Etäterapiaistunnon tallentaminen tai litterointi ei ole pelkästään tekninen päätös – se on juridinen päätös. Yleisen tietosuoja-asetuksen mukaan mielenterveystiedot kuuluvat korkeimpaan tietojen arkaluonteisuuden tasoon, ja tästä luokittelusta seuraavat velvoitteet koskevat jokaista yksityisvastaanottoa pitävää ammattilaista ja laitoksessa työskentelevää kliinikoa, joka käyttää digitaalista dokumentointityökalua. Kun tekoälypohjaiset dokumentointityökalut tulevat yhä helpommin saataville, Euroopan terapeutit kohtaavat yhä useammin kysymyksiä, joihin heidän koulutuksensa harvoin on valmistautunut: Mitä oikeusperustetta tarvitsen? Voinko tallentaa litteroinnin? Mitä minun on kerrottava potilaalleni? Vastaukset ovat tarkkoja, merkityksellisiä ja joissain tapauksissa noudattamatta jättämisestä seuraa huomattavia taloudellisia seuraamuksia.

Miksi yleinen tietosuoja-asetus koskee terapiaistuntotietoja erityisen tiukasti

Mielenterveystiedot luokitellaan erityiseksi henkilötietoryhmäksi yleisen tietosuoja-asetuksen artiklan 9 mukaisesti, mikä asettaa ne samalle suojatasolle geneettisten tietojen, biometristen tietojen ja rodullista tai etnistä alkuperää koskevien tietojen kanssa. Artiklan 9(1) oletusasetus on, että tämän tietoryhmän käsittely on kielletty, ellei jokin artiklan 9(2) kymmenestä luetelluista poikkeuksesta sovellu. Tämä on olennaisesti korkeampi kynnys kuin tavallisille henkilötiedoille vaadittu artiklan 6 mukainen oikeusperuste.

Tämä korotettu luokittelu koskee vastaanottotilasta riippumatta. Jopa yhden henkilön psykoterapiavastaanoton on noudatettava artiklan 9 vaatimuksia täysimääräisesti, koska se käsittelee määritelmän mukaan erityistä terveystietoryhmää. Terapiaistunnon sisällön arkaluonteisuus – joka voi sisältää paljastuksia traumasta, itsetuhoajatuksista, seksuaalisesta identiteetistä tai päihteiden käytöstä – tarkoittaa, että kansalliset tietosuojaviranomaiset pitävät pätevän artiklan 9(2) perusteen vahvistamatta jättämistä vakavana rikkomuksena.

Yleinen tietosuoja-asetus toimii vähimmäistasona, ei kattona. Jäsenvaltiot voivat asettaa lisäksi kansallisia velvoitteita. Esimerkiksi Saksan rikoslain §203 asettaa terapeuteille ammatillisia salassapitovelvoitteita, jotka vaikuttavat suoraan siihen, miten istuntotietoja voidaan käsitellä tai jakaa. Terapeuttien tulisi tarkistaa erityiset kansalliset vaatimuksensa asiaankuuluvalta tietosuojaviranomaiselta ennen minkään dokumentointityökalun käyttöönottoa.

Mikä lasketaan käsittelyksi, kun tallennat tai litteroit istunnon

Yleisen tietosuoja-asetuksen mukaan termi "käsittely" kattaa kaikki henkilötietoihin kohdistuvat toimenpiteet, olivatpa ne automatisoituja tai manuaalisia. Etäterapiaistunnon yhteydessä seuraavat kaikki muodostavat käsittelyä:

• Istunnon äänen tai videon tallentaminen

• Reaaliaikaisen tai istunnon jälkeisen litteroinnin luominen

• Yhteenvedon tai tekoälyn luoman kliinisen kirjauksen tallentaminen

• Istunnon sisällön välittäminen kolmannen osapuolen tekoälydokumentointityökalun kautta

• Tallennuksen lataaminen pilvipalveluun

Käsittely koskee yhtä lailla täysin automatisoituja työkaluja ja teknologian avustamaa manuaalista litterointia. Ei ole poikkeusta työkaluille, joita kuvataan "avustaviksi" tai "tukeviksi" täysin autonomisten sijaan. Jos istunnon sisältöä käsitellään millään tavalla järjestelmän tai palvelun toimesta, yleisen tietosuoja-asetuksen velvoitteet astuvat voimaan siitä hetkestä.

