POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH
Gabinet Psychoterapii i Szkoleń Agata Bednarek
Administrator danych osobowych: Agata Bednarek, prowadząca jednoosobowa działalność gospodarczą pod adresem: ul. Wieniawskiego 10, 71-144 Szczecin, NIP: 851 216 01 59
E-mail: gabinet@psychoterapeuta-cbt.pl
Tel.: +48 698638244
Inspektor Ochrony Danych: nie powołano (brak obowiązku — art. 37 RODO; jednoosobowa praktyka, brak przetwarzania na duza skalę).
Data wejścia w zycie: 1 października 2026 r.
Niniejsza Polityka Bezpieczeństwa Danych Osobowych wchodzi w życie z dniem jej zatwierdzenia przez Administratora danych osobowych. Administrator oraz wszystkie osoby upoważnione do przetwarzania danych osobowych zobowiązane są do stosowania zasad określonych w niniejszym dokumencie.
Rozdział 1. Wstęp i cele dokumentu
1.1. Cel dokumentu
Niniejsza Polityka Bezpieczeństwa została opracowana w celu zapewnienia zgodności z obowiązującymi przepisami prawa w zakresie ochrony danych osobowych, w szczególności z art. 24 i art. 32 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Dokument określa zasady, środki i procedury mające na celu zapewnienie odpowiedniego poziomu bezpieczeństwa przetwarzanych danych osobowych.
1.2. Zakres stosowania
Polityka ma zastosowanie do Administratora oraz wszystkich osób wykonujących obowiązki w ramach jego działalności, w tym osób współpracujących na podstawie umów cywilnoprawnych (B2B) oraz podmiotów przetwarzających dane na podstawie umów powierzenia.
Polityka obowiązuje w lokalizacji prowadzenia działalności: ul. Wieniawskiego 10, 71-144 Szczecin, a także podczas prowadzenia sesji terapeutycznych online.
1.3. Podstawy prawne
• Rozporządzenie (UE) 2016/679 (RODO) — w szczególności art. 5, 6, 9, 10, 24, 25, 28, 32;
• Ustawa z dnia 10 mają 2018 r. o ochronie danych osobowych;
• Ustawa z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego;
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta;
• inne akty prawne krajowe i unijne, wytyczne EROD oraz decyzję Prezesa UODO.
Rozdział 2. Specyfika działalności i przetwarzanych danych
2.1. Charakter działalności
Administrator prowadzi jednoosobowa praktykę psychoterapeutyczna (JDG). W ramach działalności świadczy usługi psychoterapii indywidualnej — stacjonarnie w gabinecie oraz online za pośrednictwem platformy Google Meet.
Administrator nie zatrudnia pracowników. Działalność prowadzona jest jednoosobowo.
2.2. Kategorię przetwarzanych danych
Administrator przetwarza następujące kategorię danych osobowych:
• dane identyfikacyjne i kontaktowe klientów/pacjentów (imię, nazwisko, adres, telefon, e-mail);
• dane rozliczeniowe (dane do faktur);
• dane szczególnych kategorii (Art. 9 RODO): dane dotyczące zdrowia psychicznego, orientacji seksualnej, poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności do związków zawodowych, pochodzenia etnicznego — w zakresie ujawnionym przez klientów w trakcie sesji terapeutycznych;
• dane dotyczące wyroków skazujących i naruszeń prawa (Art. 10 RODO) — spontanicznie ujawniane przez klientów w trakcie terapii. ZASADA: Administrator nie pozyskuje aktywnie danych karnych, nie tworzy ich odrębnego zbioru i nie rejestruje ich celowo w notatkach, chyba ze jest to bezwzględnie niezbędne dla procesu terapeutycznego. Minimalizacja zakresu i dostępu — art. 5(1)(c) RODO;
• dane użytkowników strony internetowej mmarchlewicz.pl (IP, cookies, dane z formularzy);
• dane kontrahentów i współpracowników (B2B).
Szczegółowy wykaz czynności przetwarzania, celów, podstaw prawnych i okresów przechowywania znajduje się w Rejestrze czynności przetwarzania (RCP) — odrębny dokument.
2.3. Dane szczególnych kategorii — szczególne wymogi
Ze względu na charakter działalności psychoterapeutycznej, Administrator przetwarza dane o najwyższym poziomie wrażliwości. Naruszenie ochrony tych danych może prowadzić do: stygmatyzacji i dyskryminacji, szkody psychicznej i emocjonalnej, naruszenia tajemnicy zawodowej i zaufania terapeutycznego, utraty reputacji, a w skrajnych przypadkach — zagrożenia bezpieczeństwa fizycznego osoby. W związku z tym Administrator stosuje podwyższone środki bezpieczeństwa opisane w niniejszej Polityce.
