Podczas teleporady zakończonej zwolnieniem powstaje komplet danych o twoim zdrowiu — a te należą do szczególnej kategorii danych osobowych z art. 9 RODO, objętej surowszym reżimem niż imię i nazwisko. Administratorem jest placówka udzielająca świadczenia, nie lekarz i nie ZUS. Krąg podmiotów, którym może ona przekazać dokumentację, jest zamknięty i wynika z ustawy o prawach pacjenta.
Z tego artykułu dowiesz się:
- dlaczego dane o zdrowiu podlegają art. 9 RODO i co z tego wynika w praktyce,
- kto dokładnie ma prawo wglądu w dokumentację z twojej teleporady,
- jakich zabezpieczeń wymaga od placówki standard organizacyjny teleporady,
- czy teleporadę wolno nagrywać i na jakiej podstawie,
- gdzie i w jakim terminie zgłosić naruszenie ochrony danych.
Najważniejsze w skrócie
- Dane o zdrowiu to szczególna kategoria danych (art. 9 ust. 1 RODO) — przetwarzanie jest zasadniczo zakazane poza wyjątkami z art. 9 ust. 2.
- Administratorem danych z teleporady jest podmiot leczniczy; lekarz działa w jego strukturze i wiąże go tajemnica z art. 13–14 ustawy o prawach pacjenta.
- Pracodawca nie jest na ustawowej liście odbiorców dokumentacji medycznej (art. 26 ust. 3) — nie może jej żądać od placówki.
- Standard teleporady w POZ wymaga potwierdzenia tożsamości pacjenta i prowadzenia rozmowy w warunkach gwarantujących poufność.
- Dokumentację medyczną placówka przechowuje co do zasady 20 lat od końca roku ostatniego wpisu.
Dane o zdrowiu jako szczególna kategoria danych i kto jest ich administratorem
Art. 9 ust. 1 RODO zakazuje przetwarzania danych o zdrowiu — poza wyjątkami z ust. 2. Dla teleporady kluczowa jest lit. h: przetwarzanie do celów diagnozy medycznej i zapewnienia opieki zdrowotnej, przez personel objęty tajemnicą zawodową.
Administratorem jest podmiot udzielający świadczeń — przychodnia, podmiot leczniczy, praktyka lekarska. Lekarz przyjmujący w jej ramach nie jest odrębnym administratorem, lecz osobą upoważnioną. To do administratora kierujesz żądania z rozdziału III RODO.
| Rola | Kto to w praktyce | Co z tego wynika |
|---|---|---|
| Administrator | podmiot leczniczy / praktyka | odpowiada za bezpieczeństwo, realizuje prawa pacjenta |
| Osoba upoważniona | lekarz, personel rejestracji | dostęp tylko w zakresie zadań, tajemnica zawodowa |
| Podmiot przetwarzający | dostawca systemu gabinetowego, hosting | działa na umowie powierzenia z art. 28 RODO |
| Odbiorca | ZUS, NFZ, inna placówka | tylko w granicach art. 26 ustawy o prawach pacjenta |
| Osoba, której dane dotyczą | pacjent | prawa z art. 15–21 RODO oraz art. 23–28 ustawy |
Podstawa prawna, nie zgoda. Przy świadczeniu zdrowotnym placówka nie opiera się na twojej zgodzie na przetwarzanie danych, lecz na art. 9 ust. 2 lit. h RODO i przepisach o dokumentacji medycznej. Dlatego „cofnięcie zgody” nie kasuje kartoteki.
Jakie dane powstają podczas teleporady zakończonej e-ZLA
Teleporada jest równoprawną formą badania — art. 42 ust. 1 ustawy o zawodach lekarza i lekarza dentysty (t.j. Dz.U. 2026 poz. 37) zrównuje badanie osobiste z badaniem przez systemy teleinformatyczne. Skoro badanie jest pełnoprawne, pełnoprawna musi być też dokumentacja.
