Krótka odpowiedź: jeśli prowadzisz coś więcej niż praktykę, w której przyjmujesz sam, najprawdopodobniej tak. RODO nigdzie nie wymienia z nazwy placówek zobowiązanych do wyznaczenia inspektora ochrony danych. Opisuje sytuacje i każe ocenić się samodzielnie. W ochronie zdrowia ten rachunek prawie zawsze wychodzi na „tak”, tylko mało kto siada do niego wcześniej niż przy pierwszej skardze pacjenta.

Od czego to zależy

Obowiązkowe sytuacje są trzy.

Pierwsza dotyczy podmiotów publicznych. SPZOZ, szpital kliniczny czy przychodnia prowadzona przez gminę mają inspektora z urzędu i niczego nie muszą liczyć. Szpital działający jako spółka do tej grupy już nie należy, więc przechodzi taką samą analizę jak każda prywatna placówka. Kończy się ona zwykle tak samo.

Druga obejmuje organizacje, których podstawą działania jest stałe śledzenie zachowania ludzi. W prywatnej medycynie pojawia się rzadko, choć rozbudowana telemedycyna albo monitoring potrafią ją uruchomić.

Trzecia rozstrzyga niemal wszystkie przypadki. Inspektora musi mieć ten, kto na dużą skalę przetwarza dane szczególnie wrażliwe. Informacje o zdrowiu do takich należą, a leczenie pacjentów jest główną działalnością placówki, nie dodatkiem do niej. Zostaje więc jedno pytanie: czy ta skala jest duża.

Co właściwie znaczy „duża skala”

Przepisy podają jeden wyraźny wyjątek. Dane pacjentów przetwarzane przez pojedynczego lekarza dużą skalą nie są. I na tym lista wyjątków się kończy.

Resztę ocenia się według czterech rzeczy, które wskazują europejskie wytyczne dla inspektorów: ilu masz pacjentów, ile danych zbierasz o każdym z nich, jak długo je trzymasz i jak duży obszar obsługujesz. Szpital wymieniono tam wprost jako przykład dużej skali.

W praktyce wygląda to mniej więcej tak. Lekarz na jednoosobowej działalności, który nie zatrudnia innych lekarzy, ma czym bronić braku obowiązku. Przychodnia z rejestracją, kilkoma gabinetami i kartoteką liczoną w tysiącach pacjentów nie ma. Stomatologia z trzema unitami, pracownia diagnostyki obrazowej czy medycyna pracy: to samo.

UODO zwraca uwagę na coś, co przy rozwoju placówki łatwo przegapić. Mała przychodnia dokłada usługi, lekarzy i lokalizacje, aż przekracza próg, którego nikt nie pilnował. Ocena sprzed pięciu lat potrafi być dziś nieaktualna.

Ten sam test dotyczy zresztą firm, które pracują na Twoich danych. Archiwum dokumentacji, dostawca systemu gabinetowego czy firma serwisująca sprzęt mogą mieć własny obowiązek wyznaczenia inspektora.

Jeśli wychodzi Ci, że nie musisz, zapisz dlaczego

RODO wymaga, żebyś potrafił wykazać, że działasz zgodnie z prawem. Dotyczy to również sytuacji, w której ta zgodność polega na braku obowiązku. Wytyczne mówią wprost: analizę trzeba udokumentować i co jakiś czas do niej wrócić.

Dwie strony notatki w zupełności wystarczą. Ilu pacjentów, jaki zakres danych, co wzięliście pod uwagę, kto i kiedy podjął decyzję. Bez tego na kontroli zostaje zdanie „uznaliśmy, że nie musimy”, a to nie jest argument.

Najdroższy błąd to zły człowiek na tym stanowisku

Inspektor może robić w placówce coś jeszcze, ale nie wszystko. Nie może zajmować się tym, co potem sam miałby kontrolować. Tak orzekł Trybunał Sprawiedliwości Unii Europejskiej i tak samo patrzy na to polski urząd.

