RODO w gabinecie dietetycznym i umowa z pacjentem

Umowa z pacjentem nie jest w gabinecie dietetycznym prawnie obowiązkowa, ale regulamin usług świadczonych online już tak. Obowiązkowe są za to trzy rzeczy z RODO: klauzula informacyjna, rejestr czynności przetwarzania oraz umowy powierzenia z każdym dostawcą, który ma dostęp do danych pacjentów. Rejestru nie da się pominąć, powołując się na małą firmę, bo zwolnienie dla podmiotów poniżej 250 osób nie obejmuje danych o zdrowiu.

To jest przewodnik po formalnościach, nie porada prawna. Przepisy cytuję po to, żebyś wiedział, czego szukać i o co zapytać, a nie po to, żeby zastąpić prawnika przy Twojej konkretnej umowie.

Czy dietetyk musi mieć umowę z pacjentem?

Nie ma przepisu, który nakazywałby dietetykowi podpisanie pisemnej umowy z pacjentem. Umowa o świadczenie usług dochodzi do skutku również ustnie, przez samo umówienie i odbycie wizyty. Co innego regulamin: jeśli sprzedajesz konsultacje albo jadłospisy przez internet, ustawa o świadczeniu usług drogą elektroniczną wymaga udostępnienia regulaminu przed zawarciem umowy.

Pisemna umowa albo dobrze napisany regulamin i tak się opłacają, bo rozstrzygają rzeczy, o które realnie idą spory w gabinetach: co dokładnie kupuje pacjent, ile trwa współpraca, co się dzieje przy odwołaniu wizyty w ostatniej chwili, kto jest właścicielem rozpisanego jadłospisu i na jakich zasadach można zrezygnować z pakietu opłaconego z góry.

Co powinna zawierać umowa z pacjentem

Przy pracy zdalnej papierowy obieg dokumentów jest wąskim gardłem, bo pacjenta nie ma w gabinecie, a zgoda i tak musi być udokumentowana. W praktyce prościej jest wysłać umowę i zgody do podpisania elektronicznie przed pierwszą wizytą, niż zbierać podpisy na kolejnym spotkaniu, które może się nie odbyć.

RODO w gabinecie dietetycznym: dane o zdrowiu to dane wrażliwe

Zbierając wagę, obwody, choroby, leki, wyniki badań czy informacje o zaburzeniach odżywiania, przetwarzasz dane dotyczące zdrowia. RODO traktuje je jako szczególną kategorię danych z art. 9 ust. 1 i domyślnie zakazuje ich przetwarzania, chyba że zachodzi jeden z wyjątków z art. 9 ust. 2. To rozróżnienie ma dla gabinetu dwa praktyczne skutki: potrzebujesz mocniejszej podstawy niż przy zwykłym imieniu i nazwisku, a część ulg dla małych firm przestaje Cię obejmować.

W grę wchodzą dwie podstawy. Pierwsza to art. 9 ust. 2 lit. h, czyli profilaktyka zdrowotna i opieka zdrowotna wykonywana przez osobę objętą obowiązkiem zachowania tajemnicy zawodowej. Druga to art. 9 ust. 2 lit. a, czyli wyraźna zgoda pacjenta. Wielu dietetyków w praktyce odbiera wyraźną zgodę, bo status zawodu jest w Polsce niedoregulowany i trudno o pewność, którą podstawę uzna kontrola. Zgoda ma jednak wadę: pacjent może ją wycofać w dowolnym momencie, a wtedy tracisz podstawę do dalszego przetwarzania. Dlatego to jest dokładnie ten fragment, który warto skonsultować z prawnikiem, zamiast kopiować wzór z internetu.

Jakie dokumenty RODO musi mieć gabinet dietetyczny

Najczęściej pomijany jest rejestr czynności przetwarzania. Logika bywa taka: jestem jednoosobową działalnością, więc mnie to nie dotyczy. To nieprawda. Wyjątki z art. 30 ust. 5 są połączone spójnikiem lub, więc wystarczy jeden z nich, żeby obowiązek wrócił, a przetwarzanie danych z art. 9 jest właśnie takim wyjątkiem. Gabinet dietetyczny prowadzi rejestr niezależnie od tego, czy pracuje w nim jedna osoba, czy dziesięć.

