POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH
Gabinet Psychoterapii Małgorzata Marchlewicz
Administrator danych osobowych: Małgorzata Marchlewicz, prowadzaca jednoosobowa działalność gospodarczą pod adresem: ul. Wojska Polskiego 50/6, 80-268 Gdańsk, NIP: 5922056649
E-mail: psychoterapia@mmarchlewicz.pl
Tel.: 517 697 943
Inspektor Ochrony Danych: nie powołano (brak obowiązku — art. 37 RODO; jednoosobowa praktyka, brak przetwarzania na duza skalę).
Data wejścia w zycie: 1 kwietnia 2026 r.
Niniejsza Polityka Bezpieczeństwa Danych Osobowych wchodzi w zycie z dniem jej zatwierdzenia przez Administratora danych osobowych. Administrator oraz wszystkie osoby upowaznione do przetwarzania danych osobowych zobowiązane są do stosowania zasad określonych w niniejszym dokumencie.
Rozdział 1. Wstęp i cele dokumentu
1.1. Cel dokumentu
Niniejsza Polityka Bezpieczeństwa została opracowana w celu zapewnienia zgodności z obowiązującymi przepisami prawa w zakresie ochrony danych osobowych, w szczególności z art. 24 i art. 32 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Dokument określa zasady, środki i procedury mające na celu zapewnienie odpowiedniego poziomu bezpieczeństwa przetwarzanych danych osobowych.
1.2. Zakres stosowania
Polityka ma zastosowanie do Administratora oraz wszystkich osób wykonujących obowiązki w ramach jego działalności, w tym osób współpracujących na podstawie umów cywilnoprawnych (B2B) oraz podmiotów przetwarzających dane na podstawie umów powierzenia.
Polityka obowiązuje w lokalizacji prowadzenia działalności: ul. Wojska Polskiego 50/6, 80-268 Gdańsk (gabinet psychoterapeutyczny w mieszkaniu prywatnym), a także podczas prowadzenia sesji terapeutycznych online oraz dojazdow do SPZOZ Centrum Zdrowia Psychicznego i Leczenia Uzależnień w Starogardzie Gdańskim.
1.3. Podstawy prawne
• Rozporządzenie (UE) 2016/679 (RODO) — w szczególności art. 5, 6, 9, 10, 24, 25, 28, 32;
• Ustawa z dnia 10 mają 2018 r. o ochronie danych osobowych;
• Ustawa z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego;
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta;
• inne akty prawne krajowe i unijne, wytyczne EROD oraz decyzję Prezesa UODO.
Rozdział 2. Specyfika działalności i przetwarzanych danych
2.1. Charakter działalności
Administrator prowadzi jednoosobowa praktyke psychoterapeutyczna (JDG). W ramach działalności swiadczy usługi psychoterapii indywidualnej — stacjonarnie w gabinecie oraz online za pośrednictwem platformy Google Meet. Ponadto wspolpracuje na podstawie umowy B2B ze SPZOZ Centrum Zdrowia Psychicznego i Leczenia Uzależnień w Starogardzie Gdańskim (ul. Chopina 9, 83-200 Starogard Gdański, NIP: 5921872186), gdzie pełni rolę podmiotu przetwarzającego (procesora) w rozumieniu art. 28 RODO — przetwarza dane pacjentów Centrum na jego zlecenie, w systemie MMEDICA. SPZOZ jest Administratorem danych tych pacjentów.
Administrator nie zatrudnia pracowników. Działalność prowadzona jest jednoosobowo.
