Klauzula informacyjna dla pacjenta - co musi zawierać i gdzie ją umieścić

Pan Tomasz otworzył gabinet fizjoterapii pół roku temu. Na recepcji ma wydrukowaną kartkę z napisem "RODO" i miejscem na podpis pacjenta -- skopiował ją od znajomego, który prowadzi gabinet kosmetyczny. Każdy nowy pacjent przy pierwszej wizycie podpisuje tę kartkę, a Pan Tomasz odkłada ją do segregatora i czuje się bezpiecznie. Problem w tym, że dokument, który podsunął pacjentom, nie zawiera ani jednego z elementów wymaganych przez RODO -- jest za to miejsce na podpis, którego RODO w ogóle nie wymaga.

To jeden z najczęstszych błędów w małych gabinetach: mylenie klauzuli informacyjnej z formularzem zgody. Klauzula informacyjna to nie prośba o pozwolenie -- to obowiązek administratora danych, żeby powiedzieć pacjentowi, kto przetwarza jego dane, po co, jak długo i jakie ma prawa. W tym artykule wyjaśniamy, co dokładnie musi się w niej znaleźć, kiedy trzeba ją przekazać i dlaczego podpis pacjenta pod nią jest zbędny.

Kiedy trzeba spełnić obowiązek informacyjny wobec pacjenta

Art. 13 RODO nakłada na administratora obowiązek przekazania określonych informacji w momencie zbierania danych osobowych od osoby, której dane dotyczą. W praktyce gabinetu fizjoterapii oznacza to, że obowiązek informacyjny trzeba spełnić już przy pierwszym kontakcie, w którym pacjent podaje swoje dane -- czyli zwykle przy rejestracji na pierwszą wizytę, a nie dopiero podczas samego zabiegu.

Nie ma tu żadnego okresu przejściowego ani możliwości "dogadania się później". Jeśli pacjent dzwoni, żeby umówić wizytę, i recepcjonistka zapisuje jego imię, nazwisko i numer telefonu, obowiązek informacyjny powstaje w tym właśnie momencie -- niezależnie od tego, czy pacjent w ogóle pojawi się w gabinecie. Ogólne zasady wdrożenia RODO w gabinecie, w tym mapę wszystkich obowiązków administratora, opisujemy w artykule RODO w gabinecie fizjoterapii.

Model warstwowy -- jak podać dużo informacji bez przytłaczania pacjenta

RODO wymaga przekazania sporej ilości informacji, ale nie oznacza to, że pacjent musi czytać stronę tekstu prawnego, zanim usiądzie na fotelu do wywiadu. W praktyce sprawdza się model warstwowy rekomendowany przez organy nadzorcze w Europie.

Warstwa pierwsza -- informacja skrócona

To krótka, widoczna informacja umieszczona tam, gdzie pacjent faktycznie ją zobaczy -- na tablicy w poczekalni, na recepcji, w formularzu rejestracyjnym online. Zawiera najważniejsze punkty: kto jest administratorem, w jakim celu przetwarza dane, gdzie znaleźć pełną treść klauzuli oraz jak skontaktować się w sprawach danych osobowych. To nie jest skrót zastępujący pełną klauzulę -- to punkt wejścia, który odsyła do szczegółów.

Warstwa druga -- pełna treść

Pełna klauzula, zawierająca wszystkie 11 elementów wymaganych przez art. 13 RODO, powinna być dostępna w miejscu łatwo dostępnym dla pacjenta -- najczęściej na stronie internetowej gabinetu (w zakładce polityki prywatności) oraz fizycznie w gabinecie, np. w segregatorze na recepcji, do wglądu na życzenie. Dobrą praktyką jest też umieszczenie linku do pełnej klauzuli bezpośrednio pod skróconą informacją w warstwie pierwszej.

Taki podział spełnia jednocześnie dwa cele RODO, które pozornie się wykluczają: informacja ma być zwięzła i przystępna (art. 12 RODO), a jednocześnie kompletna (art. 13 RODO).

