RODO dla fizjoterapeuty — dokumentacja zgodna z prawem w kilka minut

Prowadzisz gabinet fizjoterapii — sam albo z małym zespołem. Leczysz ludzi, prowadzisz dokumentację, umawiasz wizyty. A gdzieś z tyłu głowy siedzi pytanie: „czy moje RODO jest w porządku, czy tylko mam nadzieję, że jest?". Ta strona odpowiada na to pytanie konkretnie — i pokazuje, jak doprowadzić dokumentację do porządku bez kupowania trzydniowego szkolenia ani wynajmowania kancelarii na etat.

Zacznijmy od rzeczy, której wielu fizjoterapeutów nie ma poukładanej w głowie: z punktu widzenia prawa nie jesteś „zwykłą firmą usługową".

Twoja praktyka to podmiot wykonujący działalność leczniczą

Fizjoterapeuta, który prowadzi własną działalność, robi to najczęściej jako praktyka zawodowa fizjoterapeutyczna — indywidualna lub grupowa — wpisana do rejestru praktyk zawodowych prowadzonego przez Krajową Izbę Fizjoterapeutów. Możliwość prowadzenia takich praktyk wprowadziła nowelizacja przepisów o działalności leczniczej, a sam zawód reguluje ustawa z 25 września 2015 r. o zawodzie fizjoterapeuty. W rozumieniu ustawy o działalności leczniczej praktyka zawodowa jest podmiotem wykonującym działalność leczniczą.

Co to oznacza praktycznie? Że przepisy traktują Cię tak samo jak gabinet lekarski czy stomatologiczny — z całym pakietem obowiązków wokół danych pacjenta i dokumentacji medycznej. To nie jest „RODO jak w sklepie z butami". To RODO w wersji medycznej, gdzie stawka jest wyższa, bo przetwarzasz najbardziej wrażliwe dane, jakie istnieją.

Dane o zdrowiu pacjenta — szczególna kategoria danych

Wywiad, opis dolegliwości, plan terapii, postępy, zdjęcia postawy, notatki z badania funkcjonalnego — to wszystko są dane dotyczące zdrowia, czyli szczególna kategoria danych z art. 9 RODO. Ich przetwarzanie jest co do zasady zabronione, chyba że masz wyraźną podstawę z art. 9 ust. 2.

Dla gabinetu fizjoterapii tą podstawą jest najczęściej art. 9 ust. 2 lit. h RODO — przetwarzanie do celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej oraz leczenia. Co ważne: ta podstawa działa łącznie z art. 9 ust. 3, czyli pod warunkiem zachowania tajemnicy zawodowej. Innymi słowy — prawo daje Ci legalną drogę do pracy z danymi pacjenta, ale dokumenty RODO muszą tę drogę poprawnie nazwać. Nie wystarczy „zgoda pacjenta" wpisana na zapas, bo przy leczeniu zgoda zwykle nie jest właściwą podstawą.

Dokumentacja medyczna i jej przechowywanie — 20 lat

Jako podmiot leczniczy masz obowiązek prowadzenia dokumentacji medycznej pacjenta i jej przechowywania. Zasada główna z ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta: 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu.

Od tego są wyjątki, o których warto wiedzieć:

• dokumentacja dziecka do ukończenia 2. roku życia — przechowywana 22 lata (art. 29 ust. 1 ustawy o prawach pacjenta),
• w razie zgonu pacjenta wskutek uszkodzenia ciała lub zatrucia — 30 lat od końca roku, w którym nastąpił zgon.

Po upływie okresu przechowywania dokumentację trzeba trwale zniszczyć tak, by uniemożliwić identyfikację pacjenta. RODO nakłada na to dodatkową warstwę: zasadę ograniczenia przechowywania i bezpieczeństwa danych przez cały ten czas. Twoja polityka ochrony danych powinna jasno opisywać te terminy i sposób niszczenia — to jeden z pierwszych punktów, które sprawdza się przy kontroli.

Czego naprawdę potrzebujesz — i czego (raczej) nie

Rejestr czynności przetwarzania (RCP) — tak, obowiązkowy. Zwolnienie dla małych podmiotów z art. 30 ust. 5 RODO nie obejmuje sytuacji, w której przetwarzasz dane o zdrowiu w sposób stały (a tak właśnie robi gabinet). Czyli nawet jednoosobowa praktyka prowadzi RCP. To dokument, który najczęściej w gabinetach po prostu nie istnieje — a powinien.

Inspektor Ochrony Danych (IOD) — zwykle nie musisz go powoływać, jeśli prowadzisz praktykę solo lub w małej skali. Obowiązek z art. 37 ust. 1 lit. c RODO dotyczy przetwarzania szczególnych kategorii danych na dużą skalę, a motyw 91 RODO wprost wskazuje, że działalność pojedynczego pracownika służby zdrowia co do zasady nie jest przetwarzaniem na dużą skalę. W praktyce granica „dużej skali" jest ocenna, więc większy, wieloosobowy ośrodek z dużym wolumenem pacjentów zwykle warto przeanalizować indywidualnie.

Umowy powierzenia (art. 28 RODO) — tu fizjoterapeuci najczęściej mają lukę. Powierzasz dane pacjentów za każdym razem, gdy korzystasz z:

• systemu do prowadzenia gabinetu / dokumentacji w chmurze,
• modułu rejestracji online i przypomnień SMS/e-mail,
• zewnętrznej księgowości czy biura rachunkowego,
• hostingu, poczty, narzędzi do tworzenia kopii zapasowych.

Z każdym z tych dostawców powinna Cię łączyć umowa powierzenia. Brak takiej umowy to klasyczny błąd, który wychodzi dopiero przy kontroli albo skardze pacjenta.

