Program do gabinetu: 10 pytań do dostawcy
Umowa powierzenia, eksport danych, kopie zapasowe, awaria. 10 pytań, które zadasz dostawcy programu do gabinetu, zanim wprowadzisz dane pacjentów.
Dostawca programu do dokumentacji trzyma na swoich serwerach dane zdrowotne Twoich pacjentów. To jedne z najbardziej wrażliwych danych, jakie w ogóle przetwarza się w Polsce. Zanim wprowadzisz pierwszego pacjenta, warto zadać dostawcy kilka pytań. Odpowiedzi najczęściej znajdziesz w regulaminie, umowie i dokumentacji bezpieczeństwa, ale czasem trzeba napisać do wsparcia.
Ten wpis nie jest poradą prawną. Umowę z dostawcą warto skonsultować z prawnikiem, zwłaszcza gdy w gabinecie pracuje więcej osób.
Najważniejsze w skrócie
- W relacji z programem zazwyczaj Ty jesteś administratorem danych pacjentów, a dostawca podmiotem przetwarzającym. Art. 28 ust. 3 RODO wymaga umowy lub innego instrumentu prawnego.
- Dziesięć pytań poniżej zamienia elementy tej umowy na konkretne pytania do dostawcy. Pięć z nich wynika wprost z art. 28 ust. 3 RODO.
- Zapisuj odpowiedzi z datą i źródłem. Przydadzą się przy kontroli albo zmianie programu.
- Deklaracja producenta, że program jest "zgodny z RODO", dotyczy narzędzia. Dokumenty administratora masz po swojej stronie.
- Darmowy program wymaga tych samych pytań co płatny.
Dlaczego pytasz o to Ty, a nie tylko dostawca
W relacji z programem zazwyczaj Ty jesteś administratorem danych pacjentów, a dostawca podmiotem przetwarzającym. Art. 28 ust. 3 RODO wymaga, żeby przetwarzanie przez podmiot przetwarzający opierało się na umowie lub innym instrumencie prawnym. Ma on określać między innymi przedmiot i czas przetwarzania, jego charakter i cel, rodzaj danych, kategorie osób oraz prawa i obowiązki administratora. Umowa ma też zobowiązywać dostawcę do kilku konkretnych rzeczy, które zamieniamy poniżej na pytania.
Producent może deklarować, że program jest zgodny z RODO. To informacja o narzędziu, nie o dokumentach Twojego gabinetu. Dlatego pytania zadajesz Ty i odpowiedzi zapisujesz po swojej stronie.
10 pytań i czego szukać w odpowiedzi
| # | Pytanie | Dobra odpowiedź | Sygnał ostrzegawczy |
|---|---|---|---|
| 1 | Czy zawierasz umowę powierzenia i czy mogę ją zobaczyć przed zakupem? | Wzór umowy dostępny przed zakupem albo akceptowany przy zakładaniu konta, z opisanym zakresem danych | Brak umowy albo "nie jest potrzebna" |
| 2 | Co dzieje się z danymi po zakończeniu umowy? | Ja wybieram: zwrot albo usunięcie danych, usunięcie kopii, konkretny termin | Dane znikają automatycznie bez możliwości pobrania |
| 3 | W jakim formacie wyeksportuję dokumentację? | Czytelny, standardowy format, eksport także dla całej bazy | Eksport tylko pojedynczych kart albo tylko do pliku, który otwiera wyłącznie ten program |
| 4 | Gdzie fizycznie przechowywane są dane i czy trafiają poza Europejski Obszar Gospodarczy? | Lokalizacja serwerów podana wprost, przekazanie poza EOG tylko na moje polecenie | Brak informacji o lokalizacji |
| 5 | Czy korzystasz z podwykonawców (hosting, SMS, poczta) i jak informujesz o zmianach? | Lista podwykonawców i powiadomienie o zmianach z wyprzedzeniem | Podwykonawcy "bez wskazania" |
| 6 | Jak szybko zgłosisz mi naruszenie ochrony danych? | Konkretny termin w umowie, krótszy niż mój własny | "Poinformujemy w odpowiednim czasie" |
| 7 | Jak często robisz kopie zapasowe i czy sprawdzacie ich odtwarzanie? | Kopie regularne, test odtworzenia, podany czas przywrócenia | Brak odpowiedzi o testach |
| 8 | Kto po Twojej stronie ma dostęp do moich danych i czy jest to rejestrowane? | Dostęp ograniczony do wsparcia technicznego, logowany, osoby związane poufnością | Szeroki dostęp bez rejestrów |
| 9 | Czy każdy użytkownik ma osobne konto i role? | Osobne loginy, rejestracja bez dostępu do kart pacjentów | Jedno wspólne konto dla całego zespołu |
| 10 | Co dzieje się, gdy program nie działa? | Status dostępności, czas reakcji wsparcia, jasne zasady w umowie | Brak informacji o czasie reakcji |
Przykład odpowiedzi na pytania 1, 2 i 3 widać na stronie jednego z dostawców: ZenMed pisze, że umowę powierzenia podpisuje się przy wdrożeniu, a po rozwiązaniu umowy dane wydaje w formatach JSON i CSV w ciągu 30 dni i kasuje w kolejnych 60 dniach (strona zenmed.pl, 3 listopada 2026). To deklaracja producenta, którą weryfikujesz w umowie i regulaminie, a nie ocena programu.
