RODO dietetyk: orzecznictwo i linia sądowa w praktyce prawnej

W dobie intensywnego rozwoju usług związanych ze zdrowym stylem życia, dietetyka stała się jedną z kluczowych gałęzi sektora usług prozdrowotnych. Gabinety dietetyczne, niezależnie od tego, czy działają w formie indywidualnych praktyk, czy jako duże centra medyczno-dietetyczne, codziennie przetwarzają ogromne ilości informacji o swoich pacjentach. W świetle Ogólnego Rozporządzenia o Ochronie Danych (RODO), dane te nie są zwykłymi danymi kontaktowymi. Informacje o masie ciała, alergiach, chorobach współistniejących, wynikach badań laboratoryjnych czy preferencjach żywieniowych stanowią dane dotyczące zdrowia. Są to dane szczególnej kategorii, potocznie nazywane danymi wrażliwymi. Ich przetwarzanie wiąże się z rygorystycznymi wymogami prawnymi, a ewentualne uchybienia mogą skutkować dotkliwymi karami finansowymi nakładanymi przez organ nadzorczy, a także roszczeniami odszkodowawczymi ze strony pacjentów. Niniejsza analiza ma na celu przybliżenie kluczowych aspektów prawnych, obowiązków oraz linii orzeczniczej sądów i decyzji Prezesa Urzędu Ochrony Danych Osobowych w kontekście pracy dietetyka.

Status prawny dietetyka jako administratora danych osobowych

Pierwszym krokiem do zrozumienia obowiązków wynikających z RODO jest prawidłowe zdefiniowanie roli, jaką dietetyk odgrywa w procesie przetwarzania danych. W zdecydowanej większości przypadków dietetyk prowadzący własny gabinet (zarówno w formie jednoosobowej działalności gospodarczej, jak i spółki) jest administratorem danych osobowych (ADO). Oznacza to, że samodzielnie decyduje o celach i sposobach przetwarzania danych swoich pacjentów. Status ten nakłada na niego pełną odpowiedzialność za bezpieczeństwo tych informacji od momentu ich pozyskania, aż do ich trwałego usunięcia.

Sytuacja wygląda inaczej, gdy dietetyk jest zatrudniony w placówce medycznej, klinice lub klubie fitness na podstawie umowy o pracę. Wówczas administratorem danych jest podmiot zatrudniający (np. szpital, przychodnia, spółka prowadząca klub), a dietetyk działa jako osoba upoważniona do przetwarzania danych w imieniu administratora. W przypadku współpracy na kontraktach B2B (samozatrudnienie), kluczowe jest precyzyjne określenie w umowie łączącej strony, kto jest administratorem, a kto podmiotem przetwarzającym (procesorem), bądź czy mamy do czynienia ze współadministrowaniem. Praktyka orzecznicza wskazuje, że brak jasnych uregulowań umownych w tym zakresie jest jednym z pierwszych uchybień wykrywanych podczas kontroli przeprowadzanych przez organ nadzorczy.

Szczególna kategoria danych – wyzwanie w gabinecie dietetycznym

Zgodnie z art. 9 ust. 1 RODO, zabrania się przetwarzania danych osobowych ujawniających m.in. stan zdrowia. Zakaz ten ma jednak charakter względny, a art. 9 ust. 2 RODO przewiduje szereg wyjątków (przesłanek legalizujących), które umożliwiają przetwarzanie takich danych. Dla dietetyka kluczowe znaczenie mają dwie przesłanki: wyraźna zgoda osoby, której dane dotyczą (art. 9 ust. 2 lit. a RODO) oraz profilaktyka zdrowotna lub medycyna pracy (art. 9 ust. 2 lit. h RODO). Pacjent musi świadomie, dobrowolnie i jednoznacznie wyrazić zgodę na przetwarzanie jego danych dotyczących zdrowia w celu przygotowania planu żywieniowego lub prowadzenia terapii dietetycznej.

Warto zauważyć, że status zawodowy dietetyka w Polsce wciąż ewoluuje. Ustawa o niektórych zawodach medycznych, która weszła w życie w 2024 roku, włączyła dietetyków do grona ustawowo regulowanych zawodów medycznych. Fakt ten ma fundamentalne znaczenie dla interpretacji przepisów RODO. Dietetyk medyczny może obecnie w szerszym zakresie powoływać się na przesłankę udzielania świadczeń zdrowotnych i prowadzenia dokumentacji medycznej, co wpływa na strukturę obowiązków prawnych oraz okres przechowywania danych.

