Jak wdrożyć RODO w gabinecie psychologa / coacha?

(Wpis aktualny na 2024 r.)

Tym wpisem chciałabym zwrócić uwagę na ochronę danych osobowych w tak specyficznych dziedzinach, jak coach, trener, psycholog, terapeuta czy mentor. Obecnie nie wyobrażam sobie, żeby jakaś działalność gospodarcza mogła funkcjonować w oderwaniu od zasad ochrony danych osobowych i z pominięciem RODO, tym samym pracując w branży rozwojowej nie możesz zapomnieć o wdrożeniu RODO w swojej firmie. Jeśli jesteś moim regularnym czytelnikiem, masz podstawowe pojęcie o ochronie danych osobowych 😊 Jeśli nie – dla przypomnienia i odświeżenia podstaw zapraszam Cię do lektury z podstaw RODO w poniższym wpisie. Tymczasem małe wyjaśnienie – ten wpis dotyczy szeroko rozumianej branży rozwojowej, zatem informacje te są odpowiednie zarówno dla coachów, psychologów, psychoterapeutów, trenerów i mentorów. Dla uproszczenia w dalszej części wpisu będę pisać o coachach i psychologach. Podobnie, kiedy piszę klient – mam też na myśli pacjentów Twojego gabinetu:) Zaczynamy!

RODO – najważniejsze informacje.

Czy coach / psycholog musi wyznaczać Inspektora Danych Osobowych (IOD)?

No dobrze podstawy mamy za sobą, wiesz co to jest RODO, kim jest Administrator Danych Osobowych i czym są Umowy powierzenia, wiesz także kim jest IOD (Inspektor Ochrony Danych Osobowych). Zastanówmy się teraz czy potrzebujesz IOD-a?

IOD czyli Inspektor Ochrony Danych Osobowych – to dedykowana osoba, która dba o bezpieczeństwo i zgodność z prawem przetwarzania danych osobowych w Twojej działalności. Jeśli wyznaczysz IOD-a, zobowiązany jesteś zgłosić ten fakt do Prezesa Urzędu Ochrony Danych Osobowych.

Obowiązek wyznaczenia Inspektora Ochrony Danych Osobowych dotyczy podmiotów, których główna działalność obejmuje przetwarzanie danych wrażliwych na dużą skalę lub regularne i systematyczne monitorowanie osób na dużą skalę. Dane wrażliwe wyjaśniliśmy sobie wyżej, duża skala nie jest prawnie zdefiniowana, ale przyjmuje się, że duża skala jest wtedy, kiedy przetwarzasz dane powyżej 10.000 osób.

W standardowej działalności coacha czy psychologa nie dochodzi do przetwarzania na dużą skalę, powoływanie IOD-a nie jest więc Twoim obowiązkiem, jednak nie ma przeszkód, żebyś taką osobę wyznaczył/a. Choć moim zdaniem – po lekturze tego wpisu oraz zakupie pakietu RODO dostępnego w moim sklepie doskonale sobie poradzisz bez IOD-a 😉

Jakie dane osobowe przetwarza coach / psycholog?

Bez wątpienia w swojej działalności stykasz się z danymi osobowymi, nie jest możliwe świadczenie usług coachingowych czy psychologicznych bez uzyskania danych osobowych. Dane są potrzebne do umówienia wizyty – umawianie następować może online (wówczas dane są gromadzone przez dedykowany program np. calendly), telefonicznie – wówczas wpisujesz imię i nazwisko pacjenta do kalendarza, pewnie także jego numer kontaktowy. Umówienie wizyty może nastąpić przez wysłanie wiadomości e-mail czy formularz kontaktowy na Twojej stronie www – we wszystkich tych kanałach Twój klient/pacjent musi podać minimum danych, tak byś mógł/mogła go wpisać w kalendarz, potwierdzić wizytę czy skontaktować się – to jest przetwarzanie danych osobowych.

