Dostępy i dokumentacja kliniki po odejściu personelu

Opracowanie redakcyjne kancelarii · Sprawdzenie wskazanych źródeł: 18 października 2026 r.

Oddziel uprawnienie konkretnej osoby do dalszego korzystania z systemu od obowiązku przechowywania i udostępniania dokumentacji. Klinika powinna wiedzieć, kto ma dostęp, w jakim celu i do którego momentu. Powinna również potrafić zrealizować właściwy wniosek pacjenta lub innego uprawnionego odbiorcy po odejściu pracownika albo współpracownika.

Przy odejściu personelu kliniki łączę listę zadań w toku z przeglądem systemów, kont i fizycznych nośników. Dostęp trzeba zmienić według roli, zachowując dokumentację i wskazując legalną drogę obsługi późniejszych pytań.

Role ustala się na podstawie rzeczywistego modelu

Sprawdź podmiot udzielający świadczeń, prowadzący dokumentację oraz administratora danych. W jednej lokalizacji mogą działać różne podmioty. Nazwa kliniki, własność sprzętu i sam kontrakt B2B nie przesądzają wszystkich ról. Ustal, kto wyznacza cele i sposoby przetwarzania oraz jakie zadania wykonuje dentysta, recepcja, księgowość lub dostawca systemu.

Nie traktuj każdej osoby z fakturą jako podmiotu przetwarzającego wymagającego identycznej umowy powierzenia. Odpowiedni dokument i zakres upoważnienia wynikają z faktycznych ról. Art. 24 ustawy o prawach pacjenta reguluje prowadzenie, przechowywanie, udostępnianie i ochronę dokumentacji oraz uprawnienia do przetwarzania w określonych celach. Art. 29 RODO dotyczy działania z upoważnienia i na polecenie administratora, z wyjątkiem wymagań prawa.

Dane dotyczące zdrowia są szczególną kategorią z art. 9 RODO. Podstawa ogólna z art. 6 nie zastępuje właściwej przesłanki z art. 9 ani warunków tajemnicy. Przetwarzanie dla opieki zdrowotnej i potrzebne przy konkretnych roszczeniach wymaga własnej oceny. Nie oznacza prawa do udostępnienia każdemu pracownikowi całej historii.

Spis dostępów obejmuje więcej niż system medyczny

Zbierz konta do dokumentacji, harmonogramu, poczty służbowej, plików, narzędzi komunikacji, zewnętrznych laboratoriów i urządzeń. Uwzględnij również papier, karty wejściowe oraz uprawnienia udzielone przez dostawcę usługi. Właściciel zadania powinien odróżnić konto indywidualne od wspólnej konfiguracji, która wymaga uporządkowania przez uprawnioną obsługę techniczną.

Karta zamknięcia powinna zawierać: osobę i rolę, system lub zasób, cel dostępu, podstawę, termin zmiany, wykonawcę oraz potwierdzenie. Wskazanie zadania „zamknąć dostępy” bez listy i dowodu nie pozwala ustalić, co rzeczywiście wykonano. Plan prawny powinien zostać przełożony na czynności przez osoby uprawnione do obsługi narzędzi.

Nie żądaj prywatnych haseł, nie loguj się jako odchodząca osoba i nie obchodź zabezpieczeń. Przekazanie zadań nie powinno niszczyć informacji o autorze dokumentu ani historii czynności. Przegląd poczty pracowniczej wymaga osobnej oceny zasad legalnego dostępu i prywatności; sama nazwa „służbowa” nie znosi praw pracownika.

Przed ostatnim dniem: zakończ zadania, nie kasuj śladów

W uzgodnionym obiegu ustal wpisy wymagające uzupełnienia, sprawy w toku i osoby przejmujące organizację. Ocena medyczna oraz prawidłowe prowadzenie dokumentacji należą do właściwych osób. Nie twórz nowej zbiorczej kopii pełnych historii dla administratora biura, jeżeli wystarcza indeks zadań w uprawnionym systemie.

Odbierz sprzęt i materiały według protokołu, dopasuj uprawnienia i potwierdź realizację przez uprawnioną obsługę. Jeżeli część działań ma być wykonana po ostatnim dniu, wskaż ich cel i legalny sposób dostępu do niezbędnego zakresu. Nie pozostawiaj pełnego konta aktywnego przez nieokreślony czas tylko dlatego, że może kiedyś pojawić się reklamacja.

Art. 29 ustawy o prawach pacjenta przewiduje zasadniczo przechowywanie dokumentacji przez 20 lat od końca roku ostatniego wpisu, z odrębnymi wyjątkami m.in. dla określonych zdjęć RTG, skierowań i innych kategorii. Nie stosuj więc jednego okresu do każdego pliku i nie licz go od końca kontraktu dentysty. Retencję dokumentacji, logów, korespondencji i danych rozliczeniowych ustala się według ich funkcji oraz właściwych podstaw.