Na początku 2026 roku Prezes UODO nałożył z tego powodu karę 978 tysięcy złotych. Powód był prosty: funkcję inspektora pełnił dyrektor, który odpowiadał za część procesów przetwarzania danych w firmie. Decyzja nie jest jeszcze prawomocna.

Przełóż to na przychodnię. Odpadają właściciel, kierownik placówki, informatyk, kadrowa i kierownik rejestracji. Inspektor doradza i sprawdza. Nie pisze za Ciebie polityk ani klauzul, nie zgłasza wycieków w Twoim imieniu, nie odpowiada zamiast Ciebie na żądania pacjentów.

Czternaście dni, licząc od wyznaczenia

Wyznaczonego inspektora trzeba zgłosić do UODO w ciągu dwóch tygodni. Wystarczą imię, nazwisko i kontakt, ale forma jest sztywna: wyłącznie elektronicznie, z podpisem kwalifikowanym albo profilem zaufanym. Papierowe pismo i zwykły mail nie liczą się w ogóle, a placówka potrafi przez lata żyć w przekonaniu, że temat ma odhaczony.

Dane kontaktowe inspektora muszą też trafić na stronę internetową, a jeśli placówka strony nie prowadzi, w widoczne miejsce w rejestracji. Każda zmiana i odwołanie inspektora to znowu czternaście dni.

Kara za brak inspektora tam, gdzie jest obowiązkowy, sięga w skrajnych przypadkach milionów euro. Tyle że kary trafiają się rzadziej niż scenariusz, który znamy z audytów: incydent albo skarga pacjenta, a w placówce nie ma nikogo, kto wie, co zrobić i w jakim terminie.

Swój człowiek czy inspektor z zewnątrz

RODO pozwala na jedno i drugie. W dużym szpitalu etat się broni. W przychodni czy klinice zwykle nie, bo osoba z odpowiednią wiedzą albo w strukturze nie istnieje, albo istnieje i odpowiada za IT lub kadry, czyli odpada z powodu konfliktu interesów.

Dlatego przejmujemy tę funkcję z zewnątrz: sprawdzenie, czy obowiązek w ogóle istnieje, zgłoszenie do urzędu, rejestr czynności przetwarzania, upoważnienia, szkolenia rejestracji i personelu medycznego, obsługa incydentów, kontakt z UODO. Jeśli nie masz pewności, czy Twoja placówka musi mieć inspektora, zacznij od rozmowy. Odpowiedź na to jedno pytanie zajmuje kwadrans.

Najczęstsze pytania

Czy jednoosobowy gabinet lekarski musi mieć inspektora?

Zwykle nie. Przepisy wprost wyłączają z dużej skali dane pacjentów przetwarzane przez pojedynczego lekarza. Liczy się to, czy lekarz faktycznie pracuje sam i nie zatrudnia innych lekarzy. Sam wniosek warto zapisać.

Czy gabinet stomatologiczny z dwoma lekarzami i higienistką potrzebuje inspektora?

Najczęściej tak. Wyjątek obejmuje pojedynczego lekarza, nie zespół. Przy kilku stanowiskach, rejestracji i systemie gabinetowym skala robi się duża.

Czy właściciel przychodni może być jej inspektorem?

Nie. Decyduje o tym, jak placówka przetwarza dane, więc kontrolowałby własne decyzje. To klasyczny konflikt interesów.

Czy inspektor musi być pracownikiem placówki?

Nie. RODO pozwala powierzyć tę funkcję osobie lub firmie z zewnątrz, na podstawie umowy.

Wyznaczyliśmy inspektora, ale nie zgłosiliśmy go do UODO. Co teraz?

Zgłoszenie trzeba wysłać elektronicznie jak najszybciej. Spóźnienie nie unieważnia samego wyznaczenia, ale pozostaje naruszeniem obowiązku.

Artykuł ma charakter informacyjny i nie zastępuje analizy przygotowanej dla konkretnej placówki.