Zasada minimalizacji danych w pracy dietetyka

Jedną z fundamentalnych zasad RODO jest zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO). Zgodnie z nią, dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. W kontekście gabinetu dietetycznego oznacza to, że dietetyk nie powinien zbierać od pacjenta informacji, które nie mają żadnego wpływu na proces planowania żywienia lub terapii dietetycznej. Przykładowo, żądanie szczegółowych informacji o historii zatrudnienia pacjenta czy jego poglądach politycznych byłoby rażącym naruszeniem tej zasady. Z kolei zbieranie danych o nawykach żywieniowych, poziomie aktywności fizycznej czy alergiach jest w pełni uzasadnione celem, jakim jest ułożenie zindywidualizowanej diety. Sądowa linia orzecznicza wielokrotnie potwierdzała, że nadmiarowe zbieranie danych, zwłaszcza danych wrażliwych, jest traktowane przez organ nadzorczy jako poważne uchybienie, które może skutkować nakazem usunięcia nielegalnie pozyskanych informacji oraz nałożeniem sankcji administracyjnych.

Kluczowe obowiązki dietetyka w świetle przepisów RODO

Aby gabinet dietetyczny działał zgodnie z prawem, niezbędne jest wdrożenie odpowiednich środków technicznych i organizacyjnych. Do podstawowych obowiązków administratora należą:

Spełnienie obowiązku informacyjnego (art. 13 RODO) – każdy pacjent, najpóźniej w momencie zbierania danych (np. podczas pierwszej wizyty lub rejestracji online), musi otrzymać kompletną informację o tym, kto jest administratorem jego danych, w jakim celu i na jakiej podstawie prawnej są one przetwarzane, komu mogą być przekazywane, jak długo będą przechowywane oraz jakie prawa mu przysługują.
Prowadzenie rejestru czynności przetwarzania (RCP) – choć RODO przewiduje zwolnienie z tego obowiązku dla podmiotów zatrudniających poniżej 250 osób, zwolnienie to nie dotyczy podmiotów, które przetwarzają dane szczególnej kategorii (dane o zdrowiu) w sposób systematyczny. Dietetyk musi zatem taki rejestr posiadać i regularnie go aktualizować.
Zawieranie umów powierzenia przetwarzania danych (art. 28 RODO) – dietetycy korzystają z zewnętrznych narzędzi: programów do układania diet, systemów do rezerwacji wizyt online, hostingu poczty elektronicznej czy zewnętrznych usług księgowych. W każdym z tych przypadków dochodzi do powierzenia danych, co wymaga podpisania pisemnej umowy powierzenia z dostawcą usługi.
Zapewnienie bezpieczeństwa danych – wdrożenie haseł dostępu, szyfrowania dysków w komputerach i telefonach, zabezpieczenie szaf z dokumentacją papierową oraz unikanie przesyłania niezabezpieczonych planów dietetycznych drogą mailową.

Okres przechowywania danych (retencja)

Kolejnym wyzwaniem dla dietetyków jest określenie, jak długo mogą przechowywać dane swoich pacjentów. RODO nie wskazuje konkretnych terminów, odsyłając w tym zakresie do przepisów krajowych lub zasady ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO). Zgodnie z nią, dane mogą być przechowywane nie dłużej, niż jest to niezbędne do celów, w których są przetwarzane. W przypadku dietetyków posiadających status zawodu medycznego, zastosowanie znajdują przepisy o prawach pacjenta i Rzeczniku Praw Pacjenta, które nakazują przechowywanie dokumentacji medycznej co do zasady przez okres 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu. Jeśli jednak dietetyk nie prowadzi działalności jako podmiot wykonujący działalność leczniczą, okres ten powinien być dostosowany do celów umownych oraz okresu przedawnienia potencjalnych roszczeń cywilnoprawnych (co do zasady 6 lat). Po upływie tego terminu dane muszą zostać nieodwracalnie zanonimizowane lub trwale usunięte.

