Rezerwacja wizyt online w gabinecie psychologa: trzy drogi i dane

Co tak naprawdę zbiera rezerwacja wizyt online

Gabinet psychologa jest szczególny, bo sam fakt, że ktoś się zapisuje, mówi o nim coś wrażliwego.

Art. 4 pkt 15 RODO definiuje dane dotyczące zdrowia jako dane o zdrowiu fizycznym lub psychicznym, w tym o korzystaniu z usług opieki zdrowotnej. Motyw 35 zalicza do nich informacje „zbierane podczas jej rejestracji do usług opieki zdrowotnej”. Art. 9 ust. 1 RODO zakazuje przetwarzania takich danych, chyba że spełniony jest warunek z ust. 2.

Czy imię, telefon i prośba o termin u psychologa spoza podmiotu leczniczego są daną o zdrowiu, przepis wprost nie mówi. To podejście ostrożne i nasza ocena: projektuj zapisy tak, jakby były.

Trzy drogi

1. Telefon i e-mail

Osoba dzwoni lub pisze. Nie ma formularza ani pośrednika.

• Dane: numer telefonu w rejestrze połączeń, treść e-maila na twojej skrzynce. Powstają u ciebie i u operatorów telefonii i poczty.
• Cookies i skrypty: brak, strona tylko wyświetla numer i adres.
• Podmiot przetwarzający: operator poczty, jeśli nie jest to twój własny serwer. Czy umowa powierzenia wynika z regulaminu usługi, trzeba sprawdzić u dostawcy (ocena własna).
• Ryzyko: ludzie w e-mailu opisują problem. Warto napisać na stronie, że do umówienia wizyty wystarczy imię i telefon.

2. Prosty formularz „prośba o termin”

Na własnej stronie: imię, telefon, pora dnia. Gabinet oddzwania i ustala termin.

• Dane: przesłane dane trafiają do ciebie przez serwer strony, skrzynkę lub narzędzie formularzy. Ty jesteś administratorem.
• Cookies i skrypty: formularz sam w sobie nie wymaga ich ani zewnętrznych zasobów. Art. 399 Prawa komunikacji elektronicznej dotyczy przechowywania informacji w urządzeniu odwiedzającego lub dostępu do niej. Jeśli strona nic tam nie zapisuje i nie ładuje zasobów z zewnątrz, zgody na cookies nie potrzeba. Szerzej opisuje to tekst o cookies na stronie gabinetu.
• Podmiot przetwarzający: dostawca hostingu, poczty lub formularza. Jeśli przetwarza dane w twoim imieniu, art. 28 ust. 3 RODO wymaga umowy lub innego instrumentu prawnego. Przy usługach online zwykle jest to regulamin dostawcy, ale co dotyczy konkretnego dostawcy, to ocena własna.
• Zgoda: wyraźna zgoda (art. 9 ust. 2 lit. a RODO) w polu niezaznaczonym domyślnie, z informacją z art. 13 RODO i możliwością cofnięcia. Obok zawsze droga bez formularza: telefon. Całą stronę gabinetu opisuje tekst o stronie internetowej dla psychologa.

3. Zewnętrzny kalendarz lub platforma z profilem

Osoba wybiera termin w kalendarzu dostawcy, wbudowanym na stronie albo na profilu gabinetu na platformie.

• Dane: powstają u dostawcy. Kto jest administratorem, zależy od modelu: czy dostawca tylko obsługuje twój kalendarz, czy sam zbiera pacjentów dla siebie. Z tego wynika, czy potrzebna jest umowa powierzenia (art. 28 ust. 3 RODO).
• Cookies i skrypty: wbudowany widżet to zewnętrzny zasób. Może zapisywać dane w przeglądarce odwiedzającego, a wtedy art. 399 PKE wymaga informacji i zgody (z wyjątkiem sytuacji z ust. 3 pkt 2, gdy zapis jest konieczny do usługi żądanej przez użytkownika). Sprawdzenie, co robi konkretne narzędzie, jest po twojej stronie.
• Co widzi osoba: zazwyczaj więcej pól niż w prostym formularzu. Sprawdź, czy któreś zbiera opis problemu lub dane, których nie potrzebujesz.
• Ryzyko: profil na platformie z opiniami sprawia, że sam fakt bycia klientem może być widoczny dla innych. Kodeks PTP (art. 11 pkt 2a) zaznacza, że tajemnicą objęty jest, o ile to możliwe, sam fakt uczestniczenia w działaniach. Ceny i zasady profili w katalogach porównuje tekst o własnej stronie albo profilu w katalogu.

Tabela porównawcza

Minimalizacja: czego nie pytać

Art. 5 ust. 1 lit. c RODO wymaga, by dane były „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane”. Do umówienia terminu wystarczą: imię, telefon i pora dnia. Z tego wynika, czego nie pytać:

• opisu problemu: to wprost informacje o zdrowiu psychicznym, a do terminu nie są potrzebne (to wniosek z art. 5 i art. 9, nie osobny zakaz w RODO);
• PESEL-u, daty urodzenia, adresu;
• powodu zgłoszenia „dla ułatwienia przygotowania”.

Strona nie powinna też zachęcać do pisania objawów w e-mailu. Szerzej o danych zbieranych na stronie opisuje tekst o RODO na stronie gabinetu psychologicznego.

Potwierdzenia i przypomnienia

Skoro tajemnicą zawodową objęty jest, o ile to możliwe, także sam fakt uczestniczenia w działaniach (art. 11 pkt 2a kodeksu PTP), potwierdzenie SMS lub e-mail powinno być neutralne w treści: data, godzina, nazwa bez określenia zakresu pomocy. To nasz wniosek z kodeksu, nie wprost przepis, a kodeks wiąże członków PTP i osoby, które zadeklarowały jego przestrzeganie. Zakres tajemnicy opisuje tekst o tajemnicy zawodowej psychologa.

Pytania, które warto sobie zadać, bez rozstrzygnięcia w źródłach:

• Czy przypomnienie trafi na telefon, który może czytać ktoś inny?
• Czy lista oczekujących musi przechowywać dane i jak długo? RODO nie podaje okresu (art. 5 ust. 1 lit. e wymaga tylko, by nie był dłuższy, niż to niezbędne).
• Czy płatność z góry oznacza kolejnego pośrednika, który widzi, że ktoś płaci za wizytę?

Lista kontrolna

• Jest sposób umówienia wizyty bez formularza (telefon).
• Formularz zbiera tylko imię, telefon i porę dnia.
• Nie ma pola „opisz problem”, nie ma PESEL-u ani daty urodzenia.
• Zgoda jest w polu niezaznaczonym domyślnie, z informacją z art. 13 RODO.
• Formularz działa po połączeniu szyfrowanym.
• Wiem, kto jest administratorem i kto podmiotem przetwarzającym, i mam umowę, jeśli ktoś przetwarza dane w moim imieniu.
• Zewnętrzny kalendarz sprawdzony pod kątem cookies i skryptów.
• Potwierdzenia SMS i e-mail są neutralne w treści.

Tekst nie jest poradą prawną. Stan prawny na 13 listopada 2026 r.