Vaše ordinace · Kontroly, kvalita a shoda · Návod
GDPR v ordinaci
Krátká odpověď
Zdravotní údaje jsou podle článku 9 GDPR zvláštní kategorií osobních údajů. Pro poskytování zdravotní péče ordinace zpravidla nepotřebuje souhlas pacienta: musí mít právní základ podle článku 6 GDPR a současně výjimku pro údaje o zdraví, typicky článek 9 odst. 2 písm. h) ve spojení s českými zdravotnickými předpisy. U zaměstnanců souhlas obvykle také není vhodným titulem. V praxi zmapujte zpracování, určete oba právní základy, veďte záznamy o činnostech, nastavte zabezpečení a přístupy, správně určete role dodavatelů a prokazatelně poučte personál včetně mlčenlivosti. DPO se nejmenuje podle velikosti ordinace samotné, ale zejména podle toho, zda hlavní činnost zahrnuje rozsáhlé zpracování citlivých údajů nebo systematické monitorování.
Krok 01 / 06
Zmapujte, jaké osobní údaje zpracováváte
Začněte přehledem — jaké údaje zpracováváte (pacienti, zaměstnanci, dodavatelé), kde jsou uložené (kartotéka, ambulantní software, e-mail, účetnictví) a komu je předáváte (laboratoře, pojišťovny, IT dodavatel). Bez této mapy nelze správně přiřadit právní tituly ani sepsat záznamy o zpracování.
Co má vzniknout
Přehled všech zpracování osobních údajů — jaké údaje, kde jsou uložené a komu se předávají.
Krok 02 / 06
Přiřaďte správné právní tituly (ne souhlas)
Ke každému zpracování přiřaďte právní základ podle článku 6 GDPR; u zdravotních údajů navíc určete použitelnou výjimku podle článku 9 odst. 2. Pro péči jde typicky o článek 9 odst. 2 písm. h) ve spojení se zákonem č. 372/2011 Sb. a dalšími zdravotnickými předpisy, nikoli o souhlas pacienta. U personální agendy se obvykle uplatní plnění smlouvy a zákonné povinnosti. Souhlas používejte jen tam, kde je skutečně svobodný a není k dispozici vhodnější titul, například u oddělené marketingové komunikace.
PozorNevynucujte od pacientů ani zaměstnanců souhlas tam, kde zpracování stojí na zákoně nebo smlouvě. Souhlas lze kdykoli odvolat — a stavět na něm povinnou agendu je právně nejisté.
Co má vzniknout
Ke každému zpracování přiřazený právní titul — u léčby a personálu zákon nebo smlouva, souhlas jen výjimečně.
Krok 03 / 06
Sepište záznamy o činnostech zpracování (RoPA)
Veďte záznamy o činnostech zpracování (RoPA) — přehled účelů, kategorií údajů a subjektů, příjemců a dob uchování. Výjimka pro malé organizace na zpracování zdravotních (zvláštních) údajů nedopadá, takže RoPA veďte vždy. Je to první dokument, který dozorový úřad při kontrole chce vidět.
Co má vzniknout
Vedené záznamy o činnostech zpracování (RoPA) s účely, kategoriemi údajů, příjemci a dobami uchování.
Krok 04 / 06
Zabezpečte data i přístupy k nim
Zaveďte přiměřená technická a organizační opatření: zamykatelné kartotéky, řízené přístupy do ambulantního softwaru, silná hesla, pravidelné zálohy a šifrování tam, kde to dává smysl. Klíčové je řízení přístupů — kdo má k čemu přístup a proč — a jeho pravidelná revize.
Co má vzniknout
Doložitelná bezpečnostní opatření — zamykatelné kartotéky, řízené přístupy, hesla a zálohy — a přehled, kdo má k čemu přístup.
Krok 05 / 06
Uzavřete zpracovatelské smlouvy s IT dodavateli
U každého dodavatele nejprve určete jeho roli. Poskytovatel ambulantního softwaru, cloud nebo IT správce bývá zpracovatelem a pak potřebujete smlouvu podle článku 28 GDPR. Ne každý příjemce je ale automaticky zpracovatel — například některý účetní, zdravotní pojišťovna nebo jiný poskytovatel může jednat jako samostatný správce podle účelu a právních povinností. Evidujte dodavatele, role, předávané údaje a odpovídající smluvní či zákonný rámec.
