Dlaczego notatki to „dane szczególnej kategorii”
RODO definiuje dane dotyczące zdrowia jako dane o zdrowiu fizycznym lub psychicznym osoby — w tym o korzystaniu z usług opieki zdrowotnej (art. 4 pkt 15). Notatka z sesji, a często nawet sama informacja, że ktoś chodzi na terapię, mieści się w tej definicji.
Takie dane należą do „szczególnych kategorii” z art. 9 RODO. Zasadą jest zakaz ich przetwarzania (art. 9 ust. 1), a przetwarzanie jest możliwe tylko w określonych sytuacjach. Jedna z nich dotyczy opieki zdrowotnej i leczenia, gdy dane przetwarza osoba objęta tajemnicą zawodową (art. 9 ust. 2 lit. h i ust. 3).
Co to oznacza w praktyce? Nie to, że notatek nie wolno prowadzić — tylko to, że trzeba je szczególnie chronić.
Jesteś administratorem: co z tego wynika
Prowadząc praktykę, decydujesz, po co i jak przetwarzasz dane pacjentów. W języku RODO jesteś więc administratorem. Kilka konsekwencji:
Odpowiednie zabezpieczenia
RODO nie podaje jednej listy zabezpieczeń, ale wymienia przykłady, w tym szyfrowanie danych osobowych (art. 32 ust. 1 lit. a). Zabezpieczenia mają odpowiadać ryzyku — a przy danych o zdrowiu psychicznym ryzyko jest wysokie.
Rejestr czynności przetwarzania
Mniejsze podmioty (do 250 osób) są zwolnione z obowiązku prowadzenia rejestru czynności przetwarzania — ale to zwolnienie nie działa, gdy przetwarzają dane szczególnych kategorii z art. 9 (art. 30 ust. 5). Dla gabinetu psychoterapii oznacza to zwykle, że rejestr warto mieć, nawet jeśli pracujesz sam(a).
Tajemnica zawodowa
Niezależnie od RODO obowiązuje Cię tajemnica zawodowa. Dla psychologów nowa ustawa o zawodzie psychologa (Dz.U. 2026 poz. 187) opisuje ją w art. 27; większość jej przepisów wchodzi w życie 19 maja 2028 r. Ta sama ustawa przewiduje obowiązek prowadzenia dokumentacji psychologicznej i przechowywania jej przez 5 lat od końca roku, w którym zakończono świadczenia (art. 28 ust. 9).
Kiedy potrzebna jest umowa powierzenia
Jeśli notatki trzymasz w aplikacji lub chmurze, dostawca tej usługi przechowuje dane w Twoim imieniu. W RODO to podmiot przetwarzający, a podstawą współpracy jest umowa powierzenia przetwarzania (art. 28 ust. 3). Ustawa o zawodzie psychologa wprost dopuszcza powierzenie przetwarzania danych z dokumentacji psychologicznej innemu podmiotowi na podstawie takiej umowy (art. 28 ust. 19).
Umowa powierzenia powinna m.in. przewidywać, że dostawca:
- przetwarza dane tylko na Twoje udokumentowane polecenie,
- zapewnia, że osoby z dostępem do danych zobowiązały się do zachowania tajemnicy,
- stosuje odpowiednie zabezpieczenia,
- korzysta z kolejnych podwykonawców tylko na określonych zasadach,
- po zakończeniu współpracy usuwa albo zwraca dane — zgodnie z Twoją decyzją.
Pytania, które warto zadać dostawcy
- Czy zawieracie ze mną umowę powierzenia — i gdzie mogę ją przeczytać przed założeniem konta?
- Gdzie są przechowywane dane i jakich podwykonawców używacie?
- Czy notatki są szyfrowane i kto po Waszej stronie ma do nich dostęp?
- Jak mogę pobrać dane pacjentów, gdy zrezygnuję — i jak długo mam na to czas?
- Co dzieje się z danymi po usunięciu konta?
Kto może widzieć notatki
To pytanie ma kilka warstw:
- Ty. Notatki są Twoim narzędziem pracy. Dobrą praktyką jest, żeby w aplikacji widział je tylko autor — nawet jeśli pracujesz w zespole lub z recepcją.
- Osoby, którym je pokażesz. Na superwizję zabierasz tylko to, co potrzebne, najlepiej bez danych, które pozwalają rozpoznać pacjenta.
- Pacjent. RODO daje osobie, której dane dotyczą, prawo dostępu do jej danych (art. 15). Jak to prawo odnosi się do notatek roboczych terapeuty — to pytanie, na które warto znać odpowiedź swojego samorządu lub prawnika, zanim padnie w gabinecie.
- Dostawca narzędzia. Zależy od tego, jak narzędzie jest zbudowane i co mówi umowa powierzenia. Zapytaj.
Codzienne nawyki, które naprawdę pomagają
- Nie wysyłaj notatek ani szczegółów sesji mailem czy komunikatorem — także sobie.
- Nie zapisuj imion i nazwisk w nazwach plików.
- Zablokuj ekran telefonu i komputera, włącz logowanie dwuetapowe tam, gdzie to możliwe.
- Notatki papierowe trzymaj w zamykanej szafce, nie w torbie.
- Ustal, jak długo przechowujesz notatki i co robisz z nimi później — i zapisz to.
Jak to wygląda w Visavi
- Notatki z sesji są szyfrowane (AES-256) — tak samo zadania dla pacjenta i dzienniczek w module „Praca między sesjami”. Plan Gabinet.
- W aplikacji widzi je tylko autor. Nie widzi ich pacjent ani — w trybie Centrum — recepcja czy inni terapeuci.
- Uczciwie: lista pacjentów i historia wizyt nie są szyfrowane w ten sam sposób — są potrzebne do działania kalendarza i przypomnień.
- Umowa powierzenia — akceptujesz ją przy zakładaniu konta, a jej treść możesz przeczytać wcześniej: umowa powierzenia.
- Bez katalogu i ocen. Informacja, że ktoś jest Twoim pacjentem, nie pojawia się nigdzie publicznie.
Źródła
- Rozporządzenie (UE) 2016/679 (RODO) — art. 4 pkt 15, art. 9 ust. 1–3, art. 15, art. 28 ust. 3, art. 30 ust. 5, art. 32 ust. 1 lit. a — EUR-Lex
- Ustawa z 23 stycznia 2026 r. o zawodzie psychologa oraz samorządzie zawodowym psychologów (Dz.U. 2026 poz. 187) — art. 27, art. 28 ust. 9 i 19
Stan na 10 października 2026 r. To nie jest porada prawna.