RODO w gabinecie fizjoterapii -- praktyczny przewodnik

RODO to Rozporządzenie Ogólne o Ochronie Danych (ang. GDPR) -- unia europejska mówi Tobie, jak bezpiecznie przechowywać dane swoich pacjentów. Wiele praktykujących fizjoterapeutów myśli: "Oj, to jakieś przepisy dla dużych firm, mnie to nie dotyczy." Błąd. Dotyczy to Ciebie tak samo jak szpitala czy apteki, bo dane pacjentów to jest złoto -- jeśli je stracisz lub wykorzystasz źle, grożą Ci kary finansowe i urata zaufania.

W tym artykule z kategorii RODO i ochrona danych pokażemy Ci dokładnie, co to RODO, dlaczego jest takie ważne w fizjoterapii, i jakie konkretnie dokumenty musisz mieć w swoim gabinecie.

Dlaczego RODO jest szczególnie ważne w fizjoterapii

Dane pacjenta w gabinecie fizjoterapii to nie zwykłe dane. To dane medyczne -- specjalna kategoria danych osobowych w myśl Art. 9 GDPR. To znaczy:

• Imię i nazwisko: zwykłe dane
• PESEL: dana identyfikacyjna wymagająca podwyższonej ochrony (choć formalnie nie należy do szczególnych kategorii z Art. 9)
• Informacja że pacjent ma bóle artykułów, że jest po operacji, że ma alergie -- to specjalna kategoria danych, bardziej chroniona

Jeśli Ty źle przechowujesz te dane, czy nieświadomie ujawnisz że pacjent był u Ciebie, to możesz otrzymać grzywnę od Urzędu Ochrony Danych Osobowych (UODO) -- to na poziomie całego kraju. UODO nakładał już kary na małe podmioty medyczne, m.in. za brak analizy ryzyka i brak podstawowych zabezpieczeń. Naruszenia RODO mogą też wyjść na jaw podczas kontroli Sanepid w gabinecie fizjoterapii. RODO nie robi wyjątków dla małych firm.

Podstawa prawna przetwarzania danych w fizjoterapii

Żeby móc przetwarzać dane pacjenta (zbierać je, przechowywać, przeglądać), musisz mieć podstawę prawną. W fizjoterapii masz dwie:

Podstawa 1: Art. 6(1)(c) GDPR -- Wykonywanie obowiązku prawnego

To jest główna podstawa. Ty musisz zbierać i prowadzić dane pacjenta dlatego, że prawo Ci to nakazuje. Konkretnie:

• Art. 24 ustawy z 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta nakazuje Ci prowadzić dokumentację medyczną
• Rozporządzenie MZ z 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej nakazuje Ci zbierać określone dane
• Przepisy o ubezpieczeniach zdrowotnych wymagają od Ciebie danych do rozliczenia

Ta podstawa ci zezwala zbierać: PESEL, historię medyczną, opis diagnoz, dane o zabiegach.

Podstawa 2: Art. 9 GDPR -- Wyjątek dla danych medycznych

Jeśli zbierasz szczególną kategorię danych (informacje o zdrowiu), to dodatkowo musisz mieć wyjątek na przetwarzanie tych danych. W fizjoterapii to:

• Art. 9(2)(h) GDPR -- "wyjątek medyczny": możesz przetwarzać dane zdrowotne jeśli jest to konieczne do celów medycznych/terapeutycznych
• To znaczy: możesz zbierać informacje o diagnozach, bólach, zabiegu, tylko jeśli jest to konieczne dla terapii

Te dwie podstawy razem dają Ci prawo do przetwarzania danych pacjenta -- ale warunkowo. Pacjent musi wiedzieć, że zbierasz jego dane, i musi wyrazić zgodę (tam, gdzie jest potrzebna).

