GDPR psicologi: il consenso privacy non serve per la terapia

Ogni giorno, in migliaia di studi di psicologia in Italia, si ripete la stessa scena: prima seduta, accoglienza, e poi il professionista estrae un modulo. "Ecco, mi deve firmare il consenso al trattamento dei dati personali". Il paziente firma, spesso senza leggere. Tutto regolare, tutto a norma. O forse no?

La verità è che per l'attività clinica dello psicologo, il consenso privacy non è necessario. Non lo dico io: lo dice il GDPR, il Regolamento europeo sulla protezione dei dati. Eppure la stragrande maggioranza dei colleghi continua a farlo firmare, convinta che sia obbligatorio. Non lo è. E c'è una ragione precisa.

Questo non significa che gli psicologi possano fare quello che vogliono con i dati dei pazienti. Significa che la base giuridica del trattamento è un'altra. Capire questa distinzione non è un tecnicismo da avvocati: cambia il modo in cui gestiamo la relazione terapeutica e la fiducia del paziente.

La base giuridica: quando il consenso NON serve

Il GDPR prevede sei basi giuridiche per trattare dati personali. Il consenso è solo una di queste. Per i professionisti sanitari – e lo psicologo è un professionista sanitario dal 2018 – la base giuridica principale è l'articolo 9, comma 2, lettera h: necessità di cura.

In pratica: quando un paziente viene in terapia, i suoi dati vengono trattati perché necessari per erogare la prestazione sanitaria. Non serve un consenso separato, perché il consenso è già implicito nella richiesta di cura. Se vieni da me per un percorso psicologico, è ovvio che devo raccogliere informazioni sulla tua storia, i tuoi sintomi, la tua vita.

Questa norma vale per tutti i dati, anche quelli "particolari" (ex sensibili): stato di salute, orientamento sessuale, convinzioni religiose, origine etnica. Tutto ciò che emerge in seduta può essere trattato senza bisogno di un consenso scritto specifico per la privacy.

Il Garante per la Protezione dei Dati Personali lo ha ribadito più volte nelle sue linee guida: per le professioni sanitarie, compresa quella dello psicologo, il consenso non è la base giuridica corretta. Punto.

Allora perché quasi tutti lo fanno firmare?

Bella domanda. Le ragioni sono diverse, e nessuna è particolarmente solida dal punto di vista normativo:

• Confusione normativa: il GDPR è complesso, le informazioni circolate dopo il 2018 erano spesso contraddittorie, e molti colleghi hanno seguito consulenti che applicavano la stessa logica per tutti i settori
• Eccesso di prudenza: meglio un modulo in più che un problema con il Garante, si pensa. Ma il punto è che quel modulo non solo è inutile, è anche tecnicamente scorretto
• Confusione con altri consensi: il consenso informato al trattamento psicologico (che invece è obbligatorio) viene mescolato con il consenso privacy, creando un unico calderone
• Formazione inadeguata: nei corsi GDPR generici, la specificità delle professioni sanitarie viene ignorata

Il risultato è che la maggior parte degli psicologi usa una base giuridica sbagliata per un trattamento legittimo. È come guidare con la patente giusta ma sulla corsia sbagliata: arrivi comunque a destinazione, ma non è corretto.

Cosa devi fare davvero (secondo la legge)

Se il consenso non serve, cosa serve? Tre cose fondamentali:

1. L'informativa privacy
Questa sì è obbligatoria. Devi consegnare al paziente (o rendere disponibile) un documento che spiega come tratti i suoi dati: chi è il titolare, quali dati raccogli, per quanto tempo li conservi, con chi eventualmente li condividi, quali sono i diritti del paziente. L'informativa si consegna, non si fa firmare. Il paziente deve riceverla, non deve acconsentire.

2. Il registro delle attività di trattamento
Un documento interno dove elenchi le tipologie di dati che tratti, le finalità, le misure di sicurezza. Non serve mostrarlo al paziente, ma devi averlo. Per studi con meno di 250 dipendenti (praticamente tutti gli psicologi liberi professionisti) ci sono semplificazioni, ma il registro in forma base va tenuto.

3. Misure di sicurezza adeguate
Armadi chiusi a chiave per le cartelle cartacee, password sui dispositivi, backup dei dati, procedure per la distruzione sicura dei documenti. Non servono sistemi da NASA, serve buon senso applicato con costanza.

Nota importante: il consenso privacy potrebbe servire per trattamenti che vanno oltre la cura diretta. Per esempio: pubblicare una testimonianza del paziente sul sito, usare dati per ricerca scientifica, inviare newsletter. In questi casi sì, serve un consenso specifico, libero e informato. Ma per la terapia in sé, no.

Il vero tema: la fiducia nella relazione terapeutica

Dietro questa questione tecnica c'è qualcosa di più profondo. La relazione terapeutica si fonda sulla fiducia. Quando un paziente entra per la prima volta nel mio studio, porta con sé una vulnerabilità enorme. Sta per raccontare cose che magari non ha mai detto a nessuno.

Bombardarlo di moduli, consensi, firme rischia di medicalizzare eccessivamente l'incontro. Certo, la formalità ha il suo posto. Ma la protezione dei dati non passa principalmente dalla firma su un modulo, passa dal comportamento quotidiano del professionista.

Rispetto il segreto professionale perché è il fondamento del mio lavoro, non perché me lo impone il GDPR. Proteggo le cartelle cliniche perché contengono la storia intima di persone reali, non perché rischio una sanzione. La normativa è un confine minimo, non il punto di arrivo.

E paradossalmente, usare la base giuridica corretta (necessità di cura) mette al centro proprio questo: non ti chiedo il permesso di raccogliere i tuoi dati, perché senza quei dati non posso curarti. È insito nella natura stessa del nostro rapporto. È più onesto, più chiaro, più rispettoso.

Come lavoro io con i pazienti su questi aspetti

Nel mio studio a Roma, ho scelto la strada della chiarezza. Nella prima seduta consegno l'informativa privacy – un documento scritto in italiano comprensibile, non in burocratese – e la spiego brevemente. Non la faccio firmare. Spiego che i dati che emergeranno nei nostri incontri sono protetti dal segreto professionale e trattati secondo legge.

Se il paziente vuole una copia dell'informativa (cosa che succede raramente, ma è un suo diritto), gliela fornisco. Se ha domande, rispondo. Ma non trasformo i primi minuti di conoscenza in una sessione di firma documenti.

Questo approccio si inserisce in una visione più ampia del mio lavoro: costruire uno spazio terapeutico dove la persona si senta al sicuro. Sicura dal giudizio, sicura nella riservatezza, sicura nel potersi esprimere. Le norme sulla privacy sono uno strumento per garantire questa sicurezza, non un ostacolo burocratico da superare.

Quando lavoro con pazienti che portano traumi, ansia, difficoltà relazionali, la fiducia è tutto. E la fiducia si costruisce con la coerenza: tra quello che dico e quello che faccio, tra le regole che seguo e il modo in cui le applico. Applicare correttamente il GDPR – usando la base giuridica giusta – è un piccolo tassello di questa coerenza.