Podstawa prawna przetwarzania danych wrażliwych: art. 9 ust. 2 lit. a RODO (wyraźna zgodą klienta). Zgoda zbierana jest na piśmie przed rozpoczęciem terapii (formularz: Zgoda na przetwarzanie danych szczególnych kategorii — odrębny dokument).
Rozdział 3. Zasady przetwarzania danych
3.1. Podstawowe zasady (Art. 5 RODO)
Administrator przetwarza dane osobowe zgodnie z następującymi zasadami:
• zgodność z prawem, rzetelność i przejrzystość — dane przetwarzane na podstawie określonej w art. 6 i 9 RODO, z pełnym obowiązkiem informacyjnym;
• ograniczenie celu — dane zbierane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach;
• minimalizacja danych — przetwarzane są wyłącznie dane niezbędne do realizacji celu;
• prawidłowość — dane są aktualizowane w razie potrzeby;
• ograniczenie przechowywania — dane przechowywane nie dłużej niż to konieczne (patrz: Procedura retencji danych);
• integralność i poufność — dane chronione przed nieuprawnionym dostępem, utratą, zniszczeniem;
• rozliczalność — Administrator jest w stanie wykazać zgodność z powyższymi zasadami.
3.2. Okresy przechowywania danych
Szczegółowe okresy przechowywania danych osobowych zostały określone w Procedurze retencji danych (odrębny dokument). Dane, których dalsze przechowywanie nie jest uzasadnione, są usuwane w sposób trwały i bezpieczny.
3.3. Dostęp do danych na podstawie upoważnienia
Dostęp do danych osobowych mają wyłącznie osoby posiadające ważne upoważnienie nadane przez Administratora. Każda osoba upoważniona jest zobowiązana do zachowania poufności danych osobowych oraz sposobów ich zabezpieczenia — również po zakończeniu współpracy (bezterminowo).
Rozdział 4. Organizacja ochrony danych
4.1. Osoba odpowiedzialną
Za nadzorowanie przestrzegania przepisów o ochronie danych osobowych odpowiada osobiście Administrator: Agata Bednarek. Administrator nie powołał Inspektora Ochrony Danych (IOD). Uzasadnienie: ocena przesłanek z art. 37 ust. 1 RODO wykazała, ze główna działalność Administratora nie polega na przetwarzaniu na duża skalę danych szczególnych kategorii — jest to jednoosobowa praktyka psychoterapeutyczna z ok. 10 aktualnymi klientami (motyw 91 RODO wskazuje, ze przetwarzanie danych pacjentów przez indywidualnego terapeutę nie stanowi przetwarzania na duża skalę).
4.2. Podmioty przetwarzające (procesorzy)
Administrator korzysta z usług podmiotów przetwarzających dane w jego imieniu. Wykaz podmiotów, zakres powierzenia i status umów powierzenia znajdują się w Rejestrze umów o powierzenie przetwarzania danych osobowych (odrebny dokument). Z każdym podmiotem przetwarzającym zawierana jest umową powierzenia zgodna z art. 28 RODO (wzór: Umową powierzenia przetwarzania danych osobowych — odrebny dokument).
4.3. Postępowanie z naruszeniami
Zasady wykrywania, rejestrowania, oceny i zgłaszania naruszeń ochrony danych osobowych zostały określone w Procedurze zgłaszania incydentów (odrębny dokument). Każde naruszenie jest rejestrowane w Rejestrze naruszeń danych osobowych (odrębny dokument).
4.4. Realizacja praw osób
Zasady obsługi żądań osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, cofnięcie zgody) zostały określone w Procedurze realizacji praw osób (odrębny dokument). Żądania są rejestrowane w Rejestrze żądań osób, których dane dotyczą (odrębny dokument).
Rozdział 5. Środki ochrony danych — techniczne i organizacyjne
5.1. Ochrona fizyczną
Gabinet psychoterapeutyczny mieści się w lokalu pod adresem ul. Wieniawskiego 10, 71-144 Szczecin. Stosowane środki ochrony fizycznej:
• lokal zamykany na klucz — dostęp wyłącznie dla Administratora
• dokumentacja papierowa (notatki z sesji, zgody, korespondencja) przechowywana w szafie zamykanej na klucz;
• niszczarka dokumentów;
• ekran komputera ustawiony w sposób uniemożliwiający podgląd przez osoby trzecie.
