RODO dla dietetyka: orzecznictwo i linia sądowa

Przetwarzanie danych osobowych w ramach prowadzenia działalności dietetycznej to proces znacznie bardziej skomplikowany, niż mogłoby się wydawać na pierwszy rzut oka. Współczesna dietetyka nie ogranicza się bowiem wyłącznie do układania prostych jadłospisów. Profesjonalny dietetyk w swojej codziennej pracy analizuje wyniki badań laboratoryjnych, zbiera szczegółowy wywiad chorobowy, pyta o przyjmowane leki, dolegliwości układu pokarmowego, a także o styl życia, poziom stresu czy sferę psychofizyczną pacjenta. Wszystkie te informacje stanowią dane dotyczące zdrowia w rozumieniu Ogólnego Rozporządzenia o Ochronie Danych (RODO). Oznacza to, że podlegają one szczególnej ochronie prawnej jako dane wrażliwe (szczególne kategorie danych osobowych). Właściwe wdrożenie zasad ochrony danych osobowych to kluczowy obowiązek każdego specjalisty prowadzącego gabinet dietetyczny.

Teza publikacji: Status prawny danych przetwarzanych przez dietetyka

Główną tezą niniejszej analizy jest stwierdzenie, że każdy dietetyk, niezależnie od tego, czy prowadzi jednoosobową działalność gospodarczą, czy pracuje w ramach większej placówki medycznej, przetwarza dane szczególnej kategorii (dane o zdrowiu) i w związku z tym ciąży na nim pełen zakres odpowiedzialności wynikający z RODO. Analiza linii orzeczniczej sądów administracyjnych oraz decyzji Prezesa Urzędu Ochrony Danych Osobowych (PUODO) jednoznacznie wskazuje, że brak ustawowej regulacji zawodu dietetyka w sposób tożsamy z zawodem lekarza czy pielęgniarki nie zwalnia tych specjalistów z rygorystycznych wymogów ochrony danych. Przeciwnie, nakłada to na nich konieczność jeszcze dokładniejszego dokumentowania podstaw prawnych przetwarzania, ze szczególnym uwzględnieniem świadomej i wyraźnej zgody pacjenta.

Na czym polega problem i kogo dotyczy?

Problem polega na dualizmie interpretacyjnym oraz braku jednolitej, dedykowanej ustawy regulującej zawód dietetyka w Polsce w sposób kompleksowy. Choć ustawa o niektórych zawodach medycznych z 2023 roku uregulowała status wielu profesji medycznych, dietetycy wciąż często funkcjonują na granicy usług medycznych i usług doradztwa żywieniowego. Z punktu widzenia RODO kluczowe jest jednak nie to, jak formalnie klasyfikowany jest zawód, ale jaki jest rzeczywisty charakter przetwarzanych danych. Skoro dietetyka opiera się na analizie parametrów biologicznych, chorób (takich jak cukrzyca, niedoczynność tarczycy czy celiakia) oraz wyników badań krwi, to przetwarzane informacje bezsprzecznie stanowią dane o zdrowiu.

Problem ten dotyczy szerokiej grupy podmiotów:

dietetyków prowadzących indywidualne gabinety stacjonarne,
specjalistów świadczących usługi online (konsultacje zdalne, sprzedaż gotowych jadłospisów na podstawie ankiet),
poradni dietetycznych zatrudniających pracowników i podwykonawców,
dietetyków klinicznych współpracujących z przychodniami i szpitalami.

