RODO w gabinecie bez prawnika i informatyka - kompletny system w 7 dokumentach

"Mam mały gabinet, jedna osoba, kilkanaście wizyt dziennie -- RODO to problem dla korporacji, nie dla mnie." To zdanie słyszymy od fizjoterapeutów niemal na każdym szkoleniu, w każdej grupie branżowej na Facebooku, przy każdej rozmowie o formalnościach prowadzenia gabinetu. I za każdym razem trzeba je sprostować, bo opiera się na błędnym założeniu, które może kosztować dużo więcej niż komplet dokumentów.

Wielkość gabinetu nie ma nic do rzeczy. Liczy się rodzaj danych, które przetwarzasz -- a dane o stanie zdrowia pacjenta, wywiadzie, przebytych urazach czy przebiegu terapii to tzw. szczególna kategoria danych osobowych w rozumieniu art. 9 RODO. Ten przepis nie robi wyjątku dla jednoosobowych działalności. Solo-praktyka prowadząca terapię manualną dla dziesięciu pacjentów tygodniowo podlega dokładnie tym samym obowiązkom co duża klinika rehabilitacyjna -- różni się tylko skala, nie zakres odpowiedzialności. W tym artykule pokazujemy, z jakich dokładnie dokumentów składa się kompletny system RODO dla gabinetu fizjoterapii, jak się one nawzajem wspierają i jak wdrożyć je samodzielnie w ciągu jednego weekendu.

Dlaczego "mam mały gabinet" nie zwalnia z RODO

RODO nie zna progu wielkości podmiotu, poniżej którego przepisy przestają obowiązywać. Nie ma zapisu mówiącego "jeśli przetwarzasz dane mniej niż stu pacjentów, jesteś zwolniony". Jest za to art. 9 RODO, który wprost zalicza dane dotyczące zdrowia do kategorii wymagającej wzmożonej ochrony -- a każdy fizjoterapeuta, niezależnie od formy prowadzenia działalności, takie dane przetwarza z definicji swojego zawodu. Wywiad z pacjentem, opis dolegliwości, plan terapii, notatki z przebiegu leczenia -- to wszystko dane o zdrowiu.

Konsekwencja jest prosta: jako administrator danych osobowych (a nim jest każdy gabinet, niezależnie od wielkości) musisz spełnić pełny katalog obowiązków wynikających z RODO -- od informowania pacjentów o przetwarzaniu ich danych, przez prowadzenie rejestru czynności przetwarzania, po procedurę reagowania na naruszenia. Szczegółowo obowiązki te opisujemy w artykule RODO w gabinecie fizjoterapii -- tu skupiamy się na tym, jak przełożyć je na konkretny komplet dokumentów, który faktycznie leży w Twoim gabinecie, a nie tylko w teorii.

Mapa 7 dokumentów -- kompletny system RODO dla gabinetu fizjoterapii

To, czego szuka kontroler UODO podczas kontroli, to nie pojedynczy dokument, tylko spójny system. Każdy z siedmiu elementów poniżej odpowiada za inny fragment układanki, a razem tworzą pełny obraz tego, jak gabinet przetwarza dane -- od zasad ogólnych, przez konkretne relacje z pacjentem i personelem, po reakcję na sytuacje kryzysowe.

1. Polityka ochrony danych osobowych

To dokument nadrzędny -- określa, kto w gabinecie jest administratorem danych (ADO), jakie zasady przetwarzania obowiązują, jak podzielone są role i odpowiedzialności. Wszystkie pozostałe dokumenty powinny być z nim spójne -- jeśli polityka mówi, że administratorem jest właścicielka gabinetu, a klauzula informacyjna wskazuje inny podmiot, to jest dokładnie ten typ niespójności, który kontroler wyłapuje w pierwszej kolejności.

2. Rejestr czynności przetwarzania (RCPD)

Rejestr to ewidencja wszystkich procesów, w których przetwarzasz dane osobowe -- prowadzenie kartoteki pacjenta, obsługa terminarza, fakturowanie, marketing. Obowiązek jego prowadzenia wynika z art. 30 RODO i dotyczy praktycznie każdego gabinetu przetwarzającego dane o zdrowiu, niezależnie od liczby zatrudnionych osób. Pełny przewodnik po tym, jak wypełnić rejestr krok po kroku, znajdziesz w artykule rejestr czynności przetwarzania w fizjoterapii.

