Adatkezelési tájékoztató pszichológusoknak — Letölthető minta és soronkénti magyarázat
A pszichológus adatkezelési tájékoztató az a dokumentum, amelyben a GDPR 13. cikke alapján még az adatgyűjtés előtt elmondod a kliensnek, ki vagy, milyen adatait kezeled, miért, milyen jogalapon, meddig, kinek adod tovább, és milyen jogai vannak. Minden magánpraxisnak kötelező, nem opció, és nem helyettesíti a beleegyező nyilatkozat sem.
Ebben a cikkben soronként végigmegyünk a kötelező elemeken, megnézzük, hol és mikor kell átadnod a tájékoztatót, milyen hibákat követnek el a legtöbben, és mikor kell frissíteni. A végén letölthető, magyar nyelvű, kitölthető sablont találsz, ellenőrző listával és gyakori kérdésekkel. Ez a cikk tájékoztató jellegű, nem minősül jogi tanácsnak.
Miben más az adatkezelési tájékoztató, mint a beleegyező nyilatkozat?
Ez a két dokumentum a praxisokban gyakran összecsúszik, pedig két külön jogi funkciót tölt be. A tájékoztató egyirányú: te közlöd, mi történik az adatokkal. A hozzájárulás kétirányú: a kliens dönt, és aktívan igent mond valamire.
Tájékoztatás vs. hozzájárulás
Az adatkezelési tájékoztató a GDPR 13. cikke szerinti közlési kötelezettséged: akkor is kötelező, ha egyáltalán nem kérsz hozzájárulást, mert más jogalapon (például szerződés vagy egészségügyi ellátás) kezelsz adatot. A beleegyező nyilatkozat ezzel szemben a GDPR 6. és 9. cikke szerinti jogalap egyik formája: a kliens kifejezett hozzájárulása a terápiához és a különleges adatai kezeléséhez. A kettő kiegészíti egymást: a hozzájárulás csak akkor érvényes, ha előtte megfelelő tájékoztatást kapott a kliens. A hozzájárulásról részletesen itt írtunk: Beleegyező nyilatkozat terápiához, az adatvédelem általános kereteiről pedig itt: GDPR útmutató terapeutáknak.
| Szempont | Adatkezelési tájékoztató | Beleegyező nyilatkozat |
|---|---|---|
| Jogi alap | GDPR 12–13. cikk (tájékoztatási kötelezettség) | GDPR 6. és 9. cikk (hozzájárulás mint jogalap) |
| Irány | Egyirányú közlés | Kétirányú, aláírt döntés |
| Kell hozzá aláírás? | Nem, csak az átadás igazolása | Igen, kifejezett, dokumentált |
| Mikor kötelező? | Mindig, minden kliensnél | Ha hozzájárulás a jogalap, illetve a terápiához |
| Hol jelenik meg? | Weboldal, foglalóoldal, rendelő, e-mail | Első ülés előtt, személyesen vagy e-aláírással |
Kinek kötelező a pszichológus adatkezelési tájékoztató, és mikor kell átadni?
Röviden: mindenkinek, aki természetes személyek adatait kezeli szakmai tevékenysége során. Ez a pszichológus, pszichoterapeuta, tanácsadó, coach, mentálhigiénés szakember egyaránt, függetlenül attól, hogy egyéni vállalkozóként, KATA-s vagy céges formában dolgozik, és attól is, hogy egészségügyi szolgáltatónak minősül-e. Amint egy leendő kliens beírja a nevét egy űrlapba vagy elküld egy e-mailt, már adatot kezelsz.
A GDPR 13. cikke szerint a tájékoztatást az adatok megszerzésekor kell megadni, tehát nem az első ülés végén, hanem az adatgyűjtés pillanatában vagy azt megelőzően. A gyakorlatban ez három tipikus pontot jelent.
Első kapcsolatfelvétel
Ha a kliens e-mailben vagy telefonon jelentkezik, már a válaszban linkeld vagy csatold a tájékoztatót. Egy mondat elég: „A megkeresésével kapcsolatos adatkezelésről itt olvashat.”
Weboldal
Ha a honlapodon kapcsolati űrlap, hírlevél-feliratkozás vagy akár csak analitika fut, a tájékoztatónak elérhetőnek kell lennie már az űrlap kitöltése előtt, jellemzően a lábléc linkjéből és az űrlap alatti jelölőnégyzet mellől.
