Jeśli prowadzisz sesje coachingowe, lekcje online albo konsultacje przez internet, jesteś administratorem danych osobowych.
Jeśli prowadzisz sesje coachingowe, lekcje online albo konsultacje przez internet, jesteś administratorem danych osobowych. Brzmi groźnie, ale to po prostu fakt: zbierasz imię i nazwisko klienta, adres e-mail, czasem numer telefonu, notatki z sesji, a przy pracy z dziećmi (nauczyciele, korepetytorzy) dodatkowo dane rodziców i informacje o postępach w nauce. To wszystko podlega RODO, niezależnie od tego, czy prowadzisz jednoosobową działalność, czy pracujesz w szkole.
Wielu trenerów i lektorów traktuje RODO jako problem "dla korporacji" albo coś, co dotyczy wyłącznie dużych firm przetwarzających tysiące rekordów. To błąd. Przepisy nie robią wyjątku dla małych praktyk. Jeśli prowadzisz sesje 1:1 z klientami i zapisujesz ich dane w kalendarzu, w arkuszu Excel albo w narzędziu do wideokonferencji, jesteś tak samo objęty obowiązkami jak duża firma szkoleniowa.
Co istotne, samo narzędzie, którego używasz do prowadzenia sesji, też ma znaczenie prawne. Dostawca platformy do wideokonferencji pełni rolę podmiotu przetwarzającego dane w rozumieniu art. 28 RODO, a to oznacza, że musisz mieć z nim zawartą udokumentowaną umowę powierzenia przetwarzania danych. Nieważne, czy to darmowa wersja jakiegoś narzędzia, czy płatny plan biznesowy. Jeśli dane osobowe Twoich klientów przepływają przez czyjeś serwery, ten ktoś musi mieć z Tobą podpisaną umowę.
Niektórzy trenerzy pytają: "ale ja tylko prowadzę rozmowy głosowe, nie zapisuję nic". Otóż samo połączenie wideo już generuje dane: adres IP uczestnika, czas trwania sesji, czasem nagranie, jeśli funkcja nagrywania jest domyślnie włączona. To też są dane osobowe w rozumieniu przepisów.
Tutaj wielu prowadzących ma białą plamę. Wyobraź sobie typową sesję coachingową: klient loguje się linkiem, włącza kamerę, rozmawiacie 50 minut, na koniec robisz notatkę w swoim systemie CRM. Ile danych tak naprawdę powstało?
Po pierwsze, dane identyfikacyjne: imię, nazwisko, adres e-mail użyty do rejestracji. Po drugie, dane wrażliwe, jeśli pracujesz jako terapeuta lub konsultant zdrowia psychicznego, bo rozmowy mogą dotyczyć stanu emocjonalnego, relacji, sytuacji rodzinnej. Po trzecie, dane techniczne: adres IP, lokalizacja, urządzenie z jakiego ktoś się łączył. Po czwarte, ewentualne nagranie sesji, jeśli takie robisz do celów szkoleniowych albo żeby klient mógł wrócić do materiału.
Nauczyciel prowadzący lekcję dla klasy ma jeszcze inny problem: w jednej sesji online może mieć piętnaścioro dzieci, każde z innym rodzicem jako opiekunem prawnym, i teoretycznie każde z tych dzieci generuje osobny zestaw danych. Lektor języka obcego pracujący z grupą firmową dodatkowo przetwarza dane pracowników innej firmy, co komplikuje sprawę o kolejny poziom odpowiedzialności.
Korepetytor tłumaczący zadanie z matematyki może wydawać się najbezpieczniejszym przypadkiem, bo przecież "tylko uczy". Ale i tu, jeśli zapisuje nagrania lekcji albo prowadzi notatnik z ocenami i uwagami o uczniu, tworzy zbiór danych osobowych, który podlega tym samym zasadom co każdy inny.
Sedno sprawy jest takie: nie chodzi o to, żeby bać się każdej sesji online. Chodzi o świadomość, jakie dane faktycznie krążą, i wybór narzędzia, które nie utrudnia Ci ich ochrony, tylko pomaga.
Dobry przykład tego, jak poważnie traktować ten temat, dał Uniwersytet Warszawski. Uczelnia jasno wskazała, że korzystanie z aplikacji do wideokonferencji bez zawartej umowy powierzenia przetwarzania danych uniemożliwia spełnienie zasady rozliczalności z art. 5 ust. 2 RODO. Innymi słowy: nawet jeśli nic złego się nie stanie, sam brak takiej umowy już jest naruszeniem, bo nie potrafisz wykazać, że dane są chronione zgodnie z przepisami.