2.2. Kategorię przetwarzanych danych
Administrator przetwarza następujące kategorię danych osobowych:
• dane identyfikacyjne i kontaktowe klientów/pacjentów (imię, nazwisko, adres, telefon, e-mail);
• dane rozliczeniowe (dane do faktur);
• dane szczególnych kategorii (Art. 9 RODO): dane dotyczące zdrowia psychicznego, orientacji seksualnej, pogladow politycznych, przekonan religijnych lub swiatopogladowych, przynależności do związków zawodowych, pochodzenia etnicznego — w zakresie ujawnionym przez klientów w trakcie sesji terapeutycznych;
• dane dotyczące wyroków skazujących i naruszeń prawa (Art. 10 RODO) — spontanicznie ujawniane przez klientów w trakcie terapii. ZASADA: Administrator nie pozyskuje aktywnie danych karnych, nie tworzy ich odrebnego zbioru i nie rejestruje ich celowo w notatkach, chyba ze jest to bezwzglednie niezbędne dla procesu terapeutycznego. Minimalizacja zakresu i dostępu — art. 5(1)(c) RODO;
• dane uzytkownikow strony internetowej mmarchlewicz.pl (IP, cookies, dane z formularzy);
• dane kontrahentów i współpracowników (B2B).
Szczegółowy wykaz czynności przetwarzania, celów, podstaw prawnych i okresów przechowywania znajduje się w Rejestrze czynności przetwarzania (RCP) — odrebny dokument.
2.3. Dane szczególnych kategorii — szczególne wymogi
Ze względu na charakter działalności psychoterapeutycznej, Administrator przetwarza dane o najwyzszym poziomie wrazliwosci. Naruszenie ochrony tych danych może prowadzić do: stygmatyzacji i dyskryminacji, szkody psychicznej i emocjonalnej, naruszenia tajemnicy zawodowej i zaufania terapeutycznego, utraty reputacji, a w skrajnych przypadkach — zagrożenia bezpieczeństwa fizycznego osoby. W związku z tym Administrator stosuje podwyzszone środki bezpieczeństwa opisane w niniejszej Polityce.
Podstawa prawna przetwarzania danych wrażliwych: art. 9 ust. 2 lit. a RODO (wyrazna zgodą klienta). Zgoda zbierana jest na piśmie przed rozpoczeciem terapii (formularz: Zgoda na przetwarzanie danych szczególnych kategorii — odrebny dokument).
Rozdział 3. Zasady przetwarzania danych
3.1. Podstawowe zasady (Art. 5 RODO)
Administrator przetwarza dane osobowe zgodnie z nastepujacymi zasadami:
• zgodność z prawem, rzetelność i przejrzystość — dane przetwarzane na podstawie okreslonej w art. 6 i 9 RODO, z pełnym obowiązkiem informacyjnym;
• ograniczenie celu — dane zbierane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach;
• minimalizacja danych — przetwarzane są wyłącznie dane niezbędne do realizacji celu;
• prawidłowość — dane są aktualizowane w razie potrzeby;
• ograniczenie przechowywania — dane przechowywane nie dłużej niz to konieczne (patrz: Procedura retencji danych);
• integralność i poufność — dane chronione przed nieuprawnionym dostępem, utratą, zniszczeniem;
• rozliczalność — Administrator jest w stanie wykazać zgodność z powyzszymi zasadami.
3.2. Okresy przechowywania danych
Szczegółowe okresy przechowywania danych osobowych zostały określone w Procedurze retencji danych (odrebny dokument). Dane, których dalsze przechowywanie nie jest uzasadnione, są usuwane w sposób trwały i bezpieczny.
3.3. Dostęp do danych na podstawie upoważnienia
Dostęp do danych osobowych mają wyłącznie osoby posiadajace ważne upoważnienie nadane przez Administratora. Wzór upoważnienia oraz oświadczenia o poufności znajdują się w folderze Wzory umów, oświadczeń, upowaznen. Każda osoba upowazniona jest zobowiązana do zachowania poufności danych osobowych oraz sposobów ich zabezpieczenia — również po zakończeniu współpracy (bezterminowo).
Rozdział 4. Organizacja ochrony danych
4.1. Osoba odpowiedzialną
Za nadzorowanie przestrzegania przepisów o ochronie danych osobowych odpowiada osobiście Administrator: Małgorzata Marchlewicz. Administrator nie powolal Inspektora Ochrony Danych (IOD). Uzasadnienie: ocena przeslanek z art. 37 ust. 1 RODO wykazala, ze glowna działalność Administratora nie polega na przetwarzaniu na duza skalę danych szczególnych kategorii — jest to jednoosobowa praktyka psychoterapeutyczna z ok. 10 aktualnymi klientami (motyw 91 RODO wskazuje, ze przetwarzanie danych pacjentów przez indywidualnego terapeute nie stanowi przetwarzania na duza skalę).
