Artykuł 9 RODO dotyczące danych o stanie zdrowia

Krótka odpowiedź: zgodnie z RODO, dane dotyczące zdrowia należą do szczególnych kategorii. Artykuł 9 ust. 1 zabrania ich przetwarzania; artykuł 9 ust. 2 wymienia wyjątki, które uchylają ten zakaz. Dla zespołu produktowego istotne są cztery: (a) wyraźna zgoda osoby, (h) świadczenie opieki zdrowotnej przez lub pod odpowiedzialnością zawodową osoby podlegającej obowiązkowi zachowania tajemnicy, (i) ochrona zdrowia publicznego oraz (j) badania naukowe z zabezpieczeniami przewidzianymi w artykule 89. Wyjątek z artykułu 9 jest potrzebny dodatkowo do zwykłej podstawy prawnej z artykułu 6, a nie zamiast niej. Przetwarzanie danych o zdrowiu na dużą skalę uruchamia również ocenę skutków dla ochrony danych (DPIA) (artykuł 35) i wymaga inspektora ochrony danych (DPO) (artykuł 37).

Co jest uważane za dane o zdrowiu

Zgodnie z RODO, dane dotyczące zdrowia to dane osobowe związane ze zdrowiem fizycznym lub psychicznym osoby, w tym świadczenie usług opieki zdrowotnej, które ujawniają informacje o jej stanie zdrowia (art. 4 ust. 15). W szerokim rozumieniu obejmuje to wyniki badań laboratoryjnych, diagnozy, leki, wizyty lekarskie i zwolnienia chorobowe, a także wszelkie dane, na podstawie których można wywnioskować o stanie zdrowia.

Artykuł 4 ust. 15 definiuje dane dotyczące zdrowia jako dane osobowe odnoszące się do zdrowia fizycznego lub psychicznego osoby, w tym do świadczenia usług opieki zdrowotnej, które ujawniają informacje o jej stanie zdrowia. Motywy 35 i orzecznictwo interpretują to szeroko: wynik badania laboratoryjnego, diagnoza, lek, wizyta u lekarza, zwolnienie lekarskie, liczba kroków połączona z chorobą serca, wyszukiwanie objawu powiązanego z kontem. Dane, które ujawniają stan zdrowia, są danymi o zdrowiu, nawet jeśli nie zostały zebrane jako takie. Trybunał Sprawiedliwości potwierdził w 2022 r. (OT, C-184/20), że dane, z których można wywnioskować fakt należący do szczególnej kategorii, same w sobie stanowią dane należące do szczególnej kategorii.

Istotne wyjątki

Wyjątki z art. 9 ust. 2 RODO, które są najważniejsze dla produktów związanych ze zdrowiem, to: wyraźna zgoda (a), stosowana przez konsumenckie aplikacje zdrowotne i rejestry kontrolowane przez pacjentów; świadczenie opieki zdrowotnej (h), stosowane przez kliniki i ich dostawców oprogramowania podlegających tajemnicy zawodowej; zdrowie publiczne (i); badania naukowe (j) z zabezpieczeniami z art. 89; oraz istotny interes publiczny (g), na którym opiera się EHDS w przypadku wtórnego wykorzystania danych.

Artykuł 9 ust. 2	Kto zazwyczaj z niego korzysta	Warunki
(a) Wyraźna zgoda	Aplikacje zdrowotne dla konsumentów, usługi wellness, rejestry kontrolowane przez pacjenta	Dobrowolna, konkretna, świadoma, jednoznaczna, poprzez wyraźne działanie potwierdzające, łatwa do wycofania tak jak do udzielenia; niepołączona z usługą, chyba że usługa potrzebuje tych danych
(c) Żywotne interesy	Dostęp w nagłych wypadkach	Tylko gdy osoba jest fizycznie lub prawnie niezdolna do wyrażenia zgody
(h) Świadczenie opieki zdrowotnej	Przychodnie, szpitale, lekarze rodzinni, ich dostawcy oprogramowania jako podmioty przetwarzające	Niezbędne do diagnozy, opieki, leczenia lub zarządzania systemami opieki zdrowotnej, na mocy prawa UE lub krajowego lub umowy z profesjonalistą, i pod rygorem tajemnicy zawodowej (artykuł 9 ust. 3)
(i) Ochrona zdrowia publicznego	Organy ds. zdrowia publicznego, farmakowigilancja	Na podstawie prawa przewidującego odpowiednie środki
(j) Badania, statystyka, archiwizacja	Instytuty badawcze, rejestry, platformy umożliwiające badania	Na podstawie prawa, proporcjonalne, z zabezpieczeniami z artykułu 89 (pseudonimizacja, minimalizacja danych)
(g) Istotny interes publiczny	Krajowe infrastruktury danych o zdrowiu	Na podstawie prawa; EHDS opiera się na nim w zakresie wtórnego wykorzystania

Osobisty rejestr zdrowia kontrolowany przez pacjenta działa w oparciu o (a): osoba decyduje, co przechowywać i z kim się tym dzielić. Przychodnia wpisująca dane do tego rejestru działa w oparciu o (h) w zakresie własnego przetwarzania, a zgoda pacjenta reguluje udostępnianie. Platforma, która obsługuje obie strony, jest podmiotem przetwarzającym dla przychodni (umowa z artykułu 28) i administratorem dla konta, które oferuje osobie. Zapisywanie tego, zgodnie z każdą operacją przetwarzania, stanowi rdzeń rejestrów wymaganych przez artykuł 30.

