Tre firme in due minuti

Sul consenso, che gli psicologi raccolgono quasi sempre nel posto sbagliato e in modalità non conforme (lo posso dire perché sono della categoria!)

Me lo racconta con una certa soddisfazione, e la capisco.

Prima seduta. Accoglienza, inquadramento, il tempo giusto per far sedere la persona nella stanza. Poi la cartellina: consenso informato, preventivo, “e questo è il consenso privacy, mi firmi qui”. Tre firme, 2 minuti, tutto in ordine. Il resto della seduta è suo.

Il problema è che quel terzo foglio, nella stragrande maggioranza dei casi, non serve. E le cose che invece servivano, nella cartellina non c’erano.

Non è colpa sua. È che dal 2018 il quadro si è capovolto e nessuno ce l’ha detto con la chiarezza necessaria. Il D.Lgs. 101/2018 ha riscritto il Codice Privacy per allinearlo al GDPR, e in quel passaggio il consenso, il totem, l’adempimento, il foglio che ti mette al riparo, è diventato una base giuridica residuale. Nel senso letterale del termine: quello che resta quando non ce n’è un’altra.

Chi lavora in ambito sanitario, un’altra ce l’ha quasi sempre.

Due consensi che si somigliano solo nel nome

Il consenso informato è il tuo primo atto clinico. Riguarda la relazione: cosa farai, con quali metodi, per quanto tempo, a quale costo, e soprattutto quali sono i limiti giuridici della riservatezza. Le fonti sono la Legge 219/2017 per le prestazioni sanitarie e l’art. 24 del Codice Deontologico, che ti vincola anche quando sanitaria non è: selezione, orientamento, formazione, consulenza tecnica.

Il consenso al trattamento dei dati è un’altra cosa. È una delle basi giuridiche degli artt. 6, par. 1, lett. a) e 9, par. 2, lett. a) del GDPR. Serve a rendere lecito un trattamento. Non fonda nessuna relazione, non contiene nessuna promessa, non dice nulla di clinico.
Uno può esistere senza l’altro. Nella pratica quotidiana il primo c’è sempre, il secondo quasi mai.

Una nota per chi ha aggiornato la modulistica negli ultimi anni: la revisione 2023 del Codice Deontologico delle Psicologhe e degli Psicologi Italiani, entrata in vigore il 1° dicembre 2023, ha cessato di avere efficacia a seguito della sentenza del Consiglio di Stato n. 10376/2024, pubblicata il 24 dicembre 2024, che ha invalidato la relativa procedura referendaria. È pertanto tornato applicabile il precedente testo del Codice, come modificato nel 2013. La modulistica predisposta sulla base delle disposizioni introdotte nel 2023 dovrebbe quindi essere verificata e, ove necessario, adeguata.

La notizia a cui nessuno vuole credere

L’art. 9, par. 2, lett. h) e par. 3 del GDPR consente il trattamento dei dati sulla salute per finalità di diagnosi, assistenza e terapia quando è effettuato da un professionista sanitario tenuto al segreto professionale. L’art. 75 del Codice Privacy, nella versione riscritta dal 101/2018, recepisce la stessa impostazione.

Il Garante lo ha scritto nero su bianco nel provvedimento n. 55 del 7 marzo 2019: il professionista sanitario soggetto al segreto non deve più chiedere il consenso per i trattamenti necessari alla prestazione richiesta dall’interessato. Vale in libera professione e vale dentro una struttura, pubblica o privata. Indifferente.

Lo psicologo è professione sanitaria per effetto della L. 3/2018 ed è tenuto al segreto (art. 622 c.p., artt. 11-13 del Codice Deontologico). Sei dentro la lettera h) in pieno.

Quindi quel foglio non è un eccesso di prudenza. È un errore che ti costruisce un problema addosso.

Perché il consenso è revocabile per definizione, e con la stessa facilità con cui è stato dato (art. 7, par. 3 GDPR). Il giorno in cui il paziente decide di revocartelo e succede, di solito nei momenti peggiori ti tocca spiegargli che no, in realtà non cambia niente, che quella firma non contava. Fai una figura mediocre e, cosa più seria, gli hai raccontato una cosa non vera all’inizio di un rapporto che si regge sul contrario.

Quello che serve davvero, invece, è più noioso e meno visibile. L’informativa degli artt. 13-14, breve e in italiano leggibile: il Garante insiste molto su questo, e ha ragione, perché un’informativa di sei pagine è un modo elegante di non informare nessuno. I tempi di conservazione, definiti e motivati. Le misure di sicurezza, proporzionate a quello che tieni negli armadi e nei dischi.