Dane, które dostajesz w pierwszej kolejności to dane identyfikacyjne (imię, nazwisko) i dane kontaktowe (nr telefonu, email) te dane przetwarzasz, w celu realizacji umowy – czyli realizacji usługi – sesji psychologicznej czy coachingowej. Tutaj podstawą przetwarzania danych jest realizacja usługi, bez tych danych klient nie umówi się na wizytę. Dane kontaktowe i dane identyfikacyjne stanowią dane zwykłe, jednak jako psycholog czy coach – w celach terapeutycznych i diagnostycznych będziesz potrzebował/ła dodatkowych danych, które pozwolą Ci zrealizować usługę, te dane w dużej mierze będą danymi szczególnej kategorii (tzw. dane wrażliwe) – dane dotyczące zdrowia, schorzeń, przebytego leczenia, traum, itp. Abyś mógł/mogła w ogóle uzyskać takie dane niezbędna jest podstawa prawna, nie będzie tu wystarczająca ww. podstawa w postaci realizacji umowy i świadczenia usług. Tutaj z uwagi na fakt, że masz do czynienia z danymi szczególnej kategorii – czyli danymi szczególnie chronionymi – musisz się legitymować inną podstawą prawną, a tą podstawą będzie zgoda Twojego Klienta. W związku z tym Twój klient powinien w sposób wyraźny udzielić Ci zgody na przetwarzanie przez Ciebie tych danych. Wzór takiej zgody wraz z klauzulą informacyjną stanowi jeden z elementów pakietu RODO, który dla Ciebie przygotowałam i który możesz kupić w moim sklepie.

Jak pobrać zgodę od klienta na przetwarzanie danych wrażliwych w gabinecie coacha / psychologa?

Wiesz już, że przetwarzasz dane zwykłe i dane szczególnej kategorii, wiesz że masz do czynienia z różnymi podstawami prawnymi, które uprawniają Cię do wykonywania jakichkolwiek operacji na tych danych. Wiesz także, że Twoim obowiązkiem jest odebranie zgody na przetwarzanie „danych wrażliwych”.

Jak odebrać taką zgodę?

Jeśli wizyta odbywa się stacjonarnie w gabinecie, najprościej będzie odebrać taką zgodę tuż przed wizytą – dać klientowi oświadczenie o wyrażeniu zgody na przetwarzanie danych osobowych (wraz z klauzulą informacyjną!) poprosić o zapoznanie się i o podpis, a następnie zarchiwizować dokument. Jeśli wizyty realizujesz online – możesz poprosić o przesłanie podpisanego skanu zgody lub umieścić obowiązkowego checkboxa ze zgodą np. w momencie rejestracji na wizytę.

Równie dobrze może to być też e-mail z informacją od klienta o treści: “zapoznałam się z przesłanym dokumentem RODO i wyrażam zgodę na przetwarzanie moich danych osobowych w związku z rozpoczęciem terapii/ sesji etc.” Możliwości masz sporo, ważne że bez tej zgody nie możesz otrzymać danych o zdrowiu, zgoda musi być konkretna, świadoma i dobrowolna. Dodatkowo, musi być wyraźna co w praktyce oznacza, że nie możesz przyjąć, że skoro klient mówi Ci o swoich chorobach/schorzeniach/stanie psychicznym to w sposób dorozumiany zgadza się na przetwarzanie przez Ciebie tych danych.

Jak wdrożyć RODO w działalności coacha / psychologa?

Wdrożenie RODO, to wbrew pozorom nie tylko polityka prywatności na Twojej stronie www, to szereg dokumentów, obowiązków i czynności, które musisz podjąć.

Polityka prywatności to taki dokument, w którym zamieszczone są informacje na temat tego, kto jest Administratorem Danych Osobowych, w jakim celu są przetwarzane dane, na jakiej podstawie, jakie prawa przysługują użytkownikowi, a także informacje związane z wykorzystywanymi plikami cookies. Polityka prywatności jest oczywiście bardzo ważna i musisz ją zamieścić na swojej stronie, jeśli ją prowadzisz. 

Klauzule RODO

Oprócz tego na stronie, w każdym miejscu, w którym zbierasz dane osobowe – typu formularz kontaktu czy kalendarz online – konieczne jest umieszczenie klauzuli informacyjnej. Ważną kwestią są również odpowiednie checkboxy. Przy formularzu kontaktowym nie zbieraj zgody na przetwarzanie danych osobowych, tu nie potrzebujesz jej, ponieważ podstawą przetwarzania jest Twój uzasadniony interes – związany z udzieleniem odpowiedzi na pytanie zadane tą drogą. Dlaczego to jest istotne czy zbierasz zgodę czy nie? Po pierwsze, tam gdzie zgoda jest wymagana nie możesz o niej zapomnieć – tj. w Twojej działalności przy zbieraniu danych dotyczących sytuacji zdrowotnej klienta. Z kolei tam gdzie zgoda nie jest obligatoryjna trzeba zweryfikować inną podstawę prawną, np. ten wspomniany wyżej uzasadniony interes. Ma to jeszcze takie znaczenie, że jeśli podstawę oprzesz o zgodę – to Twój klient może ją zawsze wycofać, natomiast w przypadku oparcia podstawy prawnej przetwarzania o uzasadniony interes możesz przetwarzać dane do utraty ich przydatności i tak długo, dopóki prawa osoby, której dane dotyczą będą miały nadrzędny charakter, wobec uzasadnionego interesu Administratora – czyli Twojego.

