Co RODO oznacza w praktyce dla gabinetu dietetyka, trenera i kosmetologa?
Opublikowano: 27 lip 2026
W skrócie
RODO wymaga, byś wiedział, jakie dane klientów zbierasz, po co i na jakiej podstawie prawnej, a także zabezpieczył je i spełnił obowiązek informacyjny. W małym gabinecie zwykle wystarczą: klauzula informacyjna, rejestr czynności przetwarzania, umowy powierzenia z dostawcami (system, księgowość) oraz podstawowe zabezpieczenia dostępu. Jeśli przetwarzasz dane o zdrowiu (dietetyk, fizjoterapeuta), obowiązują dodatkowe rygory z art. 9 RODO.
Czy RODO w ogóle dotyczy jednoosobowego gabinetu?
Tak. RODO (rozporządzenie UE 2016/679, obowiązuje od 25 maja 2018 r.) stosuje się do każdego, kto przetwarza dane osobowe osób fizycznych w związku z działalnością — niezależnie od formy prawnej i wielkości. Nie ma progu „minimalnej liczby klientów”. Jednoosobowa działalność, spółka czy fundacja podlegają tym samym zasadom; różni się jedynie skala obowiązków dokumentacyjnych.
Danymi osobowymi jest każda informacja o możliwej do zidentyfikowania osobie: imię i nazwisko, telefon, e-mail, adres, PESEL, ale też zdjęcie, numer karnetu powiązany z osobą czy notatka „pani Anna, alergia na orzechy”. W gabinecie i salonie przetwarzasz je od pierwszego kontaktu — zapisu na wizytę.
Na jakiej podstawie prawnej wolno mi przetwarzać dane klienta?
RODO wymaga, aby dla każdego celu wskazać podstawę z art. 6 ust. 1. W gabinecie najczęściej występują cztery:
| Cel | Podstawa (art. 6 ust. 1) | Uwaga |
|---|---|---|
| Realizacja usługi, umówienie i obsługa wizyty | lit. b — wykonanie umowy | Nie potrzebujesz zgody na kontakt w sprawie zarezerwowanej wizyty. |
| Wystawienie faktury, ewidencja księgowa | lit. c — obowiązek prawny | Wynika z ustaw podatkowych; dane trzymasz przez okres wymagany prawem. |
| Marketing (newsletter, SMS, oferty) | lit. a — zgoda / lit. f — uzasadniony interes | Kanał elektroniczny wymaga osobnej zgody (patrz artykuł o zgodach marketingowych). |
| Dochodzenie roszczeń, obrona przed reklamacjami | lit. f — prawnie uzasadniony interes | Pozwala zachować dane po zakończeniu współpracy przez okres przedawnienia. |
Częsty błąd: „na wszystko zgoda”
Zgoda nie jest uniwersalną podstawą. Do realizacji wizyty czy wystawienia faktury zgoda jest zbędna (a nawet myląca — klient mógłby ją cofnąć, choć dane i tak musisz zachować). Zgodę rezerwuj dla tego, co dobrowolne: marketingu i kanałów komunikacji marketingowej.
Co zmienia się, gdy zbieram dane o zdrowiu klienta?
Dane o zdrowiu (dolegliwości, jednostki chorobowe, alergie, wyniki badań, dane o odżywianiu powiązane ze stanem zdrowia) to szczególna kategoria danych z art. 9 RODO. Ich przetwarzanie jest co do zasady zakazane, chyba że zachodzi jeden z wyjątków z art. 9 ust. 2 — najczęściej wyraźna zgoda (lit. a) albo przetwarzanie do celów profilaktyki zdrowotnej przez osobę zobowiązaną do tajemnicy zawodowej (lit. h).
- Dietetyk kliniczny prowadzący klienta z jednostką chorobową — przetwarza dane zdrowotne, obowiązują pełne rygory art. 9.
- Trener personalny prowadzący wyłącznie plany treningowe i pomiary sylwetki bez kontekstu chorobowego — zwykle NIE przetwarza danych o zdrowiu w rozumieniu art. 9 (to dane zwykłe), ale granica bywa cienka: kontuzje, leki, przeciwwskazania już wchodzą w art. 9.
- Kosmetolog dokumentujący alergie, przyjmowane leki czy schorzenia skóry przed zabiegiem — przetwarza dane o zdrowiu.
Danych szczególnych dotyczy osobny, bardziej szczegółowy artykuł „Dane zdrowotne — co wolno przechowywać”. Tu zapamiętaj zasadę: mniej znaczy bezpieczniej — zbieraj tylko to, co realnie potrzebne do usługi (minimalizacja).
Jakie obowiązki muszę spełnić w praktyce?
