RODO dla gabinetu stomatologicznego
Prowadzisz gabinet stomatologiczny i nie masz pewności, czy dokumentacja RODO odpowiada temu, jak gabinet pracuje na co dzień?
W stomatologii przetwarzane są dane o zdrowiu, czyli szczególna kategoria danych w rozumieniu art. 9 RODO, a równolegle prowadzona jest dokumentacja medyczna według ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Te dwa porządki trzeba pogodzić w jednym komplecie dokumentów.
Wdrażamy RODO w gabinetach i klinikach stomatologicznych: od audytu, przez dokumentację i procedury, po upoważnienia dla zespołu i umowy z podmiotami zewnętrznymi. Dokumenty powstają na podstawie tego, jak pracuje Twój gabinet, a nie na podstawie wzoru pobranego z internetu.
Opinie zweryfikowane zgodnie z polityką opinii.
Cena zależy od wielkości zespołu, liczby stanowisk z dostępem do danych i tego, czy audyt prowadzimy zdalnie, czy na miejscu w gabinecie. Wariant z audytem stacjonarnym to od 7500 zł + VAT. Kwotę podajemy przed startem i nie zmieniamy jej w trakcie pracy.
Informacje o leczeniu, lekach i przebytych chorobach to szczególna kategoria danych. Zakres obowiązków jest tu szerszy niż w zwykłej firmie usługowej.
Okresy przechowywania wynikają z ustawy o prawach pacjenta, a nie z RODO. Dokumentacja RODO musi to uwzględniać, a nie temu przeczyć.
Lekarze, higienistki, asystentki, recepcja, czasem kosmetolog i firma sprzątająca. Każdy dostęp wymaga podstawy, upoważnienia i zasad.
Po wycieku u dostawcy systemu gabinetowego to gabinet, jako administrator, ma własne obowiązki wobec UODO i pacjentów.
Co zyskujesz, a co możesz stracić?
Dokumentacja RODO w gabinecie nie jest sztuką dla sztuki. Jej realna wartość pokazuje się w trzech momentach: przy skardze pacjenta, przy kontroli i przy incydencie u dostawcy oprogramowania.
Rejestr czynności, procedury i klauzule odpowiadają temu, jak faktycznie wygląda rejestracja, leczenie i obieg dokumentacji - łącznie ze zdjęciami pacjentów i diagnostyką, jeżeli ją prowadzisz.
Rozliczalność z art. 5 ust. 2 RODO oznacza, że to Ty wykazujesz zgodność. Komplet dokumentów i dowody przeszkolenia zespołu są tym, co pokazujesz w pierwszej kolejności.
Każda osoba ma upoważnienie i zobowiązanie do poufności, a recepcja wie, co może powiedzieć przez telefon i czego nie wolno zapisywać w terminarzu.
Procedura naruszenia, rejestr naruszeń i wiedza, od kiedy biegnie termin 72 godzin - zanim zadzwoni dostawca systemu z informacją o wycieku.
Za naruszenia dotyczące podstawowych zasad przetwarzania, w tym szczególnych kategorii danych, art. 83 ust. 5 RODO przewiduje kary do 20 mln EUR albo 4% rocznego światowego obrotu.
Osoba, której dane dotyczą, może dochodzić odszkodowania za szkodę majątkową i niemajątkową na podstawie art. 82 RODO, niezależnie od postępowania przed UODO.
Brak dokumentacji nie kończy kontroli - wydłuża ją, bo każdy element trzeba odtwarzać wstecz i udowadniać, że obowiązywał wcześniej.
W gabinecie pacjent zostawia informacje, których nie powierza nikomu innemu. Informacja o wycieku albo o skardze rozchodzi się w lokalnej społeczności szybciej niż w innych branżach.
Z czym zgłaszają się do nas gabinety?
Poniższe sytuacje odpowiadają za większość zgłoszeń. Od tego, w której z nich jesteście, zależy zakres pracy i to, od czego zaczynamy:
Pokaż szczegóły
Dokumenty zostały pobrane albo kupione kilka lat temu i opisują abstrakcyjną firmę, a nie gabinet z rejestracją, zespołem i dokumentacją medyczną.