Oikeusperuste, joka terapeuttien on vahvistettava ennen minkään dokumentointityökalun käyttöä

Koska terapiaistuntotiedot ovat erityistä tietoryhmää, terapeuttien on täytettävä kaksi erillistä oikeudellista vaatimusta samanaikaisesti: oikeusperuste artiklan 6 mukaisesti ja erillinen edellytys artiklan 9(2) mukaisesti.

Kaksi terapeuteille merkityksellisintä artiklan 9(2) edellytystä ovat:

• Artikla 9(2)(a): Rekisteröidyn nimenomainen suostumus

• Artikla 9(2)(h): Käsittely on tarpeen terveydenhuollon tai sosiaalihuollon tarjoamiseksi ammatillisen salassapitovelvoitteen alaisena

Artikla 9(2)(h) on laajimmin sovellettava edellytys terveydenhuolto-organisaatioille, jotka tarjoavat suoraa kliinistä hoitoa. Se edellyttää, että käsittelyn suorittaa ammattilainen, jota sitoo lakisääteinen salassapitovelvoite, eikä se automaattisesti ulotu kaikkeen istuntotietojen jatkokäyttöön, kuten sisällön välittämiseen kolmannen osapuolen ylläpitämälle tekoälytyökalulle.

Yksityisvastaanottoa pitäville ammattilaisille pelkkään oikeutettuun etuun turvautuminen on harvoin riittävää erityisen tietoryhmän osalta. Nimenomainen suostumus artiklan 9(2)(a) mukaisesti on yleensä puolustettavin vaihtoehto, koska se dokumentoi suoraan potilaan suostumuksen tiettyyn käsittelytoimintaan. Kumpi peruste tahansa valitaankin, se on dokumentoitava ennen käsittelyn aloittamista. Terapeutilla rekisterinpitäjänä on todistustaakka siitä, että pätevä peruste on olemassa.

Mitä nimenomainen suostumus todella vaatii tässä yhteydessä

Pätevällä nimenomaisella suostumuksella yleisen tietosuoja-asetuksen mukaan on tarkka oikeudellinen merkitys. Sen on oltava:

• Vapaaehtoinen: Potilaalle ei saa koitua haittaa kieltäytymisestä

• Yksilöity: Suostumus tallentamiseen ei tarkoita suostumusta litterointiin, tekoälykäsittelyyn tai jakamiseen ohjaajan kanssa – jokainen tarkoitus vaatii erillisen suostumuksen

• Tietoinen: Potilaan on ymmärrettävä, mihin hän suostuu, mukaan lukien kuka käsittelee hänen tietojaan ja miten

• Yksiselitteinen: Valmiiksi rastitettu ruutu tai passiivinen hyväksyntä ei täytä standardia

• Nimenomainen: Erityisen tietoryhmän osalta suostumus on ilmaistava selkeästi ja aktiivisesti – implisiittinen suostumus ei riitä

Yleiseen käyttöehtodokumenttiin piilotettu suostumus ei täytä tätä standardia. Euroopan tietosuojaneuvoston ohjeistus tekee selväksi, että suostumuksen on oltava yksityiskohtainen ja tarkoituskohtainen. Terapeutti, joka hankkii potilaan allekirjoituksen yleiseen terapiasopimukseen, ei ole siten hankkinut suostumusta istunnon äänen ajamiseen tekoälylitterointipalvelun kautta.

Suostumus on myös hankittava ennen tallennuksen tai litteroinnin aloittamista. Jälkikäteinen suostumus – kysyminen potilaalta istunnon jälkeen, haittasiko tallentaminen – ei täytä vaatimusta.

Tietojen minimointi: vain tarvittavan kerääminen

Yleisen tietosuoja-asetuksen artiklan 5(1)(c) mukainen tietojen minimointiperiaate: henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeellista niiden käsittelytarkoituksiin nähden. Sovellettuna terapiadokumentointiin tällä on suoria käytännön vaikutuksia.

Jos strukturoitu kliininen kirjaus sisältää kaiken kliinisesti tarpeellisen istunnosta, täyden äänitallenteen tai sanatarkan litteroinnin säilyttäminen ei välttämättä ole perusteltavissa tämän periaatteen mukaisesti. Olennainen kysymys on, palveleeko yksityiskohtaisempi tieto tarkoitusta, jota vähemmän yksityiskohtainen tieto ei voi palvella.