Art. 25 ust. 1 ustawy o prawach pacjenta wskazuje minimum: oznaczenie pacjenta (imię, nazwisko, data urodzenia, płeć, adres, PESEL), oznaczenie podmiotu, opis stanu zdrowia oraz datę sporządzenia — plus adnotacja o formie teleporady.
| Dana | Kto ma do niej dostęp | Podstawa |
|---|---|---|
| PESEL, adres pobytu | placówka, ZUS (na e-ZLA), pracodawca (adres na e-ZLA) | art. 55 ust. 3 pkt 2 ustawy zasiłkowej |
| Opis wywiadu i objawów | wyłącznie placówka i uprawnione organy | art. 25 ust. 1 pkt 3 ustawy o prawach pacjenta |
| Rozpoznanie ICD-10 | placówka, ZUS — pracodawca NIE | art. 55 ust. 3 pkt 9 i art. 58 ust. 1 |
| Okres niezdolności do pracy | placówka, ZUS, płatnik składek | art. 55 ust. 3 pkt 5 |
| Kod literowy A–E | placówka, ZUS, płatnik składek | art. 57 ust. 1 ustawy zasiłkowej |
| Numer telefonu, adres e-mail | placówka (dane kontaktowe) | art. 6 ust. 1 lit. c i art. 9 ust. 2 lit. h RODO |
Szczegóły oznaczeń literowych opisuje osobny tekst o kodach na zwolnieniu lekarskim, a przebieg samej wizyty — artykuł o teleporadzie a zwolnieniu lekarskim.
Komu placówka może udostępnić twoją dokumentację medyczną
Art. 26 ustawy o prawach pacjenta zawiera zamkniętą listę odbiorców. Nie ma na niej pracodawcy, firmy ubezpieczeniowej bez twojej zgody ani rodziny za twojego życia bez upoważnienia. To najczęstsze źródło konfliktów wokół L4 wystawionego zdalnie.
| Odbiorca | Zakres | Podstawa |
|---|---|---|
| Pacjent lub osoba przez niego upoważniona | pełny | art. 26 ust. 1 |
| Inna placówka lecznicza | tylko gdy niezbędne dla ciągłości świadczeń | art. 26 ust. 3 pkt 1 |
| ZUS jako organ rentowy | w związku z prowadzonym postępowaniem | art. 26 ust. 3 pkt 5 |
| NFZ, Rzecznik Praw Pacjenta, samorząd lekarski | w zakresie nadzoru i kontroli | art. 26 ust. 3 pkt 2 |
| Sądy, prokuratura, rzecznik odpowiedzialności zawodowej | w związku z postępowaniem | art. 26 ust. 3 pkt 3 |
| Zakład ubezpieczeń (polisa prywatna) | wyłącznie za zgodą pacjenta | art. 26 ust. 3 pkt 7 |
| Pracodawca | brak podstawy — nie jest wymieniony | — |
Uwaga na „upoważnienie” w formularzu. Jeśli podpisujesz pracodawcy lub ubezpieczycielowi blankietową zgodę na wgląd w dokumentację, dajesz dostęp do całej historii leczenia, nie tylko do jednego zwolnienia. Zgoda z art. 26 ust. 3 pkt 7 powinna być zawężona zakresowo i czasowo.
Co trafia do ZUS, a co widzi pracodawca
Zaświadczenie lekarskie trafia na elektroniczną skrzynkę podawczą ZUS (art. 55 ust. 2 ustawy zasiłkowej). Dopiero ZUS udostępnia dokument płatnikowi składek na jego profilu informacyjnym — i robi to w wersji okrojonej.
