Prowadzisz SPA? Sprawdź, na jakiej podstawie przetwarzać dane klientów

Gdy klient zapisuje się na masaż relaksacyjny i pozyskujemy jego dane osobowe w postaci imienia, nazwiska, nr telefonu i adresu e-mail, wówczas przetwarzamy dane osobowe zwykłe. Podstawą prawną ich przetwarzania będzie art. 6 ust. 1 lit. b RODO. tj. konieczność wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Wszak pomiędzy gabinetem a klientem zawarta jest (choćby ustnie) umowa o świadczenie usług.

Z kolei w przypadku usług rehabilitacyjnych fizjoterapeuta rejestruje dane dotyczące schorzeń, problemów zdrowotnych pacjenta, co oznacza, że mamy do czynienia z przetwarzaniem danych osobowych wrażliwych. Podstawę prawną przetwarzania stanowi wówczas art. 9 ust. 2 lit. h RODO, a mianowicie konieczność przetwarzania do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w art. 9 ust. 3 RODO.

Dane zwykłe, o których mowa powyżej, przechowujemy je na czas potrzebny do ewentualnego dochodzenia różnego rodzaju roszczeń przez gabinet (np. klient nie zapłacił za usługę) lub osobę fizyczną (pacjent doznał szkody w ramach korzystania z usług gabinetu), a jeśli wystawiamy faktury, to także na czas wskazany w przepisach podatkowych, tj. 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

W przypadku danych dotyczących zdrowia stosujemy również wskazaną regułę, chyba że fizjoterapeuta prowadzi dokumentację medyczną, wówczas, z uwagi na udzielanie świadczeń zdrowotnych, należy przechowywać tę dokumentację medyczną przez okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu w tej dokumentacji.

Okres 20-letniego przechowywania dokumentacji medycznej nie jest stosowany w przypadku:

• zgonu pacjenta na skutek uszkodzenia ciała lub zatrucia, która jest przechowywana przez okres 30 lat, licząc od końca roku kalendarzowego, w którym nastąpił zgon,
• dokumentacji medycznej zawierającej dane niezbędne do monitorowania losów krwi i jej składników, która jest przechowywana przez okres 30 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu, 
• zdjęć rentgenowskich przechowywanych poza dokumentacją medyczną pacjenta, które są przechowywane przez okres 10 lat, licząc od końca roku kalendarzowego, w którym wykonano zdjęcie,
• skierowań na badania lub zleceń lekarza, które są przechowywane przez okres:
  5 lat, licząc od końca roku kalendarzowego, w którym udzielono świadczenia zdrowotnego będącego przedmiotem skierowania lub zlecenia lekarza albo 2 lat, licząc od końca roku kalendarzowego, w którym wystawiono skierowanie – w przypadku gdy świadczenie zdrowotne nie zostało udzielone z powodu niezgłoszenia się pacjenta w ustalonym terminie, chyba że pacjent odebrał skierowanie; 
• dokumentacji medycznej dotyczącej dzieci do ukończenia 2. roku życia, która jest przechowywana przez okres 22 lat.