Szkolenie RODO personelu gabinetu - jak przeszkolić zespół i to udokumentować

Masz politykę ochrony danych, upoważnienia dla personelu i klauzulę informacyjną w poczekalni. Czy to znaczy, że temat RODO jest zamknięty? Niezupełnie. Dokumenty działają tylko wtedy, gdy zespół wie, co w nich jest i stosuje je w codziennej pracy. Recepcjonistka, która dyktuje przez telefon termin wizyty razem z rozpoznaniem pacjenta przy pełnej poczekalni, potrafi unieważnić w praktyce najlepiej napisaną politykę ochrony danych osobowych. Dlatego szkolenie personelu to nie miły dodatek, tylko element systemu ochrony danych, o który UODO pyta podczas kontroli.

W tym artykule wyjaśniamy, skąd wynika obowiązek szkoleń, kogo i z czego szkolić, jak często to powtarzać i - co najważniejsze - jak udokumentować szkolenie tak, żeby stanowiło dowód zgodności z RODO.

Skąd wynika obowiązek szkolenia personelu

RODO nie zawiera przepisu, który wprost mówi "przeszkol pracowników raz w roku". Obowiązek szkoleń wynika z kilku zasad ogólnych:

• Zasada rozliczalności - administrator musi być w stanie wykazać, że przestrzega przepisów. Przeszkolony personel i dokument potwierdzający szkolenie to jeden z najprostszych dowodów.
• Obowiązek wdrożenia odpowiednich środków organizacyjnych - RODO wymaga środków technicznych i organizacyjnych adekwatnych do ryzyka. Szkolenie personelu to klasyczny środek organizacyjny, wymieniany przez UODO w praktycznie każdych wytycznych.
• Przetwarzanie na polecenie administratora - osoby upoważnione mają przetwarzać dane wyłącznie zgodnie z poleceniami administratora. Żeby wykonywać polecenia, personel musi je najpierw poznać - a temu służy szkolenie.

W gabinecie fizjoterapii dochodzi jeszcze jeden argument: przetwarzasz dane o zdrowiu, czyli szczególną kategorię danych. Im wrażliwsze dane, tym wyższy standard staranności - i tym trudniej obronić brak jakiegokolwiek szkolenia.

Kogo trzeba przeszkolić

Krótka odpowiedź: każdego, kto ma jakikolwiek kontakt z danymi pacjentów. W praktyce oznacza to szerszy krąg, niż się wydaje:

• Fizjoterapeuci - pracują z dokumentacją medyczną codziennie, to oczywiste.
• Recepcja i rejestracja - to tu dochodzi do największej liczby codziennych sytuacji ryzykownych: rozmowy telefoniczne, wydawanie dokumentów, widoczny ekran komputera.
• Osoby na umowach cywilnoprawnych i B2B - forma współpracy nie ma znaczenia; liczy się dostęp do danych.
• Praktykanci i stażyści - zanim zaczną, przechodzą przynajmniej instruktaż wstępny.
• Osoba sprzątająca - jeśli sprząta po godzinach sama w gabinecie, ma fizyczny dostęp do pomieszczeń z dokumentacją. Zwykle nie potrzebuje pełnego szkolenia, ale powinna podpisać zobowiązanie do poufności i znać podstawowe zasady (np. zakaz otwierania szaf z dokumentacją).

Jeśli prowadzisz gabinet jednoosobowo, szkolisz przede wszystkim samego siebie - a dowodem staranności jest np. zaświadczenie z ukończonego kursu lub webinaru i data zapoznania się z własną dokumentacją RODO.

Zakres szkolenia - co personel musi wiedzieć

Szkolenie RODO w gabinecie fizjoterapii nie powinno być wykładem z teorii prawa. Ma odpowiadać na pytanie: "co konkretnie robię inaczej w mojej codziennej pracy". Sensowny program dla małego gabinetu wygląda tak:

Moduł 1: podstawy - krótko i konkretnie

Czym są dane osobowe i dane o zdrowiu, kim jest administrator, co wolno robić z danymi pacjentów i na jakiej podstawie. Wystarczy 20-30 minut - bez cytowania artykułów, za to z przykładami z gabinetu.

