Jak dbać o poufność sesji online: porady dla terapeutów

Dlaczego poufność w terapii online wymaga innego podejścia niż w gabinecie stacjonarnym

W gabinecie stacjonarnym poufność opiera się na fizycznych barierach: dźwiękoszczelne drzwi, poczekalnia oddzielona od pokoju sesyjnego, papierowa dokumentacja zamknięta w szafie. Online tych barier po prostu nie ma. Zamiast ścian masz łącze internetowe, zamiast zamka w szafie masz hasło do platformy, a zamiast poczekalni, w której nikt nie usłyszy rozmowy, masz otwarte okno przeglądarki na laptopie klienta, obok którego może siedzieć ktoś z rodziny.

To zupełnie inna logika ryzyka. Terapeuta prowadzący sesje zdalne odpowiada nie tylko za to, co dzieje się po jego stronie ekranu, ale częściowo też za edukację klienta: czy wie, że powinien założyć słuchawki, czy siedzi w pokoju, do którego nikt nie wejdzie w trakcie sesji, czy korzysta z sieci domowej, a nie z publicznego Wi-Fi w kawiarni. Coraz częściej to właśnie ten drugi obszar bywa najsłabszym ogniwem, bo terapeuta nie ma na niego bezpośredniego wpływu.

Warto też pamiętać, że terapia online przestała być niszą. Już co piąta konsultacja psychiatryczna w Polsce odbywa się zdalnie i jest to najwyższy wskaźnik spośród wszystkich specjalizacji medycznych. Dane NFZ pokazują też, że na obszarach wiejskich liczba zdalnych konsultacji wzrosła aż o 85%, podczas gdy w miastach wzrost wyniósł 50%. To pokazuje, że praca online nie jest już dodatkiem do gabinetu, tylko dla wielu terapeutów głównym trybem pracy. Oznacza to, że kwestie poufności trzeba potraktować równie poważnie jak procedury stacjonarne, jeśli nie poważniej.

Dochodzi do tego kontekst prawny. Nowa ustawa o zawodzie psychologa oraz samorządzie zawodowym psychologów, podpisana przez Prezydenta RP w lutym 2026 roku, reguluje tajemnicę zawodową w artykule 27. Obejmuje ona wszystko, o czym terapeuta dowiedział się w związku ze świadczeniami, i obowiązuje nawet po śmierci klienta. To nie jest już kwestia dobrej praktyki, tylko konkretny obowiązek prawny, który trzeba przenieść na środowisko cyfrowe.

Jak wybrać platformę do sesji terapeutycznych spełniającą wymogi RODO i tajemnicy zawodowej

Wybór narzędzia do sesji online to nie jest kwestia estetyki interfejsu, tylko realnego bezpieczeństwa danych wrażliwych. Na co zwrócić uwagę w praktyce?

1. Sprawdź, gdzie fizycznie znajdują się serwery. Jeśli dane klienta trafiają na serwer poza Europejskim Obszarem Gospodarczym, terapeuta ma obowiązek poinformować o tym w polityce prywatności, podając konkretny kraj i podstawę prawną transferu danych. Wiele popularnych platform wideokonferencyjnych trzyma dane w USA, co samo w sobie nie jest zakazane, ale wymaga dopełnienia formalności.
2. Zweryfikuj, czy dostawca podpisuje umowę powierzenia przetwarzania danych. Bez tego dokumentu terapeuta jako administrator danych naraża się na odpowiedzialność za działania podmiotu, któremu powierzył dane.
3. Unikaj narzędzi wymagających zakładania konta przez klienta. Im mniej danych osobowych klient musi podać, żeby dołączyć do sesji, tym mniejsza powierzchnia ryzyka. Rozwiązania, do których dołącza się przez link lub PIN bez rejestracji, są tu wygodniejsze i bezpieczniejsze zarazem.
4. Sprawdź szyfrowanie połączenia. Standardem powinno być szyfrowanie end to end, a przynajmniej szyfrowanie transmisji w czasie rzeczywistym.
5. Zwróć uwagę na to, czy platforma jest polskim produktem. Nie chodzi o patriotyzm gospodarczy, tylko o praktykę: polski dostawca zwykle lepiej rozumie wymogi RODO i krajowe przepisy o tajemnicy zawodowej. Wsparcie techniczne po polsku bywa nieocenione, kiedy coś nie działa pięć minut przed sesją.

Warto też pamiętać, że RODO wymaga proporcjonalności procedur do skali działalności. Jednoosobowy gabinet psychologiczny nie potrzebuje rozbudowanych procedur korporacyjnych, wystarczą podstawowe dokumenty i realne środki ochrony, dobrane do faktycznego ryzyka. Nie trzeba więc kupować najdroższego rozwiązania z rynku, wystarczy takie, które faktycznie spełnia powyższe punkty.

