GDPR za psihoterapeute na webu počinje od kontakt forme. Upite pacijenata legalno i sigurno prikupljaš kad forma traži samo kontakt i željeno vrijeme, kad za eventualni opis razloga dolaska tražiš izričitu i zasebnu privolu, kad podaci putuju i stoje šifrirani, kad s alatima koji ih obrađuju imaš ugovor o obradi i kad upite koji nisu postali terapija brišeš nakon unaprijed određenog roka. Sve to ide uz profesionalnu tajnu koju ti nalaže Zakon o djelatnosti psihoterapije.
Povjerljivost je temelj psihoterapije, a danas ne počinje u tvojoj sobi, nego u pregledniku osobe koja ti piše. Ako se osoba pri slanju prvog upita ne osjeća sigurno, možda ga neće ni poslati. U nastavku idemo korak po korak: koja pravila vrijede, kako izgleda usklađena forma i što tražiti od alata koje koristiš.
Zašto su upiti psihoterapeutu posebno osjetljivi
Podaci o zdravlju, uključujući mentalno zdravlje, posebna su kategorija osobnih podataka iz čl. 9. Opće uredbe o zaštiti podataka (GDPR). Njihova obrada načelno je zabranjena, osim u iznimkama koje taj članak nabraja. Za web formu relevantna je izričita privola (čl. 9. st. 2. t. (a)). Za dokumentaciju nakon početka terapije osnova je pružanje zdravstvene ili socijalne skrbi od strane stručnjaka obveznog čuvati tajnu (čl. 9. st. 2. t. (h) i st. 3.). AZOP u tekstu o obradi osobnih podataka u zdravstvu objašnjava da se za samo pružanje zdravstvene zaštite privola pacijenta ne traži, jer se obrada temelji na zakonu i čl. 9. st. 2. t. (h).
Kod psihoterapeuta osjetljiv može biti i sam upit. Već činjenica da netko traži termin kod psihoterapeuta može otkrivati nešto o njegovom mentalnom zdravlju. Zato s cijelim upitom postupaj kao s osjetljivim podatkom, a ne samo s rečenicom u kojoj osoba opisuje tegobe.
Uz GDPR vrijedi i profesionalna tajna. Zakon o djelatnosti psihoterapije (NN 18/22) u čl. 15. propisuje da sve što osoba koja obavlja psihoterapiju sazna o korisniku u obavljanju djelatnosti čuva kao profesionalnu tajnu. Etički kodeks Hrvatske komore psihoterapeuta (načelo 4.c) traži da osiguraš povjerljivost i pri pohranjivanju zapisa, i kad nisi osobno prisutan.
Kako izgleda usklađena kontakt forma
1. Samo nužni podaci
Načelo smanjenja količine podataka (čl. 5. st. 1. t. (c) GDPR-a) traži da prikupljaš samo ono što ti treba za svrhu. Za prvi kontakt to su ime ili nadimak, e-mail ili telefon i, po želji, željeno vrijeme za razgovor. Nemoj tražiti povijest bolesti, dijagnozu ni detaljan opis simptoma. Uz polje za poruku stavi kratku napomenu: „Molimo ne upisujte detalje o zdravlju. O tome ćemo razgovarati na prvom susretu."
2. Prava pravna osnova, a ne kvačica za sve
Česta pogreška je jedna obavezna kvačica „Pristajem na obradu podataka" ispred svakog upita. Za odgovor na upit i dogovor prvog termina pravna osnova je radnja na zahtjev osobe prije sklapanja ugovora (čl. 6. st. 1. t. (b) GDPR-a). Za to privola nije potrebna, a ni ne bi trebala biti uvjet za slanje. Budući da već sam upit može otkrivati podatke o mentalnom zdravlju, iznimku iz čl. 9. za dogovor termina daje pružanje zdravstvene ili socijalne skrbi od strane stručnjaka obveznog čuvati profesionalnu tajnu (čl. 9. st. 2. t. (h) i st. 3.).
Privola ti treba ako forma ima polje u koje osoba može opisati razlog dolaska. Tada je to izričita privola za podatke o zdravlju: zasebna kvačica, unaprijed neoznačena, uz jasan tekst, na primjer „Pristajem da [ime prakse] obrađuje podatke o mom zdravlju koje navedem u ovoj poruci, isključivo radi dogovora prvog susreta." Osoba mora moći poslati upit i bez te kvačice, samo bez opisa. Privolu mora moći povući jednako lako kao što ju je dala.
