Umowa powierzenia przetwarzania - z kim musi ją podpisać fizjoterapeuta

Pani Joanna prowadzi gabinet fizjoterapii od pięciu lat. Terminarz pacjentów prowadzi w popularnej aplikacji do rezerwacji, księgowość zleciła biuru rachunkowemu, a stronę www hostuje u lokalnej firmy hostingowej. Gdy podczas rozmowy z koleżanką po fachu usłyszała pytanie "a masz podpisane umowy powierzenia z tymi wszystkimi firmami?", zorientowała się, że nie ma pojęcia, o co chodzi. Przecież to ona jest administratorem danych pacjentów -- dlaczego miałaby podpisywać cokolwiek z dostawcą kalendarza online?

Odpowiedź brzmi: bo każdy z tych podmiotów przetwarza dane osobowych pacjentów w jej imieniu, a RODO wprost wymaga, żeby taka współpraca była oparta na pisemnej umowie. Bez niej gabinet naraża się na poważne naruszenie -- nawet jeśli żadne dane nigdy nie wyciekły. W tym artykule wyjaśniamy, z kim fizjoterapeuta musi podpisać umowę powierzenia, co taka umowa musi zawierać i jak sprawdzić dostawcę, który "ma już swój wzór".

Czym jest umowa powierzenia przetwarzania danych

Umowa powierzenia przetwarzania danych (w skrócie UPD, czasem nazywana też DPA -- Data Processing Agreement) to dokument, który reguluje sytuację, w której administrator danych (gabinet fizjoterapii) zleca przetwarzanie danych osobowych innemu podmiotowi (procesorowi), np. dostawcy oprogramowania czy biuru rachunkowemu. Procesor nie decyduje samodzielnie, po co i jak przetwarza dane -- robi to wyłącznie na polecenie administratora, w zakresie ustalonym umową.

Podstawą prawną jest art. 28 RODO, który mówi wprost: jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Co ważne -- przetwarzanie przez procesora musi być objęte umową lub innym instrumentem prawnym, który jest wiążący dla procesora i administratora. Ustny "zaufaj mi" nie wystarczy. Ogólne zasady wdrożenia RODO w gabinecie opisujemy szerzej w artykule RODO w gabinecie fizjoterapii.

Kto jest procesorem w typowym gabinecie fizjoterapii

Większość gabinetów korzysta z kilku zewnętrznych dostawców, o których rzadko myśli się w kategoriach "przetwarzania danych". A jednak każdy z nich, jeśli ma dostęp do danych osobowych pacjentów, jest potencjalnym procesorem.

Dostawca oprogramowania do terminarza i EDM

Aplikacje do rezerwacji wizyt i elektronicznej dokumentacji medycznej to najbardziej oczywisty przykład. Dostawca przechowuje na swoich serwerach imiona, nazwiska, numery telefonów, a czasem także dane o stanie zdrowia pacjentów -- dokładnie tak, jak opisujemy w artykule o elektronicznej dokumentacji medycznej w fizjoterapii. Tu jest jednak istotna pułapka: część popularnych platform rezerwacyjnych (typu Booksy czy podobne serwisy) w swoich regulaminach określa relację nie jako zwykłe powierzenie, ale jako współadministrowanie. To zupełnie inna konstrukcja prawna niż powierzenie z art. 28 -- wymaga odrębnego uzgodnienia zakresu odpowiedzialności obu stron zgodnie z art. 26 RODO. Zanim podpiszesz cokolwiek "z automatu" w panelu dostawcy, sprawdź w jego regulaminie, czy mówi o powierzeniu czy o współadministrowaniu -- to nie jest formalność, tylko realna różnica w Twojej odpowiedzialności.

Biuro rachunkowe

Faktury i dokumenty księgowe zawierają dane osobowe klientów (a czasem pracowników). Biuro rachunkowe przetwarza je w Twoim imieniu -- to klasyczny przypadek powierzenia, z reguły najprostszy do formalnego uporządkowania, bo większość biur ma już gotowe wzory.

