Dokumentacja psychologiczna i RODO — co zapisywać, jak przechowywać, komu udostępniać

Dokumentacja w prywatnym gabinecie bywa prowadzona w skrajnościach: albo w postaci trzech słów na sesję, albo dosłownego zapisu rozmowy. Obie skrajności są ryzykowne — pierwsza nie broni się przy skardze, druga tworzy zbiór danych, którego nikt nie chciałby ujawnić.

Tekst dotyczy praktyki prywatnej. W podmiocie leczniczym obowiązują dodatkowo przepisy o dokumentacji medycznej i wewnętrzne procedury placówki; poniższe zasady są wobec nich uzupełnieniem, nie zamiennikiem.

Dlaczego to jest kategoria szczególna

Dane o zdrowiu psychicznym należą do szczególnych kategorii danych z art. 9 RODO. Konsekwencje praktyczne są trzy: przetwarzanie wymaga wyraźnej podstawy, zabezpieczenia muszą być adekwatne do ryzyka, a naruszenie ma poważniejsze skutki niż wyciek danych zwykłych.

Podstawą przetwarzania w gabinecie jest zwykle świadczenie usługi zdrowotnej albo zgoda — warto mieć jasność, która z nich ma zastosowanie w twojej konfiguracji, bo od tego zależą prawa pacjenta.

Co powinna zawierać notatka z sesji

Model, który równoważy użyteczność kliniczną i bezpieczeństwo:

1. Data, forma (stacjonarnie/zdalnie) i czas trwania.
2. Temat i przebieg sesji — dwa do pięciu zdań o tym, nad czym pracowano.
3. Obserwacja kliniczna — stan, nastrój, poziom współpracy, zmiany od poprzedniego spotkania.
4. Interwencje — co zastosowano i po co.
5. Ocena ryzyka, jeżeli temat wystąpił: co zapytano, co ustalono, jakie działania podjęto i dlaczego.
6. Ustalenia i plan — zadanie między sesjami, termin kolejnego spotkania, ewentualne skierowania.

Zasada nadrzędna: notatka ma pozwolić odtworzyć twoje rozumowanie, a nie treść rozmowy.

Czego nie zapisywać

• Dosłownych relacji o osobach trzecich wraz z danymi umożliwiającymi ich identyfikację. Partner pacjenta nie jest twoim pacjentem i nie ma kontroli nad tym, co o nim zapisujesz.
• Danych, których pytanie diagnostyczne nie wymaga — orientacji, poglądów, szczegółów życia intymnego, jeżeli nie są przedmiotem pracy. Zasada minimalizacji.
• Ocen i komentarzy nieklinicznych. „Pacjentka roszczeniowa" nie jest obserwacją; przy wglądzie czyta się to fatalnie i nie wnosi nic diagnostycznie.
• Hipotez sformułowanych jak rozpoznanie. Zapisuj: „obraz sugeruje X, do zweryfikowania", nie „X".

Notatki robocze

Rozróżnienie na dokumentację właściwą i prywatne notatki myślowe bywa w praktyce nieostre — i lepiej zakładać, że wszystko, co zapiszesz, może zostać kiedyś przeczytane. Jeżeli prowadzisz zapiski wspomagające myślenie kliniczne, trzymaj je bez danych identyfikujących i osobno.

Przechowywanie

• Szyfrowanie dysku na komputerze i w telefonie, jeśli jest tam dostęp do dokumentacji.
• Kopia zapasowa — bo utrata dokumentacji jest naruszeniem tak samo jak jej wyciek. Kopia również szyfrowana.
• Dokumentacja papierowa w zamykanej szafie, w pomieszczeniu, do którego nie ma dostępu osoba postronna.
• Umowy powierzenia z każdym dostawcą, który technicznie ma dostęp do danych: system rezerwacji, hosting poczty, chmura, biuro rachunkowe, firma IT.
• Rozdzielenie danych. Dane rozliczeniowe (imię, nazwisko, NIP, kwota) mogą żyć osobno od dokumentacji klinicznej; nie ma powodu, żeby księgowość widziała treść pracy.
• Okres przechowywania ustalony i zapisany, wraz z procedurą trwałego usunięcia po jego upływie.

