Interpelacja nr 8044
Interpelacja w sprawie haniebnego podglądania pacjentek w Szpitalu Położniczo-Ginekologicznym Ujastek w Krakowie oraz bierności prokuratury
Zgłaszający:
•
Adresat:
Sprawiedliwość i Sądy (100%)
Zdrowie i Lecznictwo (88%)
Treść wystąpienia poselskiego
Interpelacja w sprawie haniebnego podglądania pacjentek w Szpitalu Położniczo-Ginekologicznym Ujastek w Krakowie oraz bierności prokuratury
Interpelacja nr 8044
do ministra sprawiedliwości
w sprawie haniebnego podglądania pacjentek w Szpitalu Położniczo-Ginekologicznym Ujastek w Krakowie oraz bierności prokuratury
Zgłaszający: Jarosław Sachajko
Data wpływu: 12-02-2025
Szanowny Panie Ministrze,
z najwyższym oburzeniem zwracam uwagę na wydarzenia, które miały miejsce w Szpitalu Położniczo-Ginekologicznym Ujastek w Krakowie, gdzie pacjentki oraz noworodki były nielegalnie podglądane przy użyciu ukrytych kamer i mikrofonów. W XXI wieku, w państwie prawa, sytuacje tego rodzaju nie tylko budzą szok, ale przede wszystkim powinny wywołać natychmiastową i stanowczą reakcję władz oraz organów ścigania. Niestety, do tej pory nie dostrzegam odpowiednich działań w tej sprawie.
Kamery zamontowane w routerach i zegarach nagrywały intymne chwile: karmienie noworodków, ich kąpanie, a także modlitwy i rozmowy matek w najtrudniejszych momentach ich życia. Utrwalono dramaty pacjentek walczących o życie swoich dzieci nieświadomych tego, że są obserwowane. Nagrania te zaginęły, co stwarza realne zagrożenie, że trafiły w niepowołane ręce, mogąc być przedmiotem przestępczej działalności.
Współczesne technologie nagrywania i monitoringu mogą zostać wykorzystane przez grupy przestępcze, w tym gangi takie jak siatki pedofilskie. Nagrania przedstawiające noworodki oraz intymne sytuacje związane z ich pielęgnacją mogą być szczególnie cenne dla przestępców zajmujących się handlem materiałami o charakterze pedofilskim.
Nie jest to problem wyłącznie Polski. Przykłady podobnych nadużyć miały miejsce w innych krajach:
w Wielkiej Brytanii ujawniono przypadki nielegalnego udostępniania nagrań z kamer szpitalnych do sieci darknetowej;
w Niemczech policja rozbiła grupę przestępczą, która wykorzystywała nagrania z placówek opieki do produkcji materiałów o charakterze przestępczym;
w USA doszło do podobnego skandalu, gdy nagrania z kamer monitorujących oddziały pediatryczne trafiły na serwery grup przestępczych.
Urząd Ochrony Danych Osobowych nałożył na szpital kary finansowe w wysokości blisko 1,15 mln zł. Choć ochrona danych osobowych jest niezwykle ważna, rodzi się pytanie, czy kara ta jest uzasadniona, w sytuacji gdy nie mamy dowodów na to, że dyrekcja placówki była świadoma nielegalnego monitoringu. Nasuwa się obawa, iż jest to przestępstwo popełnione przez osoby trzecie, które działały z premedytacją, bez wiedzy kierownictwa szpitala, a nałożona kara jest jedynie odwróceniem uwagi społeczeństwa od haniebnego przestępstwa.
Szpital jest miejscem, gdzie pacjenci powinni czuć się bezpiecznie, otoczeni troską. W momencie, gdy dochodzi do takich nadużyć, zaufanie do całego systemu ochrony zdrowia zostaje poważnie naruszone. Kobiety, które decydują się na poród w szpitalu, mają prawo oczekiwać ochrony ich prywatności i godności. Tymczasem w opisywanym przypadku doszło do skandalicznego pogwałcenia tych praw.
W związku z powyższymi faktami zwracam się do Pana Ministra z następującymi pytaniami:
Dlaczego do tej pory nie podjęto zdecydowanych działań prawnych przeciwko osobom odpowiedzialnym za nielegalny monitoring w szpitalu Ujastek?
Czy wszczęto śledztwo dotyczące osób montujących ukryty monitoring, na jakim etapie jest śledztwo, dlaczego pomimo wielu miesięcy od ujawnienia procederu śledztwo nie zostało zakończone?
Dlaczego ta sytuacja nie została należycie nagłośniona, aby wyczulić społeczeństwo na potencjalne przypadki nielegalnego poglądania pacjentów, jak również odstraszyć innych przestępców?