Późniejszy dostęp: pięć różnych sytuacji

Art. 26 ustawy o prawach pacjenta wskazuje uprawnionych odbiorców, a art. 27 sposoby udostępnienia i wykaz czynności. Potrzeba ciągłości świadczeń ma własną podstawę, ale nie oznacza dowolnego eksportu przez odchodzącego lekarza. Z kolei obowiązek tajemnicy z art. 40 ustawy o zawodach lekarza i lekarza dentysty uwzględnia określone wyjątki oraz niezbędny zakres ujawnienia.

Przy konkretnym żądaniu sprawdź odbiorcę, cel, podstawę, zakres, sposób przekazania i odnotowanie. Nie zakładaj, że sam napis „obrona roszczeń” usuwa wszystkie ograniczenia dostępu i tajemnicy. Z drugiej strony zamknięcie konta nie powinno służyć do blokowania uprawnionego udostępnienia lub wyjaśnienia sprawy.

Umowa kliniki z dentystą nie może rozstrzygnąć za pacjenta, gdzie będzie kontynuował leczenie. Nie uzależniaj jego uprawnienia do dokumentacji od zapłaty spornego wynagrodzenia między profesjonalistami. Pacjent nie jest własnością kliniki ani dentysty, a ochrona informacji placówki nie tworzy dowolnego zakazu zmiany miejsca świadczeń.

Kopie, prywatne narzędzia i informacja o odejściu

Sprawdź, czy materiał nie znalazł się poza uzgodnionym obiegiem: na urządzeniu, w prywatnej skrzynce lub innym narzędziu. Ustal fakty i właściwą procedurę z udziałem osoby odpowiedzialnej za ochronę danych. Nie wydawaj bez analizy polecenia zniszczenia wszystkich kopii, jeżeli potrzebne jest zabezpieczenie dowodu lub obowiązuje odrębna podstawa przechowywania. Nie uprawnia to jednak do dalszego swobodnego korzystania z materiału.

Jeżeli działa rzeczywisty podmiot przetwarzający, art. 28 ust. 3 lit. g RODO reguluje zwrot lub usunięcie danych po końcu usług z wyjątkiem prawnego obowiązku przechowywania. Nie przenoś tego mechanicznie na niezależnego świadczeniodawcę ani na ustawową dokumentację bez ustalenia ról. Potwierdzenie zwrotu powinno wskazywać zakres i wykonane czynności, a nie ogólną formułę nieweryfikowalną w danej sprawie.

Informacja organizacyjna dla pacjenta i promocja nowego gabinetu mają różne cele. Kontakty zgromadzone dla opieki nie stają się automatycznie listą do kampanii po odejściu. Także klinika powinna dopasować cel i zakres komunikatu, bez ujawniania zbędnych informacji o konflikcie. Ocena marketingu wymaga odrębnego sprawdzenia podstaw oraz właściwych wymagań komunikacji.

Podejrzenie nieuprawnionego dostępu wymaga osobnego toru

Nie utożsamiaj samego sporu z dentystą z udowodnionym naruszeniem danych. Jeżeli istnieją konkretne sygnały, zachowaj chronologię, ogranicz dalsze ryzyko w uprawnionym trybie i ustal zakres zdarzenia. Ocena obowiązków administratora oraz ewentualnego procesora powinna uwzględniać art. 33–34 RODO. Dokumentowanie, zgłoszenie organowi i zawiadomienie osób mają różne warunki.

Nie czekaj z oceną do rozstrzygnięcia sporu finansowego. Pomocne są osobne poradniki: pierwsze działania po naruszeniu oraz ocena ryzyka i obowiązku zgłoszenia. Nie zastępują one analizy konkretnego incydentu ani technicznego zabezpieczenia systemu przez właściwe osoby.

Dokumenty do przygotowania i źródła

Zbierz opis ról, umowy, zasady dostępu, wykaz zasobów, procedurę udostępniania, plan przekazania i potwierdzenia wykonania. Przy potrzebie wyjaśnienia wcześniejszego świadczenia wskaż rodzaj żądania i termin. Pierwszy opis dla kancelarii powinien być bez danych pacjentów; nie załączaj dokumentacji medycznej do ogólnego formularza.

Źródła: ustawa o prawach pacjenta, art. 23–29; ustawa o zawodach lekarza i lekarza dentysty, art. 40; RODO, art. 4–6, 9, 17, 28–29 i 32–34. Materiał dotyczy organizacji prawnej, nie jest instrukcją technicznej ingerencji w system ani pełnym audytem zgodności placówki.

Powiązane: plan właściciela po odejściu dentysty, reklamacja a rozliczenie i dotychczasowy poradnik o dokumentacji przy zmianie gabinetu.

Potrzebujesz uporządkować role i dokumenty?

Zakres pomocy dla właściciela kliniki może obejmować ocenę obiegu informacji i projektu zasad przekazania. Opisz model, etap i termin, bez danych pacjentów. Niezbędny materiał, zakres oraz sposób przekazania ustalimy po sprawdzeniu możliwości działania. Zgłoszenie nie oznacza przyjęcia zlecenia.