4.2. Podmioty przetwarzające (procesorzy)
Administrator korzysta z usług podmiotów przetwarzających dane w jego imieniu. Wykaz podmiotów, zakres powierzenia i status umów powierzenia znajdują się w Rejestrze umów o powierzenie przetwarzania danych osobowych (odrebny dokument). Z każdym podmiotem przetwarzającym zawierana jest umową powierzenia zgodna z art. 28 RODO (wzór: Umową powierzenia przetwarzania danych osobowych — odrebny dokument).
4.3. Postępowanie z naruszeniami
Zasady wykrywania, rejestrowania, oceny i zgłaszania naruszeń ochrony danych osobowych zostały określone w Procedurze zgłaszania incydentów (odrebny dokument). Kazde naruszenie jest rejestrowane w Rejestrze naruszeń danych osobowych (odrebny dokument).
4.4. Realizacja praw osób
Zasady obsługi żądań osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, cofnięcie zgody) zostały określone w Procedurze realizacji praw osób (odrebny dokument). Żądania są rejestrowane w Rejestrze żądań osób, których dane dotyczą (odrebny dokument).
Rozdział 5. Środki ochrony danych — techniczne i organizacyjne
5.1. Ochrona fizyczną
Gabinet psychoterapeutyczny miesci się w mieszkaniu prywatnym pod adresem ul. Wojska Polskiego 50/6, 80-268 Gdańsk. Stosowane środki ochrony fizycznej:
• mieszkanie zamykane na klucz — dostęp wyłącznie dla Administratora i domownikow;
• dokumentacja papierowa (notatki z sesji, zgody, korespondencja) przechowywana w szafie zamykanej na klucz;
• niszczarka dokumentów (planowana, klasa min. DIN P-4) — do czasu wdrożenia dokumenty do zniszczenia przechowywane w zamknietej szafie;
• notes mobilny przenoszony do przychodni w Starogardzie — zanonimizowany (brak danych identyfikujacych pacjenta);
• ekran komputera ustawiony w sposób uniemozliwiajacy podglad przez osoby trzecie.
Pelny wykaz środków ochrony znajduje się w Rejestrze środków ochrony (odrebny dokument).
5.2. Ochrona informatyczna
Stosowane środki ochrony informatycznej:
• polityka silnych haseł — unikalne, min. 12 znaków, wielkie/małe litery, cyfry, znaki specjalne; brak wymuszania cyklicznej zmiany (zgodnie z NIS2/NIST);
• menedżer haseł (aktualnie: przeglądarkowy; zalecany: dedykowany, np. Bitwarden);
• uwierzytelnianie dwuskładnikowe (2FA) — DO WDROZENIA W CIĄGU 14 DNI na: koncie pocztowym, Google, Facebook, ZnanyLekarz, panelu WordPress;
• szyfrowanie dysków (BitLocker) — DO WDROZENIA W CIĄGU 14 DNI;
• szyfrowanie transmisji danych (SSL/TLS) — poczta, stroną WWW, Google Meet;
• szyfrowanie urządzeń mobilnych (telefon, tablet) — wdrożone;
• PIN/hasło na wszystkich urządzeniach — min. 6 znaków;
• oprogramowanie antywirusowe / antymalware — DO WDROZENIA W CIĄGU 30 DNI;
• filtr poczty / ochroną przed phishingiem — DO WDROZENIA W CIĄGU 30 DNI;
• kopie zapasowe — automatyczny backup poczty e-mail (Hostido);
• regularne aktualizacje systemu operacyjnego, przeglądarki i WordPress.
