23 lipca 2026 r. weszła w życie polska ustawa o zarządzaniu danymi. Uzupełnia ona DGA (unijne rozporządzenie o zarządzaniu danymi) i daje Prezesowi UODO kompetencje dotyczące usług pośrednictwa danych oraz rejestracji organizacji altruizmu danych. Dla placówki medycznej nie jest to jednak nowe, ogólne pozwolenie na przekazywanie zbiorów z danymi pacjentów.

Jeżeli zespół używa AI do wstępnego przeglądu ofert, model może zebrać publiczne informacje o podmiocie, jego roli i deklarowanym celu. Nie powinien dostać próbki realnych danych ani rozstrzygać, że logo lub obecność w rejestrze wystarcza do transferu. IOD (inspektor ochrony danych) opiniuje zgodność, a administrator lub inna uprawniona osoba podejmuje i dokumentuje decyzję. Poniżej manager placówki dostaje siedem pól pokazujących, co sprawdzić przed jakąkolwiek wysyłką. Stan na: 28 lipca 2026 r.

Co naprawdę zmieniło się 23 lipca

Od dnia wejścia ustawy w życie dostawca zamierzający świadczyć usługę pośrednictwa danych ma obowiązek zgłoszenia do Prezesa UODO. Po zgłoszeniu może rozpocząć działalność, pod warunkiem spełnienia wymogów DGA. Po dodatkowym potwierdzeniu zgodności z art. 11 i 12 może używać oznaczenia „uznany w Unii dostawca usług pośrednictwa danych” i wspólnego logo.

Oznaczenie dotyczy statusu usługi pośrednictwa, nie każdej operacji na danych. DGA nie uchyla RODO. Przy danych zdrowotnych placówka nadal ustala podstawę z art. 6, warunek z art. 9 i właściwe przepisy sektorowe.

Organizacja altruizmu danych rejestruje się dobrowolnie i po uznaniu może używać wspólnego oznaczenia. Altruizm danych oznacza dobrowolne dzielenie się danymi w interesie ogólnym, na przykład dla badań lub opieki zdrowotnej; przy danych osobowych wymaga zgody osoby, której dane dotyczą. Rejestr nie zastępuje kontroli zakresu zgody, odbiorcy i celu.

Siedmiopolowa karta decyzji

Nie zaczynaj od paczki danych ani próbnego eksportu. Zbuduj jedną kartę kontroli oferty i zamknij w niej siedem pól:

  1. Rejestr — sprawdź podmiot w publicznym rejestrze Komisji Europejskiej lub krajowym rejestrze organizacji altruizmu danych; zapisz datę i link.
  2. Rola pośrednika — ustal, czy podmiot rzeczywiście pośredniczy między posiadaczem a użytkownikiem danych, czy sprzedaje inną usługę pod podobną nazwą.
  3. Cel — nazwij jeden konkretny cel wykorzystania zbioru, bez formuły „rozwój AI i badania” obejmującej wszystko.
  4. Odbiorca — ustal jego rolę, kraj działania i dostęp dalszych podmiotów.
  5. Zakres — wypisz pola danych, okres, populację oraz poziom identyfikowalności; domyślnie odrzuć zakres szerszy niż niezbędny.
  6. Podstawa prawna — rozdziel podstawę przetwarzania z art. 6 RODO, warunek dla danych zdrowotnych z art. 9 i ewentualną podstawę sektorową.
  7. Opinia i decyzja — IOD zapisuje uwagi, a administrator wskazuje osobę podejmującą decyzję, warunki stop i termin ponownego przeglądu.

Karta nie jest opinią prawną ani automatyczną zgodą. Organizacyjnie sprawdzenie powinno objąć też odbiorce po stronie projektu i właściciela rekordu kontroli. Jej wartość polega na tym, że status pośrednika nie miesza się z prawem placówki do udostępnienia konkretnego zbioru. Taki zapis, ułatwia późniejszą kontrolę i pokazuje, dlaczego dana oferta przeszła albo nie przeszła bramki.

Kiedy oferta ma dostać status „stop”

Pilotaż warto rozważyć dopiero wtedy, gdy oferent ujawnia role stron, konkretny cel, odbiorców oraz zabezpieczenia, a placówka potrafi wskazać podstawę planowanego udostępnienia. Gotowość do rozmowy nie oznacza jeszcze gotowości do transferu.

Zatrzymaj pilotaż, gdy oferent łączy pośrednictwo z własnym użyciem danych albo oczekuje próbki przed uzgodnieniem podstawy i zabezpieczeń. Red flag to także ogólny cel bez odbiorcy, brak procedury wycofania zgody lub nadmiarowy zakres danych zdrowotnych.

AI może porównać publiczny wpis, stronę oferenta i projekt karty, ale wyłącznie na informacjach bez danych pacjentów. Nie wgrywaj do publicznego modelu dokumentacji medycznej, eksportu z EDM ani listy osób. Człowiek sprawdza źródła, rozstrzyga sprzeczności i zatwierdza każdy transfer.

Pierwszy test nie wymaga żadnego zbioru. Wybierz jednego oferenta, przejdź siedem pól z IOD i policz, czy karta jest kompletna. Wskaźnikiem pozostaje odsetek ofert, dla których placówka potrafi udokumentować rejestr oraz podstawę udostępnienia przed wysyłką. Docelowo każda oferta musi mieć oba dowody. Jeżeli choć jednego pola brakuje, wraca do wyjaśnienia; szybki transfer nie jest tu przewagą.

Podobną zasadę rozdzielenia odbiorcy od podstawy przekazania pokazuje analiza wniosku ubezpieczyciela o dane onkologiczne. Tam decyzja dotyczy konkretnej dokumentacji, a tutaj — nowej roli pośrednika i znaczenia publicznego oznaczenia.

Źródła