3. Klauzula informacyjna dla pacjenta

To dokument, który pacjent musi otrzymać (najczęściej przy pierwszej wizycie), informujący go, kto przetwarza jego dane, w jakim celu, na jakiej podstawie prawnej i jakie ma prawa -- dostęp, sprostowanie, usunięcie, przenoszenie danych. Obowiązek informacyjny wynika z art. 13 RODO i jest jednym z najczęściej kontrolowanych elementów, bo łatwo go zweryfikować -- wystarczy zapytać pacjenta, czy taką informację otrzymał. Szczegóły opisujemy w artykule klauzula informacyjna RODO dla gabinetu fizjoterapii.

4. Upoważnienia do przetwarzania danych dla personelu

Każda osoba mająca dostęp do danych pacjentów -- fizjoterapeuta, recepcjonistka, praktykant -- musi mieć formalne upoważnienie do przetwarzania danych, wystawione przez administratora. Bez tego dokumentu osoba przetwarza dane bez podstawy prawnej, nawet jeśli robi to w ramach swoich obowiązków służbowych. To dokument, który najczęściej ginie w jednoosobowych gabinetach zatrudniających choćby jedną osobę na zlecenie -- opisujemy go dokładnie w artykule upoważnienie do przetwarzania danych dla personelu.

5. Umowa powierzenia przetwarzania (z dostawcami)

Aplikacja do terminarza, biuro rachunkowe, hosting strony, firma IT serwisująca sprzęt -- każdy z tych podmiotów, jeśli ma dostęp do danych osobowych pacjentów, jest procesorem w rozumieniu art. 28 RODO i wymaga podpisanej umowy powierzenia. Pełną listę typowych procesorów gabinetu fizjoterapii i wymogi takiej umowy opisujemy w artykule umowa powierzenia przetwarzania -- z kim musi ją podpisać fizjoterapeuta.

6. Procedura naruszenia ochrony danych + rejestr naruszeń

Zgubiony pendrive z kartotekami, komputer zainfekowany ransomware, email z danymi pacjenta wysłany pod zły adres -- to wszystko naruszenia ochrony danych, na które RODO daje 72 godziny na zgłoszenie do UODO. Gabinet bez spisanej procedury traci ten czas na ustalanie, co właściwie trzeba zrobić, zamiast na samo działanie. Krok po kroku pokazujemy to w artykule naruszenie ochrony danych -- 72 godziny na reakcję.

7. Regulamin monitoringu wizyjnego (opcjonalnie, jeśli gabinet ma kamery)

Jeśli w poczekalni albo na recepcji działają kamery, to osobny obszar regulacji -- trzeba określić cel monitoringu, okres przechowywania nagrań i poinformować o nim pacjentów odrębną tabliczką i klauzulą. Nie każdy gabinet ma kamery, ale ci, którzy je mają, często zapominają, że monitoring wymaga własnego, oddzielnego dokumentu -- nie wystarczy ogólna klauzula informacyjna.

Dokument	Co reguluje	Z czego wynika obowiązek	Status w Twoim gabinecie
Polityka ochrony danych	Role, zasady, nadrzędne ramy przetwarzania	Art. 24 RODO (odpowiedzialność ADO)	[ ]
Rejestr czynności przetwarzania	Ewidencja procesów przetwarzania danych	Art. 30 RODO	[ ]
Klauzula informacyjna dla pacjenta	Obowiązek informacyjny wobec pacjenta	Art. 13 RODO	[ ]
Upoważnienia dla personelu	Podstawa dostępu personelu do danych	Art. 29 RODO, art. 32 ust. 4 RODO	[ ]
Umowa powierzenia przetwarzania	Relacja z dostawcami (procesorami)	Art. 28 RODO	[ ]
Procedura naruszenia + rejestr	Reakcja na incydenty bezpieczeństwa	Art. 33-34 RODO	[ ]
Regulamin monitoringu (opcjonalnie)	Zasady nagrywania w poczekalni/recepcji	Art. 13 RODO w zw. z przepisami szczególnymi	[ ]

Ile to kosztuje zlecone prawnikowi

Zanim porównasz gotowy komplet z samodzielnym przygotowaniem dokumentów od zera, warto policzyć trzecią opcję -- zlecenie kompletu prawnikowi specjalizującemu się w RODO dla podmiotów leczniczych. Realistyczny szacunek dla małego gabinetu to 2-5 tysięcy złotych za pełny komplet siedmiu dokumentów dostosowanych do konkretnej praktyki, w zależności od tego, czy kancelaria wycenia to jako pakiet, czy jako osobne zlecenia za każdy dokument.

