie danych osobowych pacjentów w celu kierowania do nich zaproszeń na badania przesiewowe jest związane z profilaktyką zdrowotną, dlatego takie działanie jest uzasadnione na podstawie art. 9 ust. 2 lit. h RODO – zwrócił uwagę prezes UODO Mirosław Wróblewski w piśmie do prof. Mariusza Bidzińskiego z Narodowego Instytutu Onkologii im. Marii Skłodowskiej-Curie. Prezes UODO wyjaśnił, że zgodnie z tym przepisem dane szczególnych kategorii mogą być przetwarzane bez zgody pacjenta, jeśli jest to niezbędne do celów profilaktyki, diagnozy lub organizacji systemu opieki zdrowotnej. Zastrzegł przy tym, że przetwarzanie takich danych musi jednak odbywać się pod nadzorem osób zobowiązanych do zachowania tajemnicy zawodowej.

Pismo to jest efektem spotkania prezesa UODO z Narodowym Instytutem Onkologii na temat przetwarzania danych osobowych w celach związanych z profilaktyką onkologiczną oraz działalnością naukową. Po spotkaniu Instytut zwrócił się do organu nadzorczego o zajęcie stanowiska m.in. w kwestii legalności kierowania do pacjentów zaproszeń na badania przesiewowe.

W przedstawionym stanowisku prezes UODO Mirosław Wróblewski zwrócił uwagę na istniejące w RODO podstawy prawne do kierowania takich zaproszeń do pacjentów. Wskazał również, że kwestia ta została wyjaśniona w Kodeksie postępowania dla sektora ochrony zdrowia, zgodnie z którym zgoda pacjenta nie jest wymagana, jeżeli przetwarzanie służy celom zdrowotnym, w tym profilaktyce. Do takich działań profilaktycznych zaliczyć można m.in. kierowanie zaproszeń na badania przesiewowe, czy szczepienia przeprowadzane zgodnie z obowiązującym Programem Szczepień Ochronnych. Podkreślić jednak trzeba, że kodeks postępowania może być wykorzystany jako element dla stwierdzenia przestrzegania przez administratora ciążących na nim obowiązków, jedynie gdy jest on członkiem kodeksu.

Wątpliwości, zdaniem Prezesa UODO, budzą natomiast obecne regulacje dotyczące wykorzystywania Internetowego Konta Pacjenta (IKP), jako narzędzia do przekazywania informacji profilaktycznych. Choć ustawa o systemie informacji w ochronie zdrowia przewiduje dostęp pacjenta do informacji o profilaktyce i zdrowym trybie życia, to przepisy nie określają jednoznacznie sposobu przekazywania tych informacji przez podmioty medyczne. Dlatego prezes UODO wskazuje, że w tym zakresie potrzebna jest zmiana przepisów prawa, żeby IKP mogło służyć także podmiotom medycznym jako narzędzie komunikacji profilaktycznej, w tym do wysyłania zaproszeń na badania.

W tym samym piśmie prezes UODO Mirosław Wróblewski odniósł się do uregulowania kwestii danych pseudonimowych przetwarzanych na potrzeby badań naukowych. Wskazał, że konieczne jest dostosowanie aktualnych regulacji krajowych do przepisów rozporządzenia 2025/327 Parlamentu Europejskiego i Rady w sprawie Europejskiej Przestrzeni Danych dot. Zdrowia, które umożliwiają przetwarzanie takich danych w sytuacjach wyraźnie uzasadnionych oraz niezbędnych dla celów badań naukowych.

W ocenie Prezesa UODO – stosownie do treści art. 89 RODO – przetwarzanie danych osobowych wiąże się z koniecznością zagwarantowania ochrony praw i wolności osoby, której dane dotyczą. Niezbędne jest zatem wdrożenie środków technicznych i organizacyjnych zapewniających poszanowanie zasady minimalizacji danych.

W tej sprawie Prezes UODO wystąpił 1 września 2025 r do Ministra Zdrowia z wnioskiem o podjęcie działań legislacyjnych w kierunku stworzenia właściwej podstawy prawnej dla udostępnienia danych medycznych w takim formacie i następnie zaszyfrowanych za pomocą „klucza kodującego” niemożliwego do zwrotnego odkodowania przez odbiorcę danych, aczkolwiek będącego w posiadaniu podmiotu udostępniającego dane. W odpowiedzi na pismo Prezesa UODO Minister Zdrowia zapewnił o otwartości na współpracę z Urzędem w tym zakresie. Prezes UODO oczekuje jeszcze w tej sprawie na stanowisko Ministra Nauki.”

DPNT.023.1667.2025