7 dokumentów RODO, które musisz mieć w gabinecie

To praktyka -- te 7 dokumentów powinno być u Ciebie w gabinecie (papierowo lub elektronicznie). Oto one:

Dokument 1: Klauzula informacyjna

To krótki tekst, który dajesz pacjentowi przed lub podczas pierwszej wizyty. Mówi mu:

• Kto zbiera dane: Ty, [imię nazwisko], fizjoterapeuta, adres gabinetu
• Jakie dane zbierasz: PESEL, historia medyczna, opis diagnoz, dane kontaktowe
• Do jakiego celu: terapia, rozliczenie z NFZ (jeśli dotyczy), archiwizacja
• Jak długo przechowujesz: 20 lat od ostatniego wpisu (zgodnie z Rozporządzeniem MZ)
• Jakie ma prawa: prawo dostępu, poprawy danych, usunięcia (w granicach prawa)
• Dane inspektora ochrony danych (IOD): tylko jeśli go wyznaczyłeś -- mały i średni gabinet co do zasady nie ma takiego obowiązku (Art. 37 GDPR wymaga IOD dopiero przy przetwarzaniu danych o zdrowiu na dużą skalę jako głównej działalności, a indywidualna praktyka medyczna według wytycznych unijnych to nie jest "duża skala")

Klauzula powinna być krótka i zrozumiała, nie 10 stron tekstu prawniczego. Pacjent powinien móc ją przeczytać w 2 minuty.

[SP] Przykład -- Solo-Praktyka:
Ty pracujesz sam. Klauzula informacyjna to jedna strona A5 (połówka A4) w ramie obok Twojego biurka, którą pacjent czyta oczekując na wizytę. Na dole podpisuje, że się z nią zapoznał.

[GR] Przykład -- Gabinet Grupowy:
Wy macie trzech pracowników + dwóch fizjoterapeutów. Klauzula jest jednakowa dla wszystkich pacjentów. Warto wyznaczyć osobę koordynującą tematy ochrony danych w gabinecie -- ale to nie to samo co formalny IOD, którego mały gabinet grupowy zwykle nie musi powoływać. Jeśli jednak zdecydujecie się wyznaczyć IOD, uważajcie na konflikt interesów: nie powinna to być osoba, która sama decyduje o celach przetwarzania (np. właściciel czy manager zarządzający danymi). Klauzula jest dostępna papierowo i elektronicznie (QR kod prowadzący na stronę gabinetu).

Dokument 2: Formularz zgody RODO

To wyraźna zgoda pacjenta na przetwarzanie jego danych poza terapią. Na przykład:

• Czy pacjent wyraża zgodę, aby wysyłać mu SMS-y / e-maile z przypomnieniami o wizytach?
• Czy wyraża zgodę, aby jego dane były przetwarzane dla celów statystycznych (anonim)?
• Czy wyraża zgodę na newsletter (jeśli go masz)?
• Czy wyraża zgodę na kontakt marketingowy?

Dla samej terapii nie musisz zgody -- wystarczy klauzula. Ale jeśli chcesz robić cokolwiek więcej, musisz wyraźną zgodę.

Formularz zgody powinien mieć:

• Lista celów
• Pole do zaznaczenia "Tak, wyraża się zgodę" lub "Nie wyraża się zgodę"
• Podpis pacjenta
• Data

[SP] Przykład -- Solo-Praktyka:
Pacjent przyciemnia u Ciebie pierwszy raz. Podajesz mu formularz: "Czy wyrażasz zgodę na SMS-y z przypomnieniami o wizytach?" Pacjent zaznacza TAK lub NIE. To tyle. Brak zgodny = nie wysyłasz SMS-ów.

[GR] Przykład -- Gabinet Grupowy:
W formularzu pytacie: "Czy chcesz otrzymywać oferty specjalne naszego gabinetu?" i "Czy wyrażasz zgodę na fotografie twoich postępów (anonimowe) do prezentacji pacjentów?" Pacjenci wybierają. Ci co zaznaczyli NIE -- nie będą w fotach.

Dokument 3: Polityka prywatności gabinetu

To pełny dokument opisujący Twoją politykę ochrony danych. Zawiera:

• Kim jesteś (dane kontaktowe gabinetu)
• Jakie dane zbierasz i do jakiego celu
• Jak długo przechowujesz (20 lat)
• Komu udostępniasz (NFZ, ubezpieczycielom, jeśli dotyczy)
• Jak Ty je chronisz (szyfrowanie, dostęp tylko dla pracowników, itp.)
• Jakie prawa ma pacjent (dostęp, poprawę, usunięcie, przeniesienie)
• Procedura obsługi naruszenia danych
• Procedura wyrażenia sprzeciwu

Polityka powinna być dostępna na Twojej stronie internetowej (jeśli ją masz -- sprawdź wymogi RODO dla strony www gabinetu) lub w gabinecie papierowo. Pacjent powinien móc ją przeczytać przed zapisaniem się.

