RODO w gabinecie stomatologicznym: dane o zdrowiu, zapisy na stronie i dokumentacja

RODO w placówce medycznej: dane o zdrowiu

Art. 4 pkt 15 RODO definiuje dane dotyczące zdrowia jako dane o zdrowiu fizycznym lub psychicznym, w tym o korzystaniu z usług opieki zdrowotnej, które ujawniają informacje o stanie zdrowia. Motyw 35 dodaje, że do takich danych należą „informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej”.

Art. 9 ust. 1 zabrania przetwarzania takich danych, a wyjątki są w art. 9 ust. 2. Dla gabinetu istotne są dwa: wyraźna zgoda pacjenta w konkretnym celu (art. 9 ust. 2 lit. a) oraz przetwarzanie niezbędne do celów m.in. diagnozy medycznej, zapewnienia opieki zdrowotnej i leczenia (art. 9 ust. 2 lit. h, na podstawie prawa Unii lub prawa państwa członkowskiego; który przepis krajowy, nie sprawdzaliśmy). Art. 9 ust. 3 wymaga, żeby przy podstawie z art. 9 ust. 2 lit. h dane przetwarzała osoba objęta obowiązkiem tajemnicy zawodowej albo działająca na jej odpowiedzialność. Dentysta spełnia tu warunek tajemnicy, bo art. 3 ust. 1 ustawy o zawodach lekarza i lekarza dentysty każe rozumieć „lekarza” bez bliższego określenia także jako lekarza dentystę, a art. 40 ust. 1 tej ustawy nakłada na lekarza obowiązek tajemnicy.

Granica nie jest ostra. Opis objawu („boli mnie ząb”) ujawnia stan zdrowia wprost. Sama prośba „chcę umówić wizytę” to przypadek graniczny: art. 4 pkt 15 wymaga, żeby dane ujawniały informacje o stanie zdrowia, a motyw 35 mówi o rejestracji. Przepisy nie rozstrzygają, czy imię, telefon i termin same w sobie są daną o zdrowiu. Warto o to zapytać prawnika albo inspektora ochrony danych, jeśli gabinet go ma.

Formularz kontaktowy i zapisy na stronie

Art. 5 ust. 1 lit. c RODO wymaga, żeby dane były „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane”. To zasada minimalizacji. Nie zakazuje ona pola opisowego w formularzu, ale każe zapytać, po co gabinetowi opis dolegliwości na etapie zapisu.

Nasza propozycja projektowa, nie wymóg przepisu: formularz z wyborem rodzaju wizyty (na przykład pierwsza wizyta, wizyta kontrolna, konsultacja) i bez pola „opisz problem”. Opis objawu pacjent podaje wtedy lekarzowi w gabinecie albo przez telefon, gdzie działa tajemnica lekarska. Osobie z ostrym bólem formularz nie jest potrzebny, dlatego na stronie warto zostawić telefon i godziny rejestracji. To nasz wniosek, nie rozstrzygnięcie: czy etykiety na liście, np. „wizyta kontrolna”, same ujawniają stan zdrowia, przepisy nie mówią.

Poza zasadą minimalizacji formularz potrzebuje podstawy przetwarzania. Dla zapisu na wizytę RODO w art. 6 ust. 1 lit. b dopuszcza przetwarzanie niezbędne do podjęcia działań na żądanie osoby przed zawarciem umowy. Czy ta podstawa wystarcza przy danych o zdrowiu, zależy od tego, co formularz zbiera, i wraca do pytania z poprzedniej części.

Jak długo przechowywać dokumentację

Art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta stanowi, że podmiot udzielający świadczeń zdrowotnych „przechowuje dokumentację medyczną przez okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu”. Wyjątki z tego artykułu, które mogą dotyczyć gabinetu (art. 29 ust. 1 ma jeszcze pkt 1: 30 lat od końca roku zgonu pacjenta na skutek uszkodzenia ciała lub zatrucia):

Art. 29 ust. 1 pkt 4 mówi, że dokumentacja dzieci do ukończenia 2. roku życia „jest przechowywana przez okres 22 lat”, ale nie powtarza sposobu liczenia z art. 29 ust. 1. Czy stosuje się tu koniec roku ostatniego wpisu, tekst nie mówi wprost. Pytanie warto zadać prawnikowi, zanim ustawisz termin zniszczenia.

Art. 29 ust. 2 każe po upływie tych okresów zniszczyć dokumentację tak, żeby uniemożliwić identyfikację pacjenta, którego dotyczyła, i dopuszcza wydanie jej przed zniszczeniem pacjentowi, jego przedstawicielowi ustawowemu albo osobie upoważnionej. Zdjęcia, które gabinet wykonuje sam, wiążą się też z obowiązkami z zakresu ochrony radiologicznej. Dane małoletnich pacjentów wiążą się też z obowiązkami opisanymi w tekście o standardach ochrony małoletnich w gabinecie stomatologicznym.