Wgląd i udostępnianie

Pacjent ma prawo dostępu do swoich danych. Praktycznie oznacza to, że wniosek o wgląd trzeba obsłużyć — z zastrzeżeniem, że w udostępnianym materiale nie mogą znaleźć się dane osób trzecich. To dodatkowy argument za tym, żeby nie zapisywać w notatce personaliów partnera czy współpracowników pacjenta.

Osoby trzecie — wyłącznie za zgodą pacjenta, w zakresie objętym zgodą. Zgoda ogólna „na kontakt z lekarzem" nie jest zgodą na przesłanie całości dokumentacji; sensowniej jest przygotować informację o zakresie odpowiadającym pytaniu.

Sąd i prokuratura — żądanie może przyjść i trzeba wiedzieć, jak reaguje się na nie w twojej sytuacji zawodowej. Zasada praktyczna: odpowiada się na konkretne pytanie zawarte w wezwaniu, a nie wysyła całej teczki, i robi się to po sprawdzeniu podstawy prawnej żądania. W razie wątpliwości — konsultacja prawna przed odpowiedzią, nie po.

Rodzic małoletniego ma prawo dostępu, ale zakres bywa problemem klinicznym przy nastolatkach. Rozwiązanie: ustalenie zasad na wejściu, z udziałem obu stron, i zapisanie ich w kontrakcie.

Ile czasu zajmuje notatka

Realny standard, który da się utrzymać przez lata, to pięć–osiem minut po sesji. Jeżeli notatka zajmuje dwadzieścia, po miesiącu zacznie powstawać z tygodniowym opóźnieniem, a po trzech — nie będzie powstawać wcale.

Sposób na skrócenie bez utraty jakości: stały szablon z sześcioma polami opisanymi wyżej i pisanie w punktach zamiast pełnych zdań. Notatka ma być czytelna dla ciebie za dwa lata i zrozumiała dla innego psychologa, gdyby musiał przejąć pacjenta — to jedyne dwa kryteria jakości, które mają znaczenie.

Osobna sprawa to sesje z oceną ryzyka, konfliktem w procesie albo decyzją o skierowaniu. Tam notatka jest dłuższa, bo dokumentuje rozumowanie, i domyka się ją tego samego dnia bez wyjątku.

Papier czy system

Dokumentacja papierowa jest tania, nie wymaga umów powierzenia i nie wycieknie zdalnie — ale ginie w pożarze, nie ma kopii i utrudnia wyszukiwanie.

System elektroniczny daje kopie zapasowe, kontrolę dostępu i porządek, ale wprowadza dostawcę do relacji z pacjentem. Przy jego wyborze sprawdza się trzy rzeczy: gdzie fizycznie są przechowywane dane, czy dostawca podpisuje umowę powierzenia i co się dzieje z twoją dokumentacją, gdy przestaniesz płacić za usługę. Trzecie pytanie zadaje najmniej osób, a jest najważniejsze — utrata dostępu do własnej dokumentacji jest problemem, którego nie da się rozwiązać po fakcie.

Naruszenie ochrony danych

Zgubiony laptop, wysłanie maila do niewłaściwego adresata, kradzież teczki. Trzeba wiedzieć wcześniej: ocenić ryzyko, w określonych przypadkach zgłosić naruszenie organowi nadzorczemu w ciągu 72 godzin, a przy wysokim ryzyku poinformować osoby, których dane dotyczą. Przygotowanie tej procedury na spokojnie zajmuje godzinę; improwizowanie jej pod presją kończy się źle.

Minimum, które warto mieć

Informacja o przetwarzaniu danych dla pacjenta, rejestr czynności przetwarzania, umowy powierzenia z dostawcami, szyfrowane nośniki i kopia zapasowa, ustalony okres przechowywania oraz zapisana procedura na wypadek naruszenia. Sześć pozycji, jednorazowa praca.

Szkolenia z dokumentacji, tajemnicy zawodowej i obowiązków wobec pacjenta znajdziesz w kategorii Prawo, etyka i zawód psychologa.