Art. 58 ust. 1 stanowi wprost: ZUS udostępnia zaświadczenie płatnikowi bez informacji, o której mowa w art. 55 ust. 3 pkt 9 — czyli bez numeru statystycznego choroby według ICD-10. Wycięcie diagnozy nie jest uprzejmością ZUS, lecz obowiązkiem ustawowym.
| Element zaświadczenia | ZUS | Pracodawca (profil płatnika) |
|---|---|---|
| Identyfikator i data wystawienia | tak | tak |
| Dane ubezpieczonego, adres pobytu | tak | tak |
| Okres niezdolności do pracy | tak | tak |
| Wskazanie „chory może chodzić” / „powinien leżeć” | tak | tak |
| Kody literowe A–E | tak | tak |
| Numer statystyczny choroby (ICD-10) | tak | nie — usuwany na podstawie art. 58 ust. 1 |
| Opis wywiadu, wyniki badań, zalecenia | nie — pozostają w dokumentacji placówki | nie |
Dodatkowo art. 57 ust. 2 pozwala ubezpieczonemu złożyć pisemny wniosek o nieumieszczanie kodu „B” (ciąża) i „D” (gruźlica) na zaświadczeniu. To jedyne dwa kody objęte tym uprawnieniem. Zakres tego, co pracodawca faktycznie odczytuje, rozwija tekst czy pracodawca widzi powód L4.
Obowiązki placówki: bezpieczny kanał i uwierzytelnienie pacjenta
Rozporządzenie Ministra Zdrowia w sprawie standardu organizacyjnego teleporady w ramach POZ (t.j. Dz.U. 2022 poz. 1194) nadal obowiązuje i wyznacza minimum organizacyjne. Trzy jego punkty dotyczą wprost ochrony danych.
| Wymóg standardu | Co znaczy w praktyce | Podstawa |
|---|---|---|
| Potwierdzenie tożsamości przed poradą | weryfikacja na podstawie danych z art. 25 ust. 1 pkt 1 oraz kartoteki, dokumentu przy wideoporadzie albo konta pacjenta | § 3 pkt 3 |
| Warunki gwarantujące poufność | brak dostępu osób nieuprawnionych do przekazywanych informacji | § 3 pkt 5 |
| Bezpieczna transmisja dokumentów | rozwiązania techniczno-organizacyjne chroniące integralność i zapobiegające nieuprawnionemu dostępowi | § 3 pkt 6 |
| Adnotacja o formie świadczenia | wpis w dokumentacji, że poradę udzielono zdalnie | § 3 pkt 4 |
| Informacja o używanych systemach | publikacja na stronie placówki wykazu systemów łączności | § 3 pkt 1 lit. aa |
Do tego dochodzi rozporządzenie w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej (t.j. Dz.U. 2024 poz. 798 ze zm.). Uznaje ono dokumentację za zabezpieczoną tylko wtedy, gdy placówka prowadzi analizę ryzyka, stosuje udokumentowane procedury dostępu, aktualizuje oprogramowanie i zapewnia integralność wpisów.
Placówka postępuje prawidłowo, gdy
- potwierdza tożsamość przed rozmową o stanie zdrowia,
- publikuje wykaz używanych systemów teleinformatycznych,
- odnotowuje w dokumentacji formę teleporady.
Sygnały ostrzegawcze
- wywiad medyczny bez jakiejkolwiek weryfikacji tożsamości,
- skany dokumentacji wysyłane zwykłym e-mailem,
- odmowa wskazania administratora i danych kontaktowych IOD.
Nagrywanie teleporady — kto, kiedy i na jakiej podstawie
Ani ustawa o prawach pacjenta, ani standard teleporady nie nakazują rejestrowania rozmowy. Nagranie nie jest elementem dokumentacji z art. 25 ust. 1 — dokumentacją jest wpis lekarza, nie plik audio.
