W życiu mogą przydarzyć się różne sytuacje:
- wyciekają dane pacjentów | klientów,
- do placówki zgłasza się osoba, która twierdzi, że jej dane zostały naruszone,
- pojawia się kontrola Urzędu Ochrony Danych Osobowych,
- pracownik lub współpracownik składa skargę do Państwowej Inspekcji Pracy,
- Inspektor zaczyna badać, czy osoba zatrudniona na B2B rzeczywiście prowadzi samodzielną działalność gospodarczą, czy w praktyce pracuje jak pracownik.
W takich sytuacjach prawidłowo przygotowana dokumentacja i rzeczywiście wdrożone procedury mogą decydować nie tylko o przebiegu kontroli, ale również o odpowiedzialności placówki i wysokości ewentualnej kary. Dotyczy to zarówno dużych podmiotów leczniczych, jak i indywidualnych praktyk lekarskich, klinik medycyny estetycznej, gabinetów stomatologicznych czy gabinetów beauty.
W takich momentach warto mieć po swojej stronie prawnika medycznego, który zna specyfikę branży. Nie po to, żeby reagować dopiero wtedy, gdy pojawi się kara, kontrola czy roszczenie pacjenta, ale żeby wcześniej odpowiednio zabezpieczyć działalność, a gdy wydarzy się sytuacja kryzysowa - wiedzieć, co zrobić, w jakim terminie i jak ograniczyć jej konsekwencje. W Noctua Kancelaria Prawna na co dzień obsługujemy podmioty lecznicze, praktyki lekarskie czy gabinety z branży medycznej, medycyny estetycznej i beauty. Pomagamy zarówno zapobiegać problemom, przygotowując i weryfikując dokumentację, umowy oraz procedury, jak i prowadzimy sprawy, gdy problem już się pojawi.
Wyciek danych MyDr pokazuje, po co naprawdę są procedury RODO
Dobrym przykładem jest głośny incydent dotyczący systemu MyDr. Według informacji UODO możliwy wyciek dotyczył danych niemal 19 mln osób. Urząd przypomniał przy tym o kwestii szczególnie istotnej dla placówek korzystających z zewnętrznych systemów informatycznych - to, że do incydentu dochodzi u podmiotu przetwarzającego dane, nie zwalnia administratora z jego własnych obowiązków wynikających z RODO.
W przypadku placówek medycznych administratorem danych pacjentów będzie bowiem co do zasady placówka, praktyka czy gabinet, natomiast dostawca systemu może występować jako podmiot przetwarzający.
UODO wprost przypomniał administratorom korzystającym z MyDr o konieczności przeprowadzenia analizy ryzyka i ustalenia, czy konkretne naruszenie wymaga zgłoszenia Prezesowi UODO, a także zawiadomienia osób, których dane dotyczą.
I właśnie w takim momencie okazuje się, czy procedura naruszeń ochrony danych jest dokumentem przygotowanym wyłącznie „do segregatora”, czy rzeczywistym narzędziem działania.
Doszło do naruszenia. I co teraz?
Kiedy placówka dowiaduje się o możliwym wycieku danych, nie jest to dobry moment na zastanawianie się od podstaw kto właściwie ma się tym zająć?
Trzeba szybko ustalić m.in.:
- co dokładnie się wydarzyło,
- jakie dane zostały objęte incydentem,
- ilu osób może on dotyczyć,
- jakie mogą być jego konsekwencje oraz
- jakie działania można podjąć, aby ograniczyć skutki naruszenia.
Następnie trzeba dokonać oceny ryzyka dla praw i wolności osób fizycznych. Od jej wyniku zależy m.in. to, czy zachodzi obowiązek zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych. Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, może powstać również obowiązek zawiadomienia samych pacjentów.
A na zgłoszenie naruszenia organowi nadzorczemu administrator ma - jeżeli jest ono wymagane - w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia. Procedura powinna więc odpowiadać na bardzo praktyczne pytania: kto, co, kiedy i w jaki sposób robi po otrzymaniu informacji o incydencie.