Foglalóoldal
Az online időpontfoglalás a legtöbb praxisban a legelső adatgyűjtési pont: név, e-mail, telefonszám, gyakran a probléma rövid leírása is. A foglalás elküldése előtt a kliensnek látnia kell, hogy a tájékoztató létezik és hol éri el.
Mit kell tartalmaznia soronként a tájékoztatónak?
A GDPR 13. cikke tételesen felsorolja a kötelező elemeket. Az alábbiakban ezeket vesszük végig, mindegyiknél azzal, hogy egy pszichológiai praxisban konkrétan mit jelent.
1. Az adatkezelő adatai
Neved (vagy céged neve), székhelyed, adószámod, e-mail-címed, telefonszámod, weboldalad. Ha van adatvédelmi tisztviselőd, az ő elérhetősége is; a legtöbb egyéni praxisnak nem kötelező tisztviselőt kijelölnie, de ha bizonytalan vagy, ezt érdemes jogásszal tisztázni.
2. A kezelt adatok köre és kategóriái
Sorold fel, milyen adatokat gyűjtesz, és különítsd el a különleges adatokat. Tipikus kategóriák: azonosító adatok (név, születési dátum), kapcsolattartási adatok (e-mail, telefon), számlázási adatok (cím, adószám), egészségügyi adatok (panaszok, diagnózis, ülésjegyzetek, tesztek eredményei), valamint technikai adatok (IP-cím, sütik), ha weboldalt üzemeltetsz. A pszichológiai állapotra vonatkozó adat a GDPR 9. cikke szerint különleges adatnak minősül, ezt külön ki kell mondani.
3. Az adatkezelés céljai és jogalapjai
Minden célhoz tartozzon jogalap. A gyakorlatban a leggyakoribb párosítások: kapcsolatfelvétel és időpontfoglalás — szerződés előkészítése (GDPR 6. cikk (1) b) pont); számlázás — jogi kötelezettség (GDPR 6. cikk (1) c) pont); a terápiás munka során keletkező egészségügyi adatok — a GDPR 9. cikk (2) bekezdése szerinti valamelyik kivétel, jellemzően a kifejezett hozzájárulás (a) pont) vagy az egészségügyi ellátás (h) pont), attól függően, hogy egészségügyi szolgáltatóként működsz-e. Ez a pont az, amit mindenképpen jogásszal érdemes átnézetni, mert az egész tájékoztató erre épül.
GDPR 9. cikk — különleges adatok
A mentális egészségre vonatkozó adatok kezelése főszabály szerint tilos, és csak a 9. cikk (2) bekezdésében felsorolt kivételek valamelyike alapján megengedett. Pszichológiai praxisban ez általában a kifejezett hozzájárulás vagy az egészségügyi ellátáshoz kapcsolódó kezelés. A tájékoztatóban nem elég annyit írni, hogy „különleges adatokat kezelünk”: meg kell nevezni, melyik kivétel alapján teszed.
4. Megőrzési idő
Adatkategóriánként add meg, meddig tárolod az adatot, vagy legalább azt, milyen szempont alapján határozod meg az időtartamot. Számlák és bizonylatok esetén a számviteli törvény 8 éves megőrzést ír elő. Ha egészségügyi szolgáltatóként vezetsz dokumentációt, az egészségügyi adatok kezeléséről szóló 1997. évi XLVII. törvény jóval hosszabb, évtizedes megőrzést ír elő, aminek a pontos időtartamát a saját praxisod besorolása alapján ellenőrizd. A kapcsolatfelvételi adatok, ha nem lesz belőle ügyfélkapcsolat, jellemzően néhány hónapon belül törölhetők. A „korlátlan ideig” kifejezés nem elfogadható.
5. Adatfeldolgozók
Minden külső szolgáltató, aki a nevedben adatot kezel, adatfeldolgozó a GDPR 28. cikke szerint. Egy tipikus praxisban ez: számlázóprogram (például Billingo vagy Számlázz.hu), naptár és foglalórendszer, e-mail-szolgáltató, praxiskezelő szoftver, felhőtárhely, videóhívás-platform online üléseknél, könyvelő. Nevezd meg őket cégnévvel és azzal, milyen adatot és milyen célból kezelnek. Ez az a pont, amit a legtöbb sablon üresen hagy.
