Rejestr czynności przetwarzania (RCPD) w gabinecie fizjoterapii - jak wypełnić

Pani Ania prowadzi jednoosobowy gabinet fizjoterapii i przez dwa lata była przekonana, że rejestr czynności przetwarzania to formalność dla dużych klinik z działem kadr i kilkunastoma pracownikami. W końcu ma jedną osobę na etacie -- siebie. Kiedy jednak przygotowywała się do kontroli UODO po zgłoszeniu incydentu przez byłego pacjenta, okazało się, że brak RCPD jest samodzielnym naruszeniem, niezależnie od tego, czy doszło do wycieku danych czy nie.

To nieporozumienie powtarza się w niemal każdym małym gabinecie. Wynika z błędnego czytania przepisu o zwolnieniu dla małych podmiotów -- przepisu, który w praktyce prawie nigdy nie dotyczy fizjoterapeutów, bo przetwarzają dane o zdrowiu. W tym artykule wyjaśniamy, dlaczego RCPD jest obowiązkowy właściwie zawsze, jak go zbudować krok po kroku i jak wygląda przykładowo wypełniony wiersz rejestru. Podstawy prawne RODO w gabinecie opisaliśmy szerzej w artykule o RODO w gabinecie fizjoterapii.

Czym jest RCPD i skąd ten obowiązek

Rejestr czynności przetwarzania danych osobowych (RCPD, ang. ROPA -- Records of Processing Activities) to dokument wymagany przez art. 30 RODO. To wewnętrzna "mapa" wszystkich procesów, w których gabinet przetwarza dane osobowe -- od dokumentacji medycznej pacjentów, przez terminarz wizyt, po kadry i marketing. Rejestr nie trafia do publikacji ani nie jest zgłaszany do żadnego urzędu z góry, ale to nie znaczy, że jest opcjonalny.

Mały gabinet a wyjątek z art. 30 ust. 5 RODO

Wielu właścicieli gabinetów słyszało, że podmioty zatrudniające mniej niż 250 osób są zwolnione z obowiązku prowadzenia rejestru. To prawda tylko połowicznie. Wyjątek z art. 30 ust. 5 RODO faktycznie dotyczy małych podmiotów, ale nie obejmuje sytuacji, w których:

• przetwarzanie nie ma charakteru sporadycznego (czyli jest prowadzone regularnie -- a prowadzenie dokumentacji pacjentów regularnie w gabinecie fizjoterapii to dokładnie taki przypadek),
• przetwarzanie dotyczy szczególnych kategorii danych z art. 9 RODO -- w tym danych o zdrowiu,
• przetwarzanie może powodować ryzyko naruszenia praw i wolności osób, których dane dotyczą.

Gabinet fizjoterapii spełnia co najmniej dwa z tych trzech warunków jednocześnie: przetwarza dane o zdrowiu pacjentów regularnie, przy każdej wizycie. Dlatego niezależnie od wielkości gabinetu -- jednoosobowego czy zatrudniającego kilku terapeutów -- RCPD jest obowiązkowy. To jeden z najczęściej mylnie interpretowanych przepisów RODO w branży fizjoterapeutycznej i częsty powód uchybień przy kontrolach, o których piszemy w artykule o błędach przy kontroli KIF i Sanepid.

Co musi zawierać każdy wpis w rejestrze

Artykuł 30 ust. 1 RODO wskazuje elementy obowiązkowe dla każdej czynności przetwarzania wpisanej do rejestru administratora danych. Każdy wiersz rejestru powinien zawierać:

1. Cel przetwarzania -- po co gabinet zbiera i wykorzystuje dane (np. świadczenie usług fizjoterapeutycznych, prowadzenie dokumentacji medycznej).
2. Opis kategorii osób, których dane dotyczą -- pacjenci, personel, kontrahenci.
3. Opis kategorii danych osobowych -- dane identyfikacyjne, kontaktowe, dane o zdrowiu, dane rozliczeniowe.
4. Kategorie odbiorców danych -- komu dane są ujawniane, w tym podmioty przetwarzające (np. dostawca oprogramowania medycznego, biuro rachunkowe) oraz odbiorcy w państwach trzecich, jeśli występują.
5. Planowane terminy usunięcia poszczególnych kategorii danych -- np. zgodnie z ustawowym okresem przechowywania dokumentacji medycznej.
6. Ogólny opis technicznych i organizacyjnych środków bezpieczeństwa -- np. szyfrowanie, kontrola dostępu, kopie zapasowe, upoważnienia dla personelu.

Dodatkowo administrator wpisuje swoje dane identyfikacyjne i kontaktowe (a jeśli powołano inspektora ochrony danych -- także jego dane).