Zasady przechowywania i eksportu notatek z sesji terapeutycznych bez ryzyka wycieku danych

Notatki z sesji to jeden z najbardziej wrażliwych elementów całej dokumentacji terapeutycznej. Dokumentacja psychologiczna musi być przechowywana przez 5 lat, a w przypadku małoletnich klientów przez 5 lat od osiągnięcia przez nich pełnoletności. To oznacza, że terapeuta nie może traktować notatek jako czegoś, co da się usunąć po zakończeniu współpracy. Musi mieć system, który bezpiecznie przechowa te dane przez wiele lat.

Praktyczne zasady, które warto wdrożyć:

• Nie trzymaj notatek na pulpicie komputera ani w folderze bez hasła. Nawet jeśli laptop jest domowy i nikt inny z niego nie korzysta, wystarczy kradzież sprzętu albo infekcja złośliwym oprogramowaniem, żeby dane wyciekły.
• Szyfruj dysk lub folder z dokumentacją. Większość systemów operacyjnych ma wbudowane narzędzia do szyfrowania całego dysku, co jest szybkie do wdrożenia i skuteczne.
• Unikaj przesyłania notatek e-mailem w formie zwykłego załącznika. Jeśli musisz przekazać jakiś dokument, zaszyfruj plik hasłem i przekaż hasło innym kanałem, na przykład SMS-em.
• Standaryzuj format eksportu. Notatki w jednolitym formacie PDF, opatrzone datą i identyfikatorem sesji (bez pełnych danych osobowych w nazwie pliku), łatwiej kontrolować i archiwizować.
• Prowadź rejestr, kto i kiedy miał dostęp do dokumentacji. Nawet jeśli pracujesz sam, to dobra praktyka na wypadek kontroli albo incydentu.

Jeśli pracujesz z narzędziem, które pozwala eksportować notatki z sesji bezpośrednio do PDF, ułatwia to trzymanie porządku i unika przypadkowego zostawienia luźnych plików w kilku miejscach na dysku. Więcej o tym, jak sensownie zorganizować ten proces, znajdziesz w tekście o tym, jak eksportować notatki z sesji i wysłać je klientowi.

Warto też pamiętać o konsekwencjach zaniedbań. Naruszenie RODO w kontekście danych o stanie zdrowia może skutkować karą grzywny do 20 milionów euro, a poszkodowanemu przysługuje dodatkowo odszkodowanie. W 2024 roku UODO wydał 20 decyzji o ukaraniu administratorów danych, a aż 7 z nich wynikało z niewdrożenia wystarczających środków technicznych i organizacyjnych. To nie są abstrakcyjne liczby, tylko sygnał, że najczęściej karani są ci, którzy po prostu nie zadbali o podstawy.

Jak zabezpieczyć komunikację z klientem między sesjami: e-mail, wiadomości, dokumentacja

Sesja to tylko część kontaktu z klientem. Wiele wycieków danych nie dzieje się podczas rozmowy wideo, tylko w komunikacji dookoła: umawianiu terminów, przypomnieniach, przesyłaniu materiałów.

Kilka zasad, które warto wprowadzić od razu:

• Nie omawiaj treści terapeutycznych przez zwykłe SMS-y czy komunikatory bez szyfrowania. Do ustalania terminów wystarczy neutralna treść, bez szczegółów dotyczących stanu klienta.
• Miej jeden, spójny kanał komunikacji. Rozproszenie po e-mailu, WhatsAppie, Messengerze i SMS-ach zwiększa ryzyko, że coś umknie albo trafi w niewłaściwe miejsce.
• Korzystaj z kalendarza zintegrowanego z bazą klientów, żeby nie trzymać danych kontaktowych w rozsypanych notatkach czy arkuszach. Uporządkowany kalendarz spotkań ułatwia też szybkie odnalezienie historii kontaktu, gdyby klient zapytał o wcześniejsze ustalenia.
• Ustal z klientem na pierwszej sesji, jak wygląda komunikacja poza sesją. To element edukacji, o którym pisaliśmy wcześniej: jeśli klient wie, że nie powinien pisać szczegółów swojego stanu psychicznego na czacie w pracy, unikniecie niepotrzebnego ryzyka.
• Zabezpiecz hasłem dostęp do skrzynki e-mailowej i włącz weryfikację dwuetapową. To podstawa, o której zaskakująco często się zapomina, mimo że zajmuje dosłownie kilka minut.

Warto też pamiętać, że zgoda pacjenta na przetwarzanie danych wrażliwych nie musi być udzielona na piśmie, wystarczy zgoda ustna, przez e-mail albo formularz online. To trochę ułatwia formalności, ale nie zwalnia z obowiązku informowania klienta, w jaki sposób jego dane będą przetwarzane i przechowywane.