- sprawdzamy, które dokumenty da się uratować, a które trzeba napisać od nowa
- uzupełniamy rejestr czynności o procesy, których w nim nie ma
- dopasowujemy klauzule do tego, co faktycznie mówisz pacjentowi przy pierwszej wizycie
Pokaż szczegóły
Chcesz zacząć z dokumentacją, która od pierwszego dnia pasuje do procesów, zamiast porządkować bałagan po roku pracy.
- ustalamy zakres danych zbieranych w ankiecie i przy rejestracji
- przygotowujemy komplet dokumentów przed przyjęciem pierwszego pacjenta
- szkolimy zespół z zasad, zanim wejdzie w rutynę
Pokaż szczegóły
Dostawca systemu informuje o incydencie. Jako administrator danych pacjentów masz własne obowiązki, niezależne od tego, co zgłosił dostawca.
- oceniamy ryzyko dla pacjentów i dokumentujemy tę ocenę
- przygotowujemy zgłoszenie do UODO, jeżeli obowiązek wystąpi
- oceniamy, czy trzeba zawiadomić pacjentów i przygotowujemy komunikat
Pokaż szczegóły
Wniosek o kopię dokumentacji, żądanie usunięcia danych albo pismo z UODO wymagają odpowiedzi w terminie i w określonej formie.
- przygotowujemy odpowiedź i wskazujemy, czego żądanie nie obejmuje
- porządkujemy procedurę obsługi żądań, żeby kolejne szły już rutyną
Pokaż szczegóły
Zdjęcia przed i po, metamorfozy i relacje z zabiegów to jednocześnie wizerunek i informacja o zdrowiu konkretnej osoby.
- ustalamy, kiedy zdjęcie jest elementem dokumentacji, a kiedy materiałem marketingowym
- przygotowujemy odrębną zgodę marketingową i zasady kadrowania, które ograniczają rozpoznawalność
Pokaż szczegóły
Nowa asystentka, higienistka na zastępstwie, odejście lekarza albo współpraca z kosmetologiem zmieniają listę osób mających dostęp do danych.
- przygotowujemy upoważnienia i zobowiązania do poufności
- ustalamy, kto do czego ma dostęp w systemie i kiedy go traci
Jeżeli Twoja sytuacja jest inna, opisz ją w kilku zdaniach. Odpowiemy, czy i w jakim zakresie się nią zajmujemy oraz ile to kosztuje.
Jakie dokumenty i zabezpieczenia RODO musi mieć gabinet stomatologiczny?
Dane o zdrowiu pacjentów to dane wrażliwe - RODO nazywa je szczególnymi kategoriami danych osobowych (art. 9 ust. 1 RODO). Gabinet dentystyczny przetwarza je na co dzień: w dokumentacji medycznej, na zdjęciach RTG, w terminarzu i w korespondencji z pacjentem. Każdy podmiot wykonujący działalność leczniczą - od praktyki lekarza dentysty po wieloosobową klinikę stomatologiczną - jest administratorem danych osobowych pacjentów i odpowiada za ich ochronę. Poniżej zebraliśmy dokumenty i zabezpieczenia, które co do zasady musi mieć każdy gabinet.
Do leczenia pacjenta gabinet co do zasady nie potrzebuje jego zgody na przetwarzanie danych. Podstawą jest art. 9 ust. 2 lit. h RODO (zapewnienie opieki zdrowotnej i leczenia) oraz obowiązek prowadzenia dokumentacji medycznej wynikający z przepisów (art. 6 ust. 1 lit. c RODO). Zgoda jest potrzebna do innych celów, np. marketingu albo publikacji zdjęć.
Opisuje, jakie dane pacjentów i pracowników przetwarza gabinet, kto ma do nich dostęp i jak są zabezpieczone. Art. 24 ust. 2 RODO wymaga jej wdrożenia, gdy jest to proporcjonalne do czynności przetwarzania - przy danych o zdrowiu zwykle tak jest.
Art. 13 RODO wymaga, żeby pacjent przy pierwszym kontakcie otrzymał informacje o administratorze, celach i podstawach przetwarzania, okresie przechowywania danych i swoich prawach. Klauzula musi odpowiadać temu, co gabinet faktycznie robi z danymi - także przy rejestracji online.