Käytännössä tämä tarkoittaa:

• Tekoälydokumentointityökalut tulisi konfiguroida luomaan strukturoitu kirjaus ja poistamaan sen jälkeen taustalla oleva litterointi, ellei ole erityistä kliinistä tai oikeudellista syytä säilyttää sitä

• Täysiä istuntotallenteita ei tulisi tallentaa oletuksena hallinnollisen mukavuuden vuoksi

• Työkalun keräämän tiedon laajuutta tulisi tarkastella suhteessa siihen, mitä terapeutti todella käyttää

Vuoden 2025 katsaus tekoälypohjaisista kirjausten luontityökaluista mielenterveyshuollossa havaitsi, että kriittinen tieto tietojenkäsittelystä – mukaan lukien se, mitä säilytetään kirjauksen luomisen jälkeen – puuttui usein toimittajien viestinnästä. Terapeuttien tulisi esittää tarkkoja kysymyksiä sen sijaan, että luottaisivat yleisiin tuotekuvauksiin.

Missä istuntotietoja voidaan tallentaa ja käsitellä: Euroopan unionin tietojen sijaintisäännöt

Yleisen tietosuoja-asetuksen mukaan henkilötietojen siirtäminen Euroopan talousalueen ulkopuolelle on rajoitettua, ellei kohdemaassa ole riittävää tietosuojan tasoa tai ellei ole käytössä asianmukaista suojatoimenpidettä, kuten vakiosopimuslausekkeita. Erityisen mielenterveystietoryhmän osalta tämä vaatimus on erityisen painava.

Kuluttajatason alustat, kuten yleiset videoneuvottelusovellukset – jopa tunnetut – käsittelevät ja tallentavat usein tietoja Euroopan talousalueen ulkopuolisilla palvelimilla, eivätkä ne välttämättä tarjoa sopimussuojatoimenpiteitä, joita yleinen tietosuoja-asetus vaatii terveystiedoille. Terapeutti, joka käyttää tällaista alustaa etäistuntoon automaattisen litteroinnin ollessa käytössä, saattaa siirtää erityistä tietoryhmää kolmanteen maahan ilman pätevää oikeudellista mekanismia.

Arvioidessaan mitä tahansa litterointi- tai tekoälydokumentointityökalua terapeuttien tulisi kysyä toimittajilta suoraan:

• Missä istuntotietoja käsitellään? (Missä maassa, millä pilvipalvelualueella?)

• Missä tietoja säilytetään levossa?

• Sijaitseeko jokin alakäsittelijöistä Euroopan talousalueen ulkopuolella?

• Jos tietoja käsitellään Euroopan talousalueen ulkopuolella, mitä siirtomekanismia sovelletaan?

Euroopan unionin tietojen sijainti on keskeinen vaatimustenmukaisuuskriteeri kaikille terapiaistunnon sisältöä käsitteleville työkaluille, ja toimittajien tulisi pystyä vastaamaan näihin kysymyksiin kirjallisesti.

Tietojenkäsittelijäsuhde: velvoitteesi käyttäessäsi kolmannen osapuolen työkalua

Kun terapeutti käyttää ulkoista tekoäly- tai litterointityökalua, kyseisestä toimittajasta tulee tietojenkäsittelijä yleisen tietosuoja-asetuksen mukaisesti. Terapeutti rekisterinpitäjänä pysyy oikeudellisesti vastuussa siitä, että käsittelijä käsittelee tietoja yleisen tietosuoja-asetuksen vaatimusten mukaisesti.

Yleisen tietosuoja-asetuksen artikla 28 edellyttää allekirjoitettua tietojenkäsittelysopimusta terapeutin ja kaikkien toimittajien välillä, jotka käsittelevät potilastietoja heidän puolestaan. Tietojenkäsittelysopimuksen, joka täyttää yleisen tietosuoja-asetuksen vaatimukset, on täsmennettävä:

• Käsittelyn kohde, kesto ja tarkoitus

• Henkilötietojen tyyppi ja rekisteröityjen ryhmät

• Rekisterinpitäjän velvoitteet ja oikeudet

• Että käsittelijä toimii vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti

• Käsittelijän toteuttamat turvatoimenpiteet

• Käsittelijän velvoitteet alakäsittelijöiden osalta

• Määräykset tietojen poistamisesta tai palauttamisesta sopimuksen päättyessä

Tietojenkäsittelysopimuksen puuttuminen ei tee käsittelystä laillista – se tekee siitä rikkomuksen. Terapeuttien ei tulisi käyttää mitään työkalua, joka käsittelee potilasistuntotietoja ilman allekirjoitettua tietojenkäsittelysopimusta. Jos toimittaja ei halua tai pysty toimittamaan sellaista, se on itsessään vaatimustenmukaisuussignaali.