Dokument 4: Rejestr czynności przetwarzania danych (RCPD)

To dokument dla Ciebie, nie dla pacjenta. To spis tego, co robisz z danymi:

• Jakie dane przetwarzasz (PESEL, historia, diagnozy)
• Do jakiego celu (terapia, rozliczenie NFZ)
• Jak zbierasz (papierowo w gabinecie, elektronicznie)
• Gdzie przechowujesz (szafa w gabinecie, serwer)
• Kto ma dostęp (Ty, pracownicy)
• Jak długo przechowujesz (20 lat)
• Jakie masz środki bezpieczeństwa

RCPD nie musi być skomplikowany. Wystarczy tabelka na jednej stronie.

[SP] Przykład -- Solo-Praktyka:

| Dane | Cel | Źródło | Przechowywanie | Bezpieczeństwo |
|------|-----|--------|-----------------|-----------------|
| PESEL, historia, diagnozy | Terapia, rozliczenie NFZ | Ankieta pacjenta | 20 lat, szafa zamknięta | Klucz mam ja |
| Numery telefonów | SMS-y z przypomnieniami | Klauzula + zgoda | Dopóki pacjent nie anuluje | Telefon chroniony hasłem |

[GR] Przykład -- Gabinet Grupowy:

| Dane | Cel | Źródło | Przechowywanie | Bezpieczeństwo |
|------|-----|--------|-----------------|-----------------|
| Wszystkie | Terapia, rozliczenie | Formularz | 20 lat, system elektroniczny | Hasło + szyfrowanie, backupy |
| E-maile pacjentów | Newsletter (opcjonalnie) | Klauzula + zgoda | Dopóki zgoda nie zostanie wycofana | Poczta zabezpieczona |

Dokument 5: Umowa powierzenia przetwarzania danych

Ta umowa jest potrzebna, jeśli ktoś inny przetwarzna Twoje dane -- np.:

• Firma IT, która zarządza Twoim systemem elektronicznej dokumentacji
• Księgowa, której dajesz dane pacjentów do fakturowania
• Usługa backup w chmurze (np. OneDrive, Google Drive)
• Laboratorium, któremu przesyłasz dane do analiz (jeśli dotyczy)

Umowa powierzenia mówi: "Ja (Ty) powierzam Tobie (podmiótowi IT) przetwarzanie danych, a Ty je będziesz chronić tak samo dobrze jak ja."

[SP] Przykład -- Solo-Praktyka:
Ty używasz aplikacji medycznej w chmurze do dokumentacji pacjentów. Aplikacja = firma, która powinna podpisać z Tobą umowę powierzenia. Sprawdzisz na stronie aplikacji, czy mają tę umowę do pobrania. Jeśli nie -- to czerwony alarm. Taka aplikacja nie ma RODO compliance.

[GR] Przykład -- Gabinet Grupowy:
Wy macie systemem elektroniczny pacjentów + księgową, która rozlicza NFZ. Musicie mieć:
1. Umowę powierzenia z dostawcą systemu
2. Umowę powierzenia z księgową

Jeśli któregoś nie macie, to procedura jest niekompletna.

Dokument 6: Procedura reagowania na naruszenia danych

Czasem się zdarza -- pacjent zgubi kartę, czy Ty jako fizjoterapeuta przez pomyłkę wyjawisz dane pacjenta drugemu pacjentowi. To naruszenie danych.

Gdy dojdzie do naruszenia, musisz:

1. Ocenić ryzyko -- czy naruszenie może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą
2. Zgłosić do UODO w ciągu 72 godzin -- ale tylko wtedy, gdy naruszenie może powodować takie ryzyko (Art. 33 GDPR); jeśli ryzyko jest mało prawdopodobne, zgłoszenie nie jest wymagane
3. Zawiadomić pacjenta bez zbędnej zwłoki -- tylko gdy naruszenie może powodować wysokie ryzyko dla jego praw lub wolności (Art. 34 GDPR)
4. Dokumentować wewnętrznie każde naruszenie -- niezależnie od tego, czy zgłaszasz je do UODO: co się stało, jak to odkryłeś, jaka była ocena ryzyka, co zrobiłeś by naprawić

Procedura opisuje, kto ocenia ryzyko i informuje UODO (może być Ty, może pełnomocnik), jakie dane wysyłacie (zawiadomienie w PDF).