Zwolnienie z art. 30 ust. 5 RODO dla firm zatrudniających mniej niż 250 osób nie obejmuje przetwarzania szczególnych kategorii danych. Gabinet przetwarzający dane o zdrowiu co do zasady musi więc prowadzić rejestr, niezależnie od liczby pracowników.
Upoważnienia dla lekarzy dentystów, higienistów, asystentów i rejestracji (art. 29 RODO) oraz umowy powierzenia z podmiotami, które przetwarzają dane na zlecenie gabinetu - np. dostawcą programu do dokumentacji medycznej, systemu rejestracji online albo obsługi IT (art. 28 RODO).
Art. 32 RODO wymaga zabezpieczeń dopasowanych do ryzyka: indywidualnych kont i haseł w programie gabinetowym, kopii zapasowych, szyfrowania urządzeń, zasad pracy rejestracji i szkolenia zespołu. Ich dobór warto oprzeć na analizie ryzyka.
Prawa pacjenta. Pacjent ma m.in. prawo dostępu do swoich danych, ich sprostowania i wniesienia skargi do Prezesa UODO. Prawo do usunięcia danych jest ograniczone obowiązkiem przechowywania dokumentacji medycznej - gabinet nie usunie jej na żądanie pacjenta przed upływem okresu wynikającego z ustawy o prawach pacjenta.
Monitoring wizyjny. Jeżeli w gabinecie działa monitoring, trzeba go oznaczyć i opisać w dokumentacji ochrony danych. Kamery w pomieszczeniach, w których udzielane są świadczenia zdrowotne, wymagają szczególnie ostrożnej oceny, bo nagranie może utrwalać dane o zdrowiu pacjenta.
Najczęstsze błędy w gabinetach
To nie są teoretyczne ryzyka - z tymi czterema spotykamy się najczęściej, niezależnie od wielkości gabinetu:
Polityka, która nie wspomina o zdjęciach pacjentów, diagnostyce ani o terminarzu w recepcji, nie wykaże zgodności, bo nie opisuje tego, co w gabinecie faktycznie się dzieje.
Art. 29 RODO wymaga, żeby osoby przetwarzały dane wyłącznie na polecenie administratora. W praktyce upoważnień brakuje najczęściej dla osób na zastępstwie i dla współpracowników rozliczających się fakturą.
System gabinetowy, serwis IT, firma archiwizująca dokumentację, pracownia protetyczna albo podmiot obsługujący marketing - każdy z nich przetwarza dane w Twoim imieniu i art. 28 ust. 3 RODO wymaga tu umowy lub innego instrumentu prawnego.
Zgoda marketingowa wrzucona do ankiety medycznej razem ze zgodą na leczenie nie jest zgodą dobrowolną i konkretną w rozumieniu art. 7 RODO, a przy zdjęciach pacjentów to najczęściej kwestionowany element.
Ile to kosztuje?
Zakres ustalamy po poznaniu gabinetu. Poniżej trzy warianty, od najlżejszego do pełnego wdrożenia z audytem na miejscu:
- przegląd istniejących polityk, rejestrów i klauzul
- lista braków i ryzyk uszeregowana według pilności
- rekomendacje, co poprawić samodzielnie, a co wymaga nowego dokumentu
Pokaż szczegóły
Co dostajesz: raport z listą poprawek i wskazaniem, które z nich są pilne, a które mogą poczekać.
Audyt nie obejmuje przygotowania nowych dokumentów - jeżeli zdecydujesz się na wdrożenie, jego koszt zaliczamy na poczet wdrożenia.
- ankieta i rozmowa zamiast audytu na miejscu
- komplet dokumentacji RODO dla gabinetu
- upoważnienia i zobowiązania dla zespołu
- umowy powierzenia z dostawcami
Pokaż szczegóły
Kiedy ten wariant wystarcza: przy jednym stanowisku i małym zespole, gdy procesy da się opisać bez wizyty. Przy większych gabinetach audyt na miejscu zwykle wychodzi taniej niż poprawianie dokumentów, które rozminęły się z praktyką.