To wszystko to jest tzw. warstwa zewnętrzna ta widoczna dla wszystkich. Warstwa ta stanowi jedynie wierzchołek góry lodowej, ale spokojnie – zaraz przejdziemy przez resztę dokumentów RODO potrzebnych w gabinecie psychologa czy coacha.;)

Jakie dokumenty RODO są potrzebne w działalności coacha / psychologa?

Podstawowym dokumentem jest polityka bezpieczeństwa, w której zawrzesz podstawowe informacje dotyczące przetwarzania danych w Twojej firmie, takie jak wskazanie osób odpowiedzialnych za ochronę danych, informacje związanie z udzielaniem upoważnień do przetwarzania danych osobowych czy umów powierzenia przetwarzania przetwarzania danych osobowych, a także instrukcję postępowania w przypadku naruszenia ochrony danych czy informacje dotyczące kontroli przetwarzania danych i stanu zabezpieczeń. To swoista biblia podsumowująca ochronę danych osobowych w Twojej firmie. Idziemy dalej!

Podstawowe dokumenty RODO w gabinecie psychologa/coacha.

RODO jest wbrew pozorom – nie po to, aby uprzykrzyć Ci życie, ale by zwrócić Ci uwagę, że dane osobowe to dobro chronione prawnie, musisz więc przede wszystkim dobrze zlokalizować i nazwać wszystkie procesy zachodzące w Twojej firmie, które wiążą się ze wszelkimi operacjami wykonywanymi na danych osobowych. Te wszystkie procesy wskazujesz i opisujesz w specjalnym rejestrze o nazwie Rejestr Czynności Przetwarzania.

W celu identyfikacji zagrożeń, które czyhać mogą na dane osobowe w obszarze związanym z Twoją działalnością – zrób Analizę zagrożeń i ryzyka, na podstawie której opracujesz dokument pod nazwą „Środki bezpieczeństwa”.

W Twojej działalności na pewno korzystasz z systemów informatycznych, z komputerów i innych urządzeń, dane są więc przetwarzane w formie cyfrowej, w tym celu warto, żebyś wprowadził/ła „Instrukcję zarządzania systemem informatycznym”, w której wskażesz jak bezpiecznie przetwarzać dane osobowe w systemach, które są specyficznym środowiskiem do przetwarzania danych osobowych.

Umowa powierzenia danych osobowych w gabinecie psychologa/coacha.

Twoja działalność coacha / psychologa nie może być realizowana bez podwykonawców, którym są na pewno m.in.: biuro księgowe czy hostingodawca. Twoje zadanie to namierzenie wszystkich takich podmiotów, z którymi współpracujesz, a które otrzymują dostęp do danych osobowych, których jesteś Administratorem. Podmioty takie należy ująć na liście „Wykaz powierzeń danych osobowych” oraz zweryfikować czy zawarłeś/łaś odpowiednie umowy powierzenia. Jeśli jeszcze tego nie zrobiłaś, to czym prędzej tego dokonaj! Wzór wszystkich dokumentów, o których piszę w tym artykule znajdziesz w moim pakiecie RODO dla coacha/ psychologa.

Superwizja a dane osobowe.

W przypadku superwizji należy zweryfikować, czy superwizor otrzymuje wgląd do jakichkolwiek danych osobowych – jeśli tak, konieczne będzie zawarcie z superwizorem umowy powierzenia oraz poinformowanie klientów, że dane są powierzane do przetwarzania superwizorowi i w jakim celu to powierzenie następuje.

W przypadku, kiedy z superwizorem omawiasz jedynie dane przypadki, bez podawania danych osobowych, gdy nie ma on dostępu do żadnej dokumentacji zawierającej dane osobowe Twoich klientów- nie dochodzi do powierzenia przetwarzania danych osobowych. Nie masz zatem obowiązku zawierania umowy powierzenia oraz nie musisz informować w klauzuli informacyjnej o powierzaniu danych superwizorowi. 

Szkolenie rozwojowe dla zewnętrznej firmy a dane osobowe.

Jesteś także zobowiązana/y prowadzić rejestr kategorii przetwarzania, jeśli zawarła/eś umowę powierzenia przetwarzania danych osobowych w roli podmiotu przetwarzającego. Jednym słowem przetwarzasz dane osobowe, ale nie dla własnych celów, tylko dla celów innego administratora. Na przykład przychodzi do Ciebie firma X i zleca Tobie, że masz przeprowadzić konkretną sesję coachingową dla pracowników firmy X. Czyli realizujesz konkretne zlecenie firmy X to informacje o tym zawierasz właśnie w tym rejestrze.