Czy przeprowadzono audyt systemów monitoringu w innych placówkach medycznych?
Czy sprawdzono, czy dyrekcja szpitala miała wiedzę o zamontowaniu ukrytych kamer? Jeśli nie, czy istnieją dowody wskazujące, że monitoring mógł być wynikiem działań przestępczych osób trzecich?
Czy nałożenie kary finansowej na szpital było zasadne, w sytuacji gdy jego kierownictwo nie miało wiedzy co do zainstalowanego monitoringu?
Jakie działania podejmie rząd RP, aby zapewnić ochronę danych osobowych i prywatności pacjentów w szpitalach?
Czy rząd planuje kontrole dotyczące monitoringu oraz wprowadzenie nowych regulacji w celu zwiększenia bezpieczeństwa danych osobowych i prywatności pacjentów?
Interpelacja nr 8044
do ministra sprawiedliwości
w sprawie haniebnego podglądania pacjentek w Szpitalu Położniczo-Ginekologicznym Ujastek w Krakowie oraz bierności prokuratury
Zgłaszający: Jarosław Sachajko
Data wpływu: 12-02-2025
Szanowny Panie Ministrze,
z najwyższym oburzeniem zwracam uwagę na wydarzenia, które miały miejsce w Szpitalu Położniczo-Ginekologicznym Ujastek w Krakowie, gdzie pacjentki oraz noworodki były nielegalnie podglądane przy użyciu ukrytych kamer i mikrofonów. W XXI wieku, w państwie prawa, sytuacje tego rodzaju nie tylko budzą szok, ale przede wszystkim powinny wywołać natychmiastową i stanowczą reakcję władz oraz organów ścigania. Niestety, do tej pory nie dostrzegam odpowiednich działań w tej sprawie.
Kamery zamontowane w routerach i zegarach nagrywały intymne chwile: karmienie noworodków, ich kąpanie, a także modlitwy i rozmowy matek w najtrudniejszych momentach ich życia. Utrwalono dramaty pacjentek walczących o życie swoich dzieci nieświadomych tego, że są obserwowane. Nagrania te zaginęły, co stwarza realne zagrożenie, że trafiły w niepowołane ręce, mogąc być przedmiotem przestępczej działalności.
Współczesne technologie nagrywania i monitoringu mogą zostać wykorzystane przez grupy przestępcze, w tym gangi takie jak siatki pedofilskie. Nagrania przedstawiające noworodki oraz intymne sytuacje związane z ich pielęgnacją mogą być szczególnie cenne dla przestępców zajmujących się handlem materiałami o charakterze pedofilskim.
Nie jest to problem wyłącznie Polski. Przykłady podobnych nadużyć miały miejsce w innych krajach:
w Wielkiej Brytanii ujawniono przypadki nielegalnego udostępniania nagrań z kamer szpitalnych do sieci darknetowej;
w Niemczech policja rozbiła grupę przestępczą, która wykorzystywała nagrania z placówek opieki do produkcji materiałów o charakterze przestępczym;
w USA doszło do podobnego skandalu, gdy nagrania z kamer monitorujących oddziały pediatryczne trafiły na serwery grup przestępczych.
Urząd Ochrony Danych Osobowych nałożył na szpital kary finansowe w wysokości blisko 1,15 mln zł. Choć ochrona danych osobowych jest niezwykle ważna, rodzi się pytanie, czy kara ta jest uzasadniona, w sytuacji gdy nie mamy dowodów na to, że dyrekcja placówki była świadoma nielegalnego monitoringu. Nasuwa się obawa, iż jest to przestępstwo popełnione przez osoby trzecie, które działały z premedytacją, bez wiedzy kierownictwa szpitala, a nałożona kara jest jedynie odwróceniem uwagi społeczeństwa od haniebnego przestępstwa.
Szpital jest miejscem, gdzie pacjenci powinni czuć się bezpiecznie, otoczeni troską. W momencie, gdy dochodzi do takich nadużyć, zaufanie do całego systemu ochrony zdrowia zostaje poważnie naruszone. Kobiety, które decydują się na poród w szpitalu, mają prawo oczekiwać ochrony ich prywatności i godności. Tymczasem w opisywanym przypadku doszło do skandalicznego pogwałcenia tych praw.
W związku z powyższymi faktami zwracam się do Pana Ministra z następującymi pytaniami:
Dlaczego do tej pory nie podjęto zdecydowanych działań prawnych przeciwko osobom odpowiedzialnym za nielegalny monitoring w szpitalu Ujastek?
Czy wszczęto śledztwo dotyczące osób montujących ukryty monitoring, na jakim etapie jest śledztwo, dlaczego pomimo wielu miesięcy od ujawnienia procederu śledztwo nie zostało zakończone?