Do tego trzeba doliczyć czas -- w praktyce od zgłoszenia się do prawnika do otrzymania gotowych, podpisanych dokumentów mija zwykle 2-4 tygodnie, bo prawnik musi poznać specyfikę Twojego gabinetu, przygotować dokumenty, a Ty musisz je zweryfikować i wprowadzić poprawki. To czas, w którym gabinet funkcjonuje bez pełnej dokumentacji -- z realnym ryzykiem, że akurat w tym okresie zdarzy się kontrola albo skarga pacjenta.

Gotowy komplet dokumentów, przygotowany raz dla całej branży fizjoterapeutycznej i sprawdzony pod kątem zgodności z RODO, kosztuje ułamek tej kwoty i jest dostępny od razu -- różnica polega na tym, że musisz samodzielnie wypełnić dane własnego gabinetu, zamiast czekać, aż zrobi to za Ciebie prawnik.

Plan wdrożenia na jeden weekend

Kompletny system RODO nie musi powstawać tygodniami. Jeśli masz gotowe szablony, cała praca sprowadza się do uzupełnienia własnych danych i dopasowania treści do specyfiki gabinetu. Oto plan na dwa dni.

1. Sobota rano -- polityka i rejestr. Uzupełnij dane administratora w polityce ochrony danych, a następnie wypełnij rejestr czynności przetwarzania -- wypisz wszystkie procesy, w których przetwarzasz dane (kartoteka, terminarz, fakturowanie, marketing).
2. Sobota popołudnie -- klauzula i upoważnienia. Dostosuj klauzulę informacyjną do swojego gabinetu (nazwa, adres, dane kontaktowe w sprawach RODO) i wystaw upoważnienia dla wszystkich osób mających dostęp do danych pacjentów -- nawet jeśli to tylko Ty i jedna recepcjonistka.
3. Niedziela rano -- umowy powierzenia. Zrób listę wszystkich dostawców zewnętrznych (aplikacja do terminarza, biuro rachunkowe, hosting, IT) i sprawdź, z którymi z nich masz już podpisaną umowę powierzenia, a z którymi trzeba to uzupełnić.
4. Niedziela popołudnie -- procedura naruszenia i przegląd całości. Uzupełnij procedurę reagowania na naruszenia danymi kontaktowymi do zgłoszeń, a na koniec przejrzyj wszystkie siedem dokumentów pod kątem spójności -- czy nazwa gabinetu, adres i dane administratora są identyczne w każdym z nich.

Po takim weekendzie gabinet ma komplet dokumentacji gotowej do okazania podczas kontroli, zamiast czekać tygodniami na prawnika albo -- co gorsza -- odkładać temat "na później", które w praktyce nigdy nie nadchodzi.

Czego nie da się kupić gotowego

Warto powiedzieć to wprost, zamiast obiecywać coś, czego żaden gotowy komplet nie zapewni: dokumentacja RODO wymaga uzupełnienia danymi unikalnymi dla Twojego gabinetu. Żaden szablon nie wpisze za Ciebie danych właściciela, adresu gabinetu, ani nie ustali, którzy dostawcy faktycznie przetwarzają Twoje dane.

Trzy elementy zawsze wymagają Twojej pracy, niezależnie od tego, jak dobry jest szablon:

• Dane identyfikacyjne administratora -- imię, nazwisko lub nazwa firmy, adres, NIP, dane kontaktowe w sprawach RODO. To musi być zgodne z rzeczywistością, bo to właśnie te dane trafiają do klauzuli informacyjnej i polityki.
• Lista faktycznych procesorów -- konkretna aplikacja do terminarza czy EDM, z której korzystasz, konkretne biuro rachunkowe, konkretna firma hostingowa. Szablon umowy powierzenia mówi, jak taka umowa powinna wyglądać -- ale to Ty musisz wiedzieć, z kim ją podpisać.
• Realny opis procesów przetwarzania -- to, czy prowadzisz dokumentację papierową czy elektroniczną, czy masz monitoring, czy zatrudniasz personel -- wpływa na treść rejestru czynności przetwarzania i musi odzwierciedlać rzeczywistą organizację Twojego gabinetu, a nie generyczny opis "typowego gabinetu".