Mitä sinun on kerrottava potilaille ennen tekoälydokumentointityökalun käyttöä

Yleisen tietosuoja-asetuksen artiklojen 13 ja 14 mukaiset läpinäkyvyysvelvoitteet edellyttävät, että potilaille kerrotaan heidän tietojensa käsittelystä tietojen keräämishetkellä. Terapiaistuntojen osalta tämä tarkoittaa, että potilaille on kerrottava:

• Mitä tietoryhmiä kerätään (esimerkiksi äänitallenne, litterointi, tekoälyn luoma kirjaus)

• Rekisterinpitäjän henkilöllisyys (terapeutti tai vastaanotto)

• Kaikkien tietojenkäsittelijöiden henkilöllisyys (tekoälytyökalun toimittaja)

• Käsittelyn oikeusperuste

• Missä tietoja säilytetään ja kuinka kauan

• Heidän oikeutensa, mukaan lukien oikeus päästä tietoihin, oikaista ja pyytää tietojen poistamista

Tämä ilmoitus on toimitettava tavalla, joka on aidosti informatiivinen, ei piilotettuna pitkään asiakirjaan. Tekoälydokumentointityökaluja käyttävien terapeuttien parhaat käytännöt sisältävät:

• Vastaanoton tietosuojaselosteen päivittämisen käsittelemään erityisesti tekoälyavusteista dokumentointia

• Suullisen selityksen antamisen ennen ensimmäistä istuntoa, jossa työkalua käytetään

• Kirjallisen vahvistuksen tarjoamisen (esimerkiksi yhden sivun yhteenveto), jonka potilas voi säilyttää

• Dokumentoinnin siitä, että ilmoitus annettiin ja suostumus hankittiin

Etälääketieteen ja tietosuojavelvoitteiden oikeudellinen analyysi vahvistaa, että läpinäkyvyysvaatimukset koskevat täysimääräisesti digitaalisia terveyspalveluvuorovaikutuksia, mukaan lukien videoalustojen kautta toteutetut etäterapiaistunnot.

Säilytysajat: kuinka kauan voit säilyttää litterointeja tai tekoälyn luomia kirjauksia

Artiklan 5(1)(e) mukainen säilytyksen rajoittamisperiaate edellyttää, että henkilötietoja säilytetään muodossa, joka mahdollistaa rekisteröityjen tunnistamisen, vain niin kauan kuin on tarpeen niiden käsittelytarkoituksiin nähden. Terapiaistuntojen litterointien ja tekoälyn luomien kirjausten osalta terapeuttien on määriteltävä ja dokumentoitava säilytysaika ja sovellettava sitä.

Useita näkökohtia on otettava huomioon:

• Ammatillisten sääntelyelinten ohjeet kliinisten kirjausten säilyttämisestä asettavat vähimmäistason (esimerkiksi säilytysvaatimukset vaihtelevat maan ja ammatillisen elimen mukaan – terapeuttien tulisi neuvotella kansallisen sääntelyelimensä kanssa sovellettavasta vähimmäisajasta)

• Tekoälyn luomat kirjaukset ja istuntolitteroinnit eivät automaattisesti ole samojen säilytyssääntöjen alaisia kuin viralliset kliiniset kirjaukset – sanatarkalla litteroinnilla voi olla paljon lyhyempi perusteltavissa oleva säilytysaika kuin siitä johdetulla kliinisellä kirjauksella

• Jos litterointi säilytetään vain kirjauksen luomiseksi, se tulisi poistaa, kun tämä tarkoitus on täytetty

Terapeuttien tulisi dokumentoida säilytysperiaatteensa kirjallisesti, täsmentäen eri ajat eri tietotyypeille (tallenne, litterointi, strukturoitu kirjaus, potilaskirje), ja varmistaa, että heidän tekoälytyökalutoimittajansa tietojen poistamiskäytännöt ovat linjassa kyseisen periaatteen kanssa.

Turvallisuusvaatimukset mielenterveysistuntotietojen tallentamiselle

Yleisen tietosuoja-asetuksen artikla 32 edellyttää, että rekisterinpitäjät ja käsittelijät toteuttavat riskiin nähden asianmukaiset tekniset ja organisatoriset toimenpiteet. Erityisen mielenterveystietoryhmän osalta riskitaso on oletuksena korkea, ja vaaditut toimenpiteet heijastavat sitä.