Z kim naprawdę musisz podpisać umowę powierzenia

Umowa powierzenia jest potrzebna wtedy, gdy ktoś przetwarza dane Twoich pacjentów w Twoim imieniu. Nie chodzi o to, czy ktoś te dane ogląda, tylko czy je przechowuje albo obrabia. W typowym gabinecie lista wygląda tak:

• System do jadłospisów i kartotek. To najważniejsza pozycja, bo tam siedzi całość danych zdrowotnych. Sam regulamin serwisu nie wystarcza, potrzebna jest umowa powierzenia albo zapisy powierzenia w regulaminie.
• Hosting i poczta, jeśli korespondujesz z pacjentami mailowo i trzymasz tam wyniki badań.
• Biuro rachunkowe, w zakresie danych z faktur.
• Narzędzie do mailingu, jeśli wysyłasz newsletter do bazy pacjentów.
• Firma IT, która ma zdalny dostęp do Twojego komputera.

Zanim podpiszesz, sprawdź jedną rzecz: gdzie dostawca trzyma dane. Transfer poza Europejski Obszar Gospodarczy wymaga dodatkowej podstawy i to jest częsty problem przy tanich narzędziach do mailingu.

Jak długo przechowywać dane pacjenta

Tu pojawia się nieporozumienie przeniesione z gabinetów lekarskich. Dokumentację medyczną przechowuje się co do zasady 20 lat, ale ten obowiązek dotyczy podmiotów leczniczych. Dietetyk prowadzący zwykłą działalność gospodarczą, niewpisany do rejestru podmiotów wykonujących działalność leczniczą, dokumentacji medycznej w rozumieniu ustawy nie prowadzi, więc dwudziestoletni termin go nie wiąże.

Okres przechowywania wyznaczają wtedy dwa inne terminy. Pierwszy to przedawnienie roszczeń z umowy, czyli sześć lat, a dla roszczeń związanych z prowadzeniem działalności gospodarczej trzy lata. Drugi to terminy podatkowe, czyli pięć lat liczonych od końca roku, w którym minął termin płatności podatku, i one dotyczą faktur, nie kartoteki żywieniowej. W praktyce w polityce retencji wpisuje się osobne terminy dla dokumentacji finansowej i osobne dla danych zdrowotnych, a po ich upływie dane trzeba usunąć, a nie trzymać na wszelki wypadek.

Odstąpienie od umowy w 14 dni: najczęściej mylony punkt

Pacjent, który kupił konsultację przez internet, jest konsumentem zawierającym umowę na odległość, więc co do zasady ma 14 dni na odstąpienie bez podania przyczyny. Wielu dietetyków zakłada, że odbyta wizyta automatycznie to prawo wyłącza. Nie wyłącza, jeśli nie dopełnisz formalności.

Zgodnie z art. 38 pkt 1 ustawy o prawach konsumenta prawo odstąpienia nie przysługuje, gdy usługa została wykonana w pełni za wyraźną i uprzednią zgodą konsumenta, który przed rozpoczęciem świadczenia został poinformowany, że po wykonaniu usługi utraci prawo odstąpienia. Muszą zajść wszystkie trzy elementy naraz: zgoda na rozpoczęcie przed upływem 14 dni, informacja przekazana wcześniej i faktyczne wykonanie usługi w całości. Jeśli pacjent kupił pakiet pięciu wizyt, a odbyła się jedna, usługa nie została wykonana w pełni i prawo odstąpienia wciąż działa co do reszty. Dlatego zgodę i informację umieszcza się w formularzu zapisu, a nie w mailu wysłanym po wizycie.

Jakie kary grożą za naruszenie RODO

RODO przewiduje dwa pułapy administracyjnych kar pieniężnych. Niższy, do 10 milionów euro albo 2 procent rocznego obrotu, obejmuje między innymi brak umowy powierzenia, brak rejestru czynności i niewdrożenie odpowiednich zabezpieczeń. Wyższy, do 20 milionów euro albo 4 procent obrotu, dotyczy naruszeń samych zasad przetwarzania i podstaw prawnych, w tym przetwarzania danych o zdrowiu bez właściwej podstawy z art. 9.

