Jak bezpiecznie przechowywać notatki z psychoterapii i ograniczać ryzyko naruszenia RODO

Nie istnieje sposób, który zapewnia stuprocentowe bezpieczeństwo notatek z psychoterapii. Ryzyko można jednak wyraźnie ograniczyć: zbierać mniej danych, przechowywać je w mniejszej liczbie miejsc, rozdzielić informacje kliniczne od administracyjnych i nadawać dostęp tylko osobom, które rzeczywiście go potrzebują.

W praktyce problem często nie zaczyna się od włamania do systemu. Wrażliwe informacje mogą pojawić się w nazwie wydarzenia w kalendarzu, podglądzie SMS-a, temacie wiadomości, tytule przelewu albo zdjęciu papierowej notatki. Każdy taki kanał tworzy kolejną kopię danych i kolejną możliwość pomyłki.

Poniższe wskazówki mają charakter organizacyjny. Nie zastępują analizy prawnej dotyczącej obowiązków konkretnego gabinetu, zawodu, rodzaju prowadzonej dokumentacji ani podstawy przetwarzania danych.

Zacznij od minimalizacji danych w kalendarzu i wiadomościach

Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych. Nie powinny trafiać do kalendarza, przypomnienia ani korespondencji tylko dlatego, że ułatwiają terapeucie rozpoznanie sprawy.

Wyobraź sobie prostą sytuację: klient odwołuje spotkanie, w kalendarzu widnieje wpis z diagnozą, a wcześniejsza wiadomość zawiera informację o kryzysie. Jedna sprawa administracyjna pozostawia wtedy ślad w kalendarzu, telefonie, skrzynce pocztowej i kopiach zapasowych. Część tych treści może być widoczna na ekranie blokady albo zsynchronizowana z prywatnym urządzeniem.

Ryzyko ograniczają trzy podstawowe zasady:

• Neutralne nazwy w kalendarzu i przypomnieniach. Stosuj identyfikator, inicjały albo inne oznaczenie wystarczające do organizacji pracy. Nie wpisuj diagnozy, powodu wizyty ani tematu sesji. W przypomnieniu zwykle wystarczą data, godzina, miejsce lub link do spotkania online.
• Jedno miejsce do obsługi administracyjnej. Terminy, odwołania, statusy płatności i ustalenia organizacyjne powinny być prowadzone w spójnym procesie. Ogranicza to przepisywanie tych samych informacji do SMS-ów, e-maili i prywatnych notatników.
• Dostęp odpowiedni do obowiązków. Osoba obsługująca grafik może potrzebować danych kontaktowych, terminu i statusu płatności, ale nie treści sesji ani informacji o rozpoznaniu.

Warto przeprowadzić prosty audyt: sprawdzić kalendarz, wiadomości, komunikatory, formularze rezerwacji, historię płatności, nazwy plików i notatki w telefonie. W każdym z tych miejsc należy zadać pytanie, czy dana informacja jest niezbędna do realizacji konkretnego celu.

Najłatwiej chronić dane, których nie skopiowano do kolejnego systemu, urządzenia lub kanału komunikacji.

CaReMe umożliwia prowadzenie rezerwacji online, kalendarza, przypomnień oraz statusów płatności w jednym systemie. Nie zwalnia to administratora danych z właściwej konfiguracji treści komunikatów, uprawnień i zasad pracy. Informacje o systemie są dostępne na stronie CaReMe.

Oddziel informacje administracyjne od notatek dotyczących procesu terapii

W gabinecie powstają dane o różnym celu. Informacje administracyjne służą między innymi umawianiu wizyt, rozliczeniom i dokumentowaniu ustaleń organizacyjnych. Notatki dotyczące procesu terapii mogą natomiast obejmować obserwacje, hipotezy, cytaty oraz wątki dotyczące osób trzecich.

Rozdzielenie tych dwóch obszarów ogranicza zakres danych dostępnych w kalendarzu, systemie rezerwacji i korespondencji. Nie oznacza jednak, że notatka nazwana „własną” lub „roboczą” automatycznie przestaje podlegać RODO albo innym obowiązkom. Znaczenie mają między innymi jej treść, cel, sposób wykorzystania, możliwość przypisania do konkretnej osoby oraz przepisy dotyczące danego zawodu i rodzaju dokumentacji.

Po sporządzeniu wpisu warto zadać dwa pytania:

• Czy ta informacja jest potrzebna do umówienia, przeprowadzenia lub rozliczenia wizyty?
• Czy musi być dostępna w systemie administracyjnym, czy powinna pozostać w środowisku o bardziej ograniczonym dostępie?

W obiegu administracyjnym zwykle wystarczą dane faktograficzne, na przykład:

30 kwietnia 2026 r., spotkanie online, wizyta odbyta. Ustalono stały termin: czwartek, godz. 18.00. Rozliczenie zgodnie z cennikiem.