Sama procedura nie wystarczy. Liczy się również umowa z dostawcą systemu
Incydent MyDr zwraca uwagę na jeszcze jeden element, o którym przedsiębiorcy często przypominają sobie dopiero po wystąpieniu problemu - umowy z podmiotami, którym powierzają dane swoich pacjentów lub klientów. W Noctua Kancelaria przygotowujemy niezbędne dokumenty, w tym wspomniane umowy.
RODO wymaga, aby administrator korzystał z usług takich procesorów, którzy zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.
Znaczenie ma zatem nie tylko samo podpisanie „umowy RODO”, ale jej rzeczywista treść:
- zakres powierzenia,
- obowiązki procesora,
- zabezpieczenia,
- zasady korzystania z dalszych podmiotów przetwarzających czy
- obowiązki informacyjne w przypadku naruszenia.
Po wystąpieniu incydentu dokumentacja pozwala więc odpowiedzieć również na pytanie kto za co odpowiadał i czy administrator dochował swoich obowiązków przy wyborze i korzystaniu z usług zewnętrznego dostawcy.
RODO to nie tylko wycieki danych
W gabinetach medycznych i beauty przetwarzane są często informacje szczególnie wrażliwe - dokumentacja medyczna, informacje o stanie zdrowia, zdjęcia przed i po zabiegach, dane dotyczące zastosowanych preparatów czy przebiegu leczenia.
Dlatego prawidłowe wdrożenie RODO nie powinno kończyć się na posiadaniu polityki prywatności.
Placówka powinna wiedzieć m.in.:
- kto ma dostęp do danych,
- na jakiej podstawie,
- w jakim zakresie,
- jak długo dane są przechowywane,
- komu są powierzane i
- co należy zrobić w razie incydentu.
Co więcej, dokumentacja musi odpowiadać temu, jak gabinet rzeczywiście funkcjonuje. Procedura, której nikt z personelu nie zna, albo dokument pobrany kilka lat temu z Internetu i niedostosowany do organizacji placówki, może okazać się niewiele wart właśnie wtedy, kiedy będzie najbardziej potrzebny.
Drugi obszar ryzyka: umowy z personelem
Podobny problem dotyczy dokumentacji związanej z zatrudnieniem.
W branży medycznej i beauty powszechne są różne modele współpracy - umowy o pracę, umowy zlecenia i kontrakty B2B. Samo nazwanie umowy „kontraktem B2B” nie przesądza jednak, że mamy do czynienia ze współpracą dwóch niezależnych przedsiębiorców.
Od 8 lipca 2026 r. Państwowa Inspekcja Pracy dysponuje nowymi narzędziami umożliwiającymi skuteczniejsze badanie i przekształcanie umów cywilnoprawnych zawieranych w warunkach właściwych dla stosunku pracy. Co istotne, Państwowa Inspekcja Pracy podkreśla, że nie zmieniła się sama definicja stosunku pracy - zmieniły się przede wszystkim możliwości egzekwowania istniejących przepisów.
To ważna zmiana również dla gabinetów. Lekarz, kosmetolog, pielęgniarka, recepcjonistka czy inna osoba może formalnie posiadać umowę B2B, ale podczas kontroli znaczenie będzie miał przede wszystkim rzeczywisty sposób wykonywania współpracy.
Jest już pierwsza praktyka Głównego Inspektora Pracy
Jak poważnie należy traktować nowe regulacje, pokazuje decyzja Głównego Inspektora Pracy z 3 sierpnia 2026 r. dotycząca interpretacji indywidualnej w zakresie kwalifikacji stosunku prawnego. Główny Inspektor Pracy analizował model, który przedsiębiorca chciał oprzeć na umowach o świadczenie usług.
W decyzji zwrócono szczególną uwagę na podporządkowanie osoby wykonującej pracę. Główny Inspektor Pracy wskazał, że istotne jest m.in. podporządkowanie co do sposobu wykonywania pracy, miejsca i czasu, a szczególne znaczenie mają bieżące, wiążące polecenia dotyczące sposobu wykonywania zadań.
W analizowanym modelu osoby miały być nadzorowane, wykonywać bieżące polecenia oraz - po przyjęciu zadania - stawić się w określonym miejscu i czasie. GIP uznał, że występują w nim cechy charakterystyczne dla zatrudnienia pracowniczego.
