Strona gabinetu przetwarza dane osobowe, nawet jeśli ma tylko cztery podstrony i numer telefonu. Przy RODO na stronie internetowej psychologa liczy się jeszcze jedno: sam fakt, że ktoś szuka u ciebie terminu, wiele mówi o jego zdrowiu. Ten tekst porządkuje, co strona zbiera, na jakiej podstawie i co musi o tym mówić polityka prywatności. O plikach cookie i zasobach zewnętrznych jest osobny artykuł.
W skrócie
- Strona „bez formularza” też przetwarza dane: serwer zapisuje adres IP odwiedzającego. UODO uznaje adres IP za dane osobowe.
- Dane z formularza zapisu do psychologa najbezpieczniej traktować jak dane o zdrowiu (art. 9 RODO). Przepis nie rozstrzyga tego wprost, to podejście ostrożne.
- Formularz powinien zbierać minimum: imię, telefon lub e-mail, pora kontaktu. Bez pola „opisz swój problem”.
- Dla formularza bezpieczna ścieżka to wyraźna zgoda przy polu i druga droga zapisu bez formularza (telefon).
- Polityka prywatności obejmuje informacje z art. 13 ust. 1 i 2 RODO (po sześć pozycji) oraz, gdy dotyczy, z ust. 3. Poniżej 13 punktów.
Jakie dane zbiera strona, która „nic nie zbiera”
Serwer, który wyświetla stronę, zapisuje w logach zapytania. UODO w komunikacie o Prawie komunikacji elektronicznej pisze: „adres IP uznawany jest za daną osobową w rozumieniu RODO”. Własna polityka prywatności UODO wymienia w logach m.in. „publiczny adres IP komputera z którego nadeszło zapytanie”.
To stanowisko ogólne, nie wytyczna o logach stron WWW, więc traktuj wniosek ostrożnie. Praktyczny skutek jest taki: nawet statyczna strona powinna w polityce prywatności mówić o logach serwera, ich celu, odbiorcy (dostawca hostingu) i okresie przechowywania. Jeśli gabinet nie ma żadnego formularza, to często jedyna pozycja w polityce.
Dlaczego u psychologa formularz to sprawa szczególna
RODO w art. 4 pkt 15 definiuje dane dotyczące zdrowia jako dane osobowe „o zdrowiu fizycznym lub psychicznym osoby fizycznej”, w tym „o korzystaniu z usług opieki zdrowotnej”, które ujawniają informacje o stanie jej zdrowia. Art. 9 ust. 1 zabrania przetwarzania takich danych, o ile nie zachodzi jeden z wyjątków z ust. 2.
Motyw 35 idzie dalej: do danych o zdrowiu zalicza „informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej”. Z tego wynika ostrożny wniosek: prośba o termin u psychologa ujawnia, że ktoś korzysta lub chce skorzystać z pomocy psychologicznej.
Zastrzeżenie: ani RODO, ani materiały UODO, które sprawdziliśmy, nie rozstrzygają wprost przypadku formularza zapisu w prywatnym gabinecie psychologa, który nie jest podmiotem leczniczym. Nie ustaliliśmy też, czy taki gabinet świadczy „usługi opieki zdrowotnej” w rozumieniu art. 4 pkt 15. Projektowanie formularza jak dla danych z art. 9 to decyzja ostrożności, nie wykładnia przepisu. O tajemnicy zawodowej psychologa pisze osobny tekst: tajemnica zawodowa psychologa.
Formularz bez pola „opisz problem”
Art. 5 ust. 1 lit. c RODO wymaga, by dane były „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane”. Do umówienia terminu wystarczy imię, telefon lub e-mail i pora kontaktu. Opis problemu to informacja o zdrowiu psychicznym, a termin da się ustalić bez niej.
To wniosek z art. 5 i art. 9, nie zakaz zapisany w RODO. Dodaj do tego tekst przy formularzu, który nie zachęca do opisywania objawów w wiadomości. Całą stronę gabinetu, sekcja po sekcji, opisuje tekst o stronie internetowej dla psychologa.
Podstawa prawna zapisu
Potrzebne są dwa poziomy. Pierwszy to art. 6 ust. 1: lit. b, czyli przetwarzanie niezbędne „do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”. Drugi to warunek z art. 9 ust. 2, jeśli przyjmiesz, że dane są zdrowotne.
- Wyraźna zgoda (art. 9 ust. 2 lit. a). Pole niezaznaczone domyślnie, przy formularzu, z informacją o prawie cofnięcia zgody. To ścieżka, którą źródła pozwalają opisać jako bezpieczniejszą.
- Art. 9 ust. 2 lit. h (zapewnienie opieki zdrowotnej, przy tajemnicy zawodowej). Czy psycholog poza podmiotem leczniczym może na nim polegać, jest wątpliwe i przepis tego nie rozstrzyga. To pytanie do prawnika przed uruchomieniem zapisów online.
