RODO w gabinecie dietetyka 2026: podstawa dla danych o zdrowiu, zgody, zdjęcia i dokumenty

Dietetyka ma niski próg formalny: bez licencji, bez izby, bez wpisu do rejestru. Właśnie dlatego RODO jest tu pierwszym przepisem, który naprawdę dotyczy gabinetu od pierwszego dnia, i pierwszym, o którym gabinety zapominają, bo „to tylko dieta". Ten tekst jest praktyczny: co masz mieć, w jakiej kolejności i dlaczego. Czy dietetyk jest zawodem medycznym i kiedy prowadzi dokumentację medyczną, opisałem osobno w tekście czy dietetyk to zawód medyczny. Tu skupiam się wyłącznie na RODO.

1. Dlaczego wywiad żywieniowy to dane o zdrowiu

Masa ciała, choroby przewlekłe, leki, alergie, wyniki badań, cel diety przy cukrzycy czy insulinooporności, nawet pytanie o sen i stres: to wszystko mieści się w definicji danych dotyczących zdrowia z art. 4 pkt 15 RODO. Art. 9 ust. 1 zakazuje ich przetwarzania, chyba że zachodzi jeden z wyjątków z ust. 2. Nie ma znaczenia, że nie jesteś podmiotem leczniczym ani że konsultacja była przez wideo. Znaczenie ma treść danych.

Praktyczna konsekwencja: formularz wywiadu wysłany do podopiecznego mailem przed pierwszą wizytą jest już przetwarzaniem danych o zdrowiu. Klauzula informacyjna i podstawa muszą być gotowe zanim wyślesz ten formularz, nie na pierwszej wizycie.

2. Jaką podstawę wybrać: cel zdrowotny czy zgoda

Dwa wyjątki z art. 9 ust. 2 mają znaczenie dla gabinetu dietetycznego:

• Lit. h, cele zdrowotne: profilaktyka zdrowotna, diagnoza, zapewnienie opieki zdrowotnej, pod warunkiem przetwarzania przez osobę związaną tajemnicą zawodową lub pod jej nadzorem. To najmocniejsza podstawa dla dietoterapii (dieta w chorobie, redukcja masy ciała ze wskazań zdrowotnych, żywienie w cukrzycy, alergiach, chorobach przewodu pokarmowego). Nie wymaga zgody i nie znika, gdy podopieczny zmieni zdanie.
• Lit. a, wyraźna zgoda: tam, gdzie celu zdrowotnego nie ma albo jest wątpliwy, na przykład konsultacje czysto sylwetkowe i sportowe, oraz zawsze przy marketingu, newsletterze i publikacji zdjęć.

Większość gabinetów powinna mieć obie podstawy opisane w klauzuli: cel zdrowotny dla samej współpracy dietetycznej i zgodę dla wszystkiego, co wykracza poza nią. Dobór podstawy wpisz do rejestru czynności, bo to pierwsza rzecz, o którą pyta UODO przy skardze.

3. Klauzula informacyjna: co musi zawierać i kiedy ją wręczyć

Art. 13 RODO wymaga podania przy zbieraniu danych m.in.: kto jest administratorem i jak się z nim skontaktować, w jakim celu i na jakiej podstawie przetwarzasz dane, komu je przekazujesz (program gabinetowy, hosting, biuro rachunkowe, dostawca wideorozmów), jak długo je przechowujesz, jakie prawa ma podopieczny i że może złożyć skargę do UODO. Przy danych o zdrowiu dodaj wprost, która podstawa z art. 9 ust. 2 ma zastosowanie.

Moment: przed pierwszym wywiadem. Najprościej dołączyć klauzulę do formularza wywiadu online i do regulaminu usług, a przy wizycie stacjonarnej dać ją do przeczytania na tablecie razem ze zgodą. Potwierdzenie zapoznania się zapisz przy karcie podopiecznego z datą.

4. Zdjęcia sylwetki: dwa cele, dwie zgody

Zdjęcia przed i po są w dietetyce najsilniejszym dowodem postępu i najczęstszym źródłem skarg. Rozdziel cele:

• Zdjęcie do dokumentacji współpracy: monitorowanie efektów, mieści się w celu zdrowotnym, przechowywane przy karcie, dostępne tylko Tobie. Odbierz zgodę na wykonanie i przechowywanie, opisz miejsce przechowywania.
• Zdjęcie do publikacji (media społecznościowe, strona, oferta): to już marketing i wizerunek, więc osobna, wyraźna zgoda z art. 9 ust. 2 lit. a i jednocześnie zgoda na rozpowszechnianie wizerunku z prawa autorskiego. Zgoda musi wskazywać kanały publikacji i być odwoływalna, a cofnięcie oznacza usunięcie publikacji na przyszłość.