Wymiana danych z lekarzem kierującym

Fizjoterapia rzadko działa w próżni. Pacjent przychodzi ze skierowaniem od ortopedy, neurologa, lekarza POZ — a Ty czasem odsyłasz informację zwrotną o przebiegu terapii. To wymiana danych o zdrowiu między dwoma odrębnymi administratorami, każdy działa na własnej podstawie z art. 9 ust. 2 lit. h. Twoje dokumenty (klauzule informacyjne, polityka, RCP) powinny tę wymianę uwzględniać: kto, komu, w jakim zakresie i na jakiej podstawie przekazuje dane. Tego prawie nigdy nie ma w gotowcach „RODO uniwersalne ze sklepu internetowego", bo te nie wiedzą, że jesteś podmiotem leczniczym.

Jak to ogarnąć bez utopienia weekendu

Masz trzy drogi:

1. Zostawić jak jest — czyli liczyć, że kontrola Cię ominie, a żaden pacjent się nie poskarży. Tanio dziś, drogo potencjalnie.
2. Kancelaria od zera — solidnie, ale kosztuje kilka tysięcy złotych i tygodnie korespondencji, a dla gabinetu solo to często armata na komara.
3. moje-rodo.pl — komplet dokumentów dopasowanych do profilu „gabinet fizjoterapii", przygotowany na podstawie treści napisanej przez prawnika, gotowy w kilka minut.

Wypełniasz krótki formularz o swojej praktyce (forma działalności, czy masz rejestrację online, z jakich systemów korzystasz, czy współpracujesz z lekarzami). Na tej podstawie system składa komplet dokumentów RODO dopasowanych do fizjoterapii: politykę ochrony danych, klauzule informacyjne dla pacjentów, rejestr czynności przetwarzania, wzory umów powierzenia, upoważnienia, analizę ryzyka i ewidencje. Treść merytoryczną przygotował prawnik.

A potem to żyje. Zmienisz system do gabinetu, dojdzie nowy podwykonawca, zmienią się przepisy — aktualizujesz dane i pobierasz nową wersję dokumentów. Nie zostajesz z teczką PDF-ów, które za rok są nieaktualne.

Najlepszy pierwszy krok nic nie kosztuje: zrób bezpłatny audyt gotowości RODO dla swojego gabinetu. W kilka minut zobaczysz, gdzie masz luki i co konkretnie domknąć — bez zobowiązań. Dopiero jeśli zechcesz złożyć komplet dokumentów, jest to od 999 zł za komplet, a abonament za żywy system i aktualizacje od 199 zł/mc.

➡️ Sprawdź swoją gotowość — zrób bezpłatny audyt RODO dla gabinetu fizjoterapii. → moje-rodo.pl

Najczęstsze pytania

Czy fizjoterapeuta prowadzący jednoosobowy gabinet w ogóle podlega RODO? Tak. Praktyka zawodowa fizjoterapeutyczna jest podmiotem wykonującym działalność leczniczą i przetwarza dane o zdrowiu pacjentów (szczególna kategoria danych z art. 9 RODO). RODO obowiązuje niezależnie od wielkości gabinetu — różni się tylko zakres niektórych obowiązków.

Czy muszę powołać Inspektora Ochrony Danych (IOD)? Zwykle nie, jeśli prowadzisz praktykę solo lub w małej skali. Motyw 91 RODO wskazuje, że działalność pojedynczego pracownika ochrony zdrowia co do zasady nie jest przetwarzaniem „na dużą skalę", które wymusza powołanie IOD. Przy większym, wieloosobowym ośrodku warto to ocenić indywidualnie.

Jak długo muszę przechowywać dokumentację pacjenta? Zasada główna to 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu. Są wyjątki — m.in. 30 lat w razie zgonu wskutek uszkodzenia ciała lub zatrucia oraz dłuższy termin dla dokumentacji małych dzieci.

Czy potrzebuję umowy z firmą obsługującą rejestrację online? Tak. Dostawca systemu rejestracji online przetwarza dane Twoich pacjentów w Twoim imieniu, więc powinna Cię z nim łączyć umowa powierzenia przetwarzania (art. 28 RODO). To samo dotyczy systemu do gabinetu, hostingu czy biura rachunkowego.

Na jakiej podstawie wymieniam dane z lekarzem kierującym pacjenta? Zarówno Ty, jak i lekarz działacie jako odrębni administratorzy, najczęściej na podstawie art. 9 ust. 2 lit. h RODO (cele zdrowotne, opieka i leczenie) przy zachowaniu tajemnicy zawodowej. Dokumenty RODO gabinetu powinny tę wymianę opisywać.

Czy dokumenty z moje-rodo.pl wystarczą do kontroli? Dostajesz komplet przygotowany na podstawie treści prawnika i dopasowany do profilu gabinetu fizjoterapii, łącznie z rejestrem czynności przetwarzania i wzorami umów powierzenia. To pokrywa rdzeń dokumentacji wymaganej od podmiotu leczniczego. Dokumenty są punktem wyjścia, który dostosowujesz do realiów swojej praktyki przez formularz.

Powiązane artykuły

• RODO dla praktyk medycznych — kompletny przewodnik
• Jak prowadzić dokumentację RODO w gabinecie
• Rejestr czynności przetwarzania — wzór dla gabinetu
• Czy lekarz / gabinet musi mieć IOD?

---

Materiał edukacyjny, nie porada prawna. Stan prawny: czerwiec 2026. Decyzję o zgodności podejmuje administrator danych (gabinet) — w razie wątpliwości skonsultuj z IOD/prawnikiem albo skorzystaj z moje-rodo, gdzie dokumenty i dowody powstają pod Twój profil.