Dane medyczne pracowników a RODO — co wolno pracodawcy?

20 lipca 2026 · 8 min czytania · Sebastian Magnes

Orzeczenie lekarskie zawiera informacje o stanie zdrowia pracownika — to dane wrażliwe w rozumieniu RODO. Jednocześnie Kodeks Pracy nakłada na pracodawcę obowiązek posiadania tych orzeczeń. Jak pogodzić te dwa wymogi? Wyjaśniamy.

Dlaczego dane medyczne są wyjątkowe w RODO?

RODO wyróżnia tzw. szczególne kategorie danych osobowych (art. 9), które wymagają wyższego poziomu ochrony. Zaliczają się do nich dane dotyczące zdrowia — a orzeczenie lekarskie medycyny pracy zawiera właśnie takie dane: wynik badania, ewentualne ograniczenia zdrowotne, nazwisko lekarza.

Zakaz przetwarzania danych o zdrowiu ma jednak wyjątki — i pracodawca korzysta z jednego z nich.

Na jakiej podstawie pracodawca może przetwarzać orzeczenia?

Podstawą prawną jest art. 9 ust. 2 lit. b RODO — przetwarzanie niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy.

Konkretny obowiązek wynika z art. 229 Kodeksu Pracy, który nakłada na pracodawcę obowiązek:

• Skierowania pracownika na badania wstępne przed dopuszczeniem do pracy.
• Skierowania na badania okresowe (przed upływem ważności poprzedniego orzeczenia).
• Niedopuszczenia do pracy pracownika bez aktualnego orzeczenia lekarskiego.
• Przechowywania orzeczeń w aktach osobowych pracownika.

Co pracodawca może, a czego nie może robić z orzeczeniem?

Może:

• Przechowywać kopię orzeczenia w aktach osobowych (część B).
• Sprawdzać datę ważności orzeczenia i wynik (zdolny/niezdolny/zdolny z ograniczeniami).
• Przekazać orzeczenie służbom BHP i bezpośredniemu przełożonemu w zakresie niezbędnym do organizacji pracy.
• Przetwarzać dane w systemie informatycznym do zarządzania orzeczeniami (pod warunkiem odpowiednich zabezpieczeń).

Nie może:

• Udostępniać orzeczenia innym pracownikom bez podstawy prawnej (np. kolegom z działu).
• Przetwarzać szczegółowych danych medycznych z orzeczenia ponad to, co niezbędne (zasada minimalizacji danych).
• Przechowywać orzeczeń dłużej niż wymagają przepisy (10 lat w aktach osobowych po zakończeniu stosunku pracy).
• Przekazywać danych medycznych pracowników do krajów spoza UE bez odpowiednich zabezpieczeń.

Umowa powierzenia przetwarzania (DPA) — kiedy jest potrzebna?

Jeśli pracodawca korzysta z zewnętrznego systemu do zarządzania orzeczeniami (np. WorkDoc), taki system staje się podmiotem przetwarzającym (procesorem). RODO wymaga wtedy zawarcia umowy powierzenia przetwarzania danych (DPA — Data Processing Agreement).

DPA określa: co można zrobić z danymi, jak długo je przechowywać, jakie zabezpieczenia stosować, co robić w razie naruszenia. To dokument, który chroni zarówno pracodawcę, jak i firmę prowadzącą system.

Jak długo przechowywać orzeczenia?

Akta osobowe pracownika, w tym orzeczenia lekarskie, przechowuje się przez 10 lat od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł (dla pracowników zatrudnionych po 1 stycznia 2019 r.).