Samodzielny Publiczny Zakład Opieki Zdrowotnej z siedzibą w Rawie Mazowieckiej (96-200 Rawa Mazowiecka) przy ulicy Warszawskiej 14 (dalej: „Szpital” lub „Administrator”), informuje o naruszeniu ochrony danych osobowych, które może dotyczyć części pacjentów Pracowni Endoskopii. Niniejszy komunikat stanowi publiczne zawiadomienie o naruszeniu ochrony danych osobowych, realizowane na podstawie art. 34 ust. 3 lit. c RODO. Zawiadomienie skierowane jest do pacjentów, których dokumentacja medyczna mogła zostać objęta zdarzeniem, i ma na celu przekazanie informacji o jego okolicznościach, możliwych konsekwencjach oraz zalecanych środkach ostrożności.

1. Charakter i okoliczności naruszenia

Na polecenie Dyrektora Szpitala przeprowadzono wewnętrzną weryfikację kompletności dokumentacji medycznej dotyczącej znieczuleń wykonywanych u pacjentów Pracowni Endoskopii. Celem podjętych czynności było sprawdzenie prawidłowości prowadzenia i przechowywania dokumentacji medycznej oraz ustalenie, czy Szpital dysponuje wszystkimi wymaganymi dokumentami.

W toku prowadzonych działań ujawniono rozbieżności dotyczące kompletności dokumentacji za 2024 r. W związku z powyższym podjęto czynności wyjaśniające i poszukiwawcze, obejmujące sprawdzenie dokumentacji znajdującej się w zasobach Szpitala oraz przechowywanej przez zewnętrzną firmę archiwizacyjną.

Pomimo przeprowadzonych poszukiwań oraz odnalezienia części dokumentów nie udało się wyjaśnić wszystkich stwierdzonych rozbieżności. W związku z tym zlecono dodatkową weryfikację dokumentacji archiwalnej, obejmującą również sprawdzenie, czy poszukiwane dokumenty nie zostały omyłkowo umieszczone w innych zbiorach.

W dniu 21 października 2026 r., w wyniku przeprowadzonych czynności weryfikacyjnych, potwierdzono brak części papierowych kart znieczuleń dotyczących okresu od stycznia do maja 2024 r., związanych ze świadczeniami medycznymi udzielanymi pacjentom Pracowni Endoskopii.

Karty znieczuleń prowadzone były wyłącznie w formie papierowej. Zawierały dane identyfikacyjne pacjentów, w szczególności imię, nazwisko, numer PESEL, datę urodzenia, wzrost i masę ciała, a także informacje dotyczące stanu zdrowia, zastosowanych leków oraz rodzaju i przebiegu znieczulenia. Z dokumentacją tą powiązane były również ankiety przedoperacyjne oraz karty obserwacji po znieczuleniu.

Na obecnym etapie nie ustalono dokładnych okoliczności zaginięcia dokumentacji ani miejsca, w którym mogą znajdować się brakujące dokumenty. Nie potwierdzono ich udostępnienia osobom nieuprawnionym, jednak z uwagi na brak możliwości ustalenia ich aktualnego miejsca przechowywania nie można całkowicie wykluczyć takiej możliwości.

Zdarzenie zostało zakwalifikowane jako naruszenie ochrony danych osobowych polegające na utracie dostępności części dokumentacji medycznej, przy jednoczesnym ryzyku naruszenia poufności zawartych w niej informacji.

2. Możliwe konsekwencje dla osób, których dane dotyczą

Z uwagi na nieustalone miejsce przechowywania części dokumentacji, obejmującej dane identyfikacyjne oraz informacje dotyczące zdrowia, informuje się o możliwych konsekwencjach naruszenia. Poniższe zagrożenia mają charakter potencjalny, dotychczas nie potwierdzono ujawnienia ani wykorzystania tych danych przez osoby nieuprawnione:

• utrata kontroli nad własnymi danymi oraz możliwość nieuprawnionego zapoznania się z informacjami o stanie zdrowia i przebiegu leczenia;
• próby podszywania się pod pacjenta, wyłudzania dodatkowych danych (np. danych płatniczych) lub uporczywego kontaktowania się z pacjentem z wykorzystaniem jego danych identyfikacyjnych;
• próby kradzieży lub sfałszowania tożsamości, w tym nieuprawnionego posługiwania się numerem PESEL, np. w celu wyłudzenia pożyczki lub innego zobowiązania, a w konsekwencji potencjalne straty finansowe;
• próby wykorzystania danych do rejestrowania usług na cudze dane, w tym kart telefonicznych typu prepaid;
• próby uzyskania informacji o pacjencie lub dostępu do świadczeń zdrowotnych przez osobę podszywającą się pod pacjenta w kontakcie z podmiotem medycznym;
• naruszenie prywatności, dobrego imienia lub innych dóbr osobistych, a także ryzyko stygmatyzacji lub dyskryminacji w związku z ewentualnym ujawnieniem informacji dotyczących zdrowia;
• stres, niepokój, poczucie zagrożenia i utraty prywatności oraz inne negatywne skutki dla dobrostanu psychicznego, zwłaszcza w razie ujawnienia wrażliwych informacji medycznych;
• utrudnienia w uzyskaniu pełnej dokumentacji znieczulenia oraz odtworzeniu informacji o przebiegu udzielonego świadczenia.