Jeśli chcesz zobaczyć, jak podobne zasady porządkowania komunikacji i pracy z bazą klientów sprawdzają się w praktyce trenerów i coachów, zajrzyj do artykułu o sposobach na uporządkowanie bazy klientów trenera. Mechanizmy porządkowania danych są tu bardzo zbliżone, niezależnie od branży.

Checklist poufności: co sprawdzić przed pierwszą sesją online z nowym klientem

Pierwsza sesja z nowym klientem to moment, w którym buduje się zaufanie, a poufność jest fundamentem tej relacji. Bez niej trudno mówić szczerze o lęku, wstydzie czy traumie, więc warto mieć gotową checklistę, zamiast improwizować za każdym razem.

Przed pierwszą sesją sprawdź:

1. Czy platforma, z której korzystasz, ma jasną politykę dotyczącą lokalizacji serwerów i szyfrowania. Jeśli nie potrafisz odpowiedzieć na to pytanie, zanim jeszcze zadzwoni klient, to sygnał, że warto zmienić narzędzie.
2. Czy klient wie, jak dołączyć do sesji bez zakładania konta. Prosty link albo PIN znacznie obniża próg wejścia i redukuje liczbę miejsc, w których jego dane mogłyby zostać zapisane. Więcej o tym podejściu znajdziesz w tekście o tym, jak prowadzić sesje online bez logowania: PIN i link.
3. Czy masz przygotowaną krótką informację o poufności dla klienta. Warto na starcie wyjaśnić, jakie są granice poufności, na przykład w sytuacji zagrożenia życia, i jak wygląda przechowywanie dokumentacji.
4. Czy Twoje stanowisko pracy jest odizolowane od domowników. Zamknięte drzwi, słuchawki, brak możliwości podsłuchania rozmowy przez kogoś z rodziny.
5. Czy masz zabezpieczony sprzęt. Aktualne oprogramowanie, hasło do komputera, szyfrowany dysk.
6. Czy wiesz, gdzie i jak zapiszesz notatki z tej konkretnej sesji. Lepiej ustalić to przed, niż zastanawiać się po zakończeniu rozmowy, gdzie odłożyć plik.
7. Czy klient został poinformowany o zasadach kontaktu między sesjami.

Warto też śledzić zmiany prawne. Trwają prace nad odrębną ustawą o zawodzie psychoterapeuty, która ma wprowadzić rejestr, tajemnicę zawodową i odpowiedzialność dyscyplinarną dla psychoterapeutów, ponieważ psychoterapia została wykreślona z katalogu świadczeń psychologicznych w nowej ustawie o psychologach. To oznacza, że część zasad, które dziś stosujesz z ostrożności zawodowej, może niedługo stać się formalnym obowiązkiem prawnym, więc lepiej wdrożyć dobre praktyki już teraz, zamiast czekać na przymus ustawowy.

Najczęściej zadawane pytania

Czy terapeuta może nagrywać sesje online?

Domyślnie sesje nie powinny być nagrywane bez wyraźnej, świadomej zgody klienta. Jeśli nagranie jest potrzebne z powodów superwizyjnych czy szkoleniowych, wymaga to osobnej, jasno sformułowanej zgody i informacji, jak długo nagranie będzie przechowywane.

Czy zwykły komunikator do rozmów wideo wystarczy do prowadzenia terapii online?

Nie zawsze. Kluczowe jest sprawdzenie, gdzie znajdują się serwery, czy dostawca podpisuje umowę powierzenia przetwarzania danych i czy połączenie jest szyfrowane. Wiele popularnych komunikatorów nie spełnia tych wymogów w stopniu wystarczającym dla danych wrażliwych.

Jak długo trzeba przechowywać dokumentację z sesji terapeutycznych?

Zgodnie z aktualnymi przepisami dokumentacja psychologiczna musi być przechowywana przez 5 lat, a w przypadku klientów małoletnich przez 5 lat od osiągnięcia przez nich pełnoletności.

Czy zgoda klienta na przetwarzanie danych musi być pisemna?

Nie, zgoda pacjenta na przetwarzanie danych wrażliwych nie musi być udzielona na piśmie. Wystarczy zgoda ustna, przez e-mail lub formularz online, o ile jest jasna i świadoma.

Co zrobić, jeśli podejrzewam wyciek danych klienta?

Należy jak najszybciej ocenić skalę incydentu, zabezpieczyć dalsze dane przed wyciekiem i rozważyć zgłoszenie naruszenia do UODO, jeśli ryzyko dla praw i wolności osoby, której dane dotyczą, jest realne. Warto też poinformować klienta, jeśli naruszenie może wpłynąć na jego bezpieczeństwo.