- audyt stacjonarny rejestracji, obsługi i leczenia pacjentów
- analiza obiegu dokumentacji medycznej, papierowej i elektronicznej
- weryfikacja diagnostyki, zdjęć pacjentów i kontaktu z pacjentem
- komplet dokumentacji RODO przygotowanej pod Twoje procesy
Pokaż szczegóły
Audyt obejmuje w szczególności: zasady zbierania informacji o stanie zdrowia, przyjmowanych lekach i przebytych zabiegach, dostęp do danych przez lekarzy, higienistki, asystentki, recepcję i pozostałe osoby, procesy dotyczące pacjentów małoletnich oraz ich rodziców i opiekunów, telefoniczne i SMS-owe potwierdzanie wizyt, współpracę z podmiotami zewnętrznymi, wykorzystywane systemy, skrzynki e-mail i urządzenia, a także stronę internetową, formularze, cookies i działania marketingowe.
Na podstawie audytu przygotowujemy: polityki, rejestry, procedury, klauzule informacyjne, upoważnienia, zobowiązania do poufności, dokumenty dla personelu oraz umowy powierzenia tam, gdzie są potrzebne.
Ostateczny zestaw dokumentów ustalamy na podstawie audytu i procesów, które faktycznie występują w gabinecie.
Każdy wariant kończy się stałą kwotą ustaloną przed startem. Jeżeli w trakcie okaże się, że zakres jest mniejszy, mówimy o tym przed wystawieniem faktury.
Jak wygląda współpraca z nami?
Zaczynamy od krótkiej ankiety poniżej i rozmowy, a w wariancie z audytem stacjonarnym - od spotkania audytowego w gabinecie. Ustalamy, ile osób pracuje, z jakiego systemu korzystasz i czy masz już jakąkolwiek dokumentację.
Podajemy cenę, termin i zakres pracy, w tym to, czy proponujemy audyt zdalny, czy na miejscu. Dopiero wtedy decydujesz.
Na miejscu albo zdalnie sprawdzamy, jak przepływają dane w ramach pracy gabinetu: od rejestracji, przez leczenie i dokumentację, po marketing i współpracę z podmiotami zewnętrznymi.
Przekazujemy komplet dokumentów w plikach do edycji wraz z wyjaśnieniem, kto i co ma podpisać. Po Twoich uwagach nanosimy poprawki.
Kto prowadzi wdrożenie?
Kinga Konopelko - radca prawny, specjalistka ochrony danych osobowych i obsługi prawnej firm. Prowadzi wdrożenia i audyty RODO, wspiera przy incydentach i zgłoszeniach do UODO oraz szkoli zespoły z zasad pracy z danymi.
Komentarze eksperckie i wypowiedzi dla Forbes, Rzeczpospolitej, Dziennika Gazety Prawnej i Pulsu Biznesu. Kancelaria ma polisę odpowiedzialności cywilnej, a sprawę prowadzi ta sama osoba od pierwszej rozmowy do końca.
Opisz swój gabinet
Napisz, ile osób pracuje w gabinecie, z jakiego systemu korzystasz i co Cię tu sprowadza: nowy gabinet, kontrola, incydent u dostawcy czy porządkowanie dokumentów. Odpowiemy z propozycją zakresu i ceną.
Twoja wiadomość jest objęta tajemnicą zawodową radcy prawnego. Jeżeli wolisz, napisz bezpośrednio na radca@kingakonopelko.pl.
Czego ta usługa nie obejmuje?
Wdrożenie nie obejmuje specjalistycznego audytu informatycznego ani testów cyberbezpieczeństwa - to praca dla specjalisty IT, z którym możemy współpracować przy ustalaniu zabezpieczeń technicznych. Nie prowadzimy też za Ciebie dokumentacji medycznej ani nie pełnimy na stałe funkcji inspektora ochrony danych, chyba że ustalimy to osobno.
Jeżeli gabinet potrzebuje wyłącznie pojedynczego dokumentu albo rozmowy o konkretnym problemie, zwykle lepszym rozwiązaniem jest konsultacja niż pełne wdrożenie. Powiemy o tym przed przyjęciem zlecenia.
Najczęstsze pytania o RODO w gabinecie stomatologicznym
Czy gabinet stomatologiczny musi wyznaczyć inspektora ochrony danych?