Dlaczego ta sytuacja nie została należycie nagłośniona, aby wyczulić społeczeństwo na potencjalne przypadki nielegalnego poglądania pacjentów, jak również odstraszyć innych przestępców?
Czy przeprowadzono audyt systemów monitoringu w innych placówkach medycznych?
Czy sprawdzono, czy dyrekcja szpitala miała wiedzę o zamontowaniu ukrytych kamer? Jeśli nie, czy istnieją dowody wskazujące, że monitoring mógł być wynikiem działań przestępczych osób trzecich?
Czy nałożenie kary finansowej na szpital było zasadne, w sytuacji gdy jego kierownictwo nie miało wiedzy co do zainstalowanego monitoringu?
Jakie działania podejmie rząd RP, aby zapewnić ochronę danych osobowych i prywatności pacjentów w szpitalach?
Czy rząd planuje kontrole dotyczące monitoringu oraz wprowadzenie nowych regulacji w celu zwiększenia bezpieczeństwa danych osobowych i prywatności pacjentów?
Odpowiedź urzędowa
Sekretarz stanu Arkadiusz Myrcha
Audyt odpowiedzi: Wskaźnik lania wody & konkretności
Bardzo konkretna
Automatyczna analiza lingwistyczno-statystyczna pisma resortu
Lanie wody
15%
Konkretność
85%
Odpowiedź wysoce rzeczowa – zawiera liczne dane twarde, kwoty, daty lub bezpośrednie odniesienie do zadanych pytań.
Twarde liczby / kwoty
0 kwot, 0 %
Precyzyjne daty
7
Odpowiedź na punkty
✓ Tak (Ad 1, Pkt...)
Gęstość faktów
3.1 / 1k zn.
- Wymienia precyzyjne daty lub terminy (7)
- Resort odnosi się punkt po punkcie do pytań posła
Urzędowe załączniki i odpowiedzi:
Pełna treść wyekstrahowana z załącznika PDF (odpowiedź urzędowa)
10720 znaków
1
Sekretarz Stanu
Arkadiusz Myrcha
BK-VII.0520.71.2025
Warszawa, 04 kwietnia 2025 r.
Pan
Szymon Hołownia
Marszałek Sejmu
Rzeczypospolitej Polskiej
Szanowny Panie Marszałku,
przedstawiam odpowiedź na interpelację nr 8044 Pana Posła Jarosława Sachajko
w sprawie haniebnego podglądania pacjentek w Szpitalu Położniczo-Ginekologicznym
Ujastek w Krakowie oraz bierności prokuratury, opracowaną we współpracy z Prokuraturą
Krajową, Ministrem Zdrowia i Ministrem Cyfryzacji.
Ad 1, 2, 3, 5
W Prokuraturze Rejonowej Kraków-Nowa Huta w Krakowie prowadzone było
postępowanie przygotowawcze, pod sygn. 4134-5.Ds.645.2023, w sprawie usunięcia
w okresie od 1 do 24 lipca 2023 r. przez osobę nieuprawnioną istotnej informacji w postaci
nagrania monitoringu zarejestrowanego na dwóch kartach pamięci na szkodę Centrum
Medycznego Ujastek sp. z o.o., tj. o czyn z art. 268 § 2 k.k. Postępowanie to zostało
zakończone postanowieniem o umorzeniu wobec niewykrycia sprawcy przestępstwa.
Akta powyższej sprawy zostaną poddane analizie w Departamencie Postępowania
Przygotowawczego Prokuratury Krajowej, pod kątem oceny zasadności decyzji kończącej
postępowanie przygotowawcze.
Zgodnie z informacją przekazaną przez Biuro Rzecznika Praw Pacjenta, kwestia
konieczności poszanowania intymności i godności pacjentów podczas udzielania im
świadczeń zdrowotnych jest uregulowana w art. 20 ust. 1 ustawy z dnia 6 listopada 2008
r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2024 r., poz. 581). Podmioty
lecznicze powinny wystrzegać się wszelkich działań, które w sposób nieuprawniony lub
nadmierny będą ingerowały w ww. wartości, mające swoje umocowanie w Konstytucji RP.
-- 1 of 6 --
2
Rzecznik Praw Pacjenta dużą wagę w swoich działaniach przykłada do realizacji ww. prawa
pacjentów.