E il registro delle attività di trattamento. Il provvedimento 55/2019 è esplicito: i singoli professionisti sanitari in libera professione non rientrano nell’esenzione dell’art. 30, par. 5. Sei da solo, hai dieci pazienti, non importa. Il registro va tenuto.

Il DPO no. Quello, per il professionista che opera individualmente, il Garante lo esclude, richiamando il considerando 91. Almeno una buona notizia.

Dove il consenso serve sul serio 

Serve per tutto ciò che è attinente alla cura in senso lato ma non strettamente necessario. Il provvedimento 55/2019 ne fa un elenco esemplificativo; tradotto nel tuo studio, sono cose che conosci bene.

La newsletter. Gli inviti ai workshop. La pubblicazione di casi clinici, il materiale formativo, la ricerca, che poi ha regole tutte sue. Le richieste di recensione, che sono diventate una piccola industria. Le app e le piattaforme di terzi, quando ai dati accedono soggetti che non sono professionisti sanitari né altrimenti tenuti al segreto. La supervisione e l’intervisione, se il materiale che porti identifica la persona.

Qui il consenso dev’essere esplicito, granulare, una spunta per finalità, mai un unico “acconsento a tutto”, e revocabile senza conseguenze. Il test è semplice: se il paziente ti dice no alla newsletter e la terapia prosegue identica, il consenso era libero. Se percepisce che rifiutare gli costa qualcosa, non lo era.

I minori, e i tre piani che tutti confondono

Il primo piano è il consenso alla prestazione. La presa in carico di un minore è una decisione di maggiore interesse, e la responsabilità genitoriale si esercita di comune accordo (art. 337-ter, comma 3, c.c.): servono entrambi, salvo affido esclusivo o provvedimento del giudice. L’art. 31 del Codice Deontologico dice la stessa cosa e indica l’unica via d’uscita strutturata: se ritieni necessario l’intervento e la sua assoluta riservatezza in assenza di quel consenso, informi l’Autorità Tutoria. Se i genitori litigano, decide il giudice. Non la tua lettura clinica del conflitto, per quanto sia probabilmente più accurata della sua. E l’art. 3 della L. 219/2017 ti chiede comunque di ascoltare il ragazzino, di valorizzarne la capacità di comprensione. Non è un dettaglio retorico.

Il secondo piano è il consenso privacy del minore, e qui entra l’articolo che il 101/2018 ha scritto apposta: l’art. 2-quinquies del Codice Privacy. Dai quattordici anni il minore può esprimere da solo il consenso al trattamento dei propri dati, ma soltanto in relazione all’offerta diretta di servizi della società dell’informazione. App, portali, aree riservate, sistemi di prenotazione online.

Non è l’età per accedere alla psicoterapia. L’ho vista usare così più di una volta, e capisco perché: una soglia numerica è rassicurante, il resto è complicato. Ma è un’altra norma per un’altra cosa.

Il terzo piano è arrivato di recente. L’art. 4, comma 4 della Legge 132/2025 richiede il consenso di chi esercita la responsabilità genitoriale per l’accesso dei minori di quattordici anni alle tecnologie di intelligenza artificiale e per il conseguente trattamento dei dati; sopra i quattordici il minore può esprimerlo da sé, purché le informazioni siano accessibili e comprensibili. Se usi trascrittori automatici, test digitali con motori di IA, assistenti per la refertazione, questo piano ti riguarda già oggi.

Mandare i dati a un collega: i lucchetti sono due

Prima una precisazione di lessico, che sembra pedante e invece cambia il ragionamento. Nel GDPR “trasferimento” vuol dire trasferimento fuori dall’Unione (artt. 44 e seguenti). Quello che intendi tu, di norma, è una comunicazione a un altro titolare.

E il punto è che sono due serrature diverse, montate sulla stessa porta.

La prima è la base giuridica. Fuori dal perimetro dell’équipe, la lettera h) copre il tuo trattamento, non automaticamente la condivisione con un professionista che è titolare autonomo del proprio.

La seconda è il segreto professionale (art. 622 c.p., artt. 11-13 del Codice Deontologico). E il GDPR non lo scioglie. Puoi avere tutte le basi giuridiche del mondo: quello che hai appreso nella stanza resta coperto finché la persona non ti autorizza a rivelarlo.