5.3. Strona internetową mmarchlewicz.pl
Strona internetową zabezpieczona certyfikatem SSL (https). Na stronie działa:
• baner cookies CookieYes — domyślnie odmowa cookies niezbędnych;
• formularz kontaktowy (Forminator) — z checkboxem zgody na przetwarzanie danych;
• Google Analytics (G-309LVM6JDL), Google Tag Manager (GTM-WVQS94XC), Google Ads (AW-17630389317), Facebook Pixel (ID: 1584469712243986) — narzędzia analityczne i marketingowe. UWAGA: baner CookieYes domyślnie blokuje wszystkie cookies niezbędne (opt-in), więc trackery nie uruchamiaja się bez wyraźnej zgody uzytkownika. Dane zbierane przez trackery to dane uzytkownikow strony (IP, cookies), NIE dane pacjentów z sesji terapeutycznych;
• WordPress z Elementor, WP Rocket — regularnie aktualizowane (Mrożek).
Klauzulę informacyjne i zgody na stronie zostały określone w dokumencie Klauzula informacyjna WWW (odrebny dokument).
5.4. Sesje psychoterapeutyczne online
Zasady prowadzenia sesji online, w tym wymagania techniczne, weryfikacja tożsamości, bezpieczeństwo, nagrywanie i obsługa incydentów, zostały określone w Procedurze prowadzenia sesji psychoterapeutycznych online (odrebny dokument). Platforma: Google Meet (wymog: płatne konto Google Workspace z DPA).
5.5. Transfer danych poza EOG
W związku z korzystaniem z usług Google (Analytics, Ads, GTM, Meet/Workspace) oraz Meta (Facebook Pixel, Fanpage) dane osobowe mogą być przekazywane do Stanow Zjednoczonych. Transfer odbywa się na podstawie decyzji wykonawczej Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzajacej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (DPF). Google LLC i Meta Platforms Inc. są certyfikowanymi uczestnikami DPF.
Dane dotyczące zdrowia psychicznego i inne dane wrażliwe z sesji terapeutycznych nie są przekazywane poza EOG.
Rozdział 6. Obowiązki informacyjne
Administrator realizuje obowiązek informacyjny wobec osób, których dane przetwarza, poprzez następujące klauzulę informacyjne (odrębne dokumenty):
• Klauzula informacyjna ogólna;
• Klauzula informacyjna dla klientów (pacjentów) — z informacja o danych wrażliwych Art. 9;
• Klauzula informacyjna WWW (mmarchlewicz.pl);
• Klauzula informacyjna Art. 14 — dane ze źródeł pośrednich (SPZOZ Starogard);
• Klauzula informacyjna — kontakt zdalny / teleporady.
Klauzula dla klientów/pacjentów przekazywana jest w formie papierowego formularza do podpisania przed rozpoczeciem terapii.
Rozdział 7. Analiza ryzyka
Administrator przeprowadził analizę ryzyka dla procesów przetwarzania danych osobowych (odrebny dokument: Analiza ryzyka). Ocena ogólna ryzyka: SREDNIE. Glowne ryzyka: fizyczne bezpieczeństwo notesu z notatkami, brak szyfrowania dysków (BitLocker), brak oprogramowania antywirusowego.
Ocena obowiązku DPIA: nie jest wymagana (motyw 91 RODO — jednoosobowa praktyka, mala skala przetwarzania).
Rozdział 8. Postanowienia końcowe
1. Niniejsza Polityka Bezpieczeństwa wchodzi w zycie z dniem 1 kwietnia 2026 r.
2. Wszelkie zmiany w Polityce wymagają formy pisemnej lub dokumentowej.
3. Polityka podlega przeglądowi co najmniej raz w roku oraz po każdym istotnym incydencie naruszenia ochrony danych lub istotnej zmianie w zakresie przetwarzania.
4. Za stosowanie i aktualizacje Polityki odpowiada osobiście Administrator: Małgorzata Marchlewicz.
5. Lista aktualnych załączników (dokumenty RODO) znajduje się w pliku _struktura_plików.docx (odrebny dokument).
……………………………………….
Małgorzata Marchlewicz
Administrator danych osobowych