Do Rzecznika Praw Pacjenta nie wpłynęły żadne sygnały czy skargi od pacjentów w sprawie
Centrum Medycznego Ujastek Sp. z o.o. W związku z tym postępowania wyjaśniające
w sprawach indywidualnych pacjentów nie były prowadzone. Informację o tej sprawie
Rzecznik Praw Pacjenta powziął z doniesień medialnych oraz z komunikatu Prezesa
Urzędu Ochrony Danych Osobowych1. Rzecznik Praw Pacjenta niezwłocznie dokonał
analizy tych informacji pod kątem wszczęcia postępowania w sprawie stosowania praktyk
naruszających zbiorowe prawa pacjentów przez ww. podmiot leczniczy oraz zakazania
niezgodnych z prawem działań naruszających prawa pacjentów. Zgodnie z informacjami
Prezesa Urzędu Ochrony Danych Osobowych stosowanie urządzeń rejestrujących obraz
na oddziale neonatologii, ukazujący zarówno noworodki, jak ich matki podczas
dokonywania intymnych czynności, miało miejsce w okresie od 1 do 23 lipca 2023 r.
W tym kontekście należy wskazać, że zgodnie z art. 67 ustawy z dnia 6 listopada 2008 r.
o prawach pacjenta i Rzeczniku Praw Pacjenta nie wszczyna się postępowania w sprawie
stosowania praktyk naruszających zbiorowe prawa pacjentów, jeżeli od końca roku,
w którym zaprzestano ich stosowania, upłynął rok. Zważywszy na okres podejmowania
ww. bezprawnych działań oraz, że informacje o sprawie zostały opublikowane już w 2025
r., z przyczyn formalnych, ww. postępowanie nie mogło zostać podjęte. Co jednak istotne,
podmiot leczniczy zaprzestał niezgodnego z prawem działania.
W kontekście powyższego, Rzecznik Praw Pacjenta zapewnił, że kwestia poszanowania
intymności i godności pacjentów jest dla Rzecznika jednym z priorytetów, jest to obszar
szczególnie monitorowany. W sytuacji powzięcia informacji o możliwym naruszeniu tego
prawa Rzecznik Praw Pacjenta każdorazowo podejmie niezwłoczne działania
wyjaśniające.
Ad 4
Zgodnie z art. 23a ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz.U.
z 2024 r., poz. 799) za zarządzanie podmiotem leczniczym odpowiada jego kierownik.
1 https://uodo.gov.pl/pl/138/3543
-- 2 of 6 --
3
Kierownik podmiotu wykonującego działalność leczniczą może określić w regulaminie
organizacyjnym sposób obserwacji pomieszczeń:
1) ogólnodostępnych, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa
pacjentów lub pracowników,
2) w których są udzielane świadczenia zdrowotne oraz pobytu pacjentów,
w szczególności pokoi łóżkowych, pomieszczeń higieniczno-sanitarnych,
przebieralni, szatni, jeżeli wynika to z przepisów odrębnych, w których są
udzielane świadczenia zdrowotne, jeżeli jest to konieczne w procesie leczenia
pacjentów lub do zapewnienia im bezpieczeństwa – w przypadku szpitali,
zakładów opiekuńczo-leczniczych, zakładów pielęgnacyjno-opiekuńczych,
zakładów rehabilitacji leczniczej i hospicjów
– za pomocą urządzeń umożliwiających rejestrację obrazu (monitoring), uwzględniając
konieczność poszanowania intymności i godności pacjenta, w tym przekazywanie obrazu
z monitoringu w sposób uniemożliwiający ukazywanie intymnych czynności
fizjologicznych, potrzebę zastosowania monitoringu w danym pomieszczeniu oraz
konieczność ochrony danych osobowych. Ponadto w myśl ust. 1a ww. artykułu –
kierownik podmiotu wykonującego działalność leczniczą odpowiada za wykorzystywanie
monitoringu zgodnie z przepisami prawa.
Mając na uwadze powyższe, nie jest jasne kto miałby przeprowadzać „audyt systemów
monitoringu w innych placówkach medycznych”. Jednocześnie informuję, że Minister
Zdrowia nie zlecał kontroli w przedmiotowej sprawie.
Ad 6, 8
Minister Cyfryzacji może prowadzić swoje działania na podstawie i w granicach prawa.
Jako organ administracji publicznej nie może podejmować działań naruszających zasadę
działania na podstawie przepisów prawa. Wobec braku podstawy prawnej dla
przeprowadzania kontroli dotyczących poziomu monitoringu w placówkach medycznych
Minister Cyfryzacji nie planuje i nie może planować takich kontroli. Organem
uprawnionym do przeprowadzania kontroli poziomu ochrony danych osobowych
w każdym podmiocie przetwarzającym dane osobowe na terenie Polski, w tym
w placówkach medycznych, jest Prezes Urzędu Ochrony Danych Osobowych – jako
krajowy organ nadzorczy, o którym mowa w art. 51 RODO. RODO jako rozporządzenie UE
-- 3 of 6 --
4
reguluje kwestie ochrony danych osobowych na terenie całej UE, obowiązuje i jest
stosowane bezpośrednio w każdym państwie członkowskim UE.