Jeżeli placówka nagrywa, musi mieć własną podstawę prawną i spełnić obowiązek informacyjny z art. 13 RODO przed rozpoczęciem rejestracji: cel, okres przechowywania, odbiorcy. Nagranie jest daną o zdrowiu, więc podlega reżimowi art. 9 RODO.
| Sytuacja | Dopuszczalność | Warunek |
|---|---|---|
| Placówka nagrywa rozmowę | możliwa | podstawa prawna + obowiązek informacyjny z art. 13 RODO |
| Pacjent nagrywa własną wizytę na potrzeby prywatne | co do zasady możliwa | wyłączenie „domowe” z art. 2 ust. 2 lit. c RODO |
| Pacjent publikuje nagranie z wizerunkiem lekarza | ryzykowna | wyłączenie domowe przestaje działać, dochodzą dobra osobiste |
| Pracodawca żąda nagrania teleporady | brak podstawy | nie jest odbiorcą z art. 26 ustawy |
| Nagranie zamiast wpisu w dokumentacji | niedopuszczalna | dokumentacja musi zawierać elementy z art. 25 ust. 1 |
Prawa pacjenta wobec administratora i okresy przechowywania
Masz prawo dostępu do dokumentacji (art. 23 ust. 1 ustawy o prawach pacjenta) w formie wglądu, wyciągu, odpisu, kopii, wydruku, na nośniku danych albo przez środki komunikacji elektronicznej (art. 27 ust. 1). Pierwsze udostępnienie w żądanym zakresie jest bezpłatne — art. 28 ust. 2a pkt 1.
Za kolejne placówka może pobrać opłatę, ale ustawowo limitowaną: maksymalnie 0,002 przeciętnego wynagrodzenia za stronę wyciągu lub odpisu, 0,00007 za stronę kopii lub wydruku i 0,0004 za udostępnienie na informatycznym nośniku danych (art. 28 ust. 4).
| Okres | Czego dotyczy | Podstawa |
|---|---|---|
| 20 lat | zasada ogólna, od końca roku ostatniego wpisu | art. 29 ust. 1 |
| 30 lat | zgon wskutek uszkodzenia ciała lub zatrucia | art. 29 ust. 1 pkt 1 |
| 22 lata | dokumentacja dzieci do ukończenia 2. roku życia | art. 29 ust. 1 pkt 4 |
| 10 lat | zdjęcia rentgenowskie poza dokumentacją pacjenta | art. 29 ust. 1 pkt 2 |
| 5 lat | skierowania na badania i zlecenia lekarza | art. 29 ust. 1 pkt 3 lit. a |
Prawo do usunięcia nie działa na kartotekę. Dopóki biegną ustawowe okresy przechowywania, żądanie z art. 17 RODO nie doprowadzi do skasowania dokumentacji — obowiązek prawny administratora ma pierwszeństwo. Realne narzędzia to dostęp, kopia i sprostowanie danych identyfikacyjnych.
Obalenie popularnych mitów o ochronie danych przy L4 online
| Mit | Rzeczywistość | Źródło |
|---|---|---|
| „Pracodawca może zadzwonić do przychodni i zapytać o diagnozę” | Nie jest odbiorcą dokumentacji z zamkniętej listy, a personel wiąże tajemnica | art. 26 ust. 3 i art. 13–14 ustawy o prawach pacjenta |
| „ZUS przekazuje szefowi kod ICD-10″ | ZUS udostępnia zaświadczenie płatnikowi bez numeru statystycznego choroby | art. 58 ust. 1 w zw. z art. 55 ust. 3 pkt 9 |
| „Można wnioskować o ukrycie każdego kodu literowego” | Wniosek obejmuje wyłącznie kody „B” i „D” | art. 57 ust. 2 ustawy zasiłkowej |
| „Teleporada to gorsza forma, więc dokumentacja jest uproszczona” | Badanie zdalne zrównane z osobistym, dokumentacja pełna, plus adnotacja o formie | art. 42 ust. 1 ustawy o zawodach lekarza, § 3 pkt 4 standardu |
| „Mogę zażądać skasowania kartoteki po wizycie” | Ustawowy obowiązek przechowywania wyprzedza prawo do usunięcia | art. 29 ust. 1 ustawy o prawach pacjenta, art. 17 ust. 3 lit. b RODO |
Gdzie zgłosić naruszenie ochrony danych
Naruszeniem jest m.in. wysłanie dokumentacji na cudzy adres, wyciek bazy pacjentów, dostęp osoby nieupoważnionej do kartoteki albo przekazanie rozpoznania pracodawcy. Ścieżki reakcji można łączyć.