Terapiaistuntotietoja käsittelevien työkalujen vähimmäisturvallisuusodotukset sisältävät:

• Salaus levossa ja siirrossa: Istuntotallenteet, litteroinnit ja kirjaukset on salattava sekä tallennettuna että siirrettäessä

• Pääsynhallinta: Vain valtuutettujen henkilöiden tulisi päästä käsiksi istuntotietoihin, roolipohjaisten käyttöoikeuksien ja todennusvaatimusten kanssa

• Auditointipolut: Järjestelmien tulisi kirjata, kuka pääsi käsiksi mihin tietoihin ja milloin

• Tietoturvapoikkeamien hallinta: Toimittajilla tulisi olla dokumentoidut menettelyt tietoturvaloukkausten havaitsemiseksi ja raportoimiseksi

Kuluttajatason työkalut – mukaan lukien yleiset videoneuvottelusovellukset, joissa automaattinen litterointi on käytössä – eivät todennäköisesti täytä näitä vaatimuksia ilman erityisiä yritys- tai terveydenhuoltotason sopimuksia. Se, että alustaa käytetään laajalti kliinisissä ympäristöissä, ei tarkoita, että se on yleisen tietosuoja-asetuksen mukainen erityisen tietoryhmän käsittelyyn ilman asianmukaisia sopimusperusteisia ja teknisiä suojatoimenpiteitä.

Vuoden 2025 vertaisarvioitu katsaus tekoälypohjaisista kirjausten luontityökaluista mielenterveyshuollossa havaitsi, että vaikka useimmat toimittajat tarjosivat tietoa tietosuojasta ja yksityisyyden suojatoimenpiteistä verkkosivuillaan, kriittiset yksityiskohdat – mukaan lukien erityiset turvallisuussertifikaatit, alakäsittelijäluettelot ja tietojen poistamiskäytännöt – puuttuivat usein. Terapeuttien ei tulisi olettaa vaatimustenmukaisuutta, vaan heidän tulisi varmistaa se.

Käytännön vaiheet yksityisvastaanottoa pitäville ammattilaisille vaatimustenmukaisen dokumentointityökalun valinnassa

Yksityisvastaanottoa pitävät ammattilaiset, jotka arvioivat tekoälydokumentointityökaluja, tekevät sen tyypillisesti ilman laitoksen IT- tai oikeudellista tukea. Seuraava tarkistuslista kattaa vähimmäishuolellisuuden, jota yleinen tietosuoja-asetus vaatii:

• Vahvista Euroopan unionin tietojen sijainti: Kysy toimittajalta kirjallisesti, missä istuntotietoja käsitellään ja säilytetään. Vahvista, ettei mikään alakäsittelijöistä sijaitse Euroopan talousalueen ulkopuolella, tai että asianmukaiset siirtomekanismit ovat käytössä

• Hanki allekirjoitettu tietojenkäsittelysopimus: Älä käytä mitään työkalua, joka käsittelee potilastietoja ilman allekirjoitettua tietojenkäsittelysopimusta, joka täyttää artiklan 28 vaatimukset

• Tarkista ISO 27001 -sertifikaatti: ISO 27001 -sertifikaatti osoittaa, että toimittaja on toteuttanut kansainvälisesti tunnustetun tietoturvahallintajärjestelmän. Se ei ole yleisen tietosuoja-asetuksen takuu, mutta se on merkityksellinen perustasoinen indikaattori

• Tarkista alakäsittelijäluettelo: Toimittajat luottavat tyypillisesti alakäsittelijöihin (esimerkiksi pilvi-infrastruktuurin tarjoajat). Pyydä täydellinen luettelo ja arvioi, onko kunkin alakäsittelijän sijainti ja turvallisuusasema hyväksyttävä

• Ymmärrä tietojen poistamisperiaate: Vahvista, kuinka kauan toimittaja säilyttää tietoja istunnon jälkeen, mikä laukaisee poistamisen ja voitko pyytää tiettyjen kirjausten poistamista

• Varmista, että työkalu tukee potilaiden oikeuspyyntöjä: Järjestelmän on pystyttävä vastaamaan pääsypyyntöihin ja poistopyyntöihin yleisen tietosuoja-asetuksen vaatimissa aikarajoissa

Toimittajien viestinnän läpinäkyvyyden puute, joka tunnistettiin vertaisarvioidussa tutkimuksessa, tarkoittaa, että terapeuttien tulisi esittää tarkkoja, kirjallisia kysymyksiä sen sijaan, että luottaisivat markkinointimateriaaleihin. Toimittaja, joka ei pysty vastaamaan näihin kysymyksiin selkeästi, ei ole vaatimustenmukainen valinta.

Kun potilas peruuttaa suostumuksen tai pyytää poistamista

Potilailla on täytäntöönpanokelpoiset oikeudet yleisen tietosuoja-asetuksen mukaisesti, joihin terapeuttien on oltava operatiivisesti valmiita vastaamaan. Kaksi on erityisen merkityksellisiä tekoälyavusteisen dokumentoinnin kannalta.