Ponadto, stosownie do art. 118 ust. 1 ustawy o działalności leczniczej minister właściwy
do spraw zdrowia ma prawo przeprowadzania kontroli podmiotów leczniczych pod
względem zgodności z prawem i pod względem medycznym. Zgodnie z art. 119 ust. 1 tej
ustawy minister właściwy do spraw zdrowia może zlecić przeprowadzenie kontroli innym
podmiotom, w tym wojewodom.
RODO reguluje kwestie zasad przetwarzania danych osobowych, które obejmują swoim
zakresem także gromadzenie danych osobowych poprzez monitoring i obowiązują
bezwzględnie wszystkich administratorów danych. Należy też wskazać, że każdy
administrator ponosi pełną odpowiedzialność finansową lub karną za naruszenie
przepisów RODO. W poruszanym w interpelacji przypadku Prezes UODO po
przeprowadzeniu kontroli i postępowania w sprawie naruszenia, opierając się wyłącznie
na podstawie przepisów RODO nałożył na ten podmiot w decyzji ponadmilionową karę
finansową, za naruszenie szeregu przepisów RODO. W tej sytuacji, odnosząc się do
fragmentu pytania zawartego w interpelacji, dotyczącego planowania wprowadzenia
nowych regulacji, informuję, że Minister Cyfryzacji nie ma uprawnień do wprowadzania
w RODO zmian prawnych.
Informuję ponadto, że aktualnie Ministerstwo Zdrowia w porozumieniu z Prezesem
Urzędu Danych Osobowych oraz Rzecznikiem Praw Pacjenta analizuje przywołane wyżej
przepisy dotyczące monitoringu w zakładach leczniczych.
Ad 7
Należy wskazać, że cała struktura RODO opiera się na zasadzie ryzyka, tj. każdy podmiot
przetwarzający dane osobowe obowiązany jest przetwarzać je zgodnie z zasadami RODO
i chronić je, ponosząc w tym zakresie ryzyko oraz pełną odpowiedzialność finansową,
administracyjną i karną, określoną również w RODO. Wobec tego, wedle RODO, każdy
administrator zobowiązany jest samodzielnie zapewnić odpowiednią ochronę
przetwarzanych przez siebie danych osobowych i oceniać ryzyko, jakie przetwarzanie
przez niego danych osobowych może spowodować dla praw i wolności osób, których te
dane dotyczą. Każdy podmiot musi dokonywać jej samodzielnie, uwzględniając wiele
-- 4 of 6 --
5
specyficznych, indywidualnych dla niego czynników, takich jak: wielkość, struktura
organizacyjna, możliwości techniczne czy zakres i rodzaj danych oraz cel ich
przetwarzania. Jednym ze skutecznych systemowych sposobów dokonywania oceny
ryzyka jest wdrożenie w danej jednostce procesu zarządzania ryzykiem. Dla ułatwienia
przyjęcia w tym zakresie właściwych rozwiązań przez administratorów danych
osobowych, Prezes Urzędu Ochrony Danych Osobowych – jako krajowy organ nadzorczy,
określony w RODO, opublikował w 2018 r. dwuczęściowy poradnik: Jak rozumieć podejście
oparte na ryzyku według RODO? Jak stosować podejście oparte na ryzyku? W tych
poradnikach PUODO wyjaśnia istotę zasady podejścia opartego na ryzyku oraz wskazuje,
do czego zasada ta zobowiązuje podmioty stosujące przepisy RODO. Tłumaczy też, czym
jest ryzyko naruszenia praw i wolności osób, których dane dotyczą. Podkreśla przy tym, że
szacowanie ryzyka to proces ciągły, który powinien być przeprowadzany przy użyciu
konkretnej metody, zapewniającej jednocześnie stosowanie jednolitych definicji i pojęć.
Przedstawione tam zostały kolejne możliwe etapy działań podejmowanych w celu
przeprowadzania ogólnej oceny ryzyka oraz szczegółowej oceny ryzyka, czyli tzw. oceny
skutków dla ochrony danych, o której mowa w art. 35 RODO.
Należy również wskazać, że Prezes UODO zatwierdził „Kodeks postępowania dotyczącego
ochrony danych osobowych przetwarzanych w małych placówkach medycznych” z dnia 9
listopada 2022 r. opracowany przez Federację Związków Pracodawców Ochrony Zdrowia
Porozumienie Zielonogórskie. Tym samym uprawniony krajowy organ nadzorczy
stwierdził, że jest on zgodny z przepisami RODO oraz stanowi odpowiednie zabezpieczenie
w zakresie ochrony danych przewidzianych przepisami tego unijnego rozporządzenia. Ta
decyzja Prezesa UODO o zatwierdzeniu kodeksu dała placówkom medycznym możliwość
rozpoczęcia przygotowań do jego wdrożenia.
