--- title: "Pośrednik danych medycznych: co sprawdzić przed udostępnieniem zbioru? " description: Sprawdź rejestr, rolę, cel, odbiorcę, zakres i podstawę prawną przed udostępnieniem danych zdrowotnych pośrednikowi przez placówkę. image: "https://ai4med.pl/img/posrednik-danych-zdrowotnych.jpg" date: 2026-07-29 author: Jacek Wyderka category: Dane i bezpieczeństwo tags: pośrednik danych, dane zdrowotne, DGA, UODO, RODO url: "https://ai4med.pl/dane-i-bezpieczenstwo/posrednik-danych-zdrowotnych" inLanguage: pl --- # Pośrednik danych medycznych: co sprawdzić przed udostępnieniem zbioru? 23 lipca 2026 r. weszła w życie polska ustawa o zarządzaniu danymi. Uzupełnia ona **DGA (unijne rozporządzenie o zarządzaniu danymi)** i daje Prezesowi UODO kompetencje dotyczące usług pośrednictwa danych oraz rejestracji organizacji altruizmu danych. Dla placówki medycznej nie jest to jednak nowe, ogólne pozwolenie na przekazywanie zbiorów z danymi pacjentów. Jeżeli zespół używa AI do wstępnego przeglądu ofert, model może zebrać **publiczne informacje o podmiocie, jego roli i deklarowanym celu**. Nie powinien dostać próbki realnych danych ani rozstrzygać, że logo lub obecność w rejestrze wystarcza do transferu. **IOD (inspektor ochrony danych) opiniuje zgodność**, a administrator lub inna uprawniona osoba podejmuje i dokumentuje decyzję. Poniżej manager placówki dostaje siedem pól pokazujących, co sprawdzić przed jakąkolwiek wysyłką. Stan na: **28 lipca 2026 r.** ## Co naprawdę zmieniło się 23 lipca Od dnia wejścia ustawy w życie dostawca zamierzający świadczyć usługę pośrednictwa danych ma obowiązek zgłoszenia do Prezesa UODO. Po zgłoszeniu może rozpocząć działalność, pod warunkiem spełnienia wymogów DGA. Po dodatkowym potwierdzeniu zgodności z art. 11 i 12 może używać oznaczenia **„uznany w Unii dostawca usług pośrednictwa danych”** i wspólnego logo. Oznaczenie dotyczy **statusu usługi pośrednictwa**, nie każdej operacji na danych. DGA nie uchyla RODO. Przy danych zdrowotnych placówka nadal ustala podstawę z art. 6, warunek z art. 9 i właściwe przepisy sektorowe. Organizacja altruizmu danych rejestruje się dobrowolnie i po uznaniu może używać wspólnego oznaczenia. **Altruizm danych oznacza dobrowolne dzielenie się danymi w interesie ogólnym**, na przykład dla badań lub opieki zdrowotnej; przy danych osobowych wymaga zgody osoby, której dane dotyczą. Rejestr nie zastępuje kontroli zakresu zgody, odbiorcy i celu. ## Siedmiopolowa karta decyzji Nie zaczynaj od paczki danych ani próbnego eksportu. Zbuduj jedną kartę kontroli oferty i zamknij w niej siedem pól: 1. **Rejestr** — sprawdź podmiot w publicznym rejestrze Komisji Europejskiej lub krajowym rejestrze organizacji altruizmu danych; zapisz datę i link. 2. **Rola pośrednika** — ustal, czy podmiot rzeczywiście pośredniczy między posiadaczem a użytkownikiem danych, czy sprzedaje inną usługę pod podobną nazwą. 3. **Cel** — nazwij jeden konkretny cel wykorzystania zbioru, bez formuły „rozwój AI i badania” obejmującej wszystko. 4. **Odbiorca** — ustal jego rolę, kraj działania i dostęp dalszych podmiotów. 5. **Zakres** — wypisz pola danych, okres, populację oraz poziom identyfikowalności; domyślnie odrzuć zakres szerszy niż niezbędny. 6. **Podstawa prawna** — rozdziel podstawę przetwarzania z art. 6 RODO, warunek dla danych zdrowotnych z art. 9 i ewentualną podstawę sektorową. 