Poniższa lista to praktyczne minimum dla typowego gabinetu. Zakres rośnie wraz ze skalą i wrażliwością danych.
| Obowiązek | Na czym polega | Podstawa |
|---|---|---|
| Klauzula informacyjna | Poinformuj klienta, kto jest administratorem, w jakim celu i jak długo przetwarzasz dane oraz jakie ma prawa. | art. 13–14 |
| Rejestr czynności przetwarzania (RCP) | Wewnętrzny wykaz: jakie dane, w jakim celu, komu udostępniane, jak długo. | art. 30 |
| Umowy powierzenia (DPA) | Z każdym dostawcą, który w Twoim imieniu przetwarza dane (system do gabinetu, biuro rachunkowe, dostawca SMS/e-mail). | art. 28 |
| Zabezpieczenia | Adekwatne środki: kontrola dostępu, hasła, szyfrowanie, kopie zapasowe, ograniczenie dostępu personelu do niezbędnego zakresu. | art. 32 |
| Obsługa praw osób | Procedura reakcji na wnioski o dostęp, sprostowanie, usunięcie, sprzeciw (zwykle w ciągu miesiąca). | art. 15–22 |
| Reakcja na naruszenia | Zgłoszenie naruszenia do Prezesa UODO w ciągu 72 godzin, jeśli może naruszać prawa osób; w razie wysokiego ryzyka — także zawiadomienie klientów. | art. 33–34 |
Rejestr czynności — czy mały gabinet jest zwolniony?
Zwolnienie z art. 30 ust. 5 (dla podmiotów < 250 osób) w praktyce NIE działa, gdy przetwarzanie danych szczególnych (zdrowie) ma charakter regularny, a nie sporadyczny. Gabinet prowadzący dane zdrowotne na bieżąco powinien prowadzić rejestr niezależnie od wielkości.
Czy muszę wyznaczyć inspektora ochrony danych (IOD)?
Zwykle nie. Obowiązek wyznaczenia IOD (art. 37 RODO) powstaje m.in., gdy główna działalność polega na przetwarzaniu danych szczególnych na dużą skalę. Zgodnie z motywem 91 RODO przetwarzanie przez pojedynczego specjalistę (np. jednego lekarza, prawnika) nie jest „dużą skalą”. Solowy gabinet czy mały salon zwykle nie ma obowiązku IOD — ale ocenę skali warto udokumentować, bo przy sieci placówek sytuacja się zmienia.
Brak obowiązku IOD nie zwalnia z pozostałych obowiązków. Możesz też wyznaczyć IOD dobrowolnie — wtedy obowiązują pełne wymogi dotyczące tej funkcji.
Co grozi za brak zgodności z RODO?
RODO przewiduje administracyjne kary pieniężne — w najwyższym wymiarze do 20 mln EUR lub 4% rocznego światowego obrotu (art. 83). W praktyce dla małych podmiotów kary bywają znacznie niższe, ale realne ryzyko to również skargi klientów do Prezesa UODO, roszczenia o odszkodowanie (art. 82) i utrata zaufania. Zdecydowana większość spraw zaczyna się od skargi niezadowolonego klienta, nie od kontroli.
Najczęstsze pytania
- Czy muszę mieć zgodę na wysłanie klientowi przypomnienia o wizycie?
- Nie. Przypomnienie o zarezerwowanej wizycie to komunikacja serwisowa niezbędna do wykonania umowy (art. 6 ust. 1 lit. b) — nie wymaga odrębnej zgody marketingowej. Osobna zgoda dotyczy dopiero treści marketingowych (oferty, newsletter).
- Czy klient może zażądać usunięcia wszystkich swoich danych?
- Może złożyć taki wniosek, ale prawo do usunięcia nie jest bezwzględne. Dane niezbędne do rozliczeń podatkowych czy obrony przed roszczeniami możesz (a często musisz) zachować przez wymagany okres. Usuwasz to, co nie jest już do niczego potrzebne.
- Czy zdjęcia „przed i po” to dane osobowe?
- Tak, jeśli pozwalają zidentyfikować osobę (twarz, tatuaż, charakterystyczne cechy), a gdy ukazują stan zdrowia skóry — mogą być danymi szczególnymi z art. 9. Ich publikacja w marketingu wymaga odrębnej, dobrowolnej zgody, którą można cofnąć.
- Czy mogę trzymać dane klientów w zeszycie zamiast w systemie?
- RODO nie nakazuje konkretnego narzędzia, ale wymaga adekwatnych zabezpieczeń i możliwości realizacji praw osób. Papierowy zeszyt bez kontroli dostępu, kopii zapasowej i możliwości szybkiego odnalezienia danych utrudnia spełnienie tych obowiązków — system z kontrolą dostępu i szyfrowaniem jest bezpieczniejszy.
Materiał ma charakter informacyjny i edukacyjny - nie stanowi porady prawnej ani podatkowej. Stan prawny może się zmieniać; przed decyzjami skonsultuj się z prawnikiem lub księgowym.
Poukładaj compliance w praktyce
Holiso pomaga prowadzić gabinet zgodnie z RODO: zgody per kanał, kontrola dostępu, szyfrowanie danych i porządek w dokumentach. 14 dni za darmo, bez karty.
Załóż konto za darmo