11 obowiązkowych elementów klauzuli informacyjnej

Art. 13 ust. 1 i 2 RODO wymienia konkretny zestaw informacji, które muszą znaleźć się w klauzuli. Poniższa tabela pokazuje wszystkie elementy razem z tym, jak wygląda ich typowa treść w gabinecie fizjoterapii.

Element wg art. 13 RODO	Jak wygląda w gabinecie fizjoterapii
Tożsamość i dane kontaktowe administratora	Nazwa gabinetu/firmy, adres, e-mail, telefon
Dane kontaktowe IOD (jeśli powołany)	W małych gabinetach zwykle brak IOD -- wtedy ten punkt się pomija
Cele i podstawy prawne przetwarzania	Np. prowadzenie dokumentacji medycznej (obowiązek prawny), umówienie i realizacja wizyty (umowa), kontakt w sprawie terminu (prawnie uzasadniony interes)
Prawnie uzasadnione interesy administratora (jeśli dotyczy)	Np. dochodzenie roszczeń, wewnętrzne cele statystyczne
Odbiorcy danych	Biuro rachunkowe, dostawca oprogramowania do terminarza, laboratorium/podmioty współpracujące -- jeśli dotyczy
Zamiar przekazania danych do państwa trzeciego	Zwykle brak -- podaje się informację, że dane nie są przekazywane poza EOG, chyba że faktycznie są
Okres przechowywania danych	20 lat dla dokumentacji medycznej wg ustawy o prawach pacjenta, inne okresy dla danych rozliczeniowych
Prawa osoby, której dane dotyczą	Dostęp, sprostowanie, usunięcie (w granicach przepisów o dokumentacji medycznej), ograniczenie, sprzeciw, przenoszenie danych
Prawo wniesienia skargi do organu nadzorczego	Prezes Urzędu Ochrony Danych Osobowych
Czy podanie danych jest obowiązkowe/warunkuje usługę	Informacja, że podanie danych jest niezbędne do realizacji wizyty i prowadzenia dokumentacji medycznej
Zautomatyzowane podejmowanie decyzji, w tym profilowanie	W gabinecie fizjoterapii zwykle brak -- podaje się informację, że administrator nie stosuje zautomatyzowanego podejmowania decyzji

Brak nawet jednego z powyższych elementów sprawia, że obowiązek informacyjny nie jest spełniony w pełni -- niezależnie od tego, jak rozbudowana jest reszta dokumentu.

Okres przechowywania -- 20 lat i dlaczego to trzeba napisać wprost

Jednym z elementów, który najczęściej bywa pomijany lub podawany ogólnikowo ("przez okres niezbędny"), jest konkretny okres przechowywania dokumentacji medycznej. Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta wskazuje 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu -- to informacja, którą klauzula powinna podać wprost, a nie odsyłać do "obowiązujących przepisów" bez konkretnej liczby. Pacjent ma prawo wiedzieć, jak długo jego dane będą przechowywane, a ogólnikowe sformułowania nie spełniają wymogu przejrzystości z art. 12 RODO.

Czy pacjent musi podpisać klauzulę informacyjną

Nie. To jeden z najczęstszych i najbardziej rozpowszechnionych błędów w gabinetach -- zbieranie podpisów pod klauzulą informacyjną, tak jakby to była zgoda na coś. Klauzula informacyjna nie jest zgodą -- jest jednostronnym obowiązkiem administratora, który musi przekazać informacje pacjentowi, niezależnie od tego, czy ten się z nimi zgadza, czy nie. Pacjent nie ma tu nic do "wyrażenia" -- jedynie prawo, żeby zostać poinformowanym.