Analiza linii orzeczniczej sądów administracyjnych i decyzji Prezesa UODO

Analiza spraw rozstrzyganych przez Wojewódzkie Sądy Administracyjne oraz Naczelny Sąd Administracyjny pozwala wyciągnąć wnioski dotyczące najczęstszych problemów interpretacyjnych oraz błędów popełnianych przez administratorów przetwarzających dane o zdrowiu. Choć wiele spraw dotyczy bezpośrednio przychodni lekarskich czy szpitali, wypracowane w nich zasady mają bezpośrednie zastosowanie do gabinetów dietetycznych ze względu na tożsamy charakter przetwarzanych danych.

Jednym z kluczowych zagadnień w orzecznictwie jest kwestia odpowiedniego zabezpieczenia danych przesyłanych drogą elektroniczną. W wyrokach sądów administracyjnych wielokrotnie podkreślano, że przesyłanie wrażliwych danych osobowych (w tym jadłospisów zawierających szczegółowe informacje o jednostkach chorobowych pacjenta) otwartym tekstem za pośrednictwem standardowej poczty e-mail bez dodatkowych zabezpieczeń stanowi naruszenie zasady poufności i integralności danych. Sądy wskazują, że administrator ma obowiązek oszacować ryzyko i dobrać takie metody transmisji, które uniemożliwią osobom nieuprawnionym przechwycenie tych informacji. Dla dietetyka oznacza to konieczność stosowania bezpiecznych portali pacjenta lub przynajmniej zabezpieczania załączników hasłem.

Kolejnym istotnym aspektem poruszanym w orzecznictwie jest realizacja praw osób, których dane dotyczą, w szczególności prawa do dostępu do danych oraz prawa do ich usunięcia (bycia zapomnianym). Organ nadzorczy rygorystycznie podchodzi do sytuacji, w których administratorzy ignorują wnioski pacjentów lub zwlekają z ich realizacją. W wyrokach sądowych podkreśla się, że pacjent ma prawo wiedzieć, jakie dokładnie informacje na jego temat są przetwarzane, a odmowa udostępnienia kopii danych (np. historii pomiarów antropometrycznych czy wywiadu zdrowotnego) może zostać uznana za rażące naruszenie przepisów. Jednocześnie sądy precyzują, że prawo do bycia zapomnianym nie ma charakteru absolutnego. Jeśli przepisy prawa nakazują przechowywanie określonych dokumentów przez wskazany termin, dietetyk ma nie tylko prawo, ale i obowiązek odmówić usunięcia danych w tym zakresie, o czym musi jednak poinformować wnioskodawcę w ustawowym terminie.

Realizacja praw pacjenta: Wniosek, obowiązek i termin

Każdy pacjent gabibetu dietetycznego posiada szereg uprawnień, których realizacja spoczywa na barkach dietetyka. Gdy pacjent składa wniosek (np. o udostępnienie kopii danych, sprostowanie informacji lub ich usunięcie), na administratorze ciąży bezwzględny obowiązek udzielenia odpowiedzi. Kluczowym czynnikiem jest tutaj termin. Zgodnie z art. 12 ust. 3 RODO, dietetyk musi udzielić informacji o działaniach podjętych w związku z wnioskiem bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, jednak pacjent musi zostać o tym uprzedzony w ciągu pierwszego miesiąca wraz z podaniem przyczyn opóźnienia.

Brak odpowiedzi na wniosek w terminie lub nieuzasadniona odmowa jego realizacji stanowi bezpośrednią podstawę dla pacjenta do złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Organ nadzorczy po przeprowadzeniu postępowania może nakazać administratorowi spełnienie żądania, a także nałożyć administracyjną karę pieniężną za nieprzestrzeganie praw osób, których dane dotyczą.

