Co RODO oznacza w praktyce dla gabinetu dietetyka, trenera i kosmetologa?
Opracowanie: Holiso · Opublikowano: 27 lip · Aktualizacja: 10 lis
W skrócie
RODO wymaga, byś wiedział, jakie dane klientów zbierasz, po co i na jakiej podstawie prawnej, a także zabezpieczył je i spełnił obowiązek informacyjny. Podstawą organizacji ochrony danych są m.in. obowiązek informacyjny, rejestr czynności tam, gdzie jest wymagany, umowy powierzenia i zabezpieczenia dobrane do ryzyka. Sam komplet dokumentów nie zapewnia zgodności. Jeśli przetwarzasz dane o zdrowiu (dietetyk, fizjoterapeuta), obowiązują dodatkowe rygory z art. 9 RODO.
Czy RODO w ogóle dotyczy jednoosobowego gabinetu?
Tak. RODO (rozporządzenie UE 2016/679, obowiązuje od 25 maja 2018 r.) stosuje się do każdego, kto przetwarza dane osobowe osób fizycznych w związku z działalnością — niezależnie od formy prawnej i wielkości. Nie ma progu „minimalnej liczby klientów”. Jednoosobowa działalność, spółka czy fundacja podlegają tym samym zasadom; różni się jedynie skala obowiązków dokumentacyjnych.
Danymi osobowymi jest każda informacja o możliwej do zidentyfikowania osobie: imię i nazwisko, telefon, e-mail, adres, PESEL, ale też zdjęcie, numer karnetu powiązany z osobą czy notatka „pani Anna, alergia na orzechy”. W gabinecie i salonie przetwarzasz je od pierwszego kontaktu — zapisu na wizytę.
Na jakiej podstawie prawnej wolno mi przetwarzać dane klienta?
RODO wymaga, aby dla każdego celu wskazać podstawę z art. 6 ust. 1. W gabinecie najczęściej występują cztery:
| Cel | Podstawa (art. 6 ust. 1) | Uwaga |
|---|---|---|
| Realizacja usługi, umówienie i obsługa wizyty | lit. b — wykonanie umowy | Nie potrzebujesz zgody na kontakt w sprawie zarezerwowanej wizyty. |
| Wystawienie faktury, ewidencja księgowa | lit. c — obowiązek prawny | Wynika z ustaw podatkowych; dane trzymasz przez okres wymagany prawem. |
| Marketing (newsletter, SMS, oferty) | lit. a — zgoda / lit. f — uzasadniony interes | Kanał elektroniczny wymaga osobnej zgody (patrz artykuł o zgodach marketingowych). |
| Dochodzenie roszczeń, obrona przed reklamacjami | lit. f — prawnie uzasadniony interes | Pozwala zachować dane po zakończeniu współpracy przez okres przedawnienia. |
Częsty błąd: „na wszystko zgoda”
Zgoda nie jest uniwersalną podstawą. Do realizacji wizyty czy wystawienia faktury zgoda jest zbędna (a nawet myląca — klient mógłby ją cofnąć, choć dane i tak musisz zachować). Zgodę rezerwuj dla tego, co dobrowolne: marketingu i kanałów komunikacji marketingowej.
Co zmienia się, gdy zbieram dane o zdrowiu klienta?
Dane o zdrowiu (dolegliwości, jednostki chorobowe, alergie, wyniki badań, dane o odżywianiu powiązane ze stanem zdrowia) to szczególna kategoria danych z art. 9 RODO. Ich przetwarzanie jest co do zasady zakazane, chyba że zachodzi jeden z wyjątków z art. 9 ust. 2 — najczęściej wyraźna zgoda (lit. a) albo wyjątek dotyczący opieki zdrowotnej (lit. h), wymagający spełnienia warunków tego przepisu i ust. 3. Sama usługa związana ze zdrowiem lub umowna poufność nie wystarcza.
- Dietetyk kliniczny prowadzący klienta z jednostką chorobową — przetwarza dane zdrowotne, obowiązują pełne rygory art. 9.
- Trener personalny również może przetwarzać dane o zdrowiu: kontuzje, przeciwwskazania czy informacje wywnioskowane z pomiarów. Kwalifikacja zależy od treści, celu i kontekstu danych, nie od samej nazwy zawodu.
- Kosmetolog dokumentujący alergie, przyjmowane leki czy schorzenia skóry przed zabiegiem — przetwarza dane o zdrowiu.
Danych szczególnych dotyczy osobny, bardziej szczegółowy artykuł „Dane zdrowotne — co wolno przechowywać”. Tu zapamiętaj zasadę: mniej znaczy bezpieczniej — zbieraj tylko to, co realnie potrzebne do usługi (minimalizacja).
Jakie obowiązki muszę spełnić w praktyce?