Oikeus peruuttaa suostumus (artikla 7(3)): Potilas voi peruuttaa suostumuksensa tietojensa käsittelyyn milloin tahansa. Peruuttaminen ei vaikuta ennen peruuttamista suoritetun käsittelyn laillisuuteen, mutta sen on astuttava voimaan jatkossa. Tutkimus suostumuksen peruuttamisen toteuttamisesta terveystietojen yhteyksissä korostaa operatiivista monimutkaisuutta: tietoja voi olla useissa järjestelmissä – tekoälytyökalussa, pilvivarmistuksessa, paikallisessa kopiossa – ja ne on tunnistettava ja käsiteltävä kussakin.

Oikeus poistamiseen (artikla 17): Jos käsittely perustui suostumukseen, potilaalla, joka peruuttaa suostumuksensa, on oikeus pyytää tietojensa poistamista. Terapeutin rekisterinpitäjänä on toimittava tämän pyynnön mukaisesti kuukauden kuluessa ja hänen on ohjeistettava kaikkia tietojenkäsittelijöitä – mukaan lukien tekoälytyökalun toimittaja – poistamaan asiaankuuluvat tiedot järjestelmistään.

Käytännössä terapeuttien tulisi:

• Dokumentoida suostumuksen peruuttaminen kirjallisesti ja kirjata päivämäärä

• Ottaa yhteyttä tekoälytyökalun toimittajaan välittömästi ja pyytää kaikkien kyseiseen potilaaseen liittyvien istuntotietojen poistamista

• Hankkia kirjallinen vahvistus toimittajalta, että poistaminen on suoritettu

• Tarkistaa, onko myös paikalliset kopiot (esimerkiksi ladatut litteroinnit) poistettava

Oikeus poistamiseen ei ole ehdoton. Jos tietoja on säilytettävä lakisääteisen velvoitteen noudattamiseksi – kuten ammatillisten sääntelyvaatimusten mukaisesti kliinisten kirjausten säilyttämiseksi vähimmäisajan – kyseinen velvoite voi ohittaa poistamispyynnön virallisen kliinisen kirjauksen osalta. Raa'at litteroinnit tai tallenteet, jotka ylittävät kliinisen kirjauksen vaatimukset, eivät todennäköisesti hyödy tästä poikkeuksesta, ja ne tulisi yleensä poistaa pyynnöstä.

Mielenterveystyön ammattieettiset viitekehykset tunnistavat johdonmukaisesti dokumentoinnin ja tiedonhallinnan kliinikon vastuullisuuden ydinalueiksi. Kyky vastata potilaiden oikeuspyyntöihin on yhä useammin osa tätä odotusta digitaalisesti välitetyssä kliinisessä ympäristössä.

Usein kysytyt kysymykset

Koskeeko yleinen tietosuoja-asetus terapiaistuntojen tallenteitä ja litterointeja

Kyllä. Yleisen tietosuoja-asetuksen mukaan mielenterveystiedot luokitellaan erityiseksi henkilötietoryhmäksi artiklan 9 mukaisesti, mikä asettaa ne korkeimmalle tietojen arkaluonteisuuden tasolle. Istunnon tallentaminen, litteroinnin luominen, tekoälyn luoman kliinisen kirjauksen tallentaminen tai istunnon sisällön välittäminen kolmannen osapuolen työkalun kautta muodostavat kaikki käsittelyä yleisen tietosuoja-asetuksen mukaisesti. Tämä koskee jokaista ammattilaista, joka käsittelee istuntotietoja digitaalisesti, mukaan lukien yhden henkilön psykoterapiavastaanotot.

Mitä oikeusperustetta terapeutit tarvitsevat ennen tekoälydokumentointityökalun käyttöä

Terapeuttien on täytettävä kaksi oikeudellista vaatimusta samanaikaisesti: oikeusperuste yleisen tietosuoja-asetuksen artiklan 6 mukaisesti ja erillinen edellytys artiklan 9(2) mukaisesti. Kaksi merkityksellisintä artiklan 9(2) edellytystä ovat potilaan nimenomainen suostumus (artikla 9(2)(a)) ja käsittely, joka on tarpeen terveydenhuollon tai sosiaalihuollon tarjoamiseksi ammatillisen salassapitovelvoitteen alaisena (artikla 9(2)(h)). Yksityisvastaanottoa pitäville ammattilaisille nimenomainen suostumus on yleensä puolustettavin vaihtoehto, koska se dokumentoi suoraan potilaan suostumuksen tiettyyn käsittelytoimintaan. Kumpi peruste tahansa valitaankin, se on dokumentoitava ennen käsittelyn aloittamista.