Nie należy dopisywać do takiego wpisu diagnozy, interpretacji zachowania ani informacji o osobach trzecich, jeśli nie są potrzebne do celu administracyjnego.

Więcej o nazwach usług i danych widocznych podczas rezerwacji przeczytasz w artykule Konsultacja a psychoterapia w panelu rezerwacji — granice prywatności i rozliczeń.

Papier, dysk lokalny czy chmura?

Żaden nośnik nie jest bezpieczny sam z siebie. O poziomie ryzyka decydują również dostęp, konfiguracja urządzeń, tworzenie kopii, zasady retencji oraz codzienne nawyki. Papier może zostać zgubiony, laptop skradziony, a plik w chmurze udostępniony niewłaściwej osobie.

Dokumentacja papierowa

• Przechowuj ją w zamykanej szafie i kontroluj liczbę kluczy.
• Nie zostawiaj teczek na biurku, w poczekalni ani w samochodzie.
• Ustal sposób nanoszenia poprawek i porządkowania dokumentów.
• Uwzględnij ryzyko pożaru, zalania, kradzieży i pracy w kilku lokalizacjach.
• Nie wykonuj zdjęć dokumentacji prywatnym telefonem jako doraźnej kopii.

Pliki na komputerze

• Włącz szyfrowanie całego dysku, automatyczną blokadę ekranu i aktualizacje systemu.
• Korzystaj z osobnego konta użytkownika przeznaczonego do pracy.
• Nie umieszczaj pełnych danych klienta w nazwie pliku, jeśli wystarczy identyfikator.
• Twórz zaszyfrowane kopie zapasowe i sprawdzaj, czy można z nich odtworzyć dane.
• Przed oddaniem urządzenia do serwisu zabezpiecz dane i dostęp do kont.

Usługi chmurowe

• Włącz uwierzytelnianie dwuskładnikowe i używaj osobnych kont służbowych.
• Nie korzystaj z publicznych linków do dokumentów zawierających dane osobowe.
• Regularnie przeglądaj listę użytkowników i zakres ich dostępu.
• Sprawdź historię zmian, wersjonowanie, możliwość usuwania danych i warunki umowy powierzenia przetwarzania.
• Ustal, gdzie odbywa się przetwarzanie danych i czy dostawca korzysta z dalszych podmiotów przetwarzających.

Porównanie obu podejść znajduje się w materiale Papier a cyfrowa dokumentacja.

Kontrola dostępu: bez wspólnych kont i haseł

Wiele incydentów wynika ze zbyt szerokiego dostępu: wspólnego konta, komputera pozostawionego bez blokady albo służbowych plików zsynchronizowanych z prywatną usługą. Dlatego każda osoba powinna korzystać z własnego konta i widzieć tylko dane potrzebne do wykonywania obowiązków.

• Recepcja lub obsługa administracyjna: dane potrzebne do kontaktu, termin, status wizyty, informacje rozliczeniowe i techniczne.
• Terapeuta: dane własnych klientów oraz informacje potrzebne do prowadzenia pracy.
• Finanse: kwoty, płatności, zwroty i dokumenty księgowe bez dostępu do treści sesji.

Na współdzielonym komputerze należy utworzyć osobne konta użytkowników, ustawić krótką automatyczną blokadę i unikać stałego zalogowania do poczty oraz systemów zawierających dane klientów. Po zakończeniu współpracy dostęp powinien zostać niezwłocznie odebrany.

Uwierzytelnianie dwuskładnikowe warto włączyć przede wszystkim w służbowej poczcie, a następnie w systemie gabinetowym, chmurze i usługach płatniczych. CaReMe obsługuje 2FA w standardzie TOTP. Więcej informacji zawiera artykuł 2FA w systemie gabinetowym.

Retencja danych i kopie zapasowe

Danych nie należy przechowywać bezterminowo „na wszelki wypadek”. Okres retencji powinien wynikać z celu, podstawy prawnej oraz przepisów właściwych dla rodzaju dokumentacji i działalności. Terminy mogą różnić się w zależności od statusu zawodowego terapeuty, formy organizacyjnej gabinetu i charakteru świadczonych usług. W razie wątpliwości warto skonsultować politykę z inspektorem ochrony danych lub prawnikiem.

Praktyczna tabela retencji powinna wskazywać:

• kategorię danych i cel przetwarzania,
• podstawę prawną,
• osoby mające dostęp,
• okres przechowywania albo kryterium jego ustalenia,
• sposób bezpiecznego usunięcia lub anonimizacji,
• termin kolejnego przeglądu.