Skąd bierze się ta pomyłka? Najczęściej z pomieszania klauzuli informacyjnej ze zgodą marketingową (np. na wysyłkę newslettera czy przypomnień SMS o wizytach w celach innych niż realizacja usługi), która faktycznie wymaga aktywnego działania pacjenta -- zaznaczenia checkboxa lub złożenia podpisu. Zbieranie podpisów pod samą klauzulą informacyjną nie jest wymagane, a w praktyce tworzy dodatkową, zbędną dokumentację, którą trzeba przechowywać i archiwizować bez żadnej korzyści prawnej.

Jeśli gabinet chce mieć dowód, że obowiązek informacyjny został spełniony, wystarczy udokumentować sam fakt udostępnienia klauzuli -- np. przez to, że jest trwale wywieszona w widocznym miejscu, dostępna na stronie internetowej i wymieniona w regulaminie rejestracji. Nie trzeba do tego podpisu każdego pacjenta z osobna.

[SP] Przykład -- Solo-Praktyka: Pan Tomasz usuwa ze swojego formularza kartkę z podpisem i zastępuje ją tabliczką na recepcji z warstwą pierwszą klauzuli oraz linkiem do pełnej treści na stronie internetowej. Segregator z pełną klauzulą zostawia na blacie recepcji, dostępny do wglądu. Formularz zgody marketingowej na SMS-owe przypomnienia o wizytach zostawia jako osobny, opcjonalny checkbox -- to jedyny element, który faktycznie wymaga podpisu lub zaznaczenia.

[GR] Przykład -- Gabinet Grupowy: W gabinecie z pięcioma fizjoterapeutami dotychczas każdy terapeuta miał swoją wersję "zgody RODO" -- różniącą się treścią i formą. Kierowniczka gabinetu ujednolica dokumentację: jedna klauzula informacyjna obowiązująca w całym gabinecie, wywieszona w poczekalni, dostępna na stronie i w recepcji, bez podpisów. Zgody marketingowe (jeśli gabinet je zbiera) są osobnym, jednolitym formularzem z checkboxem.

Rejestracja telefoniczna i online -- jak spełnić obowiązek bez fizycznego podpisu

Coraz więcej pacjentów umawia się telefonicznie albo przez formularz na stronie czy w aplikacji do rezerwacji (np. Booksy). W obu przypadkach obowiązek informacyjny powstaje w chwili zbierania danych -- a więc jeszcze przed pierwszą wizytą -- i trzeba go spełnić bez fizycznej obecności pacjenta w gabinecie.

Przy rejestracji telefonicznej dobrą praktyką jest krótka, ustna informacja przekazana przez recepcjonistkę ("Państwa dane będą przetwarzane zgodnie z RODO w celu realizacji wizyty, pełna klauzula dostępna jest na naszej stronie internetowej pod adresem...") oraz odesłanie do pełnej treści dostępnej online. Nie trzeba czytać całej klauzuli przez telefon -- wystarczy zapewnić, że informacja jest łatwo dostępna, a pacjent wie, gdzie jej szukać.

Przy rejestracji online (formularz na stronie, aplikacja rezerwacyjna) obowiązek spełnia się przez umieszczenie skróconej informacji bezpośrednio przy polach formularza, wraz z linkiem do pełnej klauzuli -- najczęściej w formie zdania pod przyciskiem "Zapisz się" ("Administratorem Twoich danych jest [nazwa gabinetu]. Pełna informacja o przetwarzaniu danych dostępna jest [tutaj]"). Formularz zapisu na stronie internetowej i jego zgodność z RODO opisujemy szerzej w artykule strona internetowa gabinetu a RODO. Warto też upewnić się, że sposób przetwarzania danych z formularza jest spójny z tym, co gabinet ma zapisane w rejestrze czynności przetwarzania -- klauzula informacyjna i rejestr powinny opisywać te same cele i podstawy prawne, a nie różnić się między sobą.