Skąd te pytania
Pytania 1, 2, 4, 5 i 8 odpowiadają wprost elementom, które art. 28 ust. 3 RODO wymaga uwzględnić w umowie. Są wśród nich: przetwarzanie wyłącznie na udokumentowane polecenie administratora (w tym przekazywanie danych do państw trzecich), poufność osób przetwarzających dane, warunki korzystania z kolejnego podmiotu przetwarzającego (art. 28 ust. 2 wymaga uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora) oraz usunięcie lub zwrot danych po zakończeniu usług (według wyboru administratora, wraz z usunięciem kopii, chyba że prawo nakazuje przechowywanie). Przepis wymaga też udostępniania informacji potrzebnych do wykazania zgodności i umożliwienia audytów, więc przy pytaniu 1 sprawdź, czy umowa to przewiduje.
Pytanie 6 wynika też z art. 33 ust. 2 RODO: podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych bez zbędnej zwłoki zgłasza je administratorowi. Termin warto wpisać do umowy konkretnie, bo administrator ma własne obowiązki związane z naruszeniami. O tym piszemy w wpisie naruszenie ochrony danych w gabinecie.
Pytania 3, 7, 9 i 10 są praktyczne. Nie wynikają wprost z jednego przepisu, ale decydują o tym, czy dokumentacja będzie bezpieczna i dostępna, gdy jej potrzebujesz. Wymagania wobec systemu, w którym prowadzisz dokumentację, omawiamy w wpisie Program do EDM dla gabinetu: jak wybrać.
Co zrobić z odpowiedziami
- Zapisz je. Notatka z datą i źródłem (link do regulaminu, mail od wsparcia) przyda się przy kontroli albo zmianie programu.
- Dopisz dostawcę do rejestru czynności przetwarzania jako podmiot, któremu powierzasz dane (zob. rejestr czynności przetwarzania).
- Spisz zasady dostępu do systemu w gabinecie: kto ma konto, jakie ma uprawnienia, co dzieje się z kontem przy odejściu pracownika. Pomoże upoważnienie do przetwarzania danych dla personelu i wpis o bezpieczeństwie IT w gabinecie.
- Przygotuj procedurę na wypadek awarii programu. Co robi personel, gdy system przestanie działać w trakcie przyjęć, opisujemy w wpisie awaria EDM.
W pakiecie PREMIUM masz wzory dokumentów do pierwszych kroków: wzór umowy powierzenia (do porównania z umową dostawcy), rejestr czynności przetwarzania, upoważnienia do przetwarzania danych i procedurę naruszeń ochrony danych. Dostawca zwykle przedstawia własną umowę. Wzór służy do tego, żebyś wiedział, na co zwrócić uwagę, zanim ją podpiszesz. Instrukcji zarządzania systemem IT ani procedury na wypadek awarii programu w pakietach nie ma, więc krok 3 i 4 piszesz według wskazanych wpisów.
Wybrałeś program? Przygotuj dokumenty po swojej stronie. Pakiet PREMIUM zawiera wzór umowy powierzenia do porównania z umową dostawcy, rejestr czynności przetwarzania, upoważnienia do przetwarzania danych i procedurę naruszeń ochrony danych. Zobacz pakiet PREMIUM lub porównaj wszystkie pakiety.
Najczęściej zadawane pytania
Czy muszę mieć umowę powierzenia z dostawcą programu?
Jeśli dostawca przetwarza dane pacjentów w Twoim imieniu, art. 28 ust. 3 RODO wymaga umowy lub innego instrumentu prawnego. Dostawca zwykle ma własny wzór. Przeczytaj go przed podpisaniem. W razie wątpliwości skonsultuj z prawnikiem. Szczegóły w wpisie o umowie powierzenia przetwarzania.
Czy umowa z dostawcą wystarczy, żebym spełnił obowiązki RODO?
Nie, to jeden z elementów. Jako administrator masz też własne obowiązki, na przykład informowanie pacjentów o przetwarzaniu danych i prowadzenie dokumentacji ochrony danych w gabinecie. Pełny obraz opisujemy w wpisie RODO w gabinecie fizjoterapii.
Co z dokumentacją, gdy zmienię program?
Zanim zrezygnujesz z programu, wyeksportuj dokumentację i sprawdź, co umowa mówi o danych po zakończeniu usług. Art. 28 ust. 3 lit. g RODO przewiduje, że to administrator wybiera między usunięciem a zwrotem danych, a kopie są usuwane, chyba że prawo nakazuje przechowywanie danych. Okres przechowywania dokumentacji medycznej wynika z przepisów.
Czy darmowy program ma inne zasady niż płatny?
Przetwarzanie danych pacjentów wygląda tak samo, więc pytania do dostawcy są takie same. Porównanie darmowych planów znajdziesz w wpisie Darmowy program dla fizjoterapeuty.
Stan prawny na: 3 listopada 2026 r.
Podstawa prawna: rozporządzenie (UE) 2016/679 (RODO), art. 28 ust. 1-4 (w szczególności ust. 3 lit. a-h) i art. 33 ust. 2, w polskiej wersji językowej z Urzędu Publikacji UE sprawdzone 3 listopada 2026 r. Nie sprawdzaliśmy: art. 32 RODO, wytycznych Europejskiej Rady Ochrony Danych dotyczących administratora i podmiotu przetwarzającego, wzorów umów ani regulaminów konkretnych dostawców (poza wskazanym przykładem ze strony zenmed.pl), przepisów o okresach przechowywania dokumentacji medycznej w tym wpisie ani przypadków granicznych, w których dostawca nie jest podmiotem przetwarzającym (do weryfikacji u prawnika).
Ostatni przegląd: 3 listopada 2026 r.
Powiązane artykuły:
- Umowa powierzenia przetwarzania danych w gabinecie
- Bezpieczeństwo IT w gabinecie fizjoterapii
- Padł system EDM w środku dnia przyjęć
- Czy program do dokumentacji wystarczy w gabinecie fizjoterapii