Mitä pätevä nimenomainen suostumus vaatii tallennettaessa tai litteroitaessa terapiaistuntoa

Pätevän nimenomaisen suostumuksen yleisen tietosuoja-asetuksen mukaisesti on oltava vapaaehtoinen, yksilöity, tietoinen, yksiselitteinen ja aktiivisesti ilmaistu. Suostumus tallentamiseen ei tarkoita suostumusta litterointiin, tekoälykäsittelyyn tai jakamiseen ohjaajan kanssa – jokainen tarkoitus vaatii erillisen suostumuksen. Yleiseen käyttöehtodokumenttiin piilotettu suostumus ei täytä tätä standardia. Se on myös hankittava ennen tallennuksen tai litteroinnin aloittamista, jälkikäteinen suostumus ei täytä vaatimusta.

Mikä on tietojen minimointiperiaate ja miten se koskee terapiadokumentointia

Yleisen tietosuoja-asetuksen artikla 5(1)(c) edellyttää, että henkilötiedot ovat asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeellista niiden käsittelytarkoituksiin nähden. Käytännössä, jos strukturoitu kliininen kirjaus sisältää kaiken kliinisesti tarpeellisen istunnosta, täyden äänitallenteen tai sanatarkan litteroinnin säilyttäminen ei välttämättä ole perusteltavissa. Tekoälydokumentointityökalut tulisi konfiguroida luomaan strukturoitu kirjaus ja poistamaan sen jälkeen taustalla oleva litterointi, ellei ole erityistä kliinistä tai oikeudellista syytä säilyttää sitä. Täysiä istuntotallenteita ei tulisi tallentaa oletuksena hallinnollisen mukavuuden vuoksi.

Voidaanko terapiaistuntotietoja tallentaa tai käsitellä Euroopan talousalueen ulkopuolella

Henkilötietojen siirtäminen Euroopan talousalueen ulkopuolelle on yleisen tietosuoja-asetuksen mukaisesti rajoitettua, ellei kohdemaassa ole riittävää tietosuojan tasoa tai ellei ole käytössä asianmukaista suojatoimenpidettä, kuten vakiosopimuslausekkeita. Kuluttajatason alustat, mukaan lukien yleiset videoneuvottelusovellukset, käsittelevät ja tallentavat usein tietoja Euroopan talousalueen ulkopuolisilla palvelimilla, eivätkä ne välttämättä tarjoa sopimussuojatoimenpiteitä, joita yleinen tietosuoja-asetus vaatii terveystiedoille. Terapeuttien tulisi kysyä toimittajilta kirjallisesti, missä istuntotietoja käsitellään ja säilytetään, sijaitseeko jokin alakäsittelijöistä Euroopan talousalueen ulkopuolella ja mitä siirtomekanismia sovelletaan, jos tiedot poistuvat alueelta.

Mikä on tietojenkäsittelysopimus ja tarvitsevatko terapeutit sellaisen

Kun terapeutti käyttää ulkoista tekoäly- tai litterointityökalua, kyseisestä toimittajasta tulee tietojenkäsittelijä yleisen tietosuoja-asetuksen mukaisesti. Yleisen tietosuoja-asetuksen artikla 28 edellyttää allekirjoitettua tietojenkäsittelysopimusta terapeutin ja kaikkien toimittajien välillä, jotka käsittelevät potilastietoja heidän puolestaan. Sopimuksen on täsmennettävä käsittelyn tarkoitus ja kesto, käytössä olevat turvatoimenpiteet, käsittelijän velvoitteet alakäsittelijöiden osalta ja määräykset tietojen poistamisesta tai palauttamisesta sopimuksen päättyessä. Tietojenkäsittelysopimuksen puuttuminen ei tee käsittelystä laillista – se tekee siitä rikkomuksen. Terapeuttien ei tulisi käyttää mitään työkalua, joka käsittelee potilasistuntotietoja ilman allekirjoitettua sopimusta.