Ostatecznie organ stwierdził, że opisany stosunek prawny przemawia za jego kwalifikacją jako stosunku pracy tymczasowej, a stanowisko przedsiębiorcy zakładającego cywilnoprawny charakter współpracy uznał za nieprawidłowe.
To oczywiście nie oznacza, że każda umowa B2B albo umowa zlecenia w gabinecie jest nieprawidłowa. Każdy model współpracy trzeba oceniać indywidualnie. Sama PIP podkreśla, że przekształcanie umów nie ma być działaniem automatycznym.
Umowa B2B musi odpowiadać temu, jak naprawdę wygląda współpraca
Dla właściciela kliniki czy gabinetu płynie z tego bardzo praktyczny wniosek. Nie wystarczy mieć napisaną umowę B2B.
Jeżeli z dokumentu wynika, że specjalista jest niezależnym przedsiębiorcą, ale w praktyce placówka jednostronnie wyznacza mu miejsce i godziny pracy, na bieżąco kieruje sposobem wykonywania obowiązków, wymaga stałej dyspozycyjności, a współpracownik funkcjonuje organizacyjnie dokładnie tak jak pracownik - sama nazwa umowy nie zabezpieczy przedsiębiorcy.
PIP wprost wskazuje, że przy ocenie charakteru zatrudnienia znaczenie ma faktyczny sposób wykonywania pracy, a nie wyłącznie treść zawartego kontraktu.
Co więcej, nowe przepisy nie pozostają wyłącznie teorią. Według danych Państwowej Inspekcji Pracy od 8 lipca do 13 sierpnia 2026 r. do Inspekcji wpłynęło już 690 skarg i wniosków dotyczących nieprawidłowego wyboru cywilnoprawnej formy zatrudnienia.
Dokumentacja nie jest kosztem. Jest zabezpieczeniem placówki
RODO, regulaminy, procedury, umowy z dostawcami, umowy B2B czy dokumentacja pracownicza bywają traktowane jako formalny obowiązek, którym można zająć się „później”.
Problem w tym, że najczęściej nie ma już czasu na ich porządkowanie, kiedy zdarzy się incydent albo rozpocznie kontrola.
Dobrze przygotowana dokumentacja pozwala przede wszystkim wykazać, że przedsiębiorca zidentyfikował ryzyko, wdrożył odpowiednie rozwiązania, określił zakres odpowiedzialności poszczególnych osób i wiedział, jak postąpić w sytuacji kryzysowej.
Nie daje gwarancji, że nigdy nie dojdzie do wycieku danych, sporu z pracownikiem czy kontroli. Może jednak zasadniczo zmienić sytuację placówki, kiedy taki problem już wystąpi.
I właśnie dlatego procedury mają znaczenie nie wtedy, kiedy leżą w segregatorze - ale wtedy, kiedy trzeba z nich skorzystać.
Prowadzisz gabinet, klinikę albo placówkę beauty?
Warto sprawdzić dokumentację zanim zrobi to Urząd Ochrony Danych Osobowych, Państwowa Inspekcja Pracy lub niezadowolony współpracownik.
W Noctua pomagamy placówkom medycznym, gabinetom medycyny estetycznej i branży beauty m.in. w audycie i wdrażaniu RODO, przygotowaniu procedur, umów powierzenia danych oraz weryfikacji umów z personelem, w tym kontraktów B2B.
Nie wiesz, czy dokumentacja w Twojej placówce rzeczywiście Cię zabezpiecza? Umów się na konsultację. Zapraszamy do kontaktu: sekretariat@noctuakancelaria.pl
Wykorzystane źródła:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych);
- decyzja w sprawie interpretacji indywidualnej Głównego Inspektora Pracy z dn. 3 sierpnia 2026 r.; UNP: GIP-26-267786;
- oświadczenie MyDrEDM z dn. 10 sierpnia 2026 r.; 12 sierpnia 2026 r.; 13 sierpnia 2026 r., 14 sierpnia 2026 r.;
- komunikat UODO z dn. 12 sierpnia 2026 r.
