Kontrola UODO w gabinecie: jak uporządkować dane i przygotować dokumentację

Kontrola UODO w gabinecie może dotyczyć zarówno dokumentacji, jak i tego, jak zasady ochrony danych działają w codziennej pracy. Znaczenie mają między innymi sposób przyjmowania zapisów, dostęp do kalendarza, treść przypomnień, obsługa płatności oraz przechowywanie dokumentacji.

Nie istnieje jeden zestaw dokumentów odpowiedni dla każdego gabinetu. Zakres obowiązków zależy między innymi od rodzaju działalności, kategorii przetwarzanych danych, liczby osób mających do nich dostęp, używanych narzędzi i podstaw prawnych przetwarzania. Ten artykuł ma charakter organizacyjny i nie zastępuje indywidualnej porady prawnej ani zasad prowadzenia dokumentacji właściwych dla danego zawodu.

Co może mieć znaczenie podczas kontroli UODO?

Organ nadzorczy może sprawdzać zgodność przetwarzania danych z RODO i innymi właściwymi przepisami. W praktyce administrator powinien potrafić wyjaśnić:

• jakie dane zbiera i w jakich celach,
• na jakiej podstawie prawnej je przetwarza,
• gdzie dane są przechowywane i komu są udostępniane,
• kto ma do nich dostęp i jak ten dostęp jest nadawany oraz odbierany,
• jak długo poszczególne dane są przechowywane,
• jak realizowane są prawa osób, których dane dotyczą,
• jak gabinet zapobiega naruszeniom i jak reaguje, gdy do nich dojdzie.

Liczy się nie tylko treść polityk i procedur, lecz także zgodność dokumentów z rzeczywistym sposobem pracy. Jeżeli procedura przewiduje jeden kanał kontaktu, a ustalenia trafiają równolegle do prywatnego telefonu, komunikatora, poczty i papierowego notesu, trudno wykazać, że przyjęte zasady są stosowane.

Minimalizacja danych w kalendarzu i wiadomościach

Kalendarz, skrzynka pocztowa i komunikatory służą przede wszystkim do organizacji pracy. Łatwo jednak umieścić w nich więcej informacji, niż jest potrzebne do obsługi wizyty. Powiadomienia mogą pojawiać się na ekranie blokady, wiadomości pozostają w historii, a dane mogą trafiać do kopii zapasowych.

Warto przyjąć zasadę, że wpis w kalendarzu pozwala rozpoznać właściwą wizytę, ale nie opisuje powodu zgłoszenia, diagnozy, sytuacji rodzinnej ani przebiegu spotkania. Można używać neutralnego identyfikatora oraz oznaczeń organizacyjnych, takich jak „pierwsza wizyta”, „kolejna”, „online”, „do potwierdzenia” czy „opłacone”.

Inicjały i numery klienta nie zawsze oznaczają anonimizację. Jeśli gabinet może powiązać oznaczenie z konkretną osobą, nadal może ono stanowić dane osobowe. Takie oznaczenia ograniczają widoczność informacji, ale nie zwalniają z obowiązku ich odpowiedniego zabezpieczenia.

Dane kontaktowe najlepiej przechowywać w przeznaczonym do tego miejscu, zamiast powielać je w tytułach wizyt i luźnych notatkach. Dostęp do kalendarza powinny mieć wyłącznie osoby, które potrzebują go do wykonywania swoich obowiązków.

Neutralne przypomnienia o wizytach

Przypomnienie powinno zawierać informacje niezbędne do identyfikacji terminu, bez ujawniania osobom postronnym rodzaju świadczenia lub szczegółów dotyczących zdrowia. Przykładowa neutralna wiadomość może brzmieć:

„Przypominamy o spotkaniu 12 marca o godz. 18:00. W razie potrzeby zmiany terminu prosimy o odpowiedź na tę wiadomość.”

Treść komunikatu trzeba dostosować do konkretnej sytuacji, ustalonego kanału kontaktu i obowiązku prawidłowej identyfikacji odbiorcy. Warto również sprawdzić, czy na używanych urządzeniach treść wiadomości jest widoczna na ekranie blokady.

Jeśli pacjent lub klient kontaktuje się wieloma kanałami, gabinet może wskazać preferowany sposób obsługi zmian terminów. Nie należy jednak automatycznie przenosić całej korespondencji między aplikacjami. Trzeba też ustalić, które wiadomości są nadal potrzebne, a które można usunąć zgodnie z przyjętymi zasadami retencji.

Oddziel dane organizacyjne, rozliczeniowe i zawodowe

Przejrzysty podział danych ułatwia ograniczenie dostępu i zmniejsza ryzyko przypadkowego ujawnienia informacji:

• dane organizacyjne obejmują między innymi termin, kanał kontaktu i status wizyty,
• dane rozliczeniowe obejmują informacje potrzebne do płatności, księgowości i wystawienia prawidłowego dokumentu sprzedaży,
• dokumentacja medyczna lub zawodowa może zawierać informacje wymagane ze względu na charakter świadczenia i przepisy dotyczące konkretnej profesji.

Nie należy wpisywać szczegółów spotkania do kalendarza tylko po to, aby łatwiej przypomnieć sobie jego kontekst. Jeśli prowadzenie dokumentacji jest wymagane lub uzasadnione, informacje powinny trafiać do przeznaczonego do tego, odpowiednio zabezpieczonego miejsca.

Zakres i okres przechowywania dokumentacji medycznej lub zawodowej mogą wynikać z odrębnych przepisów. Nie należy usuwać jej według tych samych zasad co roboczych ustaleń organizacyjnych. W razie wątpliwości trzeba skonsultować obowiązki z prawnikiem lub specjalistą znającym regulacje właściwe dla danego zawodu.

