GDPR e segreto professionale per psicologi: cosa fare nel 2026
Lettura 7 min · AstraLoop Studio
Apri l'agenda del lunedì mattina e la prima cosa che vedi è un nome, un cognome e un orario. Poi c'è la mail di chi ha scritto sabato sera per chiedere un primo colloquio, il messaggio WhatsApp di chi deve spostare la seduta di giovedì, il file con gli appunti della supervisione. Nessuno di questi oggetti sembra "un dato sensibile" mentre lo maneggi. Ma lo è, e nel tuo caso lo è più che in quasi ogni altra professione: il solo fatto che una persona compaia nella tua agenda dice che è, o è stata, in terapia. Questo articolo non è una lezione di diritto: è una mappa pratica di dove il GDPR per psicologi tocca davvero la tua giornata di lavoro nel 2026, e di quando conviene farsi affiancare da chi lo fa di mestiere.
Perché per te i dati non sono come per tutti gli altri
Il Regolamento europeo 2016/679, il GDPR, classifica i dati sulla salute, compresa la salute mentale, come categoria particolare: servono garanzie più alte di quelle che valgono per un negozio che raccoglie email per la newsletter. A questo si aggiunge un secondo livello che riguarda solo te e poche altre professioni: il segreto professionale, previsto dal codice deontologico degli psicologi e tutelato anche dal codice penale. Non sono la stessa cosa. Il GDPR ti dice come devi trattare, conservare e proteggere i dati; il segreto professionale ti vincola a non rivelare quello che sai su un paziente, a prescindere da come è archiviato. Un fascicolo cartaceo perfettamente protetto da occhi indiscreti può comunque essere violato se ne parli fuori dal contesto giusto; un dato trattato con leggerezza tecnica, una mail non protetta, un backup su un cloud generico, può violare il GDPR anche se tu non hai detto una parola a nessuno. Devi tenerli in mente entrambi insieme, non uno al posto dell'altro.
Dove si sbaglia davvero, in uno studio come il tuo
Non sono gli scenari da manuale a creare problemi, sono le abitudini che si formano per comodità, spesso nei primi anni di attività quando il numero di pazienti era basso e sembrava tutto gestibile a mano. Le situazioni più comuni che si incontrano:
- Agenda su Google Calendar o simili condivisa con la segreteria, un familiare o un collega di studio, senza distinguere chi può vedere il nome del paziente e chi deve vedere solo che quell'ora è occupata.
- File con nome e cognome del paziente nel titolo, tipo "Note_Rossi_seduta3.docx", salvati su un cloud personale non pensato per dati sanitari, magari lo stesso account usato per le foto delle vacanze.
- WhatsApp personale per fissare appuntamenti e rispondere a chi chiede informazioni, con backup automatico su cloud non protetto e telefono che a volte gira anche in famiglia.
- Modulo di consenso assente o scaricato da internet anni fa, che confonde il consenso al trattamento dei dati con l'accordo sul percorso terapeutico: sono due cose diverse e vanno tenute separate.
- Sito o modulo di contatto senza un'informativa privacy chiara su chi tratta i dati di chi scrive per un primo colloquio, e per quanto tempo li conserva.
- Sedute online tenute con strumenti di videochiamata generici, scelti per comodità, senza verificare dove risiedono i server e se lo strumento è pensato anche per dati sanitari.
Nessuno di questi errori nasce da leggerezza verso il paziente. Nasce dal fatto che mandare avanti uno studio da soli, tra sedute, supervisione e amministrazione, lascia poco tempo per pensare all'architettura dei dati. È un problema di sistema, non di buona volontà.
Cosa puoi fare davvero, a partire da lunedì
Non serve rifare tutto in un weekend. Serve mettere in fila le priorità.
Separa i canali
Il canale che usi per il primo contatto, chi scrive per chiedere informazioni, non dovrebbe essere lo stesso account personale che usi per parlare con tua sorella. Un numero WhatsApp Business dedicato allo studio, o meglio ancora un sistema che gestisce la richiesta di primo colloquio senza farla transitare da un telefono personale, riduce da subito il rischio più comune.
Scrivi un'informativa vera, non generica
Chi ti scrive per un primo colloquio deve sapere, in poche righe chiare, chi tratta i suoi dati, per cosa, per quanto tempo li conservi e a chi può rivolgersi per chiederne la cancellazione. Non deve essere un mattone giuridico incomprensibile: deve essere leggibile da chi la legge nel momento più delicato, quello in cui sta ancora decidendo se scriverti o no.
Metti ordine nella conservazione
Le cartelle, digitali o cartacee, vanno conservate per un tempo definito e giustificabile, non "per sempre perché non si sa mai". Se usi un gestionale o un software esterno per l'agenda o le note cliniche, quel fornitore è un responsabile del trattamento e serve un accordo scritto che lo dichiari: è un punto che molti software generici in abbonamento non offrono in modo trasparente, e vale la pena controllarlo prima di scegliere lo strumento, non dopo averlo già adottato.
Limita chi vede cosa
Se hai una segretaria, una collaboratrice, un collega con cui condividi lo studio fisico, ognuno dovrebbe vedere solo quello che gli serve per il suo ruolo. Chi gestisce l'agenda non ha bisogno di leggere le note cliniche. Un sistema con accessi profilati per ruolo richiede una progettazione iniziale, ma evita che la protezione dei dati dipenda dalla buona memoria di tutti su cosa non aprire.