Kopia zapasowa chroni ciągłość pracy, ale sama również zawiera dane osobowe. Trzeba więc ograniczyć do niej dostęp, określić okres przechowywania i uwzględnić ją w procedurze usuwania danych. Należy także okresowo testować odtworzenie wybranego pliku lub minimalnego zestawu danych potrzebnych do pracy następnego dnia. Sam komunikat „backup zakończony” nie potwierdza, że kopia jest kompletna i użyteczna.

Neutralne rezerwacje, przypomnienia i płatności

Proces administracyjny może działać bez ujawniania celu terapii. Formularz rezerwacji powinien zbierać tylko dane potrzebne do umówienia spotkania. Przypomnienie może zawierać datę, godzinę, miejsce i ewentualnie link do spotkania prowadzonego w zewnętrznym narzędziu. Rozliczenie powinno opisywać usługę w sposób wystarczający do celów księgowych, lecz bez zbędnych informacji o zdrowiu.

Przypomnienie o wizycie: wtorek, godz. 18.00, ul. X / link do spotkania. W celu zmiany terminu proszę odpowiedzieć na tę wiadomość.

Zasady odwoływania wizyt i ewentualnych opłat powinny być przekazane z wyprzedzeniem, sformułowane jednoznacznie i stosowane zgodnie z zawartą umową oraz właściwymi przepisami. Samo zapisanie zasady w systemie nie przesądza o jej skuteczności prawnej. Więcej praktycznych wskazówek zawiera materiał Opłata za odwołaną sesję terapeutyczną.

Komunikatory mogą łatwo przekształcić się w nieformalną dokumentację zastępczą. Ryzyko to omawiamy w artykule RODO i umawianie wizyt przez Messengera i WhatsApp.

Co zrobić po wykryciu incydentu?

Procedura reagowania powinna być przygotowana przed wystąpieniem problemu. Po wykryciu incydentu należy przede wszystkim ograniczyć jego skutki: zablokować utracone urządzenie, zakończyć aktywne sesje, zmienić przejęte hasła, odebrać zbędne uprawnienia i zabezpieczyć konto pocztowe.

Następnie trzeba ustalić:

• jakich danych i osób dotyczy zdarzenie,
• kiedy się rozpoczęło i czy nadal trwa,
• kto mógł uzyskać dostęp,
• czy dane były zaszyfrowane lub inaczej zabezpieczone,
• jakie mogą być skutki dla osób, których dane dotyczą.

Nie należy pochopnie usuwać historii zmian ani innych materiałów potrzebnych do wyjaśnienia zdarzenia. Naruszenie trzeba udokumentować. Jeżeli może ono powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator co do zasady zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia. Przy wysokim ryzyku może być również konieczne zawiadomienie osób, których dane dotyczą. Ocena zależy od okoliczności, dlatego warto niezwłocznie włączyć inspektora ochrony danych lub specjalistę prawnego.

Jak ocenić system do obsługi gabinetu?

Przed wyborem narzędzia warto sprawdzić nie tylko listę funkcji, lecz także warunki przetwarzania danych:

• czy dostęp można zabezpieczyć przez 2FA,
• jak chronione są dane podczas przechowywania i przesyłania,
• jak działają eksport, usuwanie i kopie zapasowe,
• czy dostawca zawiera umowę powierzenia przetwarzania danych,
• gdzie odbywa się przetwarzanie,
• czy przypomnienia i nazwy usług można sformułować neutralnie,
• jak odebrać dostęp osobie kończącej współpracę.

CaReMe udostępnia między innymi rezerwacje online, kalendarz, karty klientów, historię wizyt, notatki i notatki techniczne, dokumenty, SMS-y, e-maile, przypomnienia, płatności online Przelewy24, statusy płatności, 2FA TOTP oraz szyfrowanie AES-256-GCM. Wideokonsultacje odbywają się w narzędziu zewnętrznym, a w systemie można wykorzystać link do spotkania. Szczegóły można omówić przez formularz kontaktowy CaReMe.

Najważniejsze zasady

1. Nie umieszczaj diagnoz i tematów terapii w kalendarzu, przypomnieniach ani tytułach płatności.
2. Zbieraj tylko dane potrzebne do określonego celu.
3. Oddziel informacje administracyjne od treści dotyczących procesu terapii.
4. Nie zakładaj, że „notatki własne” automatycznie pozostają poza RODO lub innymi obowiązkami.
5. Stosuj indywidualne konta, minimalne uprawnienia, blokadę ekranu i 2FA.
6. Ustal retencję na podstawie celu, podstawy prawnej i właściwych przepisów.
7. Twórz zabezpieczone kopie zapasowe i testuj odtwarzanie danych.
8. Przygotuj procedurę reagowania na naruszenia, zanim wystąpi incydent.

Bezpieczeństwo notatek nie zależy wyłącznie od wyboru papieru, dysku lub chmury. Największe znaczenie ma spójny proces, który ogranicza liczbę danych, kopii, osób z dostępem i decyzji podejmowanych w pośpiechu.