Twoje dane medyczne w Unii Europejskiej: RODO, EHDS i prawa, które naprawdę masz

Twoje wyniki badań są w laboratorium. Karta wypisowa w szpitalu. Recepty w aptece i w systemie krajowym. Wszystkie są „Twoje” w sensie moralnym, ale przez lata prawo nie mówiło jasno, że możesz ich zażądać elektronicznie, otrzymać od razu, w użytecznym formacie, i zabrać, dokąd chcesz. Od 2025 r. mówi.

Ten poradnik wyjaśnia, przystępnie, dwie ustawy, które rządzą Twoimi danymi medycznymi w Unii Europejskiej: RODO, obowiązujące od 2018 r., i EHDS, rozporządzenie o Europejskiej Przestrzeni Danych dotyczących Zdrowia, obowiązujące od marca 2025 r. i stosowane etapami do 2031 r. To nie tekst prawny; to mapa praw, które masz, i momentu, w którym stają się konkretne.

RODO: dane zdrowotne są „szczególną kategorią”

Ogólne rozporządzenie o ochronie danych (RODO) traktuje dane o zdrowiu osobno: są szczególną kategorią, opisaną w art. 9, obok danych genetycznych i biometrycznych. Ich przetwarzanie jest co do zasady zabronione, z precyzyjnymi wyjątkami: Twoja wyraźna zgoda, opieka medyczna, interes publiczny w dziedzinie zdrowia, badania naukowe z zabezpieczeniami.

Co to znaczy dla Ciebie, konkretnie:

• Każda aplikacja, laboratorium czy przychodnia przetwarzająca Twoje dane zdrowotne musi mieć jasną podstawę prawną i powiedzieć Ci, prostym językiem, co z nimi robi.
• Masz ogólne prawa z RODO także wobec danych medycznych: dostęp (zobaczyć, co o Tobie mają), sprostowanie, usunięcie (z ograniczeniami, bo dokumentacja medyczna ma ustawowe okresy przechowywania), przenoszenie (otrzymać dane w ustrukturyzowanym, powszechnie używanym, nadającym się do odczytu maszynowego formacie) i prawo sprzeciwu wobec niektórych przetwarzań.
• Termin odpowiedzi na wniosek o dostęp to miesiąc, przedłużalny o dwa miesiące w sprawach złożonych. Dostęp jest bezpłatny.
• Hosting ma znaczenie. Dane mogą być przekazywane poza UE tylko z zabezpieczeniami (decyzje o adekwatności, standardowe klauzule). Aplikacja, która trzyma Twoje dane w UE, eliminuje tę kwestię.

RODO dało prawa. Czego nie dało, to format i infrastruktura: mogłeś żądać dostępu, ale dostawałeś PDF albo stos papieru, po miesiącach, a szpital nie musiał umieć wysłać ich do innego szpitala. Dokładnie tę lukę wypełnia EHDS.

EHDS: czym jest i dlaczego ma znaczenie

Rozporządzenie (UE) 2025/327 w sprawie Europejskiej Przestrzeni Danych dotyczących Zdrowia opublikowano w marcu 2025 r. i weszło w życie 26 marca 2025 r. To pierwszy akt europejski, który mówi, dla wszystkich 27 państw członkowskich, jak dane zdrowotne mają przepływać: między Tobą a lekarzami („wykorzystanie pierwotne”) oraz, na ścisłych zasadach, do badań i polityki publicznej („wykorzystanie wtórne”).

Trzy główne idee:

1. Masz elektroniczny, natychmiastowy i bezpłatny dostęp do swoich danych zdrowotnych przez krajową usługę dostępu i możesz je pobrać, uzupełnić, ograniczyć i zobaczyć, kto je czytał.
2. Dane przepływają we wspólnym formacie (europejski format wymiany elektronicznej dokumentacji medycznej, EEHRxF), oparty na standardach takich jak HL7 FHIR, tak by szpital w Hiszpanii mógł odczytać Twoje podsumowanie z Rumunii.
3. Systemy elektronicznej dokumentacji medycznej muszą spełniać wspólne wymogi interoperacyjności i logowania dostępu, z deklaracją zgodności, czymś w rodzaju oznakowania CE dla oprogramowania medycznego.

Twoje prawa na gruncie EHDS, jedno po drugim

Artykuły rozdziału II rozporządzenia dają Ci, konkretnie:

Dostęp. Prawo dostępu do swoich elektronicznych danych zdrowotnych natychmiast, bezpłatnie i w łatwej do odczytu formie, przez usługę dostępu Twojego kraju. „Natychmiast” znaczy bez pisemnego wniosku i bez miesięcznego oczekiwania z RODO, z jednym wyjątkiem: lekarz może opóźnić dostęp do niektórych wyników (np. poważnej diagnozy), dopóki nie przekaże Ci ich osobiście.