3. Tko obrađuje podatke
Ispod forme navedi tko je voditelj obrade (ime prakse, adresa, kontakt) i poveznicu na politiku privatnosti. To je obveza informiranja iz čl. 13. GDPR-a, a osobi koja ti prvi put piše daje do znanja s kim razgovara.
Šifriranje i gdje podaci stoje
HTTPS (lokot u adresnoj traci) šifrira vezu između preglednika osobe i tvog poslužitelja. Bez njega podatke iz forme može presresti netko na istoj mreži, na primjer u kafiću. To je minimum, ali nije dovoljno.
- Obavijest bez sadržaja: neka ti forma e-mailom javi da je stigao novi upit, a sam upit pročitaj u zaštićenom sučelju. Tako tekst upita ne ostaje u deset sandučića i na svakom uređaju.
- Dvostruka prijava: e-mail i sučelje forme štiti dvofaktorskom autentifikacijom.
- Šifrirani uređaji: laptop i mobitel na kojima čitaš upite neka imaju uključeno šifriranje diska i zaključavanje zaslona.
Šifriranje je jedna od mjera koje GDPR izričito navodi u čl. 32. Etički kodeks HKPT-a (odredba 10.a) uz to traži da istražiš povjerljivost i sigurnost rada na daljinu (internet, mail, telefon) i da o tome informiraš klijente. U prvom odgovoru zato možeš kratko napisati da je mail praktičan za dogovor termina, a da o sadržaju razgovarate na susretu.
Alati, izvršitelji i prijenos izvan EU-a
Hosting, e-mail, alat za forme, kalendar za termine i platforma za video susrete obrađuju podatke u tvoje ime. U GDPR-u su to izvršitelji obrade, a s njima trebaš ugovor o obradi podataka (čl. 28. GDPR-a). Veliki pružatelji taj ugovor obično nude kao standardni dodatak uvjetima. Potraži ga i spremi.
Besplatni osobni e-mail sandučić obično nije pokriven takvim ugovorom. Poslovni paketi, na primjer Google Workspace ili Microsoft 365, nude ugovor o obradi podataka. Adresa na vlastitoj domeni usput izgleda i ozbiljnije.
Ako alat podatke šalje ili pohranjuje izvan EU-a, prijenos mora imati odgovarajuću zaštitu iz poglavlja V. GDPR-a. Primjeri su odluka o primjerenosti, poput one za američke tvrtke certificirane u okviru EU-US Data Privacy Frameworka, ili standardne ugovorne klauzule. Najjednostavnije je birati alate koji podatke drže u EU-u. Više o ugovoru o obradi i ulozi voditelja obrade piše u vodiču o legalnom prikupljanju e-mail adresa putem weba.
Kolačići i analitika
Kolačići koji nisu nužni za rad stranice, poput analitike i oglasnih piksela, traže privolu prije učitavanja (Zakon o elektroničkim komunikacijama). Banner mora nuditi odbijanje jednako lako kao prihvaćanje.
Kod psihoterapeuta preporučujem ići korak dalje: bez oglasnih piksela (Meta, Google Ads) na stranicama za upit i termin. Piksel oglasnoj platformi javlja da je određeni korisnik posjetio stranicu za termin kod psihoterapeuta. To je upravo podatak koji tvoj posjetitelj ne želi dijeliti.
Koliko dugo čuvati upite
Načelo ograničenja pohrane (čl. 5. st. 1. t. (e) GDPR-a) traži da podatke čuvaš samo dok su potrebni. Upit koji nije postao terapija nije psihoterapijska dokumentacija. Odredi rok, na primjer nekoliko mjeseci nakon zadnjeg kontakta, upiši ga u politiku privatnosti i stvarno briši. Ako ručno brisanje stalno zaboraviš, postavi automatsko.
Kad terapija počne, podaci prelaze u psihoterapijsku dokumentaciju. Zakon o djelatnosti psihoterapije neredovito i nepravilno vođenje te dokumentacije ubraja u teške povrede dužnosti (čl. 33.). Način vođenja i čuvanja propisuje pravilnik ministra nadležnog za socijalnu skrb (NN 4/21): dokumentacija se sigurno arhivira najmanje pet godina nakon završetka tretmana, a o radu s djecom i adolescentima najmanje pet godina nakon punoljetnosti. Taj rok vrijedi za dokumentaciju terapije, a ne za upite koji nisu postali terapija.