Podmioty, które będą go stosowały mogą mieć gwarancję prawidłowości używania
określonych rozwiązań zatwierdzonych przez właściwy organ nadzoru. Mogą też liczyć na
nadzór nad procesami przetwarzania danych osobowych ze strony niezależnego
podmiotu monitorującego ten kodeks. Nie bez znaczenia jest również fakt, że zgodnie
z RODO organ nadzorczy, gdy rozważa nałożenie kary na dany podmiot musi brać pod
uwagę w każdym przypadku, czy podmiot ten prawidłowo stosuje zatwierdzony kodeks
postępowania.
-- 5 of 6 --
6
Z wyrazami szacunku
Arkadiusz Myrcha
Sekretarz Stanu
/podpisano elektronicznie/
-- 6 of 6 --
Sekretarz Stanu
Arkadiusz Myrcha
BK-VII.0520.71.2025
Warszawa, 04 kwietnia 2025 r.
Pan
Szymon Hołownia
Marszałek Sejmu
Rzeczypospolitej Polskiej
Szanowny Panie Marszałku,
przedstawiam odpowiedź na interpelację nr 8044 Pana Posła Jarosława Sachajko
w sprawie haniebnego podglądania pacjentek w Szpitalu Położniczo-Ginekologicznym
Ujastek w Krakowie oraz bierności prokuratury, opracowaną we współpracy z Prokuraturą
Krajową, Ministrem Zdrowia i Ministrem Cyfryzacji.
Ad 1, 2, 3, 5
W Prokuraturze Rejonowej Kraków-Nowa Huta w Krakowie prowadzone było
postępowanie przygotowawcze, pod sygn. 4134-5.Ds.645.2023, w sprawie usunięcia
w okresie od 1 do 24 lipca 2023 r. przez osobę nieuprawnioną istotnej informacji w postaci
nagrania monitoringu zarejestrowanego na dwóch kartach pamięci na szkodę Centrum
Medycznego Ujastek sp. z o.o., tj. o czyn z art. 268 § 2 k.k. Postępowanie to zostało
zakończone postanowieniem o umorzeniu wobec niewykrycia sprawcy przestępstwa.
Akta powyższej sprawy zostaną poddane analizie w Departamencie Postępowania
Przygotowawczego Prokuratury Krajowej, pod kątem oceny zasadności decyzji kończącej
postępowanie przygotowawcze.
Zgodnie z informacją przekazaną przez Biuro Rzecznika Praw Pacjenta, kwestia
konieczności poszanowania intymności i godności pacjentów podczas udzielania im
świadczeń zdrowotnych jest uregulowana w art. 20 ust. 1 ustawy z dnia 6 listopada 2008
r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2024 r., poz. 581). Podmioty
lecznicze powinny wystrzegać się wszelkich działań, które w sposób nieuprawniony lub
nadmierny będą ingerowały w ww. wartości, mające swoje umocowanie w Konstytucji RP.
-- 1 of 6 --
2
Rzecznik Praw Pacjenta dużą wagę w swoich działaniach przykłada do realizacji ww. prawa
pacjentów.
Do Rzecznika Praw Pacjenta nie wpłynęły żadne sygnały czy skargi od pacjentów w sprawie
Centrum Medycznego Ujastek Sp. z o.o. W związku z tym postępowania wyjaśniające
w sprawach indywidualnych pacjentów nie były prowadzone. Informację o tej sprawie
Rzecznik Praw Pacjenta powziął z doniesień medialnych oraz z komunikatu Prezesa
Urzędu Ochrony Danych Osobowych1. Rzecznik Praw Pacjenta niezwłocznie dokonał
analizy tych informacji pod kątem wszczęcia postępowania w sprawie stosowania praktyk
naruszających zbiorowe prawa pacjentów przez ww. podmiot leczniczy oraz zakazania
niezgodnych z prawem działań naruszających prawa pacjentów. Zgodnie z informacjami
Prezesa Urzędu Ochrony Danych Osobowych stosowanie urządzeń rejestrujących obraz
na oddziale neonatologii, ukazujący zarówno noworodki, jak ich matki podczas
dokonywania intymnych czynności, miało miejsce w okresie od 1 do 23 lipca 2023 r.