Pobranie. Prawo otrzymania elektronicznej kopii w europejskim formacie wymiany, przynajmniej dla kategorii priorytetowych, i przekazania jej wybranemu świadczeniodawcy w dowolnym państwie członkowskim.

Uzupełnienie. Prawo dodania informacji do swojej elektronicznej dokumentacji (np. pomiarów domowych), wyraźnie oznaczonych jako wprowadzone przez Ciebie, by lekarz odróżnił je od danych klinicznych.

Sprostowanie. Prawo żądania poprawy błędnych danych, online, przez usługę dostępu.

Ograniczenie. Prawo ograniczenia dostępu specjalistów do niektórych danych lub całej dokumentacji; kto ogranicza, jest informowany, że w nagłym wypadku brak informacji może wpłynąć na opiekę.

Informacja o dostępie. Prawo zobaczenia, kto uzyskał dostęp do Twoich danych, kiedy i z jakiej instytucji: dziennik dostępu staje się obowiązkowy i widoczny dla pacjenta.

Pełnomocnictwo. Prawo wyznaczenia innej osoby (rodzica, dorosłego dziecka, opiekuna), która uzyska dostęp do Twoich danych w Twoim imieniu.

Sprzeciw wobec wykorzystania wtórnego. Prawo sprzeciwu wobec użycia Twoich (spseudonimizowanych lub zanonimizowanych) danych do badań, statystyki lub polityki publicznej, na warunkach ustalonych przez każde państwo. Nie jest to prawo bezwzględne, ale istnieje i państwa muszą je wdrożyć.

Kategorie priorytetowe: co przepływa najpierw

EHDS nie wymaga, by wszystko było dostępne od pierwszego dnia. Definiuje kategorie priorytetowe elektronicznych danych zdrowotnych, które muszą istnieć w europejskim formacie wymiany i być dostępne oraz przekazywalne:

1. Podsumowanie pacjenta (alergie, leki, choroby, szczepienia; w praktyce Międzynarodowe Podsumowanie Pacjenta lub jego europejski odpowiednik).
2. Recepty elektroniczne i elektroniczne realizacje recept.
3. Obrazowanie medyczne i jego opisy.
4. Wyniki laboratoryjne.
5. Karty wypisowe.

Na poziomie europejskim infrastruktura MyHealth@EU (dawniej eHDSI) łączy już krajowe punkty kontaktowe i umożliwia, między połączonymi krajami, wymianę podsumowań pacjenta i e-recept. EHDS czyni ją obowiązkową i rozszerza na pozostałe kategorie.

Kiedy naprawdę obowiązuje

Tu większość artykułów prasowych się myli. Rozporządzenie weszło w życie w 2025 r., ale stosuje się je etapami:

• 26 marca 2027 r.: ogólne stosowanie rozporządzenia; państwa muszą mieć organy ds. e-zdrowia i organy ds. dostępu do danych, a podstawowe zasady zaczynają działać.
• 26 marca 2029 r.: prawa pacjentów i obowiązki świadczeniodawców dla podsumowania pacjenta i e-recept (pierwsze dwie kategorie priorytetowe), wymogi dla systemów elektronicznej dokumentacji i pierwszy etap wykorzystania wtórnego.
• 26 marca 2031 r.: te same obowiązki dla obrazowania, wyników laboratoryjnych i kart wypisowych, plus reszta wykorzystania wtórnego.
• Dla państw, które tego potrzebują, niektóre terminy mogą być wydłużone, z powiadomieniem Komisji.

Co to znaczy dla Ciebie: prawa z RODO masz już teraz. Prawa z EHDS stają się egzekwowalne stopniowo, począwszy od podsumowania i recept w 2029 r. Do tego czasu wiele państw i świadczeniodawców wdraża je dobrowolnie lub przez prawo krajowe, a poważne aplikacje już budują na europejskim formacie.

Co to znaczy dla aplikacji, których używasz

EHDS reguluje głównie systemy używane przez świadczeniodawców i krajowe usługi dostępu. Aplikacje wellness (fitness, sen, odżywianie) mają reżim dobrowolny: producent może zadeklarować, że aplikacja jest interoperacyjna z systemem elektronicznej dokumentacji, i zarejestrować ją w europejskiej bazie; nie jest to obowiązek. Aplikacje prowadzące Twoją osobistą dokumentację medyczną są między dwoma światami: nie są świadczeniodawcami, ale ich wartość rośnie wprost z tym, jak ściśle trzymają się europejskiego formatu.