Poniższa lista to praktyczne minimum dla typowego gabinetu. Zakres rośnie wraz ze skalą i wrażliwością danych.
| Obowiązek | Na czym polega | Podstawa |
|---|---|---|
| Klauzula informacyjna | Poinformuj klienta, kto jest administratorem, w jakim celu i jak długo przetwarzasz dane oraz jakie ma prawa. | art. 13–14 |
| Rejestr czynności przetwarzania (RCP) | Wewnętrzny wykaz: jakie dane, w jakim celu, komu udostępniane, jak długo. | art. 30 |
| Umowy powierzenia (DPA) | Z każdym dostawcą, który w Twoim imieniu przetwarza dane (system do gabinetu, biuro rachunkowe, dostawca SMS/e-mail). | art. 28 |
| Zabezpieczenia | Adekwatne środki: kontrola dostępu, hasła, szyfrowanie, kopie zapasowe, ograniczenie dostępu personelu do niezbędnego zakresu. | art. 32 |
| Obsługa praw osób | Procedura reakcji na wnioski o dostęp, sprostowanie, usunięcie, sprzeciw (zwykle w ciągu miesiąca). | art. 15–22 |
| Reakcja na naruszenia | Oceń i udokumentuj każde naruszenie. Gdy zgłoszenie jest wymagane, przekaż je UODO bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia; wysokie ryzyko może wymagać zawiadomienia osób. | art. 33–34 |
Rejestr czynności — czy mały gabinet jest zwolniony?
Zatrudnianie mniej niż 250 osób nie daje automatycznego zwolnienia. Art. 30 ust. 5 przewiduje niezależne przesłanki wyłączające ulgę: m.in. przetwarzanie inne niż sporadyczne albo obejmujące szczególne kategorie danych. Regularna obsługa kartotek klientów zwykle wymaga rejestru także w małym gabinecie.
Czy muszę wyznaczyć inspektora ochrony danych (IOD)?
Zwykle nie. Obowiązek wyznaczenia IOD (art. 37 RODO) powstaje m.in., gdy główna działalność polega na przetwarzaniu danych szczególnych na dużą skalę. Zgodnie z motywem 91 RODO przetwarzanie przez pojedynczego specjalistę (np. jednego lekarza, prawnika) nie jest „dużą skalą”. Solowy gabinet czy mały salon zwykle nie ma obowiązku IOD — ale ocenę skali warto udokumentować, bo przy sieci placówek sytuacja się zmienia.
Brak obowiązku IOD nie zwalnia z pozostałych obowiązków. Możesz też wyznaczyć IOD dobrowolnie — wtedy obowiązują pełne wymogi dotyczące tej funkcji.
Co grozi za brak zgodności z RODO?
RODO przewiduje administracyjne kary pieniężne — w najwyższym wymiarze do 20 mln EUR lub 4% rocznego światowego obrotu (art. 83). W praktyce dla małych podmiotów kary bywają znacznie niższe, ale realne ryzyko to również skargi klientów do Prezesa UODO, roszczenia o odszkodowanie (art. 82) i utrata zaufania. Skarga klienta, naruszenie ochrony danych lub kontrola mogą prowadzić do postępowania nadzorczego.
Źródła i podstawy prawne
Najczęstsze pytania
- Czy muszę mieć zgodę na wysłanie klientowi przypomnienia o wizycie?
- Nie. Przypomnienie o zarezerwowanej wizycie to komunikacja serwisowa niezbędna do wykonania umowy (art. 6 ust. 1 lit. b) — nie wymaga odrębnej zgody marketingowej. Osobna zgoda dotyczy dopiero treści marketingowych (oferty, newsletter).
- Czy klient może zażądać usunięcia wszystkich swoich danych?
- Może złożyć taki wniosek, ale prawo do usunięcia nie jest bezwzględne. Dane niezbędne do rozliczeń podatkowych czy obrony przed roszczeniami możesz (a często musisz) zachować przez wymagany okres. Usuwasz to, co nie jest już do niczego potrzebne.
- Czy zdjęcia „przed i po” to dane osobowe?
- Tak, jeśli pozwalają zidentyfikować osobę (twarz, tatuaż, charakterystyczne cechy), a gdy ukazują stan zdrowia skóry — mogą być danymi szczególnymi z art. 9. Ich publikacja w marketingu wymaga odrębnej, dobrowolnej zgody, którą można cofnąć.
- Czy mogę trzymać dane klientów w zeszycie zamiast w systemie?
- RODO nie nakazuje konkretnego narzędzia, ale wymaga adekwatnych zabezpieczeń i możliwości realizacji praw osób. Dokumentację papierową też trzeba chronić, np. ograniczając dostęp i przechowując ją w zamkniętej szafie. Narzędzie cyfrowe może ułatwić obsługę danych, ale samo jego używanie nie zapewnia zgodności z RODO.
Materiał ma charakter informacyjny i edukacyjny - nie stanowi porady prawnej ani podatkowej. Stan prawny może się zmieniać; przed decyzjami skonsultuj się z prawnikiem lub księgowym.
Poukładaj compliance w praktyce
Holiso pomaga prowadzić gabinet zgodnie z RODO: zgody per kanał, kontrola dostępu, szyfrowanie danych i porządek w dokumentach. 30 dni za darmo, bez karty.
Załóż konto za darmo