Pracownicy w praktyce psychologicznej / coachingowej a dane osobowe.

Podejrzewam, że w działalności coacha czy psychologa trudno jest robić wszystko samemu, działalność się rozrasta, jest co raz więcej klientów, potrzebujesz więc wsparcia – Twoim wsparciem są pracownicy/współpracownicy. Tu też masz obowiązki związane z RODO. Przede wszystkim te osoby, aby mogły robić jakiekolwiek czynności związane z danymi osobowymi muszą mieć do tego podstawę prawną. W przypadku pracowników będą to upoważnienia do przetwarzania danych, w przypadku osób na b2b czy zleceniobiorców zasadniczo będą to odpowiednie umowy powierzenia przetwarzania danych osobowych. Oprócz tego musisz mieć realną kontrolę nad tym, kto do jakich danych ma dostęp – do tego służy dokument Ewidencja osób upoważnionych do przetwarzania danych osobowych.

Kolejną istotną kwestią w przypadku pracowników jest obowiązek zapoznania ich z obowiązującymi zasadami przetwarzania danych osobowych w Twojej firmie, a także regularne ich szkolenie i podnoszenie świadomości prawnej z zakresu ochrony danych osobowych.

Jako świadomy przedsiębiorca musisz wiedzieć, że każdy czyjego dane przetwarzasz ma prawo zgłosić do Ciebie żądania, które zgodnie z RODO mu przysługują.

Jakie uprawnienia RODO ma pacjent w gabinecie psychologa / coacha?

Każda osoba, której dane przetwarzasz ma prawo złożyć żądania poniżej wskazane. Jeśli klient zgłosi się z wnioskiem o sprostowanie jego danych, musisz spełnić jego żądanie, jeśli natomiast zgłosi się i żąda usunięcia jego danych osobowych, nie możesz tego zrobić. Dlaczego? Jego dane są konieczne do realizacji umowy, która została między Wami zawarta. Musisz też posiadać dane klienta ze względów podatkowo – księgowych. Jeśli natomiast wysyłasz do klienta Newsletter, po zgłoszeniu żądania usunięcia danych powinno dojść do usunięcia jego danych z bazy mailingowej. Osoby, których dane przetwarzasz mają prawo do:

• dostępu do danych osobowych i otrzymania ich kopii,
• sprostowania (poprawiania) danych,
• usunięcia danych,
• ograniczenia przetwarzania danych ,
• przeniesienia danych.,
• wniesienia sprzeciwu, co do przetwarzania ich danych osobowych,
• cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania (jeżeli przetwarzanie odbywa się na podstawie zgody).

Powyższa prawa mogą być realizowane poprzez złożenie odpowiedniej treści żądania w formie pisemnej, bądź elektronicznej (np. poprzez wiadomość e-mail).

Musisz zapanować nad tymi prawami i ewentualnymi żądaniami i odnotowywać je w dedykowanym rejestrze zgłoszonych żądań. W moim pakiecie przygotowałam dla Ciebie informację dotyczącą realizacji uprawnień oraz wzór zawiadomienia o czynnościach podjętych w związku z żądaniem, a także udostępniam Ci wzór protokołu usunięcia danych osobowych.

Co istotne osoba, której dane przetwarzasz ma zawsze prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna, iż przetwarzanie jej danych osobowych narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.

Co zrobić jeśli dojdzie do naruszenia danych osobowych w gabinecie coacha / psychologa?

Nawet najlepsze procedury i zabezpieczenia nie są w stanie zagwarantować pełnej skuteczności w ochronie danych osobowych. Zawsze musisz się liczyć z tym, że do naruszenia danych osobowych w Twojej firmie może dojść, musisz być na to gotowa/y. Najważniejszą kwestią jest analiza czy dany incydent podlega zgłoszeniu do Prezesa Urzędu Ochrony Danych Osobowych (tu liczy się czas masz na to tylko 72 h od momentu wykrycia naruszenia). W przypadku naruszenia ochrony danych – musisz ten fakt odnotować w Rejestrze naruszeń danych osobowych oraz poinformować daną osobę o tym fakcie.

Jak często trzeba aktualizować dokumenty RODO?

Wdrożenie RODO to nie jest sprawa, którą zrobisz raz i możesz o niej zapomnieć, o ochronę danych musisz dbać cały czas prowadząc działalność, żeby nic Ci nie umknęło polecam raz w roku zweryfikować wdrożone procedury oraz dokumentację, a z weryfikacji sporządzić Raport z aktualizacji dokumentacji.