6. Adattovábbítás harmadik országba
Ha bármelyik szolgáltatód az EU-n kívül (jellemzően az Egyesült Államokban) tárol vagy dolgoz fel adatot, ezt jelezni kell, és meg kell nevezni a továbbítás garanciáját (például az Európai Bizottság megfelelőségi határozata vagy általános szerződési feltételek). Ez tipikusan a nagy e-mail-, naptár- és videóhívás-szolgáltatóknál merül fel. Ha kizárólag EU-s szervereken működő eszközöket használsz, írd le azt is, mert ez a kliensnek fontos információ.
7. Az érintett jogai
Sorold fel a GDPR 15–20. cikke szerinti jogokat közérthetően: hozzáférés (megtudhatja, mit kezelsz róla), helyesbítés, törlés, az adatkezelés korlátozása, adathordozhatóság, továbbá a 21. cikk szerinti tiltakozás. Írd le azt is, hogyan gyakorolhatja ezeket (például e-mailben), és hogy hozzájáruláson alapuló adatkezelésnél a hozzájárulás bármikor visszavonható, anélkül hogy az a korábbi adatkezelés jogszerűségét érintené.
8. Panasztételi jog a NAIH-nál
Kötelező elem: a kliens a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH) panaszt tehet, és bírósághoz is fordulhat. Add meg a hatóság nevét, weboldalát és elérhetőségét, az aktuális postacímet a NAIH honlapján ellenőrizd.
9. Automatizált döntéshozatal
A legtöbb praxisban nincs profilalkotás és nincs automatizált döntéshozatal. Ezt nem elég elhallgatni: egy mondatban ki kell jelenteni, hogy ilyen nem történik. Ha használsz például automatikus szűrőkérdőívet, amely önmagában eldönti, fogadsz-e valakit, az már ide tartozhat, és jogászi átnézést igényel.
10. Az adatszolgáltatás jellege
Jelezd, mely adatok megadása kötelező a szolgáltatás igénybevételéhez (például név a számlához), és mi a következménye, ha a kliens nem adja meg.
Hogyan tedd közzé az adatkezelési tájékoztatót a praxisodban?
A tájékoztatónak nemcsak léteznie kell, hanem bizonyíthatóan elérhetőnek is a megfelelő pillanatban. Három helyen érdemes egyszerre biztosítani.
Weboldal lábléce
Minden aloldalról elérhető, állandó link „Adatkezelési tájékoztató” felirattal. Külön oldalként is, ne csak PDF-ként.
Foglalóoldal
Az űrlap elküldése előtt jelenjen meg a link és egy jelölőnégyzet: „Az adatkezelési tájékoztatót elolvastam.” Ez nem hozzájárulás, hanem a tájékoztatás megtörténtének igazolása, ezért nem is szabad összemosni a terápiás beleegyezéssel.
Papíron a rendelőben
Egy nyomtatott példány a váróban vagy az első ülésen átadva azoknak is biztosítja a tájékoztatást, akik nem online jelentkeztek. Érdemes az első ülés dokumentumaihoz csatolni, és rögzíteni, hogy a kliens megkapta. Ha e-aláírással dolgozol, ugyanebben a folyamatban a beleegyező nyilatkozat is aláírható, és a két dokumentum egymás mellé kerül a kliens aktájában.
Milyen gyakori hibákat követnek el a pszichológusok az adatkezelési tájékoztatóban?
Általános internetes sablon másolása
Egy webshopra vagy blogra írt tájékoztatóban nincs szó különleges adatokról, egészségügyi jogalapról és titoktartásról. A másolt szöveg nemcsak hiányos, hanem félrevezető is: azt állítja, hogy csak „szokásos” adatokat kezelsz.
Hiányzó adatfeldolgozó-lista
Sok tájékoztató úgy fogalmaz, hogy „adatait harmadik félnek nem adjuk át”, miközben a számlázó, a naptár, az e-mail és a praxisszoftver mind adatfeldolgozó. Ez a mondat szinte soha nem igaz, és ellenőrzésnél azonnal kiderül.
„Korlátlan ideig” tárolás
A megőrzési idő hiánya vagy a „korlátlan” megfogalmazás a GDPR tárolási korlátozás elvébe ütközik. Ha a pontos időt nem tudod előre megmondani, írd le a meghatározás szempontját.
Csak e-mailben elküldött tájékoztató
Ha a tájékoztató egyetlen helye egy e-mail-melléklet, akkor az online foglaló, a weboldal látogatói és a személyesen érkezők nem kapják meg időben, és az átadás sem bizonyítható. Az e-mail kiegészítés, nem egyedüli csatorna.