Firma hostingowa strony internetowej

Jeśli na stronie gabinetu działa formularz kontaktowy, formularz zapisu na wizytę albo newsletter, dane z tych formularzy trafiają na serwer firmy hostingowej. To również powierzenie -- kwestię tę rozwijamy w artykule strona internetowa gabinetu a RODO.

Odbiorca odpadów medycznych

Jeżeli w dokumentacji przekazywanej razem z odpadami (np. w protokołach przekazania) pojawiają się dane osobowe pacjentów, firma odbierająca odpady również staje się procesorem w tym wąskim zakresie. Warto to sprawdzić, zanim podpiszesz z nią umowę na odbiór -- w wielu przypadkach da się tak zredagować dokumentację odpadową, żeby dane osobowe w ogóle się w niej nie pojawiały, co upraszcza sytuację.

Firma IT serwisująca sprzęt i oprogramowanie

Serwisant, który zdalnie loguje się na komputer z systemem do prowadzenia kart pacjentów albo fizycznie naprawia sprzęt z dostępem do bazy danych, przetwarza dane osobowe -- nawet jeśli robi to okazjonalnie. To jeden z najczęściej pomijanych procesorów, bo współpraca bywa nieformalna ("zadzwoń, jak coś się zepsuje").

Dostawca	Rodzaj relacji	Co sprawdzić
Aplikacja do terminarza / EDM	Zwykle powierzenie, czasem współadministrowanie	Regulamin dostawcy -- powierzenie czy współadministrowanie
Biuro rachunkowe	Powierzenie	Czy ma podpisaną własną UPD zgodną z art. 28
Firma hostingowa	Powierzenie	Lokalizacja serwerów, podpowierzenie
Odbiorca odpadów medycznych	Powierzenie (jeśli dane w dokumentacji)	Czy dokumentacja odpadowa zawiera dane osobowe
Firma IT / serwis sprzętu	Powierzenie	Zakres dostępu, czas trwania dostępu

Co musi zawierać umowa powierzenia wg art. 28 RODO

Art. 28 RODO nie zostawia dużej dowolności co do treści umowy -- wymienia konkretne elementy, które muszą się w niej znaleźć. Brak któregoś z nich oznacza, że dokument nie spełnia wymogów, nawet jeśli obie strony go podpisały.

Elementy obowiązkowe

• Przedmiot i czas trwania przetwarzania -- na czym polega usługa i jak długo trwa współpraca.
• Charakter i cel przetwarzania -- np. prowadzenie terminarza wizyt, obsługa księgowa.
• Rodzaj danych osobowych i kategorie osób, których dane dotyczą -- np. dane zwykłe pacjentów, ewentualnie dane o zdrowiu.
• Obowiązki i prawa administratora -- w tym prawo do wydawania poleceń i kontroli.
• Zobowiązanie procesora do przetwarzania wyłącznie na udokumentowane polecenie administratora -- procesor nie może "przy okazji" wykorzystać danych do własnych celów.
• Zapewnienie poufności -- osoby upoważnione przez procesora do przetwarzania danych muszą być zobowiązane do zachowania tajemnicy.
• Odpowiednie środki bezpieczeństwa zgodnie z art. 32 RODO -- techniczne i organizacyjne zabezpieczenie danych.
• Zasady podpowierzenia -- warunki, na jakich procesor może korzystać z dalszych podwykonawców.
• Pomoc administratorowi w realizacji praw osób, których dane dotyczą (np. wniosku pacjenta o dostęp do danych).
• Pomoc w wywiązaniu się z obowiązków dotyczących bezpieczeństwa danych, zgłaszania naruszeń i oceny skutków.
• Zwrot lub usunięcie danych po zakończeniu współpracy -- co dzieje się z danymi, gdy kończysz umowę z dostawcą.
• Prawo do audytu -- możliwość weryfikacji przez administratora, że procesor rzeczywiście przestrzega umowy.