Umowa powierzenia musi mieć formę pisemną lub elektroniczną, zgodnie z art. 28 ust. 9 RODO. Jej brak albo nieprawidłowa treść może prowadzić do wysokich kar finansowych. Problem w tym, że wielu prowadzących sesje online w ogóle nie sprawdza, czy dostawca narzędzia taką umowę oferuje. Klikają "akceptuję regulamin" i jadą dalej.
A to jest właśnie moment, w którym warto się zatrzymać. Sprawdzenie, czy platforma ma gotowy wzór umowy powierzenia (często dostępny do pobrania w panelu konta albo na stronie z dokumentami prawnymi), zajmuje kilka minut. Brak takiego dokumentu powinien być czerwoną flagą.
Drugi element, o którym mało kto pamięta: jeśli korzystasz z zagranicznego dostawcy wideokonferencji, musisz sprawdzić, czy przekazuje dane poza Unię Europejską i czy ma odpowiednie mechanizmy transferu, na przykład standardowe klauzule umowne. Wielu popularnych narzędzi ma serwery w Stanach Zjednoczonych, co samo w sobie nie jest zakazane, ale wymaga dodatkowej weryfikacji z Twojej strony jako administratora danych.
Z tego powodu polskie narzędzia, takie jak ClickBoard, mają pewną naturalną przewagę: dane zostają w Unii Europejskiej, a cała konstrukcja produktu jest od początku projektowana pod kątem zgodności z RODO. To nie znaczy, że zagraniczne platformy są automatycznie złe, ale sprawdzenie tego elementu to obowiązek, a nie opcja.
Skala kar bywa zaskakująca nawet dla osób, które śledzą temat od lat. Zgodnie z art. 83 RODO, naruszenia przepisów o ochronie danych podlegają karze do 20 milionów euro lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa, przy czym stosuje się kwotę wyższą. To górna granica dla dużych organizacji, ale pokazuje powagę systemu.
W Polsce rekordową karę, 27 milionów złotych, otrzymała Poczta Polska za nielegalne przetwarzanie danych osobowych około 30 milionów obywateli w związku z tak zwanymi wyborami kopertowymi w 2020 roku. W 2025 roku Urząd Ochrony Danych Osobowych nałożył łącznie ponad 64 miliony złotych kar, w tym trzy najwyższe sankcje w historii RODO w Polsce: wspomnianą Pocztę Polską, ING Bank Śląski (18,4 miliona złotych) oraz McDonald's Polska (16,9 miliona złotych).
Oczywiście trener prowadzący sesje 1:1 nie zapłaci milionów, bo skala jego działalności jest inna. Ale warto wiedzieć, że w 2024 roku najwyższa administracyjna kara pieniężna nałożona przez Prezesa UODO wyniosła ponad 4 miliony złotych za niezawiadomienie o naruszeniu osób, których dane zostały nim objęte. Łącznie wydano wtedy 20 decyzji na 24 podmioty, na sumę prawie 14 milionów złotych. To pokazuje, że nawet mniejsze podmioty są kontrolowane i karane, nie tylko giganci.
Jest jeszcze jeden obowiązek, o którym często się zapomina: administrator, który stwierdził naruszenie ochrony danych osobowych, ma 72 godziny na zgłoszenie tego Prezesowi UODO od momentu stwierdzenia naruszenia. Jeśli Twoje narzędzie do sesji online zostanie zhakowane albo dane klientów wyciekną z powodu słabego zabezpieczenia platformy, to Ty, jako administrator, musisz to zgłosić w tym terminie. Nie dostawca narzędzia, tylko Ty.
Urząd Ochrony Danych Osobowych opublikował wytyczne dotyczące ochrony danych podczas wideokonferencji, wskazując konkretne elementy, na które warto zwrócić uwagę przy wyborze platformy. Oto praktyczna lista rzeczy do sprawdzenia, zanim podpiszesz się pod jakimkolwiek narzędziem na stałe:
Ten ostatni punkt jest szczególnie ważny dla lektorów i nauczycieli, którzy często nagrywają zajęcia, żeby uczniowie mogli wrócić do materiału. UODO wprost zaleca korzystanie z funkcji takich jak poczekalnia oraz ograniczenie dostępu do kamery i mikrofonu tylko do niezbędnych sytuacji, a także zarządzanie ustawieniami ekranu podczas wideokonferencji.
Warto też zwrócić uwagę na to, jak wygląda proces dołączania uczestnika. Jeśli klient musi zakładać konto, podawać dodatkowe dane, akceptować regulaminy dostawcy, to rośnie liczba miejsc, gdzie jego dane mogą trafić. Narzędzia, w których uczestnik dołącza po prostu przez link albo kod PIN, bez zakładania konta, ograniczają ilość zbieranych danych do minimum, co jest zgodne z zasadą minimalizacji danych z RODO. ClickBoard działa właśnie w ten sposób: uczestnik wchodzi w przeglądarce, bez instalowania czegokolwiek, bez zakładania konta, co realnie zmniejsza powierzchnię ryzyka.
