Telepsicologia CNOP: consensi, piattaforme e privacy conformi

La telepsicologia è ormai parte integrante della nostra pratica professionale, ma quanti di noi possono dire con certezza di essere pienamente in regola sotto il profilo deontologico e normativo? La questione non è accademica: un consenso informato inadeguato, una piattaforma non conforme o una gestione impropria dei dati possono esporci a contestazioni deontologiche e, nei casi più gravi, a sanzioni del Garante per la protezione dei dati personali.

Il CNOP ha fornito indicazioni specifiche attraverso diversi documenti, in particolare il "Decalogo per lo psicologo che opera online" e le "Linee di indirizzo per la prestazione psicologica via internet e a distanza" (2017, aggiornate nel contesto pandemico). Questi orientamenti si integrano con il Codice Deontologico degli Psicologi Italiani e con la normativa sulla privacy, creando un quadro di adempimenti che dobbiamo conoscere e applicare nella pratica quotidiana.

Vediamo nel dettaglio cosa richiede la normativa vigente e come tradurla in procedure concrete per lo studio.

Il consenso informato specifico per la telepsicologia

L'art. 24 del Codice Deontologico ci obbliga a raccogliere il consenso informato prima di iniziare qualsiasi intervento, illustrando finalità, modalità e metodologia. Per le prestazioni online, questo obbligo si arricchisce di contenuti specifici che il CNOP ha chiaramente indicato.

Il consenso per la telepsicologia deve includere:

• Limiti e specificità della modalità online: il paziente deve comprendere che non si tratta di una semplice trasposizione digitale della relazione in presenza, ma di una modalità con caratteristiche proprie
• Requisiti tecnici necessari: dispositivi, connessione, ambiente riservato dal lato del paziente
• Gestione delle emergenze: procedure chiare su cosa fare in caso di disconnessione o situazioni critiche
• Ambito di applicazione: chiarire per quali situazioni cliniche la modalità online è appropriata e quando non lo è
• Possibilità di revoca: il paziente deve sapere di poter interrompere la modalità online e richiedere incontri in presenza

Questo consenso si aggiunge, non sostituisce, quello generale per il trattamento psicologico. Si tratta di un documento autonomo che attesta la piena consapevolezza del paziente rispetto alla specificità della prestazione telematica.

Piattaforme conformi: cosa verificare tecnicamente

La scelta della piattaforma non è una questione di comodità, ma di conformità normativa. L'art. 11 del Codice Deontologico ci impone di utilizzare strumenti e tecniche adeguati, e nel contesto della telepsicologia questo significa piattaforme che garantiscano standard precisi di sicurezza.

Il GDPR, all'art. 32, richiede misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio. Considerando che i dati sanitari sono dati particolari (art. 9 GDPR) che necessitano di protezione rafforzata, la piattaforma deve presentare:

• Crittografia end-to-end: i dati devono essere cifrati durante la trasmissione, in modo che nessuno - nemmeno il fornitore della piattaforma - possa intercettarli
• Server localizzati in UE: per facilitare la conformità al GDPR ed evitare trasferimenti extra-UE problematici
• Data Processing Agreement (DPA): un contratto che definisce il fornitore come responsabile del trattamento ai sensi dell'art. 28 GDPR
• Assenza di tracciamento per finalità commerciali: nessun utilizzo dei dati per profilazione, pubblicità o altre finalità estranee alla prestazione
• Registrazione solo se necessaria e consensuale: con informativa specifica e conservazione limitata nel tempo

Piattaforme generaliste come Skype, Zoom o Google Meet presentano criticità note: raccolta di metadati, server extra-UE, clausole contrattuali pensate per uso business o personale, non sanitario. Il CNOP ha più volte raccomandato l'uso di piattaforme dedicate all'ambito sanitario.

Riservatezza e protezione dei dati: adempimenti pratici

La gestione della privacy nelle prestazioni online richiede attenzione a diversi livelli. Come titolari del trattamento (art. 4, n. 7 GDPR), siamo responsabili dell'intero ciclo di vita del dato.

L'informativa privacy per la telepsicologia deve specificare:

• Base giuridica del trattamento: consenso esplicito per i dati relativi alla salute (art. 9, par. 2, lett. a GDPR) e, ove applicabile, esecuzione di misure precontrattuali
• Finalità specifiche: erogazione della prestazione psicologica a distanza
• Categorie di dati trattati: dati anagrafici, di contatto, relativi alla salute
• Destinatari: eventuale fornitore della piattaforma come responsabile del trattamento
• Tempi di conservazione: secondo quanto previsto per la documentazione sanitaria (almeno fino alla prescrizione dei diritti, quindi generalmente 10 anni dalla conclusione del trattamento)
• Diritti dell'interessato: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione

Sul piano organizzativo, dobbiamo garantire:

• Ambiente riservato anche dal nostro lato durante le sedute
• Dispositivi protetti da password e sistemi antivirus aggiornati
• Backup cifrati della documentazione clinica
• Procedure per la gestione di eventuali data breach, con notifica al Garante entro 72 ore se c'è rischio per i diritti degli interessati (art. 33 GDPR)

Il Provvedimento del Garante n. 55 del 7 marzo 2019, relativo al Fascicolo Sanitario Elettronico, pur non riguardando direttamente la libera professione, offre indicazioni sui livelli di sicurezza richiesti per i dati sanitari digitali: autenticazione forte, tracciamento degli accessi, cifratura dei dati.

Documentazione e registro delle attività di trattamento

L'art. 30 GDPR richiede ai titolari del trattamento di mantenere un registro delle attività. Per lo studio professionale che eroga telepsicologia, questo significa documentare:

• Finalità del trattamento (prestazioni psicologiche online)
• Categorie di interessati (pazienti)
• Categorie di dati (anagrafici, sanitari)
• Eventuali responsabili del trattamento (fornitori di piattaforme, gestori server)
• Eventuali trasferimenti verso paesi terzi (da evitare)
• Misure di sicurezza adottate

Inoltre, è buona prassi conservare:

• Copia dei consensi informati specifici per la telepsicologia firmati dai pazienti
• Evidenza delle informative privacy fornite
• Contratti (DPA) con i fornitori di servizi tecnologici
• Documentazione delle verifiche effettuate sulle piattaforme utilizzate

Questa documentazione non è solo un adempimento burocratico: in caso di ispezione del Garante o di contestazione deontologica, costituisce la prova della nostra diligenza professionale.

Il modo più rapido per mettersi in regola

Mettersi in regola con tutti questi adempimenti può sembrare un'impresa titanica. Tra lo studio della normativa, la redazione dei documenti conformi e la verifica della loro coerenza con Codice Deontologico, GDPR e indicazioni CNOP, possono facilmente trascorrere decine di ore.

La soluzione più efficiente è partire da una modulistica già predisposta da esperti, basata sulle fonti normative pertinenti e aggiornata alle più recenti indicazioni. Modelli pronti di consenso informato per la telepsicologia, informative privacy specifiche, checklist per la valutazione delle piattaforme e registri di trattamento precompilati permettono di risparmiare tempo prezioso e di avere la sicurezza di coprire tutti gli aspetti richiesti dalla normativa.

Naturalmente, ogni modello va poi adattato alle specificità del proprio studio e della propria pratica clinica, ma partire da una base solida e conforme significa ridurre drasticamente il rischio di dimenticanze o imprecisioni. In un ambito in cui la conformità normativa è complessa e in evoluzione, avere strumenti professionali già pronti rappresenta un investimento in tranquillità e tutela della propria attività.