Dla jednoosobowego gabinetu realnym ryzykiem nie jest górna granica z rozporządzenia, tylko skarga pacjenta do Prezesa UODO i idąca za nią kontrola, w której trzeba pokazać dokumenty. Zasada rozliczalności działa tak, że to Ty udowadniasz zgodność, a nie urząd udowadnia jej brak. Dlatego rejestr czynności i podpisane umowy powierzenia są ważniejsze niż najpiękniejsza polityka bezpieczeństwa w szufladzie.

Ten tekst jest przewodnikiem po formalnościach, a nie poradą prawną. Konstrukcja zgód i podstawa przetwarzania danych o zdrowiu zależą od tego, jak dokładnie działa Twój gabinet, dlatego wzory warto dać do sprawdzenia prawnikowi albo specjaliście od ochrony danych.

Najczęstsze pytania

Czy dietetyk musi mieć zgodę RODO od pacjenta?

Zgoda nie zawsze jest wymagana, bo przetwarzanie danych o zdrowiu można oprzeć także na art. 9 ust. 2 lit. h RODO, czyli na świadczeniu opieki zdrowotnej. Zawsze obowiązkowa jest natomiast klauzula informacyjna. Osobna zgoda jest potrzebna na marketing oraz na wykorzystanie wizerunku, na przykład zdjęć sylwetki.

Czy dietetyk prowadzi dokumentację medyczną?

Zwykle nie w rozumieniu przepisów o działalności leczniczej, bo dietetyk prowadzący zwykłą działalność gospodarczą nie jest podmiotem leczniczym. Prowadzi kartotekę pacjenta na potrzeby wykonania umowy. Konsekwencja jest praktyczna: nie obowiązuje go dwudziestoletni okres przechowywania dokumentacji medycznej.

Czy gabinet dietetyczny musi mieć inspektora ochrony danych?

Zwykle nie. Obowiązek powołania inspektora powstaje, gdy główna działalność polega na przetwarzaniu danych szczególnych kategorii na dużą skalę. Pojedynczy gabinet czy nawet kilkuosobowa poradnia zwykle tego progu nie osiągają, ale samo prowadzenie rejestru czynności przetwarzania jest obowiązkowe niezależnie od tego.

Czy trzeba mieć umowę powierzenia z programem do jadłospisów?

Tak. Dostawca systemu przechowuje dane zdrowotne Twoich pacjentów, więc jest podmiotem przetwarzającym w rozumieniu art. 28 RODO. Sprawdź, czy dostawca udostępnia umowę powierzenia albo ma jej zapisy w regulaminie, i przy okazji ustal, czy dane nie są przenoszone poza Europejski Obszar Gospodarczy.

Czy pacjent może zażądać usunięcia swoich danych?

Tak, ale prawo do usunięcia nie jest bezwzględne. Jeśli przetwarzasz dane na podstawie zgody i pacjent ją wycofa, dane co do zasady usuwasz. Możesz jednak zatrzymać to, co jest potrzebne do ustalenia lub obrony roszczeń oraz do wypełnienia obowiązków podatkowych, na przykład wystawione faktury.

Czy umowa z pacjentem może być zawarta mailowo?

Tak. Do umowy o świadczenie usług nie jest wymagana forma pisemna, więc wystarczy akceptacja regulaminu przy zapisie albo wymiana wiadomości. Forma dokumentowa lub podpis elektroniczny są wygodniejsze przy pracy zdalnej, bo od razu dają dowód, że pacjent zapoznał się z warunkami i ze zgodami.

Od czego zacząć

Jeśli dopiero porządkujesz formalności, zrób to w tej kolejności: najpierw rejestr czynności przetwarzania, bo wymusza spisanie, jakie dane zbierasz i gdzie one lecą, potem klauzula informacyjna i regulamin, na końcu umowy powierzenia z dostawcami, których rejestr Ci wyświetlił. Kwestie podatkowe opisaliśmy osobno w tekście o tym, jak wyglądają usługi dietetyczne a VAT, a rozliczanie porad w ramach kontraktu w tekście o poradzie dietetycznej i rozliczeniu z NFZ. Całą procedurę otwarcia działalności zbiera poradnik jak założyć gabinet dietetyczny, a sposoby na pierwszych pacjentów opisuje tekst o marketingu gabinetu dietetycznego. Jeśli prowadzisz już gabinet i chcesz, żeby pacjenci znajdowali Cię w katalogu ze zweryfikowanym dyplomem, zacznij od strony dla dietetyków i sprawdź cennik profilu.