Jak wdrożyć klauzulę informacyjną krok po kroku

1. Zbierz wszystkie elementy z art. 13 RODO i przygotuj pełną treść klauzuli dopasowaną do faktycznych procesów w gabinecie -- nie kopiuj gotowca bez sprawdzenia, czy pasuje do Twojej sytuacji.
2. Przygotuj wersję skróconą (warstwa pierwsza) do tablicy na recepcji, formularza online i informacji telefonicznej.
3. Umieść pełną treść w dwóch miejscach -- na stronie internetowej gabinetu oraz fizycznie w gabinecie, w miejscu dostępnym dla pacjenta.
4. Usuń wszelkie miejsca na podpis pacjenta przy samej klauzuli informacyjnej -- jeśli takie istnieją.
5. Sprawdź spójność z rejestrem czynności przetwarzania -- cele i podstawy prawne muszą się zgadzać między dokumentami.
6. Zaktualizuj klauzulę po każdej zmianie procesu -- np. przy zmianie dostawcy oprogramowania do terminarza czy dodaniu nowej usługi.

Najczęściej zadawane pytania

Czy klauzula informacyjna RODO musi być wywieszona na recepcji?

Nie ma wymogu, żeby klauzula fizycznie wisiała na ścianie, ale musi być łatwo dostępna dla pacjenta w momencie zbierania jego danych. W praktyce najskuteczniejszym rozwiązaniem jest połączenie krótkiej informacji widocznej na recepcji lub w formularzu z pełną treścią dostępną na stronie internetowej i w segregatorze w gabinecie -- tak, żeby pacjent mógł się z nią zapoznać bez konieczności pytania o nią wprost.

Czy trzeba mieć osobną klauzulę dla dzieci i osób z opiekunem?

Tak, warto uwzględnić w klauzuli informację, że w przypadku pacjentów małoletnich lub ubezwłasnowolnionych obowiązek informacyjny jest realizowany wobec ich przedstawiciela ustawowego lub opiekuna, który wyraża zgody i odbiera informacje w ich imieniu. Nie musi to być odrębny dokument -- wystarczy jeden akapit w pełnej treści klauzuli, opisujący tę sytuację.

Czy klauzula RODO różni się od zgody na przetwarzanie danych medycznych?

Tak, to dwa różne dokumenty o różnych funkcjach. Klauzula informacyjna realizuje obowiązek z art. 13 RODO i nie wymaga żadnego działania ze strony pacjenta poza zapoznaniem się z nią. Przetwarzanie danych o zdrowiu w gabinecie fizjoterapii odbywa się najczęściej na podstawie realizacji umowy o świadczenie usług zdrowotnych i obowiązku prawnego prowadzenia dokumentacji medycznej, a nie na podstawie zgody -- dlatego w typowym gabinecie osobna zgoda na przetwarzanie danych medycznych zwykle nie jest potrzebna.

Co się stanie, jeśli gabinet w ogóle nie ma klauzuli informacyjnej?

Brak klauzuli informacyjnej to naruszenie jednego z podstawowych obowiązków administratora danych wynikających z art. 13 RODO, niezależnie od tego, czy doszło do jakiegokolwiek incydentu bezpieczeństwa. Podczas kontroli lub w reakcji na skargę pacjenta Urząd Ochrony Danych Osobowych może wydać zalecenia pokontrolne lub nałożyć karę administracyjną wyłącznie za sam brak spełnienia obowiązku informacyjnego, bez konieczności wykazania żadnej dodatkowej szkody.

CTA: Nie masz jeszcze gotowej klauzuli informacyjnej zgodnej z art. 13 RODO? Pakiet PREMIUM zawiera gotową "Klauzulę informacyjną RODO" -- instrukcję wdrożenia razem z szablonem do wypełnienia danymi Twojego gabinetu, gotową do wywieszenia na recepcji i publikacji na stronie. Zobacz pakiety FizjoReady

Powiązane artykuły:
- RODO w gabinecie fizjoterapii -- kompletny przewodnik
- Karta pacjenta w fizjoterapii -- co musi zawierać
- Rejestr czynności przetwarzania w gabinecie fizjoterapii