Zawsze zostaw drugą drogę bez formularza: telefon lub e-mail. Zgoda jest wtedy dobrowolna, bo odmowa nie zamyka dostępu do usługi. Trzy sposoby przyjmowania zapisów porównuje tekst o rezerwacji wizyt online u psychologa.
Co musi mieć polityka prywatności
Art. 13 RODO wylicza informacje, które administrator podaje przy zbieraniu danych. W gabinecie administratorem jest zwykle psycholog prowadzący praktykę. Poniżej 13 elementów, z zaznaczeniem, skąd się biorą na stronie gabinetu.
| Co | Skąd |
|---|---|
| Tożsamość i kontakt administratora | Dane gabinetu: imię i nazwisko, adres, e-mail, telefon |
| Kontakt do inspektora ochrony danych | Tylko gdy został wyznaczony |
| Cele i podstawy prawne | Osobno: obsługa prośby o termin, kontakt, logi serwera |
| Prawnie uzasadniony interes | Gdy podstawą jest art. 6 ust. 1 lit. f, np. logi serwera |
| Odbiorcy lub ich kategorie | Hosting, poczta, dostawca formularza |
| Przekazanie poza EOG | Gdy dostawca ma siedzibę poza Europejskim Obszarem Gospodarczym |
| Okres przechowywania | Ustalasz samodzielnie, RODO go nie podaje |
| Prawa osoby | Dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie |
| Prawo cofnięcia zgody | Przy podstawie: zgoda |
| Skarga do Prezesa UODO | Zawsze |
| Czy podanie danych jest wymagane | Formularz dobrowolny, alternatywa: telefon |
| Zautomatyzowane decyzje i profilowanie | Najczęściej: brak |
| Dalsze przetwarzanie w innym celu | Najczęściej: brak |
RODO nie podaje okresu przechowywania próśb o termin ani logów. Wpisz taki, który potrafisz uzasadnić, i trzymaj się go. Art. 5 ust. 1 lit. e wymaga, by dane były przechowywane przez okres „nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane”.
Umowa z dostawcą formularza lub hostingu
Gdy ktoś przetwarza dane w twoim imieniu, art. 28 ust. 3 RODO wymaga umowy lub innego instrumentu prawnego, który określa m.in. „przedmiot i czas trwania przetwarzania” i „rodzaj danych osobowych”. Dla statycznej strony bez formularza hosting zwykle nie przetwarza niczego poza logami. Gdy dołożysz formularz, skrzynkę pocztową albo narzędzie do rezerwacji, ich dostawca zwykle przetwarza dane w twoim imieniu, a wtedy jest podmiotem przetwarzającym; przy platformach z własnym profilem rola zależy od modelu. Umowa bywa częścią regulaminu dostawcy. Które konkretnie wymagają odrębnej umowy, to ocena do potwierdzenia.
Inspektor ochrony danych
Art. 37 ust. 1 lit. c wymaga IOD, gdy główna działalność polega na przetwarzaniu „na dużą skalę” szczególnych kategorii danych. Motyw 91 mówi, że przetwarzanie nie powinno być uznawane za dużą skalę, gdy dotyczy danych pacjentów lub klientów i „jest dokonywane przez pojedynczego lekarza, innego pracownika służby zdrowia lub prawnika”. Psychologa w tym zdaniu nie ma, a zdanie dotyczy wprost oceny skutków, nie IOD. Jednoosobowy gabinet zwykle go nie wyznacza, ale to ocena, nie pewnik. Jeśli IOD nie ma, wpisz w polityce dane kontaktowe administratora.
Wzmocnienie z kodeksu etycznego
Kodeks Etyczny Psychologa PTP w art. 11 pkt 3a wymaga bezpieczeństwa „procedur pozyskiwania, przetwarzania, przechowywania i transmisji danych zarówno w formie tradycyjnej, jak i elektronicznej”. Kodeks wiąże członków PTP i osoby, które zadeklarowały jego przestrzeganie, ale jako wzorzec dobrze wskazuje kierunek: mniej danych, mniej pośredników, szyfrowane połączenie. Sam dokument omawia tekst o kodeksie etycznym psychologa.
Lista kontrolna
- Polityka prywatności jest podlinkowana z każdej podstrony.
- Opisuje logi serwera: co zapisują, po co, jak długo, kto je przechowuje.
- Formularz zbiera tylko imię, kontakt i porę, bez pola „opisz problem”.
- Zgoda przy formularzu jest niezaznaczona domyślnie i da się ją cofnąć.
- Jest też droga zapisu bez formularza, np. telefon.
- Masz listę podmiotów, które obsługują dane ze strony (hosting, poczta, formularz) i umowy z nimi.
- Polityka podaje okres przechowywania i prawo skargi do Prezesa UODO.
- Strona działa po szyfrowanym połączeniu.
- Pytania o art. 9 ust. 2 lit. h i o IOD trafiły do prawnika.
Ten tekst nie jest poradą prawną. Opisuje stan prawny na 13 listopada 2026 r. i część wniosków oznacza jako oceny do potwierdzenia.