Czynności przetwarzania, które trzeba wpisać osobno

Najczęstszy błąd przy budowaniu RCPD to wpisanie jednej ogólnej pozycji "przetwarzanie danych pacjentów" zamiast rozbicia rzeczywistych procesów na osobne wiersze. Każdy proces ma inny cel, inną podstawę prawną i inny okres przechowywania, więc powinien być opisany osobno. W typowym gabinecie fizjoterapii to zwykle:

• Dokumentacja medyczna pacjentów -- wywiady, karty terapii, plany leczenia.
• Umawianie wizyt i terminarz -- dane kontaktowe, historia rezerwacji.
• Marketing -- newsletter, SMS-y przypominające o wizycie, kampanie reklamowe.
• Kadry i płace personelu -- dane pracowników i współpracowników.
• Monitoring wizyjny -- jeśli w gabinecie zainstalowano kamery.
• Księgowość i faktury -- dane rozliczeniowe klientów i kontrahentów.
• Obsługa reklamacji i zgłoszeń -- korespondencja z pacjentami w sprawach spornych.

Rozbicie na osobne wiersze ułatwia też odpowiedź na pytania kontrolne UODO -- inspektor pyta zwykle o konkretny proces, a nie o "przetwarzanie danych" w ogóle.

Czynność przetwarzania	Kategorie danych	Podstawa prawna	Odbiorcy	Okres przechowywania
Dokumentacja medyczna pacjenta	Dane identyfikacyjne, kontaktowe, dane o zdrowiu	Art. 9 ust. 2 lit. h RODO + ustawa o prawach pacjenta	Oprogramowanie medyczne (podmiot przetwarzający), NFZ (jeśli dotyczy)	20 lat od ostatniego wpisu (ustawa o prawach pacjenta)
Marketing (newsletter, SMS-y)	Imię, e-mail, numer telefonu	Zgoda -- art. 6 ust. 1 lit. a RODO	Dostawca systemu mailingowego/SMS	Do wycofania zgody
Kadry i płace personelu	Dane identyfikacyjne, dane kadrowo-płacowe	Obowiązek prawny / umowa -- art. 6 ust. 1 lit. b i c RODO	Biuro rachunkowe, ZUS	Zgodnie z przepisami o dokumentacji pracowniczej

Jak dobrać podstawę prawną do każdej czynności

Podstawa prawna to element, który najczęściej sprawia trudność, bo w gabinecie fizjoterapii mieszają się dwa reżimy prawne -- ogólny RODO i przepisy dotyczące danych o zdrowiu.

Dane o zdrowiu -- art. 9 RODO

Dokumentacja medyczna pacjenta to dane szczególnej kategorii. Samo RODO co do zasady zakazuje ich przetwarzania, ale przewiduje wyjątki. Dla gabinetu fizjoterapii kluczowy jest art. 9 ust. 2 lit. h RODO -- przetwarzanie niezbędne do celów opieki zdrowotnej. Ta podstawa działa w połączeniu z przepisami krajowymi, przede wszystkim ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta oraz ustawą o działalności leczniczej, które precyzują m.in. obowiązek prowadzenia dokumentacji i okres jej przechowywania.

Marketing -- zgoda

Newsletter i SMS-y przypominające o wizytach (jeśli wykraczają poza czysto organizacyjne przypomnienie o umówionym terminie) opierają się zwykle na zgodzie -- art. 6 ust. 1 lit. a RODO. Zgoda musi być dobrowolna, konkretna i możliwa do wycofania w każdej chwili równie łatwo, jak została udzielona.

Kadry -- obowiązek prawny i umowa

Dane pracowników i współpracowników przetwarzane są głównie na podstawie obowiązku prawnego (art. 6 ust. 1 lit. c RODO) wynikającego z przepisów prawa pracy i ubezpieczeń społecznych, a częściowo na podstawie wykonania umowy (art. 6 ust. 1 lit. b RODO).

[SP] Przykład -- Solo-Praktyka: Pani Ania prowadzi gabinet sama, bez zatrudnionego personelu. Mimo to w jej RCPD znajduje się pięć osobnych wierszy: dokumentacja medyczna, terminarz wizyt, newsletter z poradami rehabilitacyjnymi, księgowość prowadzona przez zewnętrzne biuro rachunkowe i obsługa reklamacji. Rejestr zajmuje jedną stronę A4, ale UODO podczas kontroli sprawdza właśnie to -- czy dokument istnieje i czy odzwierciedla rzeczywiste procesy.

[GR] Przykład -- Gabinet Grupowy: W gabinecie zatrudniającym czterech fizjoterapeutów i recepcjonistkę RCPD ma dziewięć wierszy -- dochodzą kadry i płace personelu, monitoring wizyjny w poczekalni oraz osobna pozycja na dane odbiorców faktur B2B. Za aktualizację rejestru odpowiada wyznaczona osoba, która przegląda go raz na pół roku i po każdej istotnej zmianie w procesach gabinetu, np. wdrożeniu nowego systemu do umawiania wizyt online.