Quindi: autorizzazione scritta, specifica per destinatario e per contenuto, e minimizzazione (art. 5, par. 1, lett. c). Mandi la relazione che serve, non la cartella intera. “Autorizzo lo psicologo a comunicare i miei dati a chi riterrà utile” non è un’autorizzazione, è una firma in bianco, e non protegge nessuno dei due.

Dentro la stessa struttura il discorso cambia: colleghi e personale operano come soggetti autorizzati ai sensi dell’art. 2-quaterdecies del Codice Privacy, con istruzioni scritte. Nessun consenso, ma la designazione ci vuole.

Se poi il collega sta fuori dall’Unione, o se il tuo cloud porta i dati oltre confine, allora sì: siamo nel trasferimento vero, e servono le garanzie degli artt. 44-49. Vale la pena guardare dove sono i server prima di scegliere il gestionale, non dopo.

La firma elettronica e il problema della prova

La forma elettronica è pienamente valida. Il problema non è mai stato quello.

Il problema è l’art. 7, par. 1: devi essere in grado di dimostrare che il consenso è stato prestato. “Me lo ricordo” non è una dimostrazione, e nemmeno una casella spuntata dentro un sistema che non registra nulla.

Il tuo strumento, qualunque sia, deve tenere traccia di chi, quando, quale testo ha accettato e quale versione dell’informativa era attiva in quel momento. Deve raccogliere un’azione positiva inequivocabile: niente caselle preselezionate, niente silenzio-assenso, niente “proseguendo accetti”. Deve tenere separate le finalità. E deve rendere la revoca facile almeno quanto è stato facile prestarlo, dicendolo prima e non nell’ultima riga.

Occhio al mezzo. Un modulo Google, una piattaforma di firma, un gestionale sono tutti responsabili del trattamento ai sensi dell’art. 28, e vogliono un accordo scritto. Il consenso raccolto su WhatsApp è valido come manifestazione di volontà; la conservazione della prova sul tuo telefono personale è un’altra faccenda, e non è una bella faccenda.

Il consenso informato clinico ha regole sue e più rigide: l’art. 1, comma 4 della L. 219/2017 chiede che sia documentato in forma scritta o attraverso videoregistrazione, e inserito nella documentazione sanitaria. Se lavori online, è qui che conviene essere pignoli.

Tre professionisti, uno studio, un equivoco

L’ultimo nodo è quello del consenso “multiplo”. Girano moduli in cui il paziente acconsente al trattamento da parte dello Studio e dei professionisti che vi operano, elencati in fondo con tanto di numero di albo.

Non funziona, e soprattutto risponde alla domanda sbagliata. La domanda non è quante firme raccogli. È chi è titolare di che cosa.

Se condividete solo i locali e ognuno tratta i propri pazienti in autonomia, siete titolari autonomi: informativa propria, registro proprio, responsabilità propria. Se invece determinate insieme finalità e mezzi, cartella condivisa, gestionale unico, presa in carico congiunta, siete contitolari ai sensi dell’art. 26, e serve un accordo scritto di cui l’informativa deve riportare il contenuto essenziale. Sono due mondi diversi e la differenza non la stabilisce l’insegna sulla porta.

La segretaria è una persona autorizzata (art. 2-quaterdecies), non una responsabile. Il gestionale e il servizio di fatturazione sono responsabili (art. 28), e vogliono il loro contratto.

E il passaggio di un paziente da un collega all’altro dentro lo stesso studio non è mai automatico. Se siete titolari autonomi, è una comunicazione tra titolari, e tornano i due lucchetti di prima.

Cosa tenere sul desktop

Informativa breve e leggibile. Nessun consenso privacy per la cura, consenso esplicito e granulare per marketing, ricerca, testimonianze, strumenti di terzi.
Registro dei trattamenti anche se lavori da solo.
Per i minori: entrambi i genitori per la prestazione, i quattordici anni valgono solo online, regola dedicata per l’IA. Verso i colleghi: autorizzazione specifica, e mandi il minimo.
Consenso elettronico: log, versioning, revoca semplice. Studio condiviso: mappa i ruoli prima di stampare qualunque modulo.

Sette righe. Meno di quanto ti costi rifare la cartellina.

Resta una cosa, che non è un adempimento. Il consenso è il momento in cui dici a una persona che cosa succederà alle cose che sta per raccontarti. Se lo tratti come una firma, diventa una firma, e otto minuti dopo nessuno dei due se ne ricorda. Se lo tratti come parte del setting, diventa il primo pezzo del lavoro.

Poi certo, va anche fatto bene. Ma quello è il mestiere mio.