Dokumenty, które powinny odpowiadać rzeczywistej pracy gabinetu

Dokładny zestaw dokumentów zależy od sytuacji administratora. Przy przeglądzie organizacji ochrony danych warto uwzględnić następujące elementy:

• opis przepływu danych — skąd dane trafiają do gabinetu, gdzie są zapisywane, kto z nich korzysta i komu mogą być przekazywane,
• rejestr czynności przetwarzania — jeżeli obowiązek jego prowadzenia ma zastosowanie; wyjątki przewidziane w RODO są ograniczone i wymagają oceny konkretnej działalności,
• upoważnienia i zasady dostępu — w tym odbieranie dostępu po zakończeniu współpracy,
• informacje dla osób, których dane dotyczą — przekazywane w odpowiednim momencie i kanale,
• umowy powierzenia przetwarzania — zawierane z podmiotami, które przetwarzają dane w imieniu administratora, jeśli dana relacja rzeczywiście ma taki charakter,
• zasady retencji — osobno dla danych organizacyjnych, księgowych, dokumentacji oraz innych kategorii informacji,
• procedurę reagowania na naruszenia — obejmującą identyfikację zdarzenia, ograniczenie skutków, udokumentowanie oceny i podjęcie wymaganych działań,
• środki bezpieczeństwa — odpowiednie do ryzyka, na przykład blokady ekranów, aktualizacje, kopie zapasowe, indywidualne konta i uwierzytelnianie dwuskładnikowe.

Nie każda nieprawidłowo wysłana wiadomość wymaga zgłoszenia do UODO, ale każde podejrzenie naruszenia powinno zostać ocenione i udokumentowane. O obowiązku zawiadomienia organu lub osoby, której dane dotyczą, decyduje między innymi poziom ryzyka. W sytuacji incydentu warto szybko skorzystać z pomocy specjalisty.

Praktyczny przegląd danych w gabinecie

Porządkowanie można rozpocząć od inwentaryzacji narzędzi i kanałów używanych w codziennej pracy.

1. Spisz miejsca przechowywania danych. Uwzględnij system zapisów, pocztę, telefony, dyski, komunikatory, dokumenty papierowe, księgowość i kopie zapasowe.
2. Określ cel każdego zbioru informacji. Sprawdź, czy wszystkie pola i notatki są rzeczywiście potrzebne.
3. Zweryfikuj dostęp. Ustal, kto widzi kalendarz, dokumentację, płatności i dane kontaktowe oraz czy zakres dostępu odpowiada obowiązkom danej osoby.
4. Przejrzyj dostawców. Sprawdź warunki usług, role stron, lokalizację i zasady przetwarzania danych oraz wymagane umowy.
5. Ustal terminy przechowywania. Oprzyj je na celach przetwarzania, podstawach prawnych i przepisach dotyczących określonych dokumentów.
6. Sprawdź urządzenia. Włącz blokadę ekranu, aktualizacje i uwierzytelnianie dwuskładnikowe, jeśli jest dostępne. Usuń nieużywane konta.
7. Przećwicz reakcję na incydent. Zespół powinien wiedzieć, komu zgłosić zgubienie telefonu, wysłanie wiadomości do niewłaściwej osoby lub podejrzenie przejęcia konta.

Jak przygotować się do okazania procesu?

Przed kontrolą warto sprawdzić, czy można jasno przedstawić drogę danych od zapisu do zakończenia ich przechowywania. Podczas wewnętrznego przygotowania i ćwiczenia procesu najlepiej korzystać z danych zanonimizowanych lub testowych. W toku kontroli zakres udostępnianych informacji powinien odpowiadać żądaniu organu i jego uprawnieniom.

Przykładowy proces może obejmować zapis, potwierdzenie terminu, realizację wizyty, płatność, wystawienie dokumentu sprzedaży i dalsze przechowywanie danych. Osobno warto opisać obsługę odwołania, prośby o dostęp do danych oraz potencjalnego naruszenia.

Podczas kontroli należy udzielać odpowiedzi zgodnych ze stanem faktycznym i zakresem żądania. Braku wymaganego dokumentu nie powinno się zastępować deklaracją, że procedura działa nieformalnie. Jeżeli pojawiają się wątpliwości dotyczące uprawnień kontrolujących lub sposobu przekazania danych, należy skorzystać z pomocy prawnej.

Jak CaReMe może wspierać organizację danych?

CaReMe umożliwia między innymi prowadzenie kalendarza i kart klientów, obsługę rezerwacji oraz potwierdzeń, wysyłkę SMS-ów, e-maili i przypomnień, przechowywanie dokumentów, prowadzenie notatek i notatek technicznych oraz kontrolowanie statusów płatności. System udostępnia także uwierzytelnianie dwuskładnikowe TOTP i wykorzystuje szyfrowanie AES-256-GCM.

Zebranie procesów w jednym systemie może ograniczyć powielanie danych w wielu kanałach, ale samo używanie oprogramowania nie zapewnia zgodności z RODO. Administrator nadal odpowiada między innymi za dobór podstaw prawnych, zakres zbieranych informacji, konfigurację dostępów, okresy przechowywania i prawidłową obsługę praw osób.

Więcej informacji znajduje się na stronie CaReMe. Opis rozwiązań przeznaczonych dla psychoterapeutów jest dostępny na stronie CaReMe dla psychoterapeutów, a pytania dotyczące działania systemu można przesłać przez formularz kontaktowy.