Moduł 2: codzienne sytuacje ryzykowne

Najważniejsza część. Omów na przykładach:

• Rozmowy telefoniczne przy pacjentach - jak potwierdzić wizytę, nie ogłaszając całej poczekalni, kto i na co przychodzi.
• Ekran komputera i dokumenty na blacie - zasady z polityki czystego biurka.
• Udzielanie informacji przez telefon - komu wolno potwierdzić, że ktoś jest pacjentem gabinetu (spoiler: prawie nikomu bez weryfikacji).
• Wydawanie dokumentacji - tylko pacjentowi lub osobie upoważnionej, po weryfikacji tożsamości.
• Prywatne telefony i komunikatory - zakaz fotografowania dokumentacji, zasady kontaktu z pacjentami.

Moduł 3: co robić, gdy coś pójdzie nie tak

Każdy w zespole musi umieć rozpoznać naruszenie ochrony danych i wiedzieć, komu je natychmiast zgłosić wewnętrznie. Czas na reakcję administratora jest krótki - na zgłoszenie naruszenia do UODO masz 72 godziny od stwierdzenia naruszenia, więc pracownik nie może "przemilczeć" wysłanego do złej osoby maila przez tydzień.

Moduł 4: zasady specyficzne dla stanowiska

Recepcja potrzebuje innych akcentów (weryfikacja tożsamości, telefony) niż fizjoterapeuta (wpisy w dokumentacji, rozmowy w sali zabiegowej). Dziesięć minut dopasowanych do stanowiska daje więcej niż godzina ogólników.

Jak często szkolić

Przepisy nie narzucają częstotliwości, więc decyduje zdrowy rozsądek i ryzyko. Sprawdzony schemat dla gabinetu:

Rodzaj szkolenia	Kiedy	Dla kogo
Szkolenie wstępne	Przed dopuszczeniem do danych, pierwszy dzień pracy	Każdy nowy pracownik, praktykant, współpracownik
Szkolenie okresowe (przypominające)	Raz w roku	Cały zespół
Szkolenie doraźne	Po naruszeniu, po zmianie przepisów lub procedur, po wdrożeniu nowego systemu	Osoby, których zmiana dotyczy
Krótki instruktaż	Przy zmianie stanowiska lub zakresu obowiązków	Osoba zmieniająca zakres

Szkolenie wstępne najlepiej połączyć z podpisaniem upoważnienia do przetwarzania danych i oświadczenia o poufności - komplet dokumentów opisaliśmy w artykule o upoważnieniach dla personelu.

Jak udokumentować szkolenie - to jest sedno

Z punktu widzenia rozliczalności szkolenie, którego nie udokumentowano, praktycznie nie istnieje. Minimum dokumentacyjne to:

1. Program szkolenia - lista omawianych tematów z datą. Jedna strona wystarczy.
2. Lista obecności z podpisami - kto, kiedy, w jakiej formie (stacjonarnie, online) odbył szkolenie.
3. Oświadczenie uczestnika - zdanie w stylu: "Zapoznałem się z zasadami ochrony danych osobowych obowiązującymi w gabinecie i zobowiązuję się do ich stosowania", z datą i podpisem.
4. Materiały szkoleniowe - prezentacja lub konspekt zarchiwizowane razem z listą obecności.

Dokumenty przechowuj w segregatorze RODO obok polityki ochrony danych i ewidencji upoważnień. Podczas kontroli UODO pytanie o szkolenia personelu pada niemal zawsze - wtedy zamiast tłumaczyć, że "rozmawialiście o tym na zebraniu", pokazujesz podpisaną listę i program.

Przykład: W gabinecie pana Tomasza nowa recepcjonistka odebrała telefon od kobiety podającej się za żonę pacjenta i potwierdziła termin jego wizyty oraz to, że "chodzi na rehabilitację kręgosłupa po urazie". Kobieta okazała się osobą postronną, a pacjent złożył skargę. Pan Tomasz musiał ocenić zdarzenie jako potencjalne naruszenie. Przy analizie okazało się, że recepcjonistka nigdy nie przeszła szkolenia wstępnego - miała podpisane upoważnienie, ale nikt jej nie powiedział, jak weryfikować rozmówców. Od tego czasu w gabinecie obowiązuje zasada: najpierw instruktaż i podpis na liście, potem dostęp do terminarza.

Szkolenie zewnętrzne czy własne?