5.2. Ochrona informatyczna
Stosowane środki ochrony informatycznej:
• polityka silnych haseł — unikalne, min. 12 znaków, wielkie/małe litery, cyfry, znaki specjalne; brak wymuszania cyklicznej zmiany (zgodnie z NIS2/NIST);
• menedżer haseł (aktualnie: przeglądarkowy; zalecany: dedykowany, np. Bitwarden);
• uwierzytelnianie dwuskładnikowe (2FA) — DO WDROZENIA W CIĄGU 14 DNI na: koncie pocztowym, Google, Facebook, ZnanyLekarz, panelu WordPress;
• szyfrowanie dysków (BitLocker) — DO WDROZENIA W CIĄGU 14 DNI;
• szyfrowanie transmisji danych (SSL/TLS) — poczta, stroną WWW, Google Meet;
• szyfrowanie urządzeń mobilnych (telefon, tablet) — wdrożone;
• PIN/hasło na wszystkich urządzeniach — min. 6 znaków;
• oprogramowanie antywirusowe / antymalware — DO WDROZENIA W CIĄGU 30 DNI;
• filtr poczty / ochroną przed phishingiem — DO WDROZENIA W CIĄGU 30 DNI;
• kopie zapasowe — automatyczny backup poczty e-mail;
• regularne aktualizacje systemu operacyjnego, przeglądarki i WordPress.
5.3. Strona internetową psychoterapeuta-cbt.pl
Strona internetową zabezpieczona certyfikatem SSL (https). Na stronie działa:
• baner cookies CookieYes — domyślnie odmowa cookies niezbędnych;
• formularz kontaktowy (Forminator) — z checkboxem zgody na przetwarzanie danych;
• Google Analytics (G-309LVM6JDL), Google Tag Manager (GTM-WVQS94XC), Google Ads (AW-17630389317), Facebook Pixel (ID: 1584469712243986) — narzędzia analityczne i marketingowe. UWAGA: baner CookieYes domyślnie blokuje wszystkie cookies niezbędne (opt-in), więc trackery nie uruchamiają się bez wyraźnej zgody użytkownika. Dane zbierane przez trackery to dane użytkowników strony (IP, cookies), NIE dane pacjentów z sesji terapeutycznych;
• WordPress z Elementor, WP Rocket — regularnie aktualizowane.
Klauzulę informacyjne i zgody na stronie zostały określone w dokumencie Klauzula informacyjna WWW (odrębny dokument).
5.4. Sesje psychoterapeutyczne online
Zasady prowadzenia sesji online, w tym wymagania techniczne, weryfikacja tożsamości, bezpieczeństwo, nagrywanie i obsługa incydentów, zostały określone w Procedurze prowadzenia sesji psychoterapeutycznych online (odrębny dokument). Platforma: Google Meet (wymóg: płatne konto Google Workspace z DPA).
5.5. Transfer danych poza EOG
W związku z korzystaniem z usług Google (Analytics, Ads, GTM, Meet/Workspace) oraz Meta (Facebook Pixel, Fanpage) dane osobowe mogą być przekazywane do Stanów Zjednoczonych. Transfer odbywa się na podstawie decyzji wykonawczej Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (DPF). Google LLC i Meta Platforms Inc. są certyfikowanymi uczestnikami DPF.
Dane dotyczące zdrowia psychicznego i inne dane wrażliwe z sesji terapeutycznych nie są przekazywane poza EOG.
Rozdział 6. Obowiązki informacyjne
Administrator realizuje obowiązek informacyjny wobec osób, których dane przetwarza, poprzez następujące klauzulę informacyjne (odrębne dokumenty):
• Klauzula informacyjna ogólna;
• Klauzula informacyjna dla klientów (pacjentów) — z informacja o danych wrażliwych Art. 9;
• Klauzula informacyjna WWW ;
• Klauzula informacyjna Art. 14 — dane ze źródeł pośrednich (SPZOZ Starogard);
• Klauzula informacyjna — kontakt zdalny / teleporady.
Klauzula dla klientów/pacjentów przekazywana jest w formie papierowego formularza do podpisania przed rozpoczęciem terapii.
Rozdział 7. Analiza ryzyka
Administrator przeprowadził analizę ryzyka dla procesów przetwarzania danych osobowych. Ocena ogólna ryzyka: NISKIE. Główne ryzyka: fizyczne bezpieczeństwo notesu z notatkami.
Ocena obowiązku DPIA: nie jest wymagana (motyw 91 RODO — jednoosobowa praktyka, mała skala przetwarzania).
Rozdział 8. Postanowienia końcowe
1. Niniejsza Polityka Bezpieczeństwa wchodzi w życie z dniem 1 października 2026 r.
2. Wszelkie zmiany w Polityce wymagają formy pisemnej lub dokumentowej.
3. Polityka podlega przeglądowi co najmniej raz w roku oraz po każdym istotnym incydencie naruszenia ochrony danych lub istotnej zmianie w zakresie przetwarzania.
4. Za stosowanie i aktualizacje Polityki odpowiada osobiście Administrator: Agata Bednarek.