Dokumentacja RODO dla psychologa / coacha / terapeuty / trenera / mentora.

Ochrona danych osobowych jest to temat o którym nie powinieneś/nie powinnaś zapominać ani go lekceważyć. Odpowiednio wdrożone procedury zapewniają spokój w prowadzonej działalności, podnoszą rangę świadczonych przez Ciebie usług, a także pozwolą uniknąć kar za naruszenie ochrony danych osobowych. Twoi klienci powierzają Ci często najdelikatniejsze sprawy osobiste, powinni mieć do Ciebie pełne zaufanie, że te dane nie dostaną się w niepowołane ręce, dlatego inwestycja w porządne oprogramowanie, w zamykane szafki, w aktualizacje systemów, to są kwestie, które powinny być dla Ciebie priorytetem. A do tego oczywiście odpowiednio wdrożone procedury, odpowiednio przeszkoleni pracownicy i odpowiednio przygotowana dokumentacja. W moim pakiecie znajdziesz aż 26 dokumentów:

1. Dokument wstępny – o co chodzi z RODO,
2. Zgoda na przetwarzanie danych szczególnej kategorii z klauzulą informacyjną.
3. Analiza zagrożeń i ryzyka,
4. Środki bezpieczeństwa,
5. Dekalog ochrony danych osobowych,
6. Polityka bezpieczeństwa,
7. Instrukcja zarządzania systemem informatycznym,
8. Ocena skutków dla ochrony danych osobowych,
9. Procedura szkoleń,
10. Dokumenty z corocznej aktualizacji RODO,
11. Klauzule informacyjne do maili, umów, kontaktów telefonicznych, uczestników konkursu, uczestników procesu rekrutacyjnego,
12. Ewidencja osób upoważnionych do przetwarzania,
13. Umowa powierzenia przetwarzania danych osobowych,
14. Upoważnienia do przetwarzania danych osobowych,
15. Wykaz powierzeń,
16. Ogólne informacje w sprawie realizacji uprawnień osób przetwarzanych,
17. Rejestr realizacji praw podmiotów danych,
18. Protokół usunięcia danych,
19. Rejestr czynności przetwarzania,
20. Rejestr kategorii przetwarzania,
21. Rejestr naruszeń danych osobowych,
22. Wzór zawiadomienia o naruszeniu,
23. Zawiadomienie o czynnościach podjętych w związku z naruszeniem (wzór),
24. Checklista wdrożenia RODO krok po kroku,
25. Polityka prywatności i plików cookies,
26. Klauzule RODO dla strony www.

Prawda, że brzmi trochę przerażająco? Zwłaszcza ta ilość różnych dokumentów, ale nic się nie martw! Wszystkie opisane wyżej dokumenty znajdują się w dedykowanym specjalnie dla Ciebie pakiecie RODO. Każdy dokument ma wstęp wyjaśniający i dodatkowo opatrzony jest komentarzami nawigującymi.

Jakie RODO-obowiązki ciążą na psychologu / coachu? Podsumowanie.

Jako Administrator Danych Osobowych, będący jednocześnie coachem czy psychologiem musisz zwrócić szczególną uwagę na ochronę danych osobowych, które Twój klient Tobie powierza. Przede wszystkim istotne jest spełnienie wszelkich wymagań formalnych, najważniejsze w Twojej działalności jest odebranie zgody na przetwarzanie danych szczególnej kategorii czyli tzw. danych wrażliwych. Poza tym spełnianie obowiązków informacyjnych w każdym przypadku, gdy pobierasz od kogoś dane osobowe. Jako świadomy przedsiębiorca musisz zadbać o odpowiednie umowy powierzenia przetwarzania danych osobowych z podwykonawcami. Pierwszym miejscem, w którym widać czy jesteś zgodny z RODO jest oczywiście Twoja strona internetowa, a także wiadomości e-mail które wysyłasz. Warto by do stopki wiadomości e-mail dodać już na stałe odpowiednią klauzulę informacyjną.

Jeśli jesteś przerażona/y tym co czytasz, to spokojnie, to normalne. Gwarantuję Ci, że ten strach opadnie, jak tylko zaczniesz działać. Jedyne co polecam, to danie sobie czasu na temat RODO w Twoim gabinecie. Nie planuj jednego dnia w kalendarzu na RODO, rozłóż ten proces na tydzień, nawet dwa. Wtedy unikniesz przytłoczenia.:) Życzę powodzenia!

---

1. „RODO w praktyce coacha: Krok po kroku przewodnik po zgodności z przepisami RODO”