Nie musisz zamawiać drogiego szkolenia zewnętrznego. Dla małego gabinetu w zupełności wystarczy szkolenie wewnętrzne prowadzone przez właściciela na bazie własnej dokumentacji RODO - pod warunkiem, że jest przygotowane i udokumentowane. Szkolenie zewnętrzne (kurs online, webinar branżowy) ma sens jako uzupełnienie dla właściciela: to on odpowiada za system i powinien rozumieć temat głębiej niż zespół.

Dobrym kompromisem jest model mieszany: właściciel raz w roku odświeża wiedzę na kursie zewnętrznym, a następnie sam prowadzi krótkie szkolenie okresowe dla zespołu, dopasowane do realiów gabinetu.

Jak sprawdzić, czy szkolenie działa

Podpisana lista obecności potwierdza, że szkolenie się odbyło - ale nie, że zadziałało. Kilka prostych sposobów na weryfikację w małym gabinecie:

• Krótki quiz po szkoleniu - pięć pytań z codziennych sytuacji (np. "dzwoni mąż pacjentki i pyta o jej wizyty - co robisz?"). Wypełnione quizy dołącz do dokumentacji szkolenia; to dodatkowy dowód rozliczalności.
• Obserwacja w pracy - przez tydzień po szkoleniu zwróć uwagę, czy zasady faktycznie weszły w nawyk: czy ekran recepcji jest blokowany, czy dokumenty nie leżą na blacie, jak zespół rozmawia przez telefon.
• Scenki przy szkoleniu okresowym - zamiast powtarzać teorię, przećwiczcie dwie lub trzy trudne sytuacje z minionego roku. Najlepszym materiałem są prawdziwe zdarzenia z Twojego gabinetu, oczywiście bez wskazywania winnych.
• Wnioski z incydentów - każde zdarzenie, nawet niegroźne, to gotowy temat na pięciominutowe przypomnienie na najbliższym zebraniu zespołu.

Takie podejście zamyka pełny cykl: szkolisz, dokumentujesz, sprawdzasz w praktyce i wracasz z wnioskami do kolejnego szkolenia. Dokładnie tego oczekuje od administratora zasada rozliczalności.

Najczęściej zadawane pytania

Czy szkolenie RODO personelu jest obowiązkowe?

Przepisy nie wskazują wprost obowiązku szkoleń, ale wynika on z zasady rozliczalności i obowiązku stosowania odpowiednich środków organizacyjnych. Szkolenie personelu jest standardowo wskazywane jako podstawowy środek organizacyjny, a jego brak trudno obronić przy przetwarzaniu danych o zdrowiu. W praktyce: tak, przeszkol zespół i to udokumentuj.

Jak często powtarzać szkolenie RODO w gabinecie?

Rozsądny standard to szkolenie wstępne przed dopuszczeniem nowej osoby do danych oraz szkolenie przypominające raz w roku dla całego zespołu. Dodatkowo szkolenie doraźne po każdym naruszeniu, istotnej zmianie procedur lub wdrożeniu nowego systemu, np. EDM lub rezerwacji online.

Czy właściciel gabinetu może sam przeszkolić pracowników?

Tak. Żaden przepis nie wymaga zewnętrznego trenera ani certyfikatu. Szkolenie wewnętrzne prowadzone przez właściciela na podstawie dokumentacji RODO gabinetu jest w pełni wystarczające, o ile ma przygotowany program i zostanie udokumentowane listą obecności z podpisami uczestników.

Jak udokumentować szkolenie RODO na potrzeby kontroli UODO?

Minimum to program szkolenia z datą, lista obecności z podpisami, oświadczenia uczestników o zapoznaniu się z zasadami ochrony danych oraz zarchiwizowane materiały szkoleniowe. Komplet przechowuj razem z pozostałą dokumentacją RODO gabinetu - kontroler pyta o szkolenia niemal przy każdej kontroli.

CTA: Nie chcesz przygotowywać programu szkolenia i wzorów od zera? Pakiet PREMIUM FizjoReady zawiera kompletną dokumentację RODO dla gabinetu fizjoterapii - politykę ochrony danych, upoważnienia, ewidencję i materiały, na których oprzesz szkolenie wewnętrzne zespołu. Zobacz pakiety FizjoReady →

Powiązane artykuły:
- Polityka ochrony danych osobowych w gabinecie - dokument, o który zapyta UODO
- Upoważnienia do przetwarzania danych dla personelu - kto, kiedy, jak
- Polityka czystego biurka - RODO w recepcji i poczekalni
- Naruszenie ochrony danych w gabinecie - masz 72 godziny