Prava osoba koje ti pišu
Osoba ima pravo pitati koje podatke o njoj imaš (čl. 15.), tražiti ispravak i brisanje (čl. 16. i 17.) te povući privolu. Na zahtjev odgovori bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana. Rok se kod složenih zahtjeva može produljiti za još dva mjeseca, uz obavijest osobi (čl. 12. st. 3.). Pravo na brisanje nije apsolutno: dokumentaciju koju moraš čuvati po posebnim propisima zadržavaš. U politici privatnosti navedi i pravo na podnošenje pritužbe Agenciji za zaštitu osobnih podataka (AZOP).
Kad svi upiti stoje na jednom mjestu, a ne raštrkani po mailu, porukama i bilježnici, na takav zahtjev lako odgovoriš, jer znaš gdje tražiti.
Kada ti treba web po mjeri, a kada ne
Terapeutu koji prima nekoliko upita mjesečno i odgovara s poslovnog maila dovoljna je jednostavna stranica. Treba joj ispravna forma, HTTPS, politika privatnosti i banner za kolačiće. Takvu formu nudi i dio gotovih alata. Provjeri samo da imaju ugovor o obradi i da ne šalju cijeli upit mailom.
Web po mjeri isplati se kad želiš da forma radi točno onako kako traži tvoja struka. To znači zasebnu privolu samo za polje s opisom, obavijest bez sadržaja, automatsko brisanje nakon roka i online naručivanje bez polja za razlog dolaska. Tu je i naplata za susrete na daljinu preko pružatelja plaćanja, tako da broj kartice nikad ne prolazi kroz tvoju stranicu. Po mjeri se radi i stranica bez widgeta s recenzijama klijenata. Etički kodeks HKPT-a (odredba 7.b) kaže da javne tvrdnje ne sadrže svjedočenja klijenata o kvaliteti usluga. Kako online naručivanje izgleda u praksi, opisano je u članku o tome zašto psihoterapeutu treba online naručivanje termina, a širi pregled dolaska do klijenata daje vodič za psihoterapijsku praksu.
Česta pitanja
Je li dovoljno imati SSL certifikat?
Ne. SSL (HTTPS) štiti podatke samo dok putuju od preglednika do poslužitelja. GDPR traži i pravnu osnovu, informiranje, kontrolu pristupa, ugovore s izvršiteljima i brisanje podataka kad više nisu potrebni. HTTPS je početak, ne cijela priča.
Mogu li upite primati na Gmail?
Na besplatni osobni Gmail ne preporučujem, jer on obično nije pokriven ugovorom o obradi podataka. Poslovni paket (Google Workspace ili sličan) na vlastitoj domeni nudi takav ugovor i bolje upravljanje pristupom. Uključi dvofaktorsku prijavu i neka forma šalje samo obavijest, a ne cijeli upit.
Moram li imenovati službenika za zaštitu podataka (DPO)?
Obveza vrijedi kad se osnovna djelatnost sastoji od obrade posebnih kategorija podataka u velikom opsegu (čl. 37. GDPR-a). Uvodna izjava 91. kao obradu koja nije velikog opsega navodi obradu podataka pacijenata kod pojedinačnog liječnika ili drugog zdravstvenog djelatnika. Samostalna praksa je po opsegu usporediva, ali brigu o usklađenosti time ne gubiš.
Što ako mi netko pošalje dijagnozu iako je nisam tražio?
To se događa. Ne prosljeđuj poruku dalje i ne kopiraj je u druge alate. Ako terapija počne, relevantne podatke prenesi u dokumentaciju, a ostatak obriši. Ako ne počne, briši u roku koji si naveo u politici privatnosti. U politici možeš unaprijed napisati kako postupaš s podacima koje nisi tražio.
Kolike su kazne za kršenje GDPR-a?
Za kršenje osnovnih načela i prava ispitanika upravna novčana kazna može doseći 20 milijuna eura ili 4 posto ukupnog godišnjeg prometa, ovisno o tome što je više (čl. 83. st. 5.). Iznos u konkretnom slučaju ovisi o okolnostima. Za psihoterapeuta je ipak veći rizik gubitak povjerenja klijenata ako podaci procure.
Zaključak
Usklađeno prikupljanje upita nije dodatni sloj papirologije, nego ista povjerljivost koju ionako nudiš u sobi, prenesena na web. Forma koja traži malo, šifrirani alati s ugovorom o obradi i jasan rok brisanja pokrivaju osnovu. Ostalo je pravilo koje već znaš: što ti klijent povjeri, ostaje kod tebe.