Co má vzniknout
Evidence příjemců a dodavatelů s určenou rolí; u skutečných zpracovatelů smlouva podle článku 28 GDPR.
Krok 06 / 06
Prokazatelně poučte personál a ošetřete mlčenlivost
Celý personál musí být prokazatelně poučen o zásadách ochrany údajů a vázán mlčenlivostí — a to i nezdravotníci (recepce, úklid, IT), u nichž se mlčenlivost ošetřuje smluvně. Mějte záznam o poučení s datem a podpisem. Nejčastější riziko není technika, ale lidský faktor — a zejména zapomenuté odebrání přístupů po odchodu zaměstnance.
TipOdebrání všech přístupů zařaďte natvrdo do offboardingu. Účet po odešlém zaměstnanci, který má dál přístup do kartotéky, je klasický nález a reálné bezpečnostní riziko.
Co má vzniknout
Záznamy o poučení personálu s datem a podpisem a smluvně ošetřená mlčenlivost i u nezdravotníků.
aptienNa co si dát pozor
Kde GDPR v ordinaci nejčastěji selhává — a jak to pohlídat.
| Riziko | Jak to hlídá Aptien |
|---|---|
Zapomenuté odebrání přístupů po odchodu zaměstnance. | Onboarding a offboarding s řízeným odebráním všech oprávnění. |
Vynucený souhlas tam, kde má být zákon nebo smlouva. | Evidence zpracování s přiřazeným právním titulem u každé agendy. |
Chybějící nebo neúplné záznamy o zpracování (RoPA). | RoPA vedená na jednom místě, aktualizovaná při změně zpracování. |
IT dodavatel bez zpracovatelské smlouvy. | Evidence dodavatelů a uzavřených smluv s upozorněním na chybějící. |
Personál bez prokazatelného poučení a mlčenlivosti. | Záznamy o poučení a potvrzení mlčenlivosti u karty zaměstnance. |
Nejčastější dotazy
Potřebuje ordinace souhlas pacienta se zpracováním údajů?
Pro poskytování léčby zpravidla ne — zpracování zdravotních údajů kryje zákon o zdravotních službách (č. 372/2011 Sb.). Souhlas si nechte jen na to, co nemá jiný právní titul.
Musí mít ordinace pověřence pro ochranu osobních údajů (DPO)?
Samotná velikost nerozhoduje. Posuďte zejména, zda hlavní činnost vyžaduje rozsáhlé zpracování údajů o zdraví nebo rozsáhlé pravidelné a systematické monitorování. Běžná individuální praxe zpravidla do režimu povinného DPO nespadá, větší poskytovatel může.
Musíme vést záznamy o činnostech zpracování i jako malá ordinace?
Ano. Výjimka pro malé organizace na zpracování zdravotních (zvláštních) údajů nedopadá, takže RoPA veďte vždy.
Vztahuje se mlčenlivost i na nezdravotníky?
Ano. Recepci, úklid nebo IT správce ošetřete mlčenlivostí smluvně a mějte o poučení záznam s datem a podpisem.
Nechce se vám to dělat?
Nemusíte. Připravíme vám kontrolní složku v Aptienu na klíč — doklady u karet, termíny hlídané dopředu. Vy jen řeknete, která kontrola vás čeká.
Ukázka je zdarma a nezavazuje k ničemu.
Souvisí s
- NástěnkaCo musí viset v ordinaci
- VzorZáznamy o činnostech zpracování — vzor
- HubKontroly, kvalita a shoda
- NávodJak vést provozní dokumentaci ordinace
- NávodJak potvrdit přečtení směrnic
- NávodBOZP v ordinaci
- NávodJak připravit ordinaci na kontrolu hygieny
- ŘešeníKontroly a shoda ordinace
- TestObstála by vaše ordinace při kontrole dnes?
Aktualizováno 24. 8. 2026 · zdroj: zákon č. 372/2011 Sb. · autor David Melichar