[SP] Przykład -- Solo-Praktyka:
Pacjent zostawia kartę w taksówce. Ty dowiadujesz się następnego dnia. Natychmiast:
1. Dokumentujesz: "Karta pacjenta Pani Zofii z danymi medycznymi zgubiona 10 kwietnia 2026, odnaleziona 12 kwietnia"
2. Oceniasz ryzyko: karta z danymi medycznymi była poza kontrolą -- ryzyko dla praw Pani Zofii jest realne, więc zgłaszasz naruszenie do UODO (formularz na stronie uodo.gov.pl) w ciągu 72 godzin
3. Skoro w grę wchodzą dane o zdrowiu, ryzyko może być wysokie -- dzwonisz do Pani Zofii i informujesz ją, co się stało

To procedura, którą powinieneś mieć przygotowaną na wypadek.

[GR] Przykład -- Gabinet Grupowy:
Jedna z dwóch receptjonek wysyła przez WhatsApp innej receptjoance informacje o pacjencie (że Marek ma bóle pleców) -- ale tekst wysyła do trzeciej osoby przez pomyłkę. To naruszenie. Procedura mówi: "Menedżer gabinetu ocenia ryzyko; jeśli naruszenie może powodować ryzyko dla praw pacjenta -- zgłasza do UODO w ciągu 72 godzin." Niezależnie od zgłoszenia, naruszenie dokumentujecie w wewnętrznym rejestrze.

Dokument 7: Upoważnienia do przetwarzania + Ewidencja

To dokument dla Ciebie i Twoich pracowników. Mówi: "Kto w gabinecie może przeglądać dane pacjentów?"

Ewidencja powinna zawierać:

• Imię pracownika
• Funkcja (fizjoterapeuta, receptjonistka, księgowa)
• Jakie dane może przeglądać (fizjoterapeuta: wszystkie, receptjonistka: telefon i imię, księgowa: tylko dane do fakturowania)
• Data upoważnienia
• Okres ważności

Pracownik powinien podpisać, że przeczytał i wie, jak chronić dane.

Kary za naruszenia RODO -- przykłady

Jeśli zignorując RODO, to grożą Ci konkretne kary:

Niższy próg kar (Art. 83(4) GDPR)

• Do 10 milionów EUR (lub 2% rocznego obrotu, w zależności co jest większe)
• Za brak procedur, brak RCPD, brak umów powierzenia

Wyższy próg kar (Art. 83(5) GDPR)

• Do 20 milionów EUR (lub 4% rocznego obrotu)
• Za poważne naruszenia: ujawnienie danych bez podstawy, przetwarzanie bez podstawy prawnej, naruszenie praw osób

Dla fizjoterapeuty solo

To maksymalne progi ustawowe -- wobec małych gabinetów kary UODO są w praktyce rzadkie i znacznie niższe (orzekane w złotówkach, proporcjonalnie do skali naruszenia i możliwości podmiotu). Do tego dochodzi jednak odpowiedzialność cywilna, jeśli pacjent pozwie Cię za ujawnienie jego danych.

Nawet "proporcjonalna" kara plus utrata zaufania pacjentów może zniszczyć małą praktykę -- to jeden z najpoważniejszych błędów compliance w gabinecie fizjoterapii. Stąd ważne jest RODO.