7. **Opinia i decyzja** — IOD zapisuje uwagi, a administrator wskazuje osobę podejmującą decyzję, warunki stop i termin ponownego przeglądu. Karta nie jest opinią prawną ani automatyczną zgodą. Organizacyjnie sprawdzenie powinno objąć też odbiorce po stronie projektu i właściciela rekordu kontroli. Jej wartość polega na tym, że **status pośrednika nie miesza się z prawem placówki do udostępnienia konkretnego zbioru**. Taki zapis, ułatwia późniejszą kontrolę i pokazuje, dlaczego dana oferta przeszła albo nie przeszła bramki. ## Kiedy oferta ma dostać status „stop” Pilotaż warto rozważyć dopiero wtedy, gdy oferent ujawnia role stron, konkretny cel, odbiorców oraz zabezpieczenia, a placówka potrafi wskazać podstawę planowanego udostępnienia. **Gotowość do rozmowy nie oznacza jeszcze gotowości do transferu**. Zatrzymaj pilotaż, gdy oferent łączy pośrednictwo z własnym użyciem danych albo oczekuje próbki przed uzgodnieniem podstawy i zabezpieczeń. Red flag to także **ogólny cel bez odbiorcy, brak procedury wycofania zgody lub nadmiarowy zakres danych zdrowotnych**. AI może porównać publiczny wpis, stronę oferenta i projekt karty, ale wyłącznie na informacjach bez danych pacjentów. **Nie wgrywaj do publicznego modelu dokumentacji medycznej, eksportu z EDM ani listy osób**. Człowiek sprawdza źródła, rozstrzyga sprzeczności i zatwierdza każdy transfer. Pierwszy test nie wymaga żadnego zbioru. Wybierz jednego oferenta, przejdź siedem pól z IOD i policz, czy karta jest kompletna. Wskaźnikiem pozostaje **odsetek ofert, dla których placówka potrafi udokumentować rejestr oraz podstawę udostępnienia przed wysyłką**. Docelowo każda oferta musi mieć oba dowody. Jeżeli choć jednego pola brakuje, wraca do wyjaśnienia; szybki transfer nie jest tu przewagą. Podobną zasadę rozdzielenia odbiorcy od podstawy przekazania pokazuje analiza [wniosku ubezpieczyciela o dane onkologiczne](/dane-i-bezpieczenstwo/dane-onkologiczne-ubezpieczyciel). Tam decyzja dotyczy konkretnej dokumentacji, a tutaj — nowej roli pośrednika i znaczenia publicznego oznaczenia. ## Źródła - [UODO — Ustawa o zarządzaniu danymi już obowiązuje](https://uodo.gov.pl/pl/138/4505), opublikowano 23.07.2026. Oficjalny komunikat opisuje nowe kompetencje Prezesa UODO, zgłoszenia pośredników, rejestry i zasady oznaczeń. Sprawdzono: 2026-07-28. - [ELI — ustawa z 27 marca 2026 r. o zarządzaniu danymi](https://eli.gov.pl/eli/DU/2026/548/ogl), Dz.U. 2026 poz. 548, wejście w życie 23.07.2026. Oficjalny tekst i status polskiego aktu wykonującego DGA. Sprawdzono: 2026-07-28. - [EUR-Lex — rozporządzenie (UE) 2022/868, Data Governance Act](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022R0868), stosowane od 24.09.2023. Źródło pierwotne określa warunki pośrednictwa, oznaczenia, altruizm danych i relację z RODO. Sprawdzono: 2026-07-28. - [EUR-Lex — rozporządzenie (UE) 2016/679, RODO](https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=pl), stosowane od 25.05.2018. Art. 6 i 9 wyznaczają podstawy oraz warunki przetwarzania danych dotyczących zdrowia. Sprawdzono: 2026-07-28. - Okładka: [Pavel Danilyuk na Pexels](https://www.pexels.com/photo/desk-in-medical-laboratory-with-a-microscope-and-mini-rotator-for-blood-samples-8442033/)