Érthetetlen jogi nyelv
A GDPR 12. cikke tömör, átlátható, közérthető megfogalmazást ír elő. Egy szorongó kliensnek világos mondatok kellenek, a paragrafus mehet zárójelbe utánuk.
Mikor kell frissíteni az adatkezelési tájékoztatót?
A tájékoztató élő dokumentum. Frissítened kell, ha új adatfeldolgozót veszel igénybe (átállsz másik számlázóra, bevezetsz praxisszoftvert vagy online foglalót), ha új szolgáltatást indítasz (online ülések, csoportterápia, hírlevél), ha megváltozik a működési formád (egyéni vállalkozóból cég, egészségügyi szolgáltatói engedély megszerzése), ha változik a megőrzési gyakorlatod, vagy ha jogszabály vagy hatósági iránymutatás változik. Ezen felül érdemes évente egyszer átnézni akkor is, ha semmi nem változott, és a dokumentumon feltüntetni a hatálybalépés dátumát és a verziószámot. A korábbi verziókat őrizd meg, hogy bizonyítani tudd, egy adott időpontban mi volt érvényben.
Sablon előnézet
Az alábbi minta tájékoztató jellegű — nem minősül jogi tanácsnak. Minden esetben ajánlott jogásszal átnézetni.
Adatkezelési tájékoztató sablon pszichológusoknak
Magyar nyelvű, kitölthető adatkezelési tájékoztató magánpraxist vivő pszichológusoknak és terapeutáknak, a GDPR 13. cikk szerinti kötelező elemekkel — ingyenes.
Nem szükséges regisztráció · Azonnal elérhető
Ellenőrző lista: kész az adatkezelési tájékoztatód?
Gyakori kérdések
Kötelező aláíratni az adatkezelési tájékoztatót?
Nem, a tájékoztató nem hozzájárulás, ezért aláírás nem szükséges hozzá. Azt viszont bizonyítanod kell, hogy a kliens megkapta, ezért érdemes egy jelölőnégyzettel, átvételi rögzítéssel vagy az első ülés dokumentumaihoz csatolva igazolni. A beleegyező nyilatkozatot ezzel szemben alá kell írni.
Elég, ha csak a weboldalamon van fent a tájékoztató?
Csak akkor, ha minden kliensed a weboldalon keresztül érkezik, és az űrlap előtt látja a linket. Aki telefonon vagy ajánlásra jön, annak külön kell átadnod, e-mailben vagy papíron, még az adatgyűjtés előtt. A biztos megoldás a három csatorna együtt: weboldal, foglalóoldal, rendelő.
Mi a különbség a jogalap és a cél között?
A cél az, amiért az adatot kezeled (például számlázás, terápiás dokumentáció), a jogalap pedig az a GDPR-ban felsorolt ok, ami ezt megengedi (például jogi kötelezettség, szerződés, kifejezett hozzájárulás). A tájékoztatóban minden célhoz pontosan egy jogalapot rendelj, és a különleges adatoknál a 9. cikk szerinti kivételt is nevezd meg.
Kell adatvédelmi tisztviselőt kijelölnöm egyéni praxisban?
Az egyéni praxisok többsége nem kötelezett tisztviselő kijelölésére, mert a különleges adatok kezelése nem nagymértékű. A határ azonban értelmezés kérdése, és nagyobb csoportpraxisnál vagy több telephelynél már felmerülhet. Ha bizonytalan vagy, kérd ki jogász véleményét, és a tájékoztatóban mindenképpen adj meg egy adatvédelmi kapcsolattartót.
Meddig őrizhetem meg a kliens adatait a terápia lezárása után?
Adatkategóriánként eltérően: a számlákat a számviteli törvény szerint 8 évig, az egészségügyi dokumentációt az 1997. évi XLVII. törvény szerint ennél jóval hosszabb ideig, ha egészségügyi szolgáltatóként működsz. A kapcsolatfelvételi adatokat, ha nem lett belőle kliensviszony, rövid időn belül töröld. A pontos időket a saját praxisod besorolása alapján ellenőrizd, és ezeket írd bele a tájékoztatóba.
GDPR-dokumentumok, amelyek a praxisodhoz készültek
A PRAXINGO beépített adatkezelési tájékoztató- és beleegyezőnyilatkozat-sablonjai pszichológusoknak készültek, a kliens e-aláírással fogadja el őket, és a dokumentum automatikusan a titkosított kliensaktába kerül.
Ingyenes Próba Indítása