Udostępnienie dokumentacji i opłaty

Art. 27 ust. 1 ustawy o prawach pacjenta wymienia pięć sposobów udostępnienia: wgląd w miejscu udzielania świadczeń, wyciąg, odpis, kopia lub wydruk, wydanie oryginału (w określonych przypadkach), środki komunikacji elektronicznej i nośnik danych. Art. 27 ust. 4 każe prowadzić wykaz udostępnionej dokumentacji z imieniem i nazwiskiem pacjenta, sposobem, zakresem, osobą, której udostępniono, osobą udostępniającą z podpisem i datą.

Art. 28 ust. 1 pozwala pobrać opłatę za udostępnienie w sposób z art. 27 ust. 1 pkt 2 i 5 (wyciąg, odpis, kopia, wydruk, nośnik) oraz za skan z art. 27 ust. 3. Przepis nie obejmuje wglądu ani samego przekazania drogą elektroniczną dokumentacji prowadzonej elektronicznie. Art. 28 ust. 2a pkt 1 mówi, że opłaty nie pobiera się, gdy dokumentację udostępnia się pacjentowi albo jego przedstawicielowi ustawowemu po raz pierwszy w żądanym zakresie i w tych sposobach. Art. 28 ust. 4 ustala górne granice jako ułamek przeciętnego wynagrodzenia z poprzedniego kwartału: 0,002 za stronę wyciągu albo odpisu, 0,00007 za stronę kopii albo wydruku i 0,0004 za nośnik. Art. 28 ust. 3 mówi, że wysokość opłaty w tych granicach ustala podmiot udzielający świadczeń.

Ta wysokość ma związek ze stroną. Art. 24 ust. 1 pkt 9 ustawy o działalności leczniczej wymienia „wysokość opłaty za udostępnienie dokumentacji medycznej” wśród informacji z regulaminu organizacyjnego, a art. 24 ust. 2 każe podawać je w miejscu udzielania świadczeń oraz na stronie internetowej podmiotu. Czy obowiązek dotyczy gabinetu bez strony, tekst nie rozstrzyga. Ten wątek rozwija tekst o tym, co musi być na stronie gabinetu stomatologicznego.

Tajemnica lekarska na stronie

Art. 40 ust. 1 ustawy o zawodach lekarza i lekarza dentysty: lekarz „ma obowiązek zachowania w tajemnicy informacji związanych z pacjentem, a uzyskanych w związku z wykonywaniem zawodu”. Art. 40 ust. 4 dodaje: „Lekarz nie może podać do publicznej wiadomości danych umożliwiających identyfikację pacjenta bez jego zgody”. Zgoda z art. 40 ust. 2 pkt 4 wymaga uprzedniego poinformowania pacjenta o niekorzystnych skutkach ujawnienia, a pacjent może określić zakres (art. 40 ust. 2a). Co z tego wynika dla odpowiedzi na opinie i zdjęć, opisuje tekst o opiniach pacjentów a tajemnicy lekarskiej.

Pliki cookie i narzędzia na stronie

Dane z cookies i podobnych technologii podlegają osobnemu przepisowi. Art. 399 ust. 1 Prawa komunikacji elektronicznej dopuszcza przechowywanie informacji w urządzeniu użytkownika albo dostęp do nich pod warunkiem uprzedniego poinformowania o celu i o możliwości określenia warunków w ustawieniach oprogramowania oraz zgody po otrzymaniu tej informacji. Art. 399 ust. 3 pkt 2 zwalnia z tych warunków, gdy działanie jest konieczne do dostarczania usługi świadczonej drogą elektroniczną „żądanej przez abonenta lub użytkownika końcowego”. Zgodę ocenia się według przepisów o ochronie danych osobowych (art. 400).

Przepis nie wymienia nazw technologii. Nasza ocena: strona, która tylko wyświetla treść, zwykle nie potrzebuje zgody, a statystyki, mapy i osadzenia zewnętrznych narzędzi wymagają sprawdzenia, co dokładnie zapisują w przeglądarce. To ocena, nie rozstrzygnięcie przepisu.

Lista kontrolna

• Wiesz, które dane zbiera rejestracja i formularz i które z nich ujawniają stan zdrowia.
• Formularz na stronie nie ma pola do opisu dolegliwości albo masz podstawę z art. 9 ust. 2 dla jego zawartości.
• Na stronie jest telefon i godziny rejestracji dla osób, które nie mogą czekać na odpowiedź z formularza.
• Terminy przechowywania: 20 lat dokumentacji, 10 lat zdjęć poza dokumentacją, 22 lata dla dzieci do ukończenia 2. roku życia, z pytaniem o sposób liczenia dla ostatniej grupy.
• Prowadzisz wykaz udostępnionej dokumentacji (art. 27 ust. 4) i masz ustaloną opłatę w granicach z art. 28 ust. 4.
• Na stronie nie ma danych umożliwiających identyfikację pacjenta bez jego zgody.
• Znasz każde narzędzie na stronie, które zapisuje coś w przeglądarce, i wiesz, czy odbywa się to za zgodą.

Tekst nie jest poradą prawną. Stan prawny na 15 listopada 2026 r.