RODO w gabinecie stomatologicznym 2026. Rejestr czynności, dziennik dostępu i to, co naprawdę sprawdza PUODO

Pewna przychodnia była przekonana, że ma RODO dopięte. Gruby segregator z politykami, podpisane klauzule, wszystko od firmy szkoleniowej sprzed trzech lat. Aż jedna pacjentka napisała skargę: podejrzewała, że jej kartę przeglądała znajoma pracująca w rejestracji, bez żadnego powodu medycznego.

PUODO nie pytał o segregator. Zadał jedno pytanie: „Proszę pokazać, kto i kiedy miał dostęp do dokumentacji tej pacjentki". Przychodnia nie miała jak odpowiedzieć - system nie logował dostępów. I to był prawdziwy problem, nie brak polityki w segregatorze.

To pokazuje, gdzie naprawdę leży RODO w gabinecie: nie w dokumentach, które nikt nie czyta, tylko w dowodach, że dane są pod kontrolą.

Dlaczego gabinet to wyższy poziom RODO

Dane o zdrowiu to szczególna kategoria danych (art. 9 RODO). To nie to samo co imię i adres - to dane pod wzmocnioną ochroną. Konsekwencja praktyczna: część „ulg" dla małych firm Cię nie dotyczy, bo przetwarzasz właśnie te najwrażliwsze dane, i to regularnie.

Stąd bierze się m.in. obowiązek prowadzenia rejestru czynności przetwarzania nawet w jednoosobowej praktyce - o czym za chwilę.

Filar 1: podstawa przetwarzania (i częsty błąd ze zgodą)

Najczęstsze nieporozumienie: „skoro RODO, to na wszystko muszę mieć zgodę pacjenta". Nieprawda - i to wręcz szkodliwe.

• Leczenie i prowadzenie dokumentacji - podstawą jest świadczenie opieki zdrowotnej i obowiązek prawny, nie zgoda. Pacjent nie może „cofnąć zgody" na prowadzenie dokumentacji, bo ona nie opiera się na zgodzie.
• Rzeczy dodatkowe - marketing, newsletter, przypomnienia SMS o wizycie, zdjęcia przed/po do promocji - tu zgoda jest potrzebna i musi być dobrowolna, odwołalna, rozdzielona od leczenia.

Filar 2: rejestr czynności przetwarzania (RCPD)

RCPD to wykaz tego, co robisz z danymi: jakie kategorie danych, w jakim celu, na jakiej podstawie, jak długo trzymane, komu udostępniane (np. laboratorium, firma niszcząca dokumenty, dostawca oprogramowania).

Dlaczego mały gabinet też musi? Bo wyłączenie dla podmiotów < 250 osób nie działa, gdy przetwarzanie danych szczególnej kategorii nie jest sporadyczne - a w gabinecie jest codzienne. To jeden dokument, ale żywy: aktualizujesz go, gdy zmieniasz laboratorium, wdrażasz SMS-y czy nowy system.

Filar 3: dziennik dostępu - to, na czym wywróciła się przychodnia z początku

Dziennik dostępu (audit log) odpowiada na pytanie, którego nie da się obejść politykami: kto, kiedy i do której karty pacjenta zaglądał. To zarazem techniczny środek bezpieczeństwa i dowód rozliczalności.

W praktyce oznacza to, że system gabinetowy powinien:

• logować każde otwarcie karty pacjenta z użytkownikiem i czasem,
• ograniczać dostęp per lekarz - tak, by personel widział tylko to, co potrzebne,
• pozwalać odtworzyć historię dostępu, gdy pojawi się skarga albo kontrola.

Bez tego nie udowodnisz, że nie doszło do nieuprawnionego wglądu - a ciężar dowodu jest po Twojej stronie.

Naruszenie? 72 godziny

Jeśli dojdzie do incydentu - zgubiony laptop, wysłanie dokumentacji do złego adresata, nieuprawniony dostęp - masz 72 godziny od stwierdzenia na zgłoszenie do PUODO (chyba że naruszenie raczej nie skutkuje ryzykiem dla osób). Przy wysokim ryzyku informujesz też pacjentów. Dlatego warto mieć z góry ewidencję incydentów i prostą procedurę, zamiast szukać w panice, „komu i jak to zgłosić".

Checklista RODO dla gabinetu

RODO to nie segregator, to nawyk systemu

Gabinety spoza systemu ochrony zdrowia mają te same obowiązki RODO przy innej dokumentacji - dla dietetyki rozpisałem to tutaj: Czy dietetyk to zawód medyczny. Kontrola ochrony danych przychodzi tą samą ścieżką co sanepid - i pyta o dowody, nie intencje. Jak przygotować pozostałe obszary: Kontrola sanepidu w gabinecie stomatologicznym - checklista.

Najtrwalsze RODO w gabinecie nie wygląda jak półka z politykami. Wygląda jak system, który z automatu loguje dostępy, szyfruje wrażliwe pola, przypomina o umowach powierzenia i trzyma ewidencję incydentów. Polityki są potrzebne - ale to dowody, a nie deklaracje, wygrywają z kontrolą i skargą pacjenta. Tak działa dokumentacja w programie do gabinetu stomatologicznego MedEQ: dziennik dostępu, szyfrowanie danych pacjentów i blokada zatwierdzonych wpisów są włączone od pierwszego dnia.

FAQ - RODO w gabinecie

Zastrzeżenie: wpis ma charakter edukacyjny i nie jest poradą prawną. Obowiązki RODO (RCPD, IOD, okresy przechowywania, zgłaszanie naruszeń) zależą od skali i specyfiki Twojej działalności - przy wdrożeniu skonsultuj się z prawnikiem lub inspektorem ochrony danych oraz z aktualnymi wytycznymi PUODO.