W tym kontekście należy wskazać, że zgodnie z art. 67 ustawy z dnia 6 listopada 2008 r.
o prawach pacjenta i Rzeczniku Praw Pacjenta nie wszczyna się postępowania w sprawie
stosowania praktyk naruszających zbiorowe prawa pacjentów, jeżeli od końca roku,
w którym zaprzestano ich stosowania, upłynął rok. Zważywszy na okres podejmowania
ww. bezprawnych działań oraz, że informacje o sprawie zostały opublikowane już w 2025
r., z przyczyn formalnych, ww. postępowanie nie mogło zostać podjęte. Co jednak istotne,
podmiot leczniczy zaprzestał niezgodnego z prawem działania.
W kontekście powyższego, Rzecznik Praw Pacjenta zapewnił, że kwestia poszanowania
intymności i godności pacjentów jest dla Rzecznika jednym z priorytetów, jest to obszar
szczególnie monitorowany. W sytuacji powzięcia informacji o możliwym naruszeniu tego
prawa Rzecznik Praw Pacjenta każdorazowo podejmie niezwłoczne działania
wyjaśniające.
Ad 4
Zgodnie z art. 23a ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz.U.
z 2024 r., poz. 799) za zarządzanie podmiotem leczniczym odpowiada jego kierownik.
1 https://uodo.gov.pl/pl/138/3543
-- 2 of 6 --
3
Kierownik podmiotu wykonującego działalność leczniczą może określić w regulaminie
organizacyjnym sposób obserwacji pomieszczeń:
1) ogólnodostępnych, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa
pacjentów lub pracowników,
2) w których są udzielane świadczenia zdrowotne oraz pobytu pacjentów,
w szczególności pokoi łóżkowych, pomieszczeń higieniczno-sanitarnych,
przebieralni, szatni, jeżeli wynika to z przepisów odrębnych, w których są
udzielane świadczenia zdrowotne, jeżeli jest to konieczne w procesie leczenia
pacjentów lub do zapewnienia im bezpieczeństwa – w przypadku szpitali,
zakładów opiekuńczo-leczniczych, zakładów pielęgnacyjno-opiekuńczych,
zakładów rehabilitacji leczniczej i hospicjów
– za pomocą urządzeń umożliwiających rejestrację obrazu (monitoring), uwzględniając
konieczność poszanowania intymności i godności pacjenta, w tym przekazywanie obrazu
z monitoringu w sposób uniemożliwiający ukazywanie intymnych czynności
fizjologicznych, potrzebę zastosowania monitoringu w danym pomieszczeniu oraz
konieczność ochrony danych osobowych. Ponadto w myśl ust. 1a ww. artykułu –
kierownik podmiotu wykonującego działalność leczniczą odpowiada za wykorzystywanie
monitoringu zgodnie z przepisami prawa.
Mając na uwadze powyższe, nie jest jasne kto miałby przeprowadzać „audyt systemów
monitoringu w innych placówkach medycznych”. Jednocześnie informuję, że Minister
Zdrowia nie zlecał kontroli w przedmiotowej sprawie.
Ad 6, 8
Minister Cyfryzacji może prowadzić swoje działania na podstawie i w granicach prawa.
Jako organ administracji publicznej nie może podejmować działań naruszających zasadę
działania na podstawie przepisów prawa. Wobec braku podstawy prawnej dla
przeprowadzania kontroli dotyczących poziomu monitoringu w placówkach medycznych
Minister Cyfryzacji nie planuje i nie może planować takich kontroli. Organem
uprawnionym do przeprowadzania kontroli poziomu ochrony danych osobowych
w każdym podmiocie przetwarzającym dane osobowe na terenie Polski, w tym
w placówkach medycznych, jest Prezes Urzędu Ochrony Danych Osobowych – jako
krajowy organ nadzorczy, o którym mowa w art. 51 RODO. RODO jako rozporządzenie UE
-- 3 of 6 --
4
reguluje kwestie ochrony danych osobowych na terenie całej UE, obowiązuje i jest
stosowane bezpośrednio w każdym państwie członkowskim UE.
Ponadto, stosownie do art. 118 ust. 1 ustawy o działalności leczniczej minister właściwy
do spraw zdrowia ma prawo przeprowadzania kontroli podmiotów leczniczych pod
względem zgodności z prawem i pod względem medycznym. Zgodnie z art. 119 ust. 1 tej
ustawy minister właściwy do spraw zdrowia może zlecić przeprowadzenie kontroli innym
podmiotom, w tym wojewodom.