Zgoda, która faktycznie obowiązuje

Wyraźna zgoda na przetwarzanie danych dotyczących zdrowia zgodnie z RODO jest ważna tylko wtedy, gdy stanowi odrębne, konkretne oświadczenie dla każdego celu, udzielone przez wyraźne działanie potwierdzające, z informacją o odbiorcach, zarejestrowane z podaniem czasu i sposobu, i możliwe do wycofania tak samo łatwo, jak zostało udzielone. Wcześniej zaznaczone pola, połączone cele i aplikacje niedostępne bez zgody na analizę zostały uznane za nieważne.

Organy regulacyjne wielokrotnie unieważniały zgody dla aplikacji zdrowotnych z tych samych powodów: zaznaczone pola wyboru; zgoda żądana na wszystko naraz; brak możliwości korzystania z aplikacji bez zgody na analizę; teksty zgody nie wymieniające odbiorców; brak możliwości wycofania. Ważna wyraźna zgoda na dane o zdrowiu oznacza odrębne, konkretne oświadczenie („Zgadzam się, aby Anpheros przechowywał wyniki badań laboratoryjnych, które prześlę”), granularne dla każdego celu (przechowywanie; udostępnianie wskazanej przychodni; anonimowe statystyki), z zapisem, kiedy i jak została udzielona, oraz przełącznik, który ją wycofuje ze skutkiem natychmiastowym dla przyszłego przetwarzania. Dane dzieci wymagają zgody posiadacza odpowiedzialności rodzicielskiej, z progami wiekowymi ustalonymi przez każde państwo członkowskie między 13 a 16 rokiem życia.

Tajemnica, artykuł 9 ust. 3

Artykuł 9 ust. 3 RODO określa warunek tajemnicy dla wyjątku dotyczącego opieki zdrowotnej: dane dotyczące zdrowia mogą być przetwarzane na podstawie art. 9 ust. 2 lit. h) tylko przez lub pod odpowiedzialnością zawodową osoby podlegającej obowiązkowi zachowania tajemnicy zawodowej na mocy prawa UE lub prawa krajowego, lub przez inną osobę podlegającą równoważnemu obowiązkowi zachowania tajemnicy.

Dostawcy oprogramowania dla klinik spełniają ten wymóg umownie: umowa powierzenia przetwarzania danych nakłada obowiązek poufności na personel mający dostęp, a dostęp jest rejestrowany.

Poza artykułem 9

Wyjątek z art. 9 ust. 2 nie jest jedynym obowiązkiem wynikającym z RODO w zakresie danych dotyczących zdrowia. Przetwarzanie wymaga również podstawy z art. 6, zazwyczaj oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35 i wyznaczenia inspektora ochrony danych (IOD) zgodnie z art. 37, ograniczeń dotyczących zautomatyzowanego podejmowania decyzji zgodnie z art. 22, narzędzia z rozdziału V do transferów poza UE, 72-godzinnego powiadomienia o naruszeniu oraz krajowych przepisów dotyczących dokumentacji medycznej.

Artykuł 6 nadal obowiązuje: umowa (6 ust. 1 lit. b) na świadczenie usługi, o którą prosiła osoba, zgoda (6 ust. 1 lit. a), obowiązek prawny, zadanie publiczne lub uzasadnione interesy, których nie można wykorzystać do obejścia artykułu 9.
Artykuł 35 DPIA jest obowiązkowy przy przetwarzaniu szczególnych kategorii danych na dużą skalę; większość aplikacji zdrowotnych i wszystkie platformy się do tego kwalifikują. Zobacz DPIA dla aplikacji zdrowotnej.
Artykuł 37 DPO jest obowiązkowy w przypadku podstawowej działalności polegającej na przetwarzaniu szczególnych kategorii danych na dużą skalę.
Artykuł 22 ogranicza decyzje podejmowane wyłącznie na podstawie zautomatyzowanego przetwarzania, które mają istotne skutki, w tym zautomatyzowane triage lub ustalanie uprawnień; dane o zdrowiu mogą być do tego wykorzystywane tylko za wyraźną zgodą lub na podstawie prawnej w prawie, z zabezpieczeniami.
Artykuł 44 i następne: transfery poza UE wymagają odpowiedniego poziomu ochrony (Unijno-Amerykańska Rama Ochrony Danych dla certyfikowanych firm z USA), standardowych klauzul umownych z oceną wpływu transferu lub innego narzędzia z rozdziału V. Hosting w UE rozwiązuje problem danych w spoczynku; personel wsparcia za granicą nie.
Artykuły 33–34: powiadomienie o naruszeniu organu w ciągu 72 godzin i o osobach, gdy ryzyko jest wysokie, co w przypadku danych o zdrowiu zazwyczaj ma miejsce.
Prawo krajowe dodaje warstwy: przepisy dotyczące tajemnicy lekarskiej, przepisy dotyczące rejestrów medycznych, okresy przechowywania, a w niektórych krajach specyficzne przepisy dotyczące aplikacji zdrowotnych (francuska certyfikacja hostingu HDS, niemieckie ramy DiGA).