Podstawa prawna przetwarzania danych w gabinecie dietetycznym

Zgodnie z art. 9 ust. 1 RODO, przetwarzanie danych o zdrowiu jest co do zasady zabronione. Aby dietetyk mógł legalnie przetwarzać takie informacje, musi zaistnieć jedna z przesłanek wyłączających ten zakaz, wymienionych w art. 9 ust. 2 RODO. W praktyce dietetycznej najczęściej zastosowanie mają dwie podstawy prawne:

Zgoda pacjenta (art. 9 ust. 2 lit. a RODO): Jest to najbezpieczniejsza i najpowszechniejsza podstawa prawna dla dietetyków prowadzących prywatną praktykę poza strukturami podmiotów leczniczych. Zgoda musi być wyraźna, dobrowolna, konkretna i świadoma. Pacjent musi mieć możliwość jej wycofania w każdym momencie bez negatywnych konsekwencji.
Profilaktyka zdrowotna i medycyna pracy (art. 9 ust. 2 lit. h RODO): Ta podstawa może być stosowana, gdy dietetyk świadczy usługi w ramach podmiotu leczniczego (np. szpitala, przychodni) lub gdy jego działalność jest ściśle powiązana z zapewnieniem opieki zdrowotnej przez uprawniony personel medyczny podlegający obowiązkowi zachowania tajemnicy zawodowej.

Należy pamiętać, że samo posiadanie podstawy do przetwarzania danych wrażliwych nie zwalnia z konieczności posiadania podstawy do przetwarzania danych zwykłych (takich jak imię, nazwisko, numer telefonu czy adres e-mail), co najczęściej opiera się na umowie o świadczenie usług (art. 6 ust. 1 lit. b RODO) lub prawnie uzasadnionym interesie administratora (art. 6 ust. 1 lit. f RODO).

Kluczowe obowiązki dietetyka jako administratora danych

Każdy dietetyk będący administratorem danych osobowych musi spełnić szereg wymagań formalnych i technicznych. Do najważniejszych należą:

Obowiązek informacyjny (art. 13 RODO): Dietetyk musi przekazać pacjentowi szczegółowe informacje o tym, kto jest administratorem jego danych, w jakim celu i na jakiej podstawie prawnej są one przetwarzane, komu mogą być przekazywane, jak długo będą przechowywane oraz jakie prawa przysługują pacjentowi.
Rejestr Czynności Przetwarzania (RCP): Choć RODO przewiduje pewne wyłączenia z obowiązku prowadzenia rejestru dla makich przedsiębiorców, to wyłączenie to nie dotyczy podmiotów, które stale przetwarzają dane szczególnej kategorii (dane o zdrowiu). Dietetyk musi zatem prowadzić taki rejestr.
Umowy powierzenia przetwarzania danych (art. 28 RODO): Jeśli dietetyk korzysta z zewnętrznych narzędzi (np. programów do układania diet, systemów do rezerwacji wizyt online, hostingu poczty elektronicznej czy zewnętrznej księgowości), ma obowiązek zawrzeć z tymi podmiotami umowy powierzenia.
Zapewnienie odpowiedniego poziomu bezpieczeństwa: Obejmuje to m.in. szyfrowanie dokumentów przesyłanych drogą elektroniczną, zabezpieczenie komputerów i telefonów hasłami, stosowanie dwuskładnikowego uwierzytelniania oraz fizyczne zabezpieczenie dokumentacji papierowej przed dostępem osób nieuprawnionych.

Rola organu nadzorczego i aktualna linia orzecznicza

Głównym organem stojącym na straży przestrzegania przepisów o ochronie danych osobowych w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Organ ten posiada szerokie uprawnienia kontrolne i może nakładać administracyjne kary pieniężne na podmioty naruszające przepisy. Analiza decyzji PUODO oraz wyroków Wojewódzkich Sądów Administracyjnych (WSA) i Naczelnego Sądu Administracyjnego (NSA) pozwala na sformułowanie kilku kluczowych wniosków dla branży dietetycznej.