Pytania, które warto zadać aplikacji w duchu EHDS:

• Czy trzyma moje dane w standardowym formacie (FHIR, z kodami) i eksportuje je w całości, bym mógł zanieść je świadczeniodawcy lub do krajowej usługi dostępu?
• Czy pokazuje mi, kto miał dostęp do czego w mojej dokumentacji?
• Czy pozwala mi nadawać i cofać dostęp według kategorii i okresów?
• Czy wyraźnie oznacza to, co wprowadziłem ja, w odróżnieniu od tego, co pochodzi od lekarza lub laboratorium (pochodzenie)?
• Czy hostuje moje dane w UE?

Jeśli odpowiedzi brzmią „tak”, aplikacja jest już tam, gdzie prawo europejskie chce doprowadzić cały system.

Jak korzystać ze swoich praw, dziś

Nie musisz czekać na 2029 r., by zacząć.

1. Zażądaj dostępu, na gruncie RODO, od każdego świadczeniodawcy, który ma dane o Tobie: szpitala, laboratorium, prywatnej przychodni. Na piśmie, powołując się na art. 15 RODO; mają miesiąc na odpowiedź. Poproś o format elektroniczny i, jeśli mogą, ustrukturyzowany.
2. Korzystaj z portalu krajowego, gdzie istnieje. W Polsce Internetowe Konto Pacjenta oferuje już e-recepty, e-skierowania i część wyników; sprawdź, co możesz pobrać.
3. Wprowadź to, co otrzymasz, do swojej osobistej dokumentacji, zakodowane, by było eksportowalne i porównywalne. Poradnik o wynikach badań wyjaśnia, dlaczego kody mają znaczenie.
4. Poproś o dziennik dostępu tam, gdzie już istnieje (niektóre systemy krajowe go oferują), i przyzwyczaj się go czytać.
5. Napisz na adres privacy@ każdej usługi, gdy coś jest niejasne. Poważne usługi mają dedykowany adres i odpowiadają.

Jak pomaga Anpheros

Anpheros jest zbudowany na zasadach EHDS, zanim staną się obowiązkowe: Twoja dokumentacja jest zapisana jako zasoby HL7 FHIR R4 ze standardowymi kodami, w Unii Europejskiej; możesz ją wyeksportować w całości w każdej chwili, także jako podsumowanie IPS; każdy dostęp przychodni, aplikacji lub asystenta AI wymaga Twojej zgody, na ograniczony czas, odwoływalnej, i pozostaje w dzienniku, który widzisz; każda dana ma oznaczone pochodzenie (wprowadzona przez Ciebie, zeskanowana z dokumentu, z urządzenia lub od świadczeniodawcy). Wnioski dotyczące Twoich danych, w tym usunięcie konta, są obsługiwane pod adresem privacy@anpheros.com, w terminach RODO.

Najczęstsze pytania

Czy EHDS oznacza, że każdy w Europie może zobaczyć moje dane?

Nie. EHDS reguluje dostęp pracowników ochrony zdrowia, którzy Cię leczą, z logowaniem i Twoim prawem do ograniczenia, oraz wykorzystanie wtórne na danych spseudonimizowanych, za zezwoleniem organu dostępu i z prawem sprzeciwu. Nie tworzy centralnej europejskiej bazy z dokumentacją wszystkich.

Czy mogę dziś zażądać swoich danych w formacie FHIR?

Na gruncie RODO możesz żądać przenoszenia w „ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego”; świadczeniodawca decyduje o dokładnym formacie i nie musi oferować FHIR. Na gruncie EHDS, od 2029 r. dla podsumowania i recept, europejski format wymiany staje się obowiązkowy. Do tego czasu pytaj: wiele systemów już potrafi.

Czy moje dane w aplikacji dokumentacji osobistej podlegają EHDS?

Sama aplikacja nie jest świadczeniodawcą, więc obowiązki EHDS dla świadczeniodawców nie stosują się do niej bezpośrednio; RODO stosuje się do niej w pełni. EHDS ma dla niej znaczenie pośrednio: im bardziej używa europejskiego formatu, tym łatwiej Twoje dane trafią do systemów regulowanych.

Czy mogę odmówić wykorzystania moich danych do badań?

Tak, EHDS przewiduje prawo sprzeciwu wobec wykorzystania wtórnego, wdrażane przez każde państwo (konkretny mechanizm się różni). Dane używane do badań są spseudonimizowane lub zanonimizowane i dostępne tylko w bezpiecznych środowiskach, nie pobierane swobodnie.

Co zrobić, jeśli szpital odmawia wydania moich danych?

Wyślij wniosek na piśmie, powołując się na art. 15 RODO, i zachowaj dowód. Jeśli nie otrzymasz odpowiedzi w miesiąc (lub trzy, z uzasadnieniem), masz prawo złożyć skargę do Prezesa UODO. Od 2029 r., dla kategorii priorytetowych, będziesz miał też drogę przez krajową usługę dostępu.