Złą praktyką jest korzystanie z pierwszego lepszego darmowego narzędzia do wideokonferencji bez sprawdzenia, gdzie trzymane są dane i czy w ogóle istnieje możliwość podpisania umowy powierzenia. Znam sytuacje, w których trenerzy prowadzili sesje przez narzędzia stworzone głównie do rozmów towarzyskich, bez żadnych zabezpieczeń typu poczekalnia, co skutkowało tym, że przypadkowe osoby mogły dołączyć do linku, jeśli został on udostępniony w niewłaściwy sposób.
Inny częsty błąd: nagrywanie sesji "na wszelki wypadek" bez informowania o tym klienta i bez jasnej polityki, jak długo takie nagranie będzie przechowywane. Terapeuta czy konsultant, który nagrywa rozmowę zawierającą dane wrażliwe, a potem trzyma ją bezterminowo na dysku Google bez szyfrowania, naraża się na poważne konsekwencje w razie wycieku.
Dobrą praktyką jest z kolei stworzenie prostego, jednostronicowego dokumentu dla klientów: jakie dane zbierasz, w jakim celu, jak długo je przechowujesz, i z kim je ewentualnie dzielisz (na przykład z dostawcą narzędzia do sesji online). To nie musi być skomplikowany dokument prawniczy, wystarczy jasna, uczciwa informacja.
Coach pracujący 1:1 może na przykład na początku współpracy wysłać klientowi krótką notatkę: "Sesje prowadzę przez [nazwa narzędzia], nagrywam je tylko za Twoją zgodą, notatki przechowuję w zaszyfrowanym systemie, usuwam je rok po zakończeniu współpracy". To buduje zaufanie i jednocześnie spełnia obowiązek informacyjny wynikający z RODO.
Nauczyciel prowadzący lekcje dla klasy powinien z kolei upewnić się, że szkoła (jako administrator danych uczniów) ma podpisaną umowę powierzenia z dostawcą narzędzia, którego używa do prowadzenia zajęć. To akurat zwykle leży po stronie placówki, ale warto to zweryfikować, zamiast zakładać, że "ktoś to na pewno załatwił".
Tak, nagrywanie sesji wymaga wyraźnej, dobrowolnej zgody osoby, której dane są rejestrowane. Najlepiej poprosić o taką zgodę przed rozpoczęciem nagrywania i jasno poinformować, jak długo nagranie będzie przechowywane oraz do czego zostanie wykorzystane.
Same w sobie mogą być zgodne, ale to zależy od konkretnego dostawcy i jego polityki przetwarzania danych. Kluczowe jest sprawdzenie, czy oferują umowę powierzenia przetwarzania danych oraz gdzie fizycznie znajdują się serwery, na których przechowywane są dane uczestników.
Konsekwencje zależą od skali i charakteru naruszenia, ale mogą obejmować kary administracyjne nakładane przez Urząd Ochrony Danych Osobowych, a w skrajnych przypadkach roszczenia cywilne ze strony osób, których dane zostały naruszone. Zgodnie z art. 83 RODO maksymalna kara może sięgać 20 milionów euro lub 4% obrotu firmy, choć w praktyce dla małych działalności kwoty są znacznie niższe, ale wciąż dotkliwe.
Sprawdź, czy dostawca udostępnia gotową umowę powierzenia przetwarzania danych, gdzie znajdują się jego serwery i czy uczestnicy mogą dołączać bez zakładania konta. Warto też zwrócić uwagę na dostępność funkcji takich jak poczekalnia czy kontrola dostępu do kamery i mikrofonu, które UODO wskazuje jako dobre praktyki przy organizacji wideokonferencji.
Więcej materiałów z tej samej kategorii.
Retencja danych to nie urzędniczy termin z ulotki RODO, tylko konkretna decyzja, która wpływa na bezpieczeństwo klientów każdego trenera, co...
Nagrywanie sesji coachingowej, lekcji online czy warsztatu grupowego brzmi jak prosta formalność, dopóki nie okaże się, że złamałeś zasady R...
Terapia online to dziś dla wielu terapeutów codzienność, a nie dodatek do pracy gabinetowej, jednak brak fizycznych ścian gabinetu oznacza z...
Załóż konto, przygotuj swoją tablicę i rozpocznij pierwszą sesję bez instalacji po stronie uczestnika.
Wypróbuj ClickBoard za darmo