Najczęstsze błędy i ryzyka w gabinetach dietetycznych

W praktyce doradztwa prawnego dla dietetyków najczęściej identyfikuje się następujące uchybienia:

Brak rzetelnych umów powierzenia – korzystanie z darmowych, nieprofesjonalnych programów do układania diet bez weryfikacji, czy ich dostawcy gwarantują zgodność z RODO i czy oferują podpisanie umowy powierzenia.
Niewłaściwe zbieranie zgód – stosowanie tzw. zgód blankietowych (jedna zgoda na wszystko: na dietoterapię, marketing, wysyłanie newslettera i udostępnianie wizerunku przed/po). Każdy cel przetwarzania wymaga osobnej, dobrowolnej zgody.
Udostępnianie efektów metamorfoz bez zgody – publikowanie w mediach społecznościowych zdjęć sylwetek pacjentów (nawet z zasłoniętą twarzą) wraz z opisem ich problemów zdrowotnych bez wyraźnej, pisemnej zgody na taki cel marketingowy. Jeśli pacjent może zostać zidentyfikowany przez znajomych na podstawie charakterystycznych cech, stanowi to poważne naruszenie RODO.
Brak procedur na wypadek incydentu – brak wiedzy, jak postąpić w przypadku zgubienia nośnika z danymi pacjentów lub wysłania maila do niewłaściwego adresata.

Praktyczny przykład (Case Study)

Wyobraźmy sobie sytuację, w której dietetyk, pani Anna, przygotowała szczegółowy plan dietetyczny dla pacjenta chorującego na cukrzycę typu II oraz hashimoto. Plan ten zawierał pełne dane osobowe pacjenta oraz szczegółowy opis jego stanu zdrowia i zaleconą suplementację. Na skutek pomyłki w adresie e-mail, pani Anna wysłała ten dokument do zupełnie obcej osoby o podobnym nazwisku.

W tej sytuacji doszło do naruszenia poufności danych osobowych szczególnej kategorii. Jak powinna zareagować pani Anna, aby postąpić zgodnie z RODO i zminimalizować ryzyko nałożenia kary przez organ nadzorczy?

Krok 1: Natychmiast po zorientowaniu się o błędzie, pani Anna powinna wysłać wiadomość do błędnego odbiorcy z prośbą o trwałe usunięcie wiadomości i załącznika oraz o potwierdzenie tego faktu.

Krok 2: Dokonanie wewnętrznej analizy ryzyka naruszenia praw lub wolności osoby fizycznej. Ponieważ wyciekły dane o zdrowiu (dane wrażliwe), ryzyko to jest wysokie.

Krok 3: Zgłoszenie naruszenia do Prezesa UODO. Dietetyk jako administrator ma na to maksymalnie 72 godziny od momentu wykrycia incydentu. Zgłoszenie dokonuje się elektronicznie przez dedykowany formularz.

Krok 4: Zawiadomienie pacjenta, którego dane dotyczą. Ponieważ ryzyko naruszenia jego praw jest wysokie, pani Anna musi niezwłocznie poinformować pacjenta o wycieku, opisać charakter naruszenia, możliwe konsekwencje oraz wskazać środki zaradcze i dane kontaktowe do siebie.

Krok 5: Odnotowanie incydentu w wewnętrznym rejestrze naruszeń, który każdy administrator ma obowiązek prowadzić.

Dzięki szybkiemu i transparentnemu działaniu, pani Anna spełniła obowiązki nałożone przez RODO. Choć incydent miał miejsce, organ nadzorczy przy ocenie sprawy bierze pod uwagę postawę administratora, wdrożone środki naprawcze i szybkość reakcji, co drastycznie zmniejsza prawdopodobieństwo nałożenia kary finansowej.

Podsumowanie i rekomendacje dla praktyków

Prowadzenie gabinetu dietetycznego w sposób zgodny z RODO wymaga zrozumienia, że ochrona danych osobowych to nie tylko formalność papierowa, ale przede wszystkim realne bezpieczeństwo pacjentów. Linia orzecznicza sądów administracyjnych jasno wskazuje, że podmioty przetwarzające dane o zdrowiu muszą wykazać się szczególną starannością. Kluczem do sukcesu jest wdrożenie odpowiednich procedur, regularne szkolenie personelu, rzetelne reagowanie na wnioski pacjentów w ustawowych terminach oraz dbanie o to, by wszelkie narzędzia informatyczne używane w codziennej pracy spełniały najwyższe standardy bezpieczeństwa. Inwestycja w audyt RODO i profesjonalne wdrożenie procedur chroni dietetyka nie tylko przed karami ze strony organu nadzorczego, ale również buduje zaufanie i profesjonalny wizerunek w oczach pacjentów.