GDPR psicologi: quando serve il consenso (Provv. 55/2019)

Quante volte ti sei chiesto se stai davvero facendo le cose per bene con il GDPR? La domanda che ricorre più spesso negli studi professionali è: "Devo far firmare il consenso al trattamento dei dati al mio paziente?". La risposta corretta non è né un sì né un no secco, ma dipende dalla base giuridica che utilizzi per trattare quei dati. E qui nasce la confusione.

Il problema è che molti colleghi continuano a far firmare moduli generici "per il consenso al trattamento dei dati personali", spesso senza sapere che in molti casi il consenso non è la base giuridica corretta. Il rischio? Da un lato violare il GDPR per eccesso di zelo (raccogliendo consensi inutili), dall'altro esporsi a contestazioni per non aver individuato correttamente la base giuridica del trattamento. Il Provvedimento del Garante n. 55 del 7 marzo 2019 ha fatto chiarezza proprio su questo aspetto per le professioni sanitarie, psicologi compresi.

Facciamo ordine una volta per tutte, con riferimenti normativi precisi e applicazioni pratiche per il nostro lavoro quotidiano.

La regola base: i dati sanitari e l'art. 9 GDPR

Partiamo dal fondamento normativo. I dati che trattiamo come psicologi rientrano nelle "categorie particolari di dati personali" di cui all'art. 9 del Regolamento UE 2016/679 (GDPR). Parliamo di dati sanitari, che il GDPR definisce come dati "relativi alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute".

L'art. 9, paragrafo 1, vieta in linea di principio il trattamento di queste categorie di dati. Ma il paragrafo 2 prevede numerose eccezioni che rendono lecito il trattamento. Tra queste, le più rilevanti per noi psicologi sono:

• Art. 9, par. 2, lett. a): il consenso esplicito dell'interessato
• Art. 9, par. 2, lett. h): finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali

Ed è proprio sulla lettera h) che si gioca la partita. Quando applichiamo questa base giuridica, il consenso GDPR non serve.

Il Provvedimento Garante 55/2019: la svolta per le professioni sanitarie

Il Provvedimento generale prescrittivo n. 55 del 7 marzo 2019 del Garante Privacy ha chiarito definitivamente la questione per medici e professioni sanitarie. Il documento stabilisce che per le prestazioni sanitarie rese a persone fisiche da parte di professionisti sanitari non è necessario acquisire il consenso al trattamento dei dati personali, anche quando si tratta di categorie particolari di dati.

La base giuridica applicabile è proprio l'art. 9, par. 2, lett. h) GDPR, in combinato disposto con l'art. 6, par. 1, lett. e) per i dati comuni eventualmente trattati. Il trattamento è quindi lecito perché necessario per finalità di diagnosi, assistenza o terapia sanitaria.

Questo vale anche per gli psicologi? Assolutamente sì. L'art. 1 della Legge 56/1989 definisce la professione di psicologo come professione sanitaria. Il D.Lgs. 230/2021 ha ulteriormente chiarito la natura sanitaria della prestazione psicologica. Il Provvedimento 55/2019, pur riferendosi espressamente ai medici, si applica per estensione a tutte le professioni sanitarie, psicologi compresi.

Attenzione però: il fatto che non serva il consenso non significa che non si debba informare il paziente. L'informativa privacy resta obbligatoria (art. 13 GDPR) e deve indicare chiaramente qual è la base giuridica del trattamento.

Quando il consenso serve davvero

Ci sono situazioni in cui il consenso GDPR è invece necessario e va raccolto esplicitamente. Vediamo i casi principali:

• Comunicazione di dati a terzi non necessaria: se devi comunicare i dati del paziente a soggetti terzi per finalità non strettamente connesse alla prestazione sanitaria (ad esempio invio a un collega per consulenza non urgente), serve il consenso specifico
• Finalità ulteriori rispetto alla cura: se utilizzi i dati per finalità diverse dalla prestazione sanitaria (ricerca, pubblicazioni scientifiche, anche se anonimizzate), serve consenso separato
• Attività di marketing: l'invio di newsletter, comunicazioni promozionali o informative non strettamente legate al rapporto terapeutico richiede consenso specifico (art. 6, par. 1, lett. a GDPR)
• Prestazioni non sanitarie: se svolgi attività non sanitarie (formazione, coaching aziendale, consulenze HR non cliniche), la base giuridica dell'art. 9, par. 2, lett. h) non è applicabile e serve il consenso

In questi casi, il consenso deve essere esplicito, specifico, informato, libero e revocabile. Deve inoltre essere documentato per iscritto.

Obblighi deontologici e segreto professionale

Un aspetto fondamentale da non confondere con il GDPR è il rapporto con il segreto professionale. L'art. 13 del Codice Deontologico degli Psicologi Italiani stabilisce che "lo psicologo è strettamente tenuto al segreto professionale". L'art. 14 specifica che "lo psicologo è tenuto a mantenere il segreto professionale anche dopo la conclusione del rapporto professionale".

Il consenso alla prestazione psicologica (che si configura come contratto d'opera intellettuale) comporta implicitamente l'autorizzazione a raccogliere i dati necessari alla prestazione stessa. Ma questo non autorizza lo psicologo a comunicare tali dati a terzi, salvo i casi previsti dalla legge (art. 622 c.p., obbligo di referto ex art. 365 c.p., segnalazione al Tribunale dei Minorenni in situazioni di pregiudizio grave).

Il consenso informato alla prestazione psicologica (che va comunque raccolto, anche solo verbalmente, secondo l'art. 31 del Codice Deontologico) è cosa diversa dal consenso GDPR. Il primo riguarda l'accettazione del trattamento psicologico, il secondo eventualmente solo alcuni trattamenti di dati che esulano dalla prestazione sanitaria in sé.

Il modo più rapido per mettersi in regola

La buona notizia è che, una volta compreso il quadro normativo, l'adeguamento pratico non è complesso. Serve però avere modulistica corretta che distingua chiaramente:

• L'informativa privacy (obbligatoria sempre, ex art. 13 GDPR), che indica la base giuridica del trattamento (art. 9, par. 2, lett. h) per l'attività sanitaria
• Eventuali consensi specifici per finalità ulteriori (marketing, comunicazione a terzi non necessaria, ricerca)
• Il consenso informato alla prestazione psicologica (obbligo deontologico, art. 31 Codice Deontologico)

Molti colleghi perdono ore a redigere questi documenti da zero, cercando di interpretare normative complesse e rischiando di commettere errori. Una modulistica professionale, redatta da esperti e basata sulle fonti normative corrette (GDPR, Provvedimento 55/2019, Codice Deontologico), fa risparmiare giorni di lavoro e garantisce di operare in piena conformità.

Avere documenti chiari e corretti non è solo una questione di compliance formale: significa rispettare davvero i diritti dei pazienti, tutelare la propria attività professionale e dedicare il tempo a ciò che conta davvero, la cura delle persone.