RODO nie wymaga, aby zgodę na nagranie podpisał także psychoterapeuta, ani nie zastrzega co do zasady pisemnej formy zgody. W opisanej sytuacji zdecydowanie zalecane jest jednak uzyskanie podpisu klienta jako dowodu wyraźnej, świadomej i dobrowolnej zgody oraz akceptacji planowanej czynności. Podpis psychoterapeuty może potwierdzać przekazanie informacji i omówienie zgody, lecz nie jest warunkiem jej skuteczności. Przekazanie klauzuli informacyjnej jest odrębnym obowiązkiem administratora danych. Klauzula powinna zostać przekazana klientowi przy zbieraniu danych, chyba że klient już dysponuje wszystkimi wymaganymi informacjami.
RODO nie ustanawia ogólnego wymogu, aby zgoda na przetwarzanie danych osobowych była udzielona na piśmie albo zawierała podpis osoby przetwarzającej dane. Jeżeli jednak przetwarzanie opiera się na zgodzie, administrator musi móc wykazać, że osoba, której dane dotyczą, jej udzieliła. W przypadku nagrania sesji psychologicznej, które może ujawniać dane dotyczące zdrowia, podpisane oświadczenie klienta jest zatem praktycznym i rekomendowanym sposobem udokumentowania zgody. Wymóg dotyczy wykazania zgody, a nie podpisania formularza przez obie strony. Art. 7 ust. 1 RODO stanowi: „administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych”.
Jeżeli jako podstawę przetwarzania przyjęto zgodę, powinna ona mieć formę odrębnego, jasnego oświadczenia, z którego wynika zgoda na określony cel i zakres przetwarzania. W opisanej sprawie formularz powinien wprost wskazywać, że zgoda obejmuje nagranie dźwięku sesji, przechowywanie pliku oraz jego udostępnienie konkretnemu superwizorowi lub określonym odbiorcom w celu superwizji. Jeżeli ma być używana platforma telekonferencyjna, należy opisać jej rolę i sposób wykorzystania nagrania. Zgoda na samo nagranie nie powinna być traktowana jako nieograniczona zgoda na dalsze udostępnianie lub inne wykorzystanie pliku.
Podpis psychoterapeuty nie jest wymagany przez art. 7 RODO. Można go jednak zamieścić w odrębnej rubryce jako potwierdzenie, że psychoterapeuta przekazał klientowi informacje, wyjaśnił cel i przebieg planowanej czynności oraz odnotował jej akceptację. Taki podpis nie powinien sugerować, że psychoterapeuta jest administratorem, jeżeli administratorem jest MOPR albo inny podmiot. Rola administratora zależy od tego, kto rzeczywiście ustala cele i sposoby przetwarzania.
Niezależnie od zgody na przetwarzanie danych na podstawie RODO art. 13 ust. 1 ustawy o zawodzie psychologa oraz samorządzie zawodowym psychologów (dalej: PsychologU) wymaga poinformowania klienta o celu postępowania, jego przebiegu, wynikach i sposobie ich udostępniania oraz uzyskania akceptacji planowanych czynności. Przepis nie określa szczególnej formy tej akceptacji. W tej sprawie warto jednak udokumentować ją na piśmie, zwłaszcza że nagranie ma być odsłuchiwane przez superwizora. Można umieścić ją w tym samym formularzu co zgodę na przetwarzanie danych na podstawie RODO, ale jako wyraźnie odrębne oświadczenie. Akceptacja czynności wynikająca z ustawy o zawodzie psychologa nie zastępuje zgody wymaganej przez RODO, jeżeli to właśnie zgoda jest podstawą przetwarzania.
Klauzula informacyjna jest konieczna, jeżeli administrator zbiera dane bezpośrednio od klienta, chyba że klient już dysponuje wszystkimi informacjami wymaganymi przez art. 13 RODO. Obowiązek przekazania informacji spoczywa na administratorze danych, a nie automatycznie na psychoterapeucie jako osobie prowadzącej sesję. W klauzuli trzeba podać między innymi tożsamość i dane kontaktowe administratora, dane kontaktowe inspektora ochrony danych, jeżeli został wyznaczony, cel i podstawę prawną przetwarzania, odbiorców lub ich kategorie, okres przechowywania lub kryteria jego ustalenia oraz prawa klienta. Jeżeli podstawą jest zgoda, należy poinformować o prawie do jej cofnięcia w dowolnym momencie i o tym, że cofnięcie nie wpływa na zgodność z prawem wcześniejszego przetwarzania. Należy również podać informację o prawie do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, o obowiązku lub dobrowolności podania danych i skutkach ich niepodania, a także o przekazywaniu danych poza Europejski Obszar Gospodarczy lub zautomatyzowanym podejmowaniu decyzji, jeżeli ma to zastosowanie.
Klauzula informacyjna nie jest zgodą i podpisanie jej przez klienta nie powinno być przedstawiane jako wyrażenie zgody. Można zamieścić w niej osobną rubrykę, w której klient potwierdza otrzymanie klauzuli, ale taki podpis służy wyłącznie udokumentowaniu przekazania informacji. W formularzu należy wyraźnie oddzielić tę rubrykę od oświadczenia o zgodzie na nagranie. Przekazanie informacji powinno nastąpić przed rozpoczęciem zbierania danych lub w chwili ich zbierania, tak aby klient mógł podjąć świadomą decyzję.
Warto zatem zastosować jeden formularz zawierający trzy wyraźnie oddzielone części: klauzulę informacyjną administratora, oświadczenie klienta o wyraźnej zgodzie na precyzyjnie opisane przetwarzanie oraz akceptację planowanej czynności psychologicznej. Podpis klienta powinien znajdować się pod oświadczeniami o zgodzie i akceptacji, a opcjonalnie także pod potwierdzeniem otrzymania klauzuli. Podpis psychoterapeuty można dodać jako potwierdzenie omówienia i przyjęcia oświadczenia, ale nie należy przedstawiać go jako prawnego warunku ważności zgody klienta.
Odmowa wyrażenia zgody lub jej cofnięcie nie powinny powodować negatywnych konsekwencji dla dostępu klienta do pomocy psychologicznej, jeżeli nagranie nie jest niezbędne do udzielenia tej pomocy. Formularz powinien wyjaśniać, że zgoda może zostać cofnięta, oraz wskazywać, jak można to zrobić. Zgoda musi być dobrowolna, konkretna i świadoma; nie należy uzależniać świadczenia pomocy od zgody na nagranie wykorzystywane przede wszystkim na potrzeby superwizji szkoleniowej.
Powyższe nie zmienia zastrzeżenia wskazanego wcześniej: podpis klienta, nawet pod szczegółowym formularzem, nie rozstrzyga samodzielnie, czy ujawnienie nagrania zewnętrznemu superwizorowi jest zgodne z tajemnicą zawodową psychologa. Art. 14 PsychologU nakłada obowiązek zachowania w tajemnicy informacji związanych z klientem i wskazuje wyjątki od tego obowiązku, nie wymieniając wprost zgody klienta jako samodzielnego wyjątku. Przed rozpoczęciem nagrywania MOPR powinien zatem potwierdzić, po konsultacji z inspektorem ochrony danych lub obsługą prawną, podstawę przetwarzania i dopuszczalność udostępnienia nagrania superwizorowi. Trzeba też ustalić, czy nagranie rzeczywiście jest anonimowe; brak nazwiska nie wyklucza możliwości identyfikacji klienta na podstawie głosu lub treści sesji.