RCPD to dokument wewnętrzny -- ale nie znaczy, że opcjonalny

Rejestru czynności przetwarzania nie publikuje się na stronie internetowej gabinetu ani nie zgłasza do UODO z wyprzedzeniem -- to dokument wewnętrzny administratora danych. Sposób, w jaki dane pacjentów są prezentowane na zewnątrz, np. w polityce prywatności strony internetowej, opisaliśmy w artykule o stronie internetowej gabinetu a RODO.

To jednak nie oznacza, że RCPD można pominąć. Zgodnie z art. 30 ust. 4 RODO administrator musi udostępnić rejestr na żądanie organu nadzorczego -- czyli UODO. Podczas kontroli inspektor może poprosić o okazanie rejestru w dowolnym momencie, a jego brak jest traktowany jako samodzielne naruszenie RODO, niezależnie od tego, czy w gabinecie doszło do jakiegokolwiek incydentu bezpieczeństwa danych. Brak rejestru to jeden z najprostszych do wykrycia i najbardziej jednoznacznych uchybień -- inspektor albo widzi dokument, albo go nie widzi.

Aktualizacja rejestru -- kiedy trzeba go poprawić

RCPD nie jest dokumentem "raz na zawsze". Trzeba go zaktualizować za każdym razem, gdy w gabinecie:

• pojawia się nowy proces przetwarzania danych (np. wdrożenie systemu do rezerwacji online, uruchomienie monitoringu),
• zmienia się odbiorca danych (np. zmiana dostawcy oprogramowania medycznego lub biura rachunkowego),
• zmienia się okres przechowywania danych wskutek zmiany przepisów,
• gabinet zaczyna współpracować z nowym podmiotem przetwarzającym, z którym trzeba też podpisać umowę powierzenia przetwarzania danych.

W praktyce dobrym nawykiem jest przegląd rejestru raz na pół roku oraz każdorazowo po wprowadzeniu nowego narzędzia lub usługi w gabinecie.

Najczęściej zadawane pytania

Czy jednoosobowy gabinet fizjoterapii musi prowadzić RCPD?

Tak. Wyjątek z art. 30 ust. 5 RODO dla podmiotów zatrudniających mniej niż 250 osób nie obejmuje przetwarzania danych o zdrowiu ani przetwarzania regularnego, a gabinet fizjoterapii spełnia oba te warunki niezależnie od liczby zatrudnionych osób. Dlatego RCPD jest obowiązkowy nawet w gabinecie prowadzonym przez jedną osobę.

Czy rejestr czynności przetwarzania trzeba komuś zgłaszać albo publikować?

Nie. RCPD to dokument wewnętrzny administratora danych i nie podlega zgłoszeniu ani publikacji. Zgodnie z art. 30 ust. 4 RODO gabinet musi jednak udostępnić go na żądanie UODO podczas kontroli. Brak takiego dokumentu jest traktowany jako samodzielne naruszenie przepisów, nawet jeśli w gabinecie nie doszło do żadnego incydentu.

Jakie procesy trzeba wpisać do rejestru osobno?

Każdy proces przetwarzania danych powinien mieć osobny wiersz, ponieważ różni się celem, podstawą prawną i okresem przechowywania. W typowym gabinecie fizjoterapii to zwykle dokumentacja medyczna, umawianie wizyt, marketing, kadry i płace, ewentualny monitoring wizyjny, księgowość oraz obsługa reklamacji.

Jak długo trzeba przechowywać dane wpisane w rejestrze?

Zależy od kategorii danych. Dokumentacja medyczna podlega ustawowemu okresowi przechowywania z ustawy o prawach pacjenta (co do zasady 20 lat od ostatniego wpisu), dane marketingowe przechowuje się do wycofania zgody, a dane kadrowe zgodnie z przepisami o dokumentacji pracowniczej. Te terminy trzeba wpisać wprost w rejestrze przy każdej czynności przetwarzania.

CTA: Nie chcesz budować RCPD od zera? Pakiet FizjoReady PREMIUM (1297 zł) zawiera gotowy, edytowalny szablon rejestru czynności przetwarzania -- wraz z instrukcją wypełnienia i przykładowo uzupełnionymi wierszami dopasowanymi do specyfiki gabinetu fizjoterapii. Zobacz pakiety FizjoReady →

Powiązane artykuły:
- RODO w gabinecie fizjoterapii -- praktyczny przewodnik dla fizjoterapeuty
- Rejestr udostępnień dokumentacji medycznej -- wzór
- Strona internetowa gabinetu a RODO -- polityka i cookies