Różnice między solo-praktyką a gabinetą grupową

Solo-praktyka (SP)

• Ty sam zbierasz i przetwarzasz dane
• Nie musisz mieć inspektora ochrony danych (IOD) -- indywidualna praktyka medyczna według wytycznych unijnych nie przetwarza danych "na dużą skalę"
• Procedury mogą być prostsze (jedna osoba = łatwa kontrola)
• Umowy powierzenia -- tylko z tymi, którym dajesz dostęp (dostawca IT, księgowa)

Gabinet grupowy (GR)

• Kilka osób ma dostęp do danych
• IOD co do zasady nadal nie jest obowiązkowy -- obowiązek z Art. 37 GDPR powstaje dopiero, gdy przetwarzanie danych o zdrowiu na dużą skalę jest główną działalnością (typowo szpitale, duże sieci przychodni); warto jednak wyznaczyć osobę koordynującą tematy RODO w zespole
• Procedury muszą być ściślejsze (co każda osoba może robić)
• Więcej umów powierzenia (system IT, księgowa, pracownicy)
• Ewidencja upoważnień musi być dokładna

[SP] Przykład -- Solo-Praktyka:
Ty masz system: klauzula na ścianie, zgoda pacjenta w druku, polityka prywatności na stronie internetowej (jeśli ją masz), RCPD na kartce w szafie, umowa powierzenia z dostawcą systemu (jeśli używasz). To 4-5 dokumentów. Koniec.

[GR] Przykład -- Gabinet Grupowy:
Wy macie: wszystko jak wyżej PLUS ewidencja upoważnień dla każdego pracownika, procedura naruszenia (bo więcej osób = wyższe ryzyko), osoba koordynująca RODO w zespole, trening dla pracowników jak chronić dane.

FAQ

Pytanie 1: Czy muszę mieć zgodę pacjenta na przetwarzanie jego danych medycznych?

Odpowiedź: Nie do końca. Do samej terapii wystarczy klauzula informacyjna (Art. 6(1)(c) -- obowiązek prawny). Pacjent przychodzi do Ciebie, Ty mówisz "Będę zbierać Twoje dane bo prawo mi to nakazuje," i to wystarczy.

Ale jeśli chcesz przetwarzać dane do czegoś więcej (SMS-y, newsletter, foto do portfolia) -- wtedy musisz wyraźną zgodę.

Pytanie 2: Jeśli pacjent prosi mnie o usunięcie jego danych, czy muszę to zrobić?

Odpowiedź: Pacjent ma prawo do "zapomnienia" (Art. 17 GDPR), ale nie bez limitów:

• Jeśli masz obowiązek prawny przechowywać dane (np. dokumentacja przez 20 lat) -- nie możesz usunąć
• Jeśli pacjent sobie tego zmieni zdanie za rok i będzie chciał dostęp do historii -- a Ty danymi usunąłeś, to jest problem

Może powinieneś powiedzieć pacjentowi: "Mogę anonimizować Twoje dane (usunąć imię/nazwisko), ale dokumentacja medyczna musi być przechowywana 20 lat ze względu na ustawę."

Pytanie 3: Co jeśli robię backup danych pacjentów w Google Drive?

Odpowiedź: Sam transfer danych do USA nie jest już problemem -- od lipca 2023 r. obowiązuje decyzja adekwatności Komisji Europejskiej (EU-US Data Privacy Framework), więc przekazywanie danych certyfikowanym dostawcom, takim jak Google, jest legalne. Realny wymóg jest inny:

• Używaj wersji biznesowej (Google Workspace), nie prywatnego konta -- tylko wtedy Google zawiera z Tobą umowę powierzenia przetwarzania (DPA)
• Skonfiguruj dostęp poprawnie: silne hasło, weryfikacja dwuetapowa, dostęp tylko dla upoważnionych osób
• Dodatkowe szyfrowanie plików przed wrzuceniem (np. 7-Zip z hasłem) to dobra praktyka przy danych medycznych

Nie wolno Ci po prostu "rzucić" danych pacjentów na prywatne konto Google Drive bez umowy powierzenia i zabezpieczeń.

CTA: Zobacz pakiety FizjoReady →
RODO to nie prostą, ale niezbędna część prowadzenia gabinetu. Pakiet FizjoReady PREMIUM (1297 zł) zawiera wszystkie 7 dokumentów RODO gotowych do podpisu: klauzulę informacyjną, formularz zgody, politykę prywatności, RCPD, umowę powierzenia, procedurę naruszenia i upoważnienia. Wszystko dostosowane do fizjoterapii. Sprawdź pakiet PREMIUM

Powiązane artykuły:
- Dokumentacja medyczna w fizjoterapii -- co obowiązkowe
- Jak prawidłowo prowadzić kartę pacjenta w fizjoterapii
- 7 błędów compliance w gabinecie fizjoterapii i jak ich uniknąć