Brak nawet jednego z tych elementów sprawia, że umowa jest niekompletna z punktu widzenia RODO, co przy kontroli UODO będzie traktowane tak samo jak brak umowy w ogóle.

Podpowierzenie -- gdy dostawca korzysta z dalszych podwykonawców

Wielu dostawców oprogramowania samo korzysta z zewnętrznej infrastruktury -- np. przechowuje dane na serwerach dużego dostawcy chmury. To jest tzw. podpowierzenie (subprocessing). RODO wymaga, żeby procesor nie angażował kolejnego podwykonawcy bez uprzedniej zgody administratora (ogólnej lub szczegółowej) i żeby informował administratora o planowanych zmianach w tym zakresie, dając możliwość wyrażenia sprzeciwu. W praktyce oznacza to, że w umowie z dostawcą aplikacji do terminarza warto sprawdzić, czy jest tam informacja o podwykonawcach -- i czy gabinet ma realną możliwość zapoznania się ze zmianami.

Gdy dostawca "ma już swój wzór"

Duzi dostawcy oprogramowania, hostingu czy narzędzi chmurowych zwykle nie negocjują treści umowy powierzenia z każdym klientem osobno -- mają gotowy, standardowy dokument (często udostępniany jako link w regulaminie albo panelu klienta). To nie jest problem samo w sobie, ale nie zwalnia gabinetu z obowiązku weryfikacji.

Zanim zaakceptujesz taki standardowy dokument:

• Poproś o kopię umowy powierzenia (DPA), jeśli nie jest łatwo dostępna publicznie -- masz prawo ją znać, zanim zaczniesz korzystać z usługi.
• Sprawdź, czy zawiera wszystkie elementy z art. 28 RODO wymienione wyżej -- szczególnie zasady podpowierzenia i zwrotu danych po zakończeniu współpracy.
• Zweryfikuj lokalizację przetwarzania danych -- jeśli dane trafiają poza Europejski Obszar Gospodarczy, muszą istnieć dodatkowe mechanizmy zgodności (np. standardowe klauzule umowne).
• Nie zakładaj automatycznie, że skoro dostawca jest duży i znany, to jego wzór na pewno jest zgodny -- zdarza się, że standardowe dokumenty są nieaktualne albo pomijają istotne elementy.

[SP] Przykład -- Solo-Praktyka: Pani Joanna sprawdza regulamin swojej aplikacji do terminarza i odkrywa, że dostawca traktuje relację jako współadministrowanie, nie powierzenie. Zamiast panikować, kontaktuje się z dostawcą, prosi o dokument regulujący podział odpowiedzialności zgodnie z art. 26 RODO i dopina brakujące umowy powierzenia z biurem rachunkowym oraz firmą hostingową swojej strony.

[GR] Przykład -- Gabinet Grupowy: W gabinecie zatrudniającym pięciu fizjoterapeutów korzysta się z jednego wspólnego systemu EDM, ale każdy terapeuta osobno umawiał się kiedyś z lokalną firmą IT na doraźne naprawy sprzętu. Właścicielka robi przegląd wszystkich takich relacji, spisuje listę faktycznych procesorów i podpisuje jedną, ujednoliconą umowę powierzenia z firmą IT obsługującą cały gabinet, zamiast pięciu luźnych ustaleń.

Ryzyko braku umowy powierzenia przy kontroli UODO

Brak umowy powierzenia z którymkolwiek z faktycznych procesorów danych to jedno z podstawowych naruszeń, jakie stwierdza Urząd Ochrony Danych Osobowych podczas kontroli. Co istotne -- kara czy zalecenie pokontrolne nie wymaga, żeby doszło do wycieku danych. Sam fakt, że gabinet przekazuje dane osobowe podmiotowi zewnętrznemu bez odpowiedniej podstawy prawnej i bez umowy spełniającej wymogi art. 28 RODO, jest naruszeniem samym w sobie.