- Zgłoś administratorowi. Napisz do placówki i do inspektora ochrony danych (IOD). Administrator ma obowiązek zgłosić naruszenie Prezesowi UODO bez zbędnej zwłoki, nie później niż w 72 godziny od stwierdzenia (art. 33 RODO), a przy wysokim ryzyku — zawiadomić też ciebie (art. 34 RODO).
- Skarga do Prezesa UODO. Przysługuje na podstawie art. 77 RODO. Postępowanie dotyczy legalności przetwarzania i może zakończyć się nakazem oraz administracyjną karą pieniężną.
- Wniosek do Rzecznika Praw Pacjenta. Właściwy, gdy naruszono prawo do tajemnicy (art. 13) lub prawo dostępu do dokumentacji (art. 23). RPP bada sprawę pod kątem naruszenia praw pacjenta, nie samego RODO.
- Droga cywilna. Niezależnie od powyższych możesz dochodzić odszkodowania za szkodę wynikłą z naruszenia (art. 82 RODO) oraz zadośćuczynienia za naruszenie dóbr osobistych.
| Organ | Czym się zajmuje | Efekt postępowania |
|---|---|---|
| Inspektor ochrony danych placówki | pierwszy kontakt, wyjaśnienie i zabezpieczenie | usunięcie skutków, informacja zwrotna |
| Prezes UODO | legalność przetwarzania danych | nakaz, upomnienie, kara pieniężna |
| Rzecznik Praw Pacjenta | naruszenie praw pacjenta | wystąpienie, decyzja w sprawie praktyk zbiorowych |
| Okręgowy rzecznik odpowiedzialności zawodowej | naruszenie tajemnicy przez lekarza | postępowanie przed sądem lekarskim |
| Sąd cywilny | odszkodowanie i zadośćuczynienie | wyrok zasądzający |
Warto zapamiętać
- Dane o zdrowiu z teleporady to szczególna kategoria danych z art. 9 RODO — placówka przetwarza je na podstawie art. 9 ust. 2 lit. h, nie twojej zgody.
- Lista odbiorców dokumentacji medycznej z art. 26 ustawy o prawach pacjenta jest zamknięta i nie obejmuje pracodawcy.
- ZUS usuwa numer statystyczny choroby przed udostępnieniem zaświadczenia płatnikowi składek (art. 58 ust. 1).
- Standard teleporady w POZ wymaga potwierdzenia tożsamości pacjenta, poufności rozmowy i bezpiecznej transmisji dokumentów.
- Pierwsze udostępnienie dokumentacji jest bezpłatne, a naruszenie zgłaszasz do IOD, Prezesa UODO lub Rzecznika Praw Pacjenta.
Chcesz wiedzieć, co dokładnie zobaczy twój pracodawca?
Zobacz, które pola zaświadczenia trafiają na profil płatnika, a które ZUS wycina z mocy ustawy. Sprawdź zakres danych na e-ZLA →
Przeczytaj też
- L4 online a kontrola ZUS — czy teleporada zwiększa ryzyko
- Serwisy z L4 online — na co uważać przy wyborze
Źródła
- Urząd Ochrony Danych Osobowych
- Internetowy System Aktów Prawnych
- Zakład Ubezpieczeń Społecznych
- Naczelna Izba Lekarska
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na sierpień 2026 r. W sprawach indywidualnych skontaktuj się z Urzędem Ochrony Danych Osobowych, Rzecznikiem Praw Pacjenta lub prawnikiem. W przygotowaniu tego materiału wykorzystano narzędzia sztucznej inteligencji; treść została zweryfikowana redakcyjnie w oparciu o wskazane źródła.