[SP] Przykład -- Solo-Praktyka: Pani Ania prowadzi jednoosobowy gabinet terapii manualnej w wynajętym pokoju. Przez cały weekend przechodzi przez siedem dokumentów z pakietu PREMIUM, wpisując swoje dane, adres gabinetu i listę trzech dostawców (aplikacja do terminarza, biuro rachunkowe, hosting strony). W poniedziałek ma gotowy, spójny komplet dokumentacji -- coś, co odkładała od dwóch lat, bo "nie miała czasu szukać prawnika".

[GR] Przykład -- Gabinet Grupowy: Właściciel gabinetu zatrudniającego czterech fizjoterapeutów i recepcjonistkę przechodzi przez ten sam komplet, ale dodatkowo musi wystawić upoważnienia dla każdej z pięciu osób z osobna i uwzględnić w rejestrze czynności przetwarzania dodatkowe procesy -- rekrutację, grafik pracowniczy, ewentualny monitoring w poczekalni. Dzięki gotowej strukturze dokumentów rozszerzenie o kolejne osoby to kwestia skopiowania wzoru upoważnienia, a nie tworzenia nowego dokumentu od zera.

Najczęściej zadawane pytania

Czy jednoosobowy gabinet fizjoterapii naprawdę potrzebuje wszystkich siedmiu dokumentów?

Tak, o ile gabinet przetwarza dane o zdrowiu pacjentów, a robi to z definicji swojej działalności. Wielkość podmiotu nie zwalnia z obowiązków wynikających z RODO -- solo-praktyka podlega dokładnie tym samym przepisom co duża klinika, różni się jedynie zakres poszczególnych dokumentów (np. krótsza lista osób w upoważnieniach), a nie sama konieczność ich posiadania.

Czy mogę wdrożyć te dokumenty samodzielnie, bez pomocy prawnika?

Tak, jeśli korzystasz z gotowych szablonów przygotowanych pod specyfikę branży fizjoterapeutycznej -- wtedy Twoja rola sprowadza się do uzupełnienia danych własnego gabinetu, a nie tworzenia treści prawnej od podstaw. Warto jednak pamiętać, że żaden szablon nie zna Twoich rzeczywistych procesów i dostawców -- te elementy zawsze trzeba wypełnić samodzielnie, dokładnie i zgodnie ze stanem faktycznym.

Co się stanie, jeśli mam tylko część z tych siedmiu dokumentów?

Kontroler UODO ocenia system jako całość, nie pojedyncze dokumenty w oderwaniu od siebie. Brak choćby jednego elementu -- na przykład upoważnień dla personelu przy jednoczesnym posiadaniu polityki i rejestru -- jest traktowany jako luka w systemie ochrony danych i może skutkować zaleceniem pokontrolnym, nawet jeśli reszta dokumentacji jest poprawna.

Czy regulamin monitoringu jest obowiązkowy dla każdego gabinetu?

Nie -- ten dokument dotyczy wyłącznie gabinetów, które faktycznie stosują monitoring wizyjny, np. kamery w poczekalni lub na recepcji. Jeśli gabinet nie ma kamer, ten element systemu po prostu nie ma zastosowania, ale warto o nim pamiętać w momencie, gdy zdecydujesz się zainstalować monitoring w przyszłości.

CTA: Nie musisz wybierać między kosztownym prawnikiem a ryzykownym "zrobię to kiedyś sam". Pakiet PREMIUM zawiera komplet wszystkich dokumentów RODO opisanych w tym artykule -- politykę ochrony danych, rejestr czynności przetwarzania, klauzulę informacyjną, upoważnienia dla personelu, umowę powierzenia przetwarzania i procedurę naruszenia ochrony danych -- gotowych do wypełnienia w jeden weekend, zamiast czekania 2-4 tygodnie i płacenia 2-5 tys. zł prawnikowi. Zobacz pakiet PREMIUM →

Powiązane artykuły:
- RODO w gabinecie fizjoterapii -- kompletny przewodnik
- Rejestr czynności przetwarzania w fizjoterapii
- Klauzula informacyjna RODO dla gabinetu fizjoterapii
- Upoważnienie do przetwarzania danych dla personelu
- Umowa powierzenia przetwarzania -- z kim musi ją podpisać fizjoterapeuta
- Naruszenie ochrony danych -- 72 godziny na reakcję