RODO reguluje kwestie zasad przetwarzania danych osobowych, które obejmują swoim
zakresem także gromadzenie danych osobowych poprzez monitoring i obowiązują
bezwzględnie wszystkich administratorów danych. Należy też wskazać, że każdy
administrator ponosi pełną odpowiedzialność finansową lub karną za naruszenie
przepisów RODO. W poruszanym w interpelacji przypadku Prezes UODO po
przeprowadzeniu kontroli i postępowania w sprawie naruszenia, opierając się wyłącznie
na podstawie przepisów RODO nałożył na ten podmiot w decyzji ponadmilionową karę
finansową, za naruszenie szeregu przepisów RODO. W tej sytuacji, odnosząc się do
fragmentu pytania zawartego w interpelacji, dotyczącego planowania wprowadzenia
nowych regulacji, informuję, że Minister Cyfryzacji nie ma uprawnień do wprowadzania
w RODO zmian prawnych.
Informuję ponadto, że aktualnie Ministerstwo Zdrowia w porozumieniu z Prezesem
Urzędu Danych Osobowych oraz Rzecznikiem Praw Pacjenta analizuje przywołane wyżej
przepisy dotyczące monitoringu w zakładach leczniczych.
Ad 7
Należy wskazać, że cała struktura RODO opiera się na zasadzie ryzyka, tj. każdy podmiot
przetwarzający dane osobowe obowiązany jest przetwarzać je zgodnie z zasadami RODO
i chronić je, ponosząc w tym zakresie ryzyko oraz pełną odpowiedzialność finansową,
administracyjną i karną, określoną również w RODO. Wobec tego, wedle RODO, każdy
administrator zobowiązany jest samodzielnie zapewnić odpowiednią ochronę
przetwarzanych przez siebie danych osobowych i oceniać ryzyko, jakie przetwarzanie
przez niego danych osobowych może spowodować dla praw i wolności osób, których te
dane dotyczą. Każdy podmiot musi dokonywać jej samodzielnie, uwzględniając wiele
-- 4 of 6 --
5
specyficznych, indywidualnych dla niego czynników, takich jak: wielkość, struktura
organizacyjna, możliwości techniczne czy zakres i rodzaj danych oraz cel ich
przetwarzania. Jednym ze skutecznych systemowych sposobów dokonywania oceny
ryzyka jest wdrożenie w danej jednostce procesu zarządzania ryzykiem. Dla ułatwienia
przyjęcia w tym zakresie właściwych rozwiązań przez administratorów danych
osobowych, Prezes Urzędu Ochrony Danych Osobowych – jako krajowy organ nadzorczy,
określony w RODO, opublikował w 2018 r. dwuczęściowy poradnik: Jak rozumieć podejście
oparte na ryzyku według RODO? Jak stosować podejście oparte na ryzyku? W tych
poradnikach PUODO wyjaśnia istotę zasady podejścia opartego na ryzyku oraz wskazuje,
do czego zasada ta zobowiązuje podmioty stosujące przepisy RODO. Tłumaczy też, czym
jest ryzyko naruszenia praw i wolności osób, których dane dotyczą. Podkreśla przy tym, że
szacowanie ryzyka to proces ciągły, który powinien być przeprowadzany przy użyciu
konkretnej metody, zapewniającej jednocześnie stosowanie jednolitych definicji i pojęć.
Przedstawione tam zostały kolejne możliwe etapy działań podejmowanych w celu
przeprowadzania ogólnej oceny ryzyka oraz szczegółowej oceny ryzyka, czyli tzw. oceny
skutków dla ochrony danych, o której mowa w art. 35 RODO.
Należy również wskazać, że Prezes UODO zatwierdził „Kodeks postępowania dotyczącego
ochrony danych osobowych przetwarzanych w małych placówkach medycznych” z dnia 9
listopada 2022 r. opracowany przez Federację Związków Pracodawców Ochrony Zdrowia
Porozumienie Zielonogórskie. Tym samym uprawniony krajowy organ nadzorczy
stwierdził, że jest on zgodny z przepisami RODO oraz stanowi odpowiednie zabezpieczenie
w zakresie ochrony danych przewidzianych przepisami tego unijnego rozporządzenia. Ta
decyzja Prezesa UODO o zatwierdzeniu kodeksu dała placówkom medycznym możliwość
rozpoczęcia przygotowań do jego wdrożenia.
Podmioty, które będą go stosowały mogą mieć gwarancję prawidłowości używania
określonych rozwiązań zatwierdzonych przez właściwy organ nadzoru. Mogą też liczyć na
nadzór nad procesami przetwarzania danych osobowych ze strony niezależnego
podmiotu monitorującego ten kodeks. Nie bez znaczenia jest również fakt, że zgodnie
z RODO organ nadzorczy, gdy rozważa nałożenie kary na dany podmiot musi brać pod
uwagę w każdym przypadku, czy podmiot ten prawidłowo stosuje zatwierdzony kodeks
postępowania.
-- 5 of 6 --
6
Z wyrazami szacunku
Arkadiusz Myrcha
Sekretarz Stanu
/podpisano elektronicznie/
-- 6 of 6 --