Wymienione skutki stanowią możliwe zagrożenia, a nie potwierdzone następstwa zdarzenia. Dotychczas nie stwierdzono nieuprawnionego wykorzystania danych pacjentów ani konkretnych negatywnych konsekwencji dla procesu udzielania świadczeń zdrowotnych.

3. Środki podjęte i planowane przez Szpital

Podjęto czynności wyjaśniające i poszukiwawcze, obejmujące sprawdzenie dokumentacji w Szpitalu i w zewnętrznym archiwum. Przeprowadzono analizę ryzyka, a w dniu 23 października 2026 r. zgłoszono naruszenie Prezesowi Urzędu Ochrony Danych Osobowych.

Dyrektor Szpitala powołał Komisję Inwentaryzacyjną, której zadaniem jest przeprowadzenie szczegółowej weryfikacji dokumentacji medycznej oraz wyjaśnienie stwierdzonych nieprawidłowości. Prace Komisji pozostają w toku, a ich wyniki posłużą do ostatecznego określenia zakresu zdarzenia, oceny jego potencjalnych konsekwencji oraz wdrożenia ewentualnych dodatkowych działań zaradczych. Istotne ustalenia zostaną również uwzględnione w dokumentacji naruszenia oraz przekazane Prezesowi Urzędu Ochrony Danych Osobowych.

Przewidziano także przegląd zasad przechowywania, przekazywania i archiwizowania papierowej dokumentacji medycznej, w tym kontroli jej kompletności, ewidencji obiegu dokumentów i zasad dostępu.

4. Zalecane działania ostrożnościowe

Osobom, których dokumentacja mogła być objęta zdarzeniem, zaleca się w szczególności:

• zachowanie ostrożności wobec nieoczekiwanych telefonów, wiadomości SMS i e-maili, zwłaszcza zawierających prośby o podanie numeru PESEL, informacji o zdrowiu, danych do logowania lub danych finansowych;
• weryfikowanie osób podających się za pracowników Szpitala poprzez samodzielny kontakt z placówką, z wykorzystaniem jej oficjalnych danych kontaktowych;
• rozważenie bezpłatnego zastrzeżenia numeru PESEL (np. w aplikacji mObywatel, serwisie gov.pl lub urzędzie gminy) oraz monitorowanie sygnałów mogących wskazywać na próby nieuprawnionego wykorzystania tożsamości;
• zwracanie uwagi na nieznane zobowiązania i nietypową aktywność finansową; w razie potrzeby można skorzystać z dostępnych narzędzi monitorowania informacji kredytowej, np. Biura Informacji Kredytowej;
• w przypadku podejrzenia próby wyłudzenia pożyczki, oszustwa lub użycia danych bez zgody – kontakt z właściwą instytucją finansową, Policją lub usługodawcą oraz zachowanie otrzymanej korespondencji i innych dowodów;
• w razie silnego stresu, niepokoju lub innych trudności psychicznych związanych z możliwością ujawnienia informacji o zdrowiu – rozważenie skorzystania ze wsparcia psychologicznego lub konsultacji z odpowiednim specjalistą;
• w razie stwierdzenia naruszenia prywatności, dobrego imienia lub innych dóbr osobistych – rozważenie skorzystania ze środków ochrony prawnej przewidzianych w Kodeksie cywilnym i Kodeksie postępowania cywilnego;
• w przypadku pytań o bezpieczeństwo danych lub dostępność dokumentacji medycznej – kontakt ze Szpitalem w sposób wskazany poniżej.

Zalecenia mają charakter zapobiegawczy i nie oznaczają, że potwierdzono wykorzystanie danych konkretnego pacjenta przez osoby nieuprawnione.

5. Dane kontaktowe i dalsze informacje

Zastępca Inspektora Ochrony Danych: Michał Paprocki

Adres e-mail: iodo@szpitalrawa.pl

Adres do korespondencji: Samodzielny Publiczny Zakład Opieki Zdrowotnej w Rawie Mazowieckiej, 96-200 Rawa Mazowiecka, ul. Warszawska 14 z dopiskiem „Inspektor Ochrony Danych”

Telefon kontaktowy: +48 570-702-678

Sekretariat Medyczny – kontakt w sprawach dotyczących dokumentacji medycznej:

Telefon kontaktowy: +48 729 059 516

Adres e-mail: wypisy@szpitalrawa.pl

W sprawach związanych z naruszeniem ochrony danych osobowych można kontaktować się z Zastępcą Inspektora Ochrony Danych, natomiast w sprawach kompletności, dostępności i udostępniania dokumentacji medycznej z Sekretariatem Medycznym. Przekazanie informacji dotyczących konkretnego pacjenta może wymagać uprzedniego potwierdzenia jego tożsamości. Ze względów bezpieczeństwa w pierwszej, niezabezpieczonej wiadomości e-mail nie należy przesyłać numeru PESEL ani szczegółowych danych o stanie zdrowia.

Szpital wyraża ubolewanie z powodu zdarzenia i obaw, jakie może ono wywoływać, oraz kontynuuje działania mające na celu ochronę danych osobowych pacjentów.

Pełny komunikat można pobrać >TUTAJ<