Po pierwsze, organ nadzorczy niezwykle rygorystycznie podchodzi do kwestii ochrony danych medycznych i danych o zdrowiu. Wszelkie wycieki tych danych, udostępnienie ich osobom nieuprawnionym czy brak odpowiednich zabezpieczeń technicznych są traktowane jako rażące naruszenia, które skutkują dotkliwymi karami finansowymi. Sądy administracyjne w swoich wyrokach konsekwentnie podtrzymują stanowisko, że stopień ochrony danych wrażliwych musi być proporcjonalny do ryzyka naruszenia praw i wolności osób, których dane dotyczą.

Po drugie, orzecznictwo podkreśla znaczenie transparentności. Każdy wniosek pacjenta dotyczący realizacji jego praw (np. prawo dostępu do danych, prawo do sprostowania czy prawo do usunięcia danych) musi być rozpatrzony z należytą starannością. Dietetyk ma ściśle określony termin na udzielenie odpowiedzi na taki wniosek – wynosi on zasadniczo jeden miesiąc od dnia otrzymania żądania. Niedotrzymanie tego terminu lub zignorowanie wniosku pacjenta stanowi bezpośrednią podstawę do złożenia skargi do PUODO, co zazwyczaj inicjuje postępowanie kontrolne.

Procedura wdrożenia RODO w gabinecie dietetycznym krok po kroku

Aby skutecznie i bezpiecznie wdrożyć RODO w swojej praktyce, dietetyk powinien postępować zgodnie z poniższą procedurą:

Krok 1: Inwentaryzacja danych. Ustal, jakie dane zbierasz, w jaki sposób (papierowo, elektronicznie, przez formularz na stronie), gdzie je przechowujesz i komu je przekajesz.
Krok 2: Analiza ryzyka. Oceń, jakie zagrożenia wiążą się z przetwarzaniem danych w Twoim gabinecie (np. zgubienie laptopa, wyciek danych z programu do diet, nieuprawniony dostęp osób trzecich) i wdrożyj odpowiednie środki zaradcze.
Krok 3: Przygotowanie dokumentacji. Opracuj politykę prywatności, klauzule informacyjne, formularze zgód na przetwarzanie danych o zdrowiu oraz wzór rejestru czynności przetwarzania.
Krok 4: Weryfikacja podwykonawców. Podpisz umowy powierzenia z dostawcami oprogramowania, hostingu, biurem rachunkowym itp. Upewnij się, że te podmioty również spełniają wymogi RODO.
Krok 5: Zabezpieczenie kanałów komunikacji. Przestań wysyłać jadłospisy i zalecenia zawierające dane osobowe i medyczne zwykłym, nieszyfrowanym e-mailem. Używaj haseł do plików PDF lub dedykowanych, bezpiecznych platform dla pacjentów.
Krok 6: Szkolenie personelu. Jeśli zatrudniasz rejestratorki lub innych dietetyków, przeszkol ich z zasad ochrony danych i nadaj im pisemne upoważnienia do przetwarzania danych.

Najczęstsze błędy i ryzyka w praktyce dietetycznej

Wielu dietetyków nieświadomie popełnia błędy, które mogą narazić ich na odpowiedzialność prawną i finansową. Do najczęstszych uchybień należą:

Brak wyraźnej zgody na przetwarzanie danych o zdrowiu: Przetwarzanie informacji o chorobach czy alergiach wyłącznie na podstawie "ustnego porozumienia" lub ogólnego regulaminu świadczenia usług, bez wyodrębnionej, pisemnej lub elektronicznej zgody na przetwarzanie danych wrażliwych.
Wysyłanie diet w otwartych plikach PDF: Przesyłanie jadłospisów zawierających imię, nazwisko, masę ciała, a czasem opis jednostek chorobowych pacjenta, na adresy e-mail bez żadnego zabezpieczenia (np. bez zaszyfrowania pliku hasłem przekazanym innym kanałem).
Korzystanie z niezweryfikowanych narzędzi IT: Używanie darmowych, zagranicznych dysków chmurowych lub aplikacji do planowania diet, które nie gwarantują zgodności z RODO i nie oferują możliwości zawarcia umowy powierzenia przetwarzania danych.
Ignorowanie praw pacjentów: Brak procedury obsługi żądań pacjentów, co prowadzi do przekroczenia terminu na odpowiedź na wniosek o usunięcie lub przeniesienie danych.