Mitä terapeuttien on kerrottava potilaille ennen tekoälydokumentointityökalun käyttöä

Yleisen tietosuoja-asetuksen artiklojen 13 ja 14 mukaiset läpinäkyvyysvelvoitteet edellyttävät, että potilaille kerrotaan heidän tietojensa käsittelystä tietojen keräämishetkellä. Terapeuttien on kerrottava potilaille, mitä tietoryhmiä kerätään, rekisterinpitäjän ja kaikkien tietojenkäsittelijöiden henkilöllisyys, käsittelyn oikeusperuste, missä tietoja säilytetään ja kuinka kauan, sekä potilaan oikeudet, mukaan lukien pääsy, oikaisu ja poistaminen. Parhaat käytännöt sisältävät vastaanoton tietosuojaselosteen päivittämisen käsittelemään erityisesti tekoälyavusteista dokumentointia, suullisen selityksen antamisen ennen ensimmäistä istuntoa, jossa työkalua käytetään, ja dokumentoinnin siitä, että ilmoitus annettiin ja suostumus hankittiin.

Kuinka kauan terapeutit voivat säilyttää litterointeja ja tekoälyn luomia kirjauksia

Yleisen tietosuoja-asetuksen artiklan 5(1)(e) mukainen säilytyksen rajoittamisperiaate edellyttää, että henkilötietoja säilytetään vain niin kauan kuin on tarpeen niiden käsittelytarkoituksiin nähden. Terapeuttien on määriteltävä ja dokumentoitava säilytysaika kullekin tietotyypille ja sovellettava sitä johdonmukaisesti. Tekoälyn luomat kirjaukset ja istuntolitteroinnit eivät automaattisesti ole samojen säilytyssääntöjen alaisia kuin viralliset kliiniset kirjaukset. Jos litterointi säilytetään vain kirjauksen luomiseksi, se tulisi poistaa, kun tämä tarkoitus on täytetty. Terapeuttien tulisi vahvistaa, että heidän tekoälytyökalutoimittajansa tietojen poistamiskäytännöt ovat linjassa heidän dokumentoidun säilytysperiaatteensa kanssa.

Mitä tapahtuu, jos potilas peruuttaa suostumuksen tai pyytää istuntotietojensa poistamista

Potilas voi peruuttaa suostumuksensa tietojensa käsittelyyn milloin tahansa yleisen tietosuoja-asetuksen artiklan 7(3) mukaisesti. Jos käsittely perustui suostumukseen, potilaalla on myös oikeus pyytää tietojensa poistamista artiklan 17 mukaisesti. Terapeutin on toimittava poistamispyynnön mukaisesti kuukauden kuluessa ja hänen on ohjeistettava tekoälytyökalun toimittajaa poistamaan asiaankuuluvat tiedot järjestelmistään, hankkien kirjallinen vahvistus, että poistaminen on suoritettu. Oikeus poistamiseen ei ole ehdoton: jos tietoja on säilytettävä lakisääteisen velvoitteen noudattamiseksi, kuten ammatillisten sääntelyvaatimusten mukaisesti kliinisten kirjausten säilyttämiseksi, kyseinen velvoite voi ohittaa poistamispyynnön virallisen kliinisen kirjauksen osalta. Raa'at litteroinnit tai tallenteet, jotka ylittävät kliinisen kirjauksen vaatimukset, eivät todennäköisesti hyödy tästä poikkeuksesta.

Mitä turvallisuusstandardeja terapeuttien tulisi etsiä valitessaan tekoälydokumentointityökalua

Yleisen tietosuoja-asetuksen artikla 32 edellyttää, että rekisterinpitäjät ja käsittelijät toteuttavat riskiin nähden asianmukaiset tekniset ja organisatoriset toimenpiteet. Erityisen mielenterveystietoryhmän osalta riskitaso on oletuksena korkea. Vähimmäisodotukset sisältävät istuntotallenteiden, litterointien ja kirjausten salauksen sekä levossa että siirrossa, roolipohjaisen pääsynhallinnan, auditointipolut, jotka kirjaavat tietoihin pääsyn, ja dokumentoidut tietoturvapoikkeamien hallintamenettelyt. ISO 27001 -sertifikaatti osoittaa, että toimittaja on toteuttanut kansainvälisesti tunnustetun tietoturvahallintajärjestelmän ja toimii merkityksellisenä perustasoisen indikaattorina, vaikka se ei itsessään ole yleisen tietosuoja-asetuksen takuu. Vuoden 2025 vertaisarvioitu katsaus tekoälypohjaisista kirjausten luontityökaluista mielenterveyshuollossa havaitsi, että kriittiset turvallisuusyksityiskohdat, mukaan lukien erityiset sertifikaatit, alakäsittelijäluettelot ja tietojen poistamiskäytännöt, puuttuivat usein toimittajien viestinnästä. Terapeuttien tulisi varmistaa vaatimustenmukaisuus suoraan sen sijaan, että luottaisivat markkinointimateriaaleihin.