EHDS na dodatek

Rozporządzenie w sprawie Europejskiej Przestrzeni Danych o Zdrowiu (2025/327) nie zmienia artykułu 9. Dodaje prawa dostępu i przenoszenia danych o zdrowiu w wspólnym formacie, obowiązki dla systemów EHR oraz system zezwoleń na wtórne wykorzystanie, który opiera się na artykułach 9 ust. 2 lit. (g), (h), (i) i (j) z własnymi zabezpieczeniami i opcją rezygnacji. Zobacz Twoje dane medyczne w UE.

W Anpheros

Anpheros przetwarza dane o zdrowiu na podstawie wyraźnej zgody osoby na prowadzenie rejestru (artykuł 9 ust. 2 lit. a), dla każdego celu i z możliwością wycofania w aplikacji, a także jako podmiot przetwarzający dla przychodni, które wpisują dane do tego rejestru na podstawie własnej podstawy z artykułu 9 ust. 2 lit. h). Każdy dostęp przez przychodnię wymaga zgody osoby na zakres i czas trwania oraz jest rejestrowany w jej dzienniku dostępu. Zobacz Platforma zgody pacjenta i Kto przeglądał mój rejestr medyczny?.

Ta strona wyjaśnia przepisy dla zespołów produktowych i inżynieryjnych. Nie stanowi porady prawnej; teksty powiązane w sekcji Źródła są wiążące, a decyzje w Twojej sprawie podejmuje Twój inspektor ochrony danych, organ notyfikowany lub doradca prawny. Ostatnia weryfikacja: październik 2026.

Powiązane strony

Źródła

Najczęstsze pytania

Czy liczba kroków to dane o zdrowiu?

Sama w sobie, zazwyczaj nie. W połączeniu z innymi danymi ujawniającymi stan zdrowia (diagnoza, program rehabilitacji, choroba serca) lub przetwarzana w celu jego wywnioskowania, staje się danymi dotyczącymi zdrowia. Organy regulacyjne biorą pod uwagę cel i wnioskowanie, a nie tylko surowe pole.

Czy mogę wykorzystać uzasadnione interesy w przypadku danych o zdrowiu?

Nie. Uzasadnione interesy są podstawą z artykułu 6; dane o zdrowiu dodatkowo wymagają wyjątku z artykułu 9 ust. 2, a żaden z nich nie jest uzasadnionym interesem. Analiza danych o zdrowiu wymaga zgody lub anonimizacji.

Czy przychodnia potrzebuje zgody pacjenta na prowadzenie rejestrów?

Nie na mocy RODO: przetwarza na podstawie artykułu 9 ust. 2 lit. h) i krajowego prawa o ochronie zdrowia. Zgoda staje się istotna, gdy dane są wykorzystywane do czegoś innego (udostępnianie aplikacji, badania, marketing) lub gdy prawo krajowe tego wymaga.

Jak długo można przechowywać dane o zdrowiu?

RODO mówi, że nie dłużej niż jest to konieczne; krajowe przepisy dotyczące rejestrów medycznych określają konkretne okresy przechowywania dla rejestrów klinicznych (często 10 do 30 lat). Osobisty rejestr kontrolowany przez osobę jest przechowywany tak długo, jak sobie tego życzy, i jest usuwany na żądanie.

Anpheros Platform

Wypróbuj za darmo w sandboksie

Pierwsze wywołanie FHIR w 5 minut. API HL7 FHIR R4 z wbudowaną zgodą pacjenta: wypróbuj w piaskownicy, a następnie połącz własną aplikację lub system kliniczny.

Utwórz darmowy sandbox Przeczytaj przewodniki dla programistów →

Za darmo · 30 syntetycznych pacjentów · bez karty

Ten poradnik ma charakter informacyjny i nie zastępuje konsultacji lekarskiej. Decyzje dotyczące zdrowia podejmuj z lekarzem. W nagłym wypadku zadzwoń pod lokalny numer alarmowy (112 w Europie).

Napisane przez

Zespół Anpheros

Anpheros tworzy dokumentację medyczną, nad którą pacjent ma kontrolę i którą może udostępniać dowolnej klinice, na platformie HL7 FHIR R4, z siedzibą w UE. Te przewodniki pomogą Ci zrozumieć i uporządkować informacje o Twoim zdrowiu; nie zastępują one wizyty u lekarza.

O Anpheros →