To zależy od skali przetwarzania. Obowiązek z art. 37 ust. 1 lit. c RODO dotyczy przetwarzania szczególnych kategorii danych na dużą skalę, a motyw 91 RODO wskazuje, że przetwarzanie danych pacjentów przez pojedynczego lekarza co do zasady nie powinno być uznawane za przetwarzanie na dużą skalę. Przy większej klinice ocena może wypaść inaczej i warto ją udokumentować - robimy to w ramach wdrożenia.
Jak długo trzeba przechowywać dokumentację medyczną?
Co do zasady 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (art. 29 ust. 1 ustawy z 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta). Ustawa przewiduje wyjątki, m.in. krótsze okresy dla skierowań i zdjęć rentgenowskich przechowywanych poza dokumentacją oraz dłuższe w razie zgonu pacjenta wskutek uszkodzenia ciała lub zatrucia. Te okresy wynikają z ustawy o prawach pacjenta, a nie z RODO, i dokumentacja RODO musi je odzwierciedlać.
Czy mogę publikować zdjęcia pacjentów przed i po leczeniu?
Co do zasady tylko za zgodą, i to odrębną od zgody na leczenie oraz od dokumentacji medycznej. Zdjęcie pokazujące efekt leczenia jest jednocześnie wizerunkiem i informacją o zdrowiu konkretnej osoby, więc zgoda powinna wskazywać kanały publikacji i zakres. W praktyce warto też ograniczać kadr tak, żeby nie pozwalał na rozpoznanie pacjenta.
Co zrobić, gdy dostawca systemu gabinetowego zgłosi wyciek?
Czy potrzebujemy umowy powierzenia z pracownią protetyczną?
To zależy od tego, w jakiej roli pracownia występuje. Jeżeli przetwarza dane pacjentów na Twoje polecenie, art. 28 RODO wymaga umowy lub innego instrumentu prawnego. Jeżeli działa jako odrębny administrator, potrzebne są inne ustalenia. Rozstrzygamy to w ramach audytu, bo w gabinetach bywa to różnie zorganizowane.
Czy dokumentacja medyczna to dane wrażliwe?
Tak. Dane o zdrowiu, w tym dokumentacja medyczna i zdjęcia RTG, należą do szczególnych kategorii danych osobowych z art. 9 RODO, potocznie nazywanych danymi wrażliwymi. Ich przetwarzanie wymaga szczególnej podstawy prawnej i odpowiednich zabezpieczeń.
Czy gabinet dentystyczny potrzebuje zgody pacjenta na przetwarzanie danych?
Do leczenia co do zasady nie. Podstawą jest art. 9 ust. 2 lit. h RODO oraz przepisy o dokumentacji medycznej. Zgoda jest potrzebna do innych celów, np. wysyłki informacji marketingowych albo publikacji zdjęć pacjenta.
Jakie dokumenty RODO musi mieć gabinet stomatologiczny?
Co do zasady: politykę ochrony danych osobowych, klauzulę informacyjną dla pacjentów, rejestr czynności przetwarzania, upoważnienia dla zespołu, umowy powierzenia z dostawcami oraz procedurę postępowania w razie naruszenia ochrony danych. Zakres zależy od tego, jak działa konkretny gabinet.
Ile trwa całe wdrożenie?
Dokumentacja powstaje zwykle w 14-21 dni od audytu stacjonarnego, a przy audycie zdalnym w 2-4 tygodnie od przekazania informacji. Termin podajemy razem z wyceną i trzymamy się go.
Potrzebujesz czegoś innego?
- Obsługa incydentu i zgłoszenie do UODO - gdy wyciek już się wydarzył i biegnie termin 72 godzin.
- Audyt RODO - gdy chcesz sprawdzić dokumenty, które już masz.
- Szkolenie dla zespołu - gdy dokumenty są, ale zespół ich nie stosuje.
- Wdrożenie RODO w firmie - wersja dla firm spoza ochrony zdrowia.
- Konsultacja - gdy chcesz omówić jeden konkretny problem.
Ta strona ma charakter informacyjny i nie stanowi porady prawnej. Każdy gabinet wymaga indywidualnej oceny - jeżeli chcesz omówić swoją sytuację, napisz do nas.
Stan prawny na: 15 października 2026 r.