W praktyce oznacza to, że gabinet może funkcjonować latami bez żadnego incydentu bezpieczeństwa, a mimo to podczas rutynowej kontroli albo w reakcji na skargę pacjenta zostanie ukarany wyłącznie za brak formalnej dokumentacji. To jeden z tych obszarów RODO, gdzie ryzyko jest w pełni do wyeliminowania -- wystarczy raz uporządkować listę dostawców i podpisać z nimi odpowiednie umowy.

Jak uporządkować umowy powierzenia krok po kroku

1. Zrób listę wszystkich podmiotów zewnętrznych, które mają dostęp do danych osobowych pacjentów -- oprogramowanie, księgowość, hosting, IT, odpady.
2. Dla każdego sprawdź, czy istnieje umowa powierzenia -- osobny dokument albo klauzula w regulaminie/umowie głównej.
3. Zweryfikuj, czy dokument zawiera elementy z art. 28 RODO -- jeśli nie, poproś dostawcę o uzupełnienie lub podpisanie odrębnej UPD.
4. Ustal, czy relacja to powierzenie czy współadministrowanie -- szczególnie przy platformach rezerwacyjnych.
5. Zapisz datę przeglądu i wróć do listy przy każdej zmianie dostawcy lub nowej usłudze.

Najczęściej zadawane pytania

Czy trzeba podpisywać umowę powierzenia z biurem rachunkowym?

Tak. Biuro rachunkowe przetwarza dane osobowe zawarte w dokumentach księgowych w imieniu gabinetu, więc jest procesorem w rozumieniu art. 28 RODO. Bez podpisanej umowy powierzenia współpraca odbywa się bez wymaganej podstawy prawnej, co przy kontroli traktowane jest jako naruszenie niezależnie od tego, czy doszło do wycieku danych.

Czym różni się powierzenie od współadministrowania?

Przy powierzeniu procesor działa wyłącznie na polecenie administratora i nie decyduje o celach ani sposobach przetwarzania danych -- reguluje to umowa z art. 28 RODO. Przy współadministrowaniu obie strony wspólnie ustalają cele i sposoby przetwarzania, co wymaga odrębnego uzgodnienia zgodnie z art. 26 RODO, obejmującego podział odpowiedzialności. Niektóre platformy rezerwacyjne stosują właśnie ten drugi model, dlatego warto sprawdzić ich regulamin.

Czy gabinet może negocjować umowę powierzenia z dużym dostawcą?

W praktyce duzi dostawcy rzadko negocjują indywidualnie treść swojego standardowego dokumentu, ale gabinet ma prawo poprosić o jego kopię i sprawdzić zgodność z art. 28 RODO przed podpisaniem lub rozpoczęciem korzystania z usługi. Jeśli dokument pomija istotne elementy, warto zgłosić to dostawcy -- niektórzy aktualizują wzory na prośbę klientów, zwłaszcza w sektorze medycznym.

Co grozi za brak umowy powierzenia, jeśli nigdy nie doszło do wycieku danych?

Brak umowy powierzenia jest naruszeniem samym w sobie, niezależnie od tego, czy doszło do incydentu bezpieczeństwa. UODO podczas kontroli może nałożyć zalecenie pokontrolne lub, w poważniejszych przypadkach, karę administracyjną wyłącznie za brak odpowiedniej podstawy prawnej przetwarzania powierzonego, bez konieczności wykazania faktycznej szkody.

CTA: Nie wiesz, od czego zacząć porządkowanie umów powierzenia z dostawcami? Pakiet PREMIUM zawiera gotowy wzór umowy powierzenia danych (instrukcja + szablon do wypełnienia) razem z pełną dokumentacją RODO dla gabinetu -- wystarczy uzupełnić dane dostawcy i wysłać do podpisu. Zobacz pakiety FizjoReady

Powiązane artykuły:
- RODO w gabinecie fizjoterapii -- kompletny przewodnik
- Strona internetowa gabinetu a RODO
- Elektroniczna dokumentacja medyczna w fizjoterapii