Zdjęcie bez twarzy nadal może identyfikować osobę (tatuaż, blizna, kontekst), więc anonimizacja przez kadrowanie nie zwalnia ze zgody na publikację.

5. Konsultacje online, komunikatory, newsletter

• Wideokonsultacje: dostawca narzędzia (Google Meet, Zoom, własna platforma) jest podmiotem przetwarzającym, potrzebujesz umowy powierzenia lub warunków, które ją zastępują, i informacji o tym w klauzuli. Nie nagrywaj rozmów bez wyraźnej zgody, a do dokumentacji wystarczy notatka po konsultacji. Praktykę opisałem w tekście o e-wizytach w kosmetologii i dietetyce.
• Komunikatory: historia współpracy na WhatsAppie czy Messengerze to przetwarzanie danych o zdrowiu u dostawcy spoza Twojej kontroli. Ustalenia o znaczeniu zdrowotnym przenoś do karty podopiecznego, a w klauzuli uprzedź, że komunikator służy do umawiania, nie do przekazywania wyników badań.
• Newsletter i oferty: osobna zgoda marketingowa, niezależna od współpracy, z łatwym wypisaniem. Dane o zdrowiu do segmentacji mailingu (np. „podopieczni z insulinoopornością") wymagają wyraźnej zgody na taki cel, inaczej jest to nowy cel bez podstawy.

6. Dokumenty, które musi mieć gabinet jednoosobowy

Lista jest krótsza, niż sugerują oferty „pakietów RODO", ale żadnej pozycji nie da się pominąć:

1. Rejestr czynności przetwarzania (art. 30). Wyjątek dla firm poniżej 250 osób nie obejmuje przetwarzania danych szczególnej kategorii, więc dietetyk prowadzi rejestr zawsze. Kilka wierszy: podopieczni, kontrahenci, marketing, kadry, jeśli zatrudniasz.
2. Klauzule informacyjne: dla podopiecznych, dla formularza kontaktowego na stronie, dla pracowników i współpracowników.
3. Umowy powierzenia: program gabinetowy, hosting strony i poczty, biuro rachunkowe, dostawca wideorozmów, firma IT, jeśli ma dostęp do komputera.
4. Polityka ochrony danych z opisem zabezpieczeń: hasła, szyfrowanie dysku, kopie zapasowe, blokada ekranu, kto ma dostęp.
5. Zasada retencji spisana i stosowana: jak długo trzymasz karty po zakończeniu współpracy. Dla gabinetu niebędącego podmiotem leczniczym nie ma ustawowego terminu, więc ustal własny, uzasadniony przedawnieniem roszczeń, i trzymaj się go.
6. Procedura naruszeń: co robisz, gdy zgubisz telefon z wywiadami albo wyślesz jadłospis do złej osoby. Zgłoszenie do UODO w 72 godziny, gdy naruszenie rodzi ryzyko dla osób.

Inspektor ochrony danych nie jest wymagany, chyba że główna działalność polega na przetwarzaniu danych szczególnej kategorii na dużą skalę, co w pojedynczym gabinecie nie zachodzi. Ocena skutków (DPIA) również zwykle nie, ale wykaz UODO obejmuje przetwarzanie danych o zdrowiu w połączeniu z nowymi technologiami, więc przy aplikacji z analizą zdjęć lub danych z urządzeń noszonych zrób krótką ocenę i zachowaj ją.

7. Zabezpieczenia, które realnie bronią

• Jedno miejsce na dane: karta podopiecznego w programie, nie w mailu, nie na pulpicie, nie w komunikatorze.
• Szyfrowanie: dysk komputera i telefonu, program z szyfrowaniem w spoczynku, dostęp po haśle i drugim składniku.
• Ślad dostępu: gdy pracujesz z asystentką albo drugim dietetykiem, musisz wiedzieć, kto otworzył kartę. Dziennik dostępu, którego nie da się edytować, jest jedynym dowodem.
• Kopie zapasowe poza jednym urządzeniem, przetestowane odtworzeniem.
• Usuwanie: po upływie retencji usuwasz z programu, z kopii i z poczty, nie tylko z folderu.

Mechanikę rejestru, dziennika dostępu i tego, co sprawdza UODO, opisałem w tekście o RODO w gabinecie. Zasady są wspólne dla wszystkich gabinetów.

Checklista RODO gabinetu dietetycznego

Zastrzeżenie: wpis ma charakter informacyjny i nie zastępuje porady prawnej. Dobór podstawy przetwarzania i treść klauzul zależą od zakresu usług konkretnego gabinetu.