Notatka z sesji psychoterapeutycznej to prawdopodobnie najbardziej intymny dokument, jaki powstaje w jakimkolwiek gabinecie. Jej wyciek nie kończy się mandatem, tylko realną krzywdą pacjenta i końcem zaufania do gabinetu. Jednocześnie wiele praktyk prowadzi te notatki w zeszycie, w pliku Word na prywatnym laptopie albo w notatniku telefonu. To zestawienie trzeba naprawić.

Tajemnica zawodowa i RODO, dwa różne obowiązki

Psychologa wiąże tajemnica zawodowa wynikająca z ustawy o zawodzie psychologa oraz zasad etyki, a niezależnie od tego przepisy o ochronie danych. To nie to samo:

• tajemnica zawodowa mówi, komu wolno ujawnić treść, i co do zasady odpowiedź brzmi: nikomu, poza wyjątkami przewidzianymi prawem,
• RODO mówi, jak technicznie i organizacyjnie te dane zabezpieczyć, żeby nie wyciekły przypadkiem.

Dane o zdrowiu psychicznym należą do szczególnych kategorii danych (art. 9 RODO), więc obowiązują tu podwyższone wymagania techniczne, tak samo jak w gabinecie lekarskim. Kontekst prawny rozpisaliśmy w tekście Dokumenty firmowe w chmurze a RODO.

Co warto rozdzielić w dokumentacji

Praktyczne rozwiązanie stosowane w wielu gabinetach to rozdzielenie dwóch warstw:

• dokumentacja formalna: dane identyfikacyjne, zgody, kontrakt terapeutyczny, daty i rozliczenia sesji, wystawione opinie i zaświadczenia,
• notatki robocze terapeuty: hipotezy, przebieg procesu, materiał z sesji.

Trzymanie ich w osobnych folderach ma sens praktyczny. Gdy sąd albo pacjent zwróci się o wydanie dokumentacji, łatwiej ustalić zakres. Ma też sens techniczny, bo księgowa czy asystentka mogą mieć dostęp do warstwy formalnej, nie mając wglądu w treść sesji. Jak nadać takie uprawnienia, opisujemy w poradniku Uprawnienia do plików w firmie.

Terapia online i pliki, które po niej zostają

Sesje zdalne wygenerowały nową kategorię danych: nagrania, transkrypcje, czaty, pliki przesyłane przez pacjenta. Trzy zasady, które warto ustalić przed pierwszą sesją online:

• nagrywasz tylko za wyraźną, udokumentowaną zgodą, i tylko wtedy, gdy naprawdę jest potrzebne,
• nagranie nie zostaje na komputerze ani w chmurze komunikatora, tylko trafia do zabezpieczonego repozytorium gabinetu,
• ustal okres przechowywania i faktycznie usuwaj po jego upływie.

Osobna uwaga o sztucznej inteligencji: wklejanie fragmentów sesji do publicznych narzędzi AI, żeby wygenerować podsumowanie, jest ujawnieniem danych podmiotowi trzeciemu. Dlaczego to ryzykowne i jak z AI korzystać rozsądnie, tłumaczymy w tekście Sztuczna inteligencja a poufność danych firmowych.

Prywatny laptop i telefon, czyli największe ryzyko

Typowy gabinet jednoosobowy pracuje na jednym laptopie, który jeździ między domem a gabinetem. Ryzyka są trzy: kradzież, awaria i automatyczna kopia zapasowa do prywatnej chmury zdjęć. Minimum, które warto wdrożyć:

• szyfrowanie dysku laptopa i blokada ekranu,
• dokumenty trzymane w firmowym repozytorium, nie na pulpicie,
• oddzielenie konta prywatnego od zawodowego, żeby zdjęcie testu nie wpadło do galerii rodzinnej,
• uwierzytelnianie dwuskładnikowe, opisane w tekście Dwuskładnikowe uwierzytelnianie w firmie.

Jak to działa w eDysko

W eDysko dokumentacja leży w szyfrowanej chmurze w UE, a nie na laptopie. Foldery pacjentów możesz rozdzielić na warstwę formalną i notatki, nadając dostęp osobno. Konto zabezpieczysz drugim składnikiem logowania, a każdy plik ma historię wersji i kosz z retencją, więc przypadkowe skasowanie notatki nie oznacza jej utraty. Opinię czy zaświadczenie przekażesz linkiem z hasłem, zamiast wysyłać załącznik mailem. Sprawdź cennik albo wypróbuj 14 dni za darmo.

Najczęstsze pytania

Jak długo przechowywać dokumentację psychologiczną?

Nie ma jednego uniwersalnego terminu dla wszystkich form praktyki. Gdy działasz jako podmiot leczniczy, stosujesz okresy z ustawy o prawach pacjenta. W praktyce pozamedycznej okres wyznacza cel przetwarzania oraz terminy przedawnienia ewentualnych roszczeń. Kluczowe jest ustalenie tego terminu na piśmie i konsekwentne usuwanie danych po jego upływie.

Co gdy sąd zwraca się o dokumentację?

Tajemnica zawodowa ma wyjątki określone przepisami i to one wyznaczają zakres ujawnienia. Uporządkowana dokumentacja z rozdzieleniem warstwy formalnej od notatek roboczych bardzo ułatwia odpowiedź na takie pismo bez ujawniania więcej niż trzeba.

Czy papierowy zeszyt jest bezpieczniejszy niż chmura?

Zeszyt nie ma kopii zapasowej, nie da się go zaszyfrować i wystarczy jedna kradzież torby, żeby stracić wszystko bez śladu. Dobrze zabezpieczona chmura z szyfrowaniem i kontrolą dostępu jest bezpieczniejsza, pod warunkiem stosowania mocnego hasła i drugiego składnika logowania.