Przykład praktyczny: Realizacja prawa do usunięcia danych (prawo do bycia zapomnianym)

Pacjentka, która korzystała z usług gabinetu dietetycznego przez pół roku, decyduje się na zakończenie współpracy. Składa pisemny wniosek o usunięcie wszystkich jej danych osobowych, w tym historii chorób, wyników badań oraz przygotowanych jadłospisów. Jak powinien postąpić dietetyk?

Dietetyk ma obowiązek przeanalizować ten wniosek w terminie jednego miesiąca. Nie może jednak bezrefleksyjnie usunąć wszystkich danych od razu. Musi rozróżnić kategorie danych:

Dane przetwarzane na podstawie zgody (np. historia medyczna, ankiety dietetyczne, jadłospisy) – w tym zakresie wniosek jest w pełni zasadny. Zgoda została wycofana, więc dietetyk musi te dane trwale usunąć lub zanonimizować, chyba że wykaże, iż dalsze ich przechowywanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń (np. w przypadku sporu sądowego dotyczącego jakości usług).
Dane rozliczeniowe (np. faktury, rachunki) – dietetyk ma prawny obowiązek przechowywania dokumentacji księgowej i podatkowej przez okres wynikający z przepisów prawa podatkowego (zazwyczaj 5 lat od końca roku podatkowego). W tym zakresie wniosek o usunięcie danych nie może zostać spełniony, o czym należy pacjentkę poinformować w oficjalnej odpowiedzi na jej wniosek.

Skutki prawne i finansowe naruszenia przepisów RODO

Niedopełnienie obowiązków wynikających z ochrony danych osobowych niesie za sobą poważne konsekwencje. Organ nadzorczy, jakim jest PUODO, może nałożyć na dietetyka administracyjną karę pieniężną. Choć kary dla małych, jednoosobowych działalności rzadko sięgają maksymalnych pułapów przewidzianych w RODO (do 20 milionów euro lub 4% rocznego obrotu), to nawet mniejsze kary (rzędu kilku tysięcy złotych) mogą być niezwykle dotkliwe dla budżetu prywatnego gabinetu.

Poza karami administracyjnymi, dietetyk musi liczyć się z ryzykiem cywilnoprawnym. Pacjent, którego dane zostały naruszone (np. w wyniku wycieku danych o jego chorobach intymnych czy zaburzeniach odżywiania), ma prawo wystąpić na drogę sądową z roszczeniem o zadośćuczynienie za doznaną krzywdę na podstawie art. 82 RODO. Nie bez znaczenia pozostaje również uszczerbek na reputacji – w branży opartej na zaufaniu, jaką jest dietetyka, informacja o wycieku danych pacjentów może doprowadzić do utraty klientów i upadku gabinetu.

Podsumowanie i rekomendacje dla dietetyków

Zapewnienie zgodności z RODO w gabinecie dietetycznym nie jest jednorazowym zadaniem, lecz ciągłym procesem, który wymaga regularnej weryfikacji i aktualizacji. Kluczem do bezpieczeństwa jest zrozumienie, że dane o zdrowiu pacjentów wymagają najwyższego standardu ochrony. Każdy dietetyk powinien wdrożyć przejrzysty system pozyskiwania zgód, rzetelnie realizować obowiązek informacyjny, dbać o bezpieczeństwo przesyłania dokumentów oraz bezwzględnie przestrzegać terminów na rozpatrywanie wniosków pacjentów. Profesjonalne podejście do ochrony danych osobowych to nie tylko unikanie kar ze strony organu nadzorczego, ale przede wszystkim wyraz szacunku wobec pacjenta i fundament bezpiecznej praktyki zawodowej.