Se agenda, WhatsApp e note cliniche vivono ancora su strumenti diversi che non si parlano, AstraLoop Studio può costruirti un sistema unico, pensato da subito per dati sanitari. Parliamone.
Il ruolo degli strumenti, e dove la comodità diventa un rischio
Molti degli errori elencati sopra nascono da strumenti pensati per un uso generico, piegati a un uso sanitario perché erano già in mano a tutti: fogli Excel, WhatsApp personale, Google Calendar condiviso senza permessi. Funzionano, fino a quando il numero di pazienti cresce, si aggiunge una collaboratrice, oppure capita l'imprevisto: un telefono smarrito, un accesso dimenticato aperto, un file inviato al destinatario sbagliato. Un gestionale costruito su misura per lo studio parte da un presupposto diverso: la riservatezza è pensata nella struttura, non aggiunta dopo. Significa accessi differenziati per ruolo, tracciamento di chi ha aperto cosa, agenda che mostra solo l'occupazione dell'orario a chi non deve vedere il nominativo, backup gestiti correttamente. Non è indispensabile per tutti: uno studio individuale con pochi pazienti e abitudini già ordinate può reggere a lungo con strumenti semplici, purché usati bene. Diventa una scelta sensata quando lo studio cresce, si aggiunge personale, o quando ti accorgi che stai già facendo i salti mortali per tenere insieme agenda, contatti e note su strumenti diversi che non parlano tra loro.
Il vincolo sulla comunicazione, anche quando parli di privacy
Vale la pena ricordarlo qui perché capita spesso: anche la pagina del sito dove spieghi come tratti i dati dei pazienti resta comunicazione sanitaria, e come tale è regolata dal comma 525 della legge 145/2018 e dal codice deontologico degli psicologi, che ammettono solo informazioni funzionali, come titoli, specializzazioni e tipo di prestazioni, e vietano elementi promozionali o suggestivi. Non è un problema per una pagina di informativa scritta bene: il rischio nasce quando quella pagina, o la comunicazione intorno alla privacy, diventa un argomento di vendita, tipo "siamo più sicuri degli altri" o "scegli chi rispetta davvero la tua privacy". Meglio restare descrittivi: cosa fai, come lo fai, perché. Nei casi dubbi verifica sempre con il tuo Ordine territoriale: le interpretazioni su cosa è informativo e cosa è suggestivo possono variare.
Quando conviene farsi seguire da un consulente
Va detto con onestà: per gli aspetti legali veri e propri, come definire la base giuridica del trattamento, redigere un'informativa conforme nei dettagli, valutare se il tuo caso richiede un registro dei trattamenti o un DPO, serve un consulente privacy o un legale specializzato in dati sanitari. Non è terreno su cui muoversi da soli con un modello scaricato da internet, e non è terreno su cui un'agenzia che si occupa di siti e gestionali dovrebbe sostituirsi a un legale. Quello che possiamo fare è la parte a monte: costruire gli strumenti, agenda, modulo di contatto, archivio delle cartelle, canale per i messaggi, in modo che rispettino da subito i principi che il tuo consulente ti indicherà, invece di doverli rattoppare dopo. È il motivo per cui, quando lavoriamo con professionisti sanitari, guardiamo sempre insieme come altri studi hanno strutturato questo lavoro prima di scrivere una riga di codice.
Il punto, in breve
Il GDPR per uno psicologo non è un adempimento a parte da spuntare una volta e dimenticare. È l'architettura invisibile dietro ogni contatto che ricevi: chi legge quel primo messaggio, dove finisce quel nome, chi può vederlo dopo di te. Rimetterla in ordine non è un progetto da fare tutto insieme, ma nemmeno qualcosa da rimandare all'infinito perché finora non è successo niente. Se vuoi ripartire dagli strumenti, da come gestisci l'agenda e il gestionale dello studio, scrivici e vediamo insieme dove intervenire per primo: la parte tecnica la costruiamo noi, quella normativa la verifichi con il tuo Ordine o con il tuo consulente privacy di fiducia.
Domande frequenti
Uno psicologo libero professionista deve nominare un DPO?
Non è un obbligo automatico per il singolo libero professionista: dipende dal volume e dal tipo di trattamenti che fai. È una valutazione da fare con un consulente privacy o legale, meglio se verificata anche con il tuo Ordine territoriale nei casi dubbi.
Posso usare WhatsApp per parlare con i pazienti?
Non è vietato in sé, ma va usato con criterio: meglio un numero dedicato allo studio, separato dal telefono personale, con attenzione a backup e informativa. Evita di farlo diventare l'unico canale per informazioni sensibili.
Per quanto tempo vanno conservate le cartelle psicologiche?
Non esiste un numero valido per tutti i casi: il tempo di conservazione va definito in base al tipo di trattamento e alla finalità, ed è un punto da chiarire con un consulente privacy, non da lasciare indefinito.
Serve sempre un consenso scritto separato per il trattamento dei dati?
Sì, il consenso al trattamento dei dati personali va tenuto distinto dall'accordo sul percorso terapeutico: sono due documenti con finalità diverse e vanno presentati come tali, non uniti in un modulo unico generico.
Cosa rischia uno studio che non è in regola con il GDPR?
Le conseguenze possono andare da sanzioni amministrative a problemi più seri legati al segreto professionale, a seconda del caso concreto. Non è materia su cui fare stime generiche: se hai dubbi sulla tua situazione specifica, rivolgiti a un consulente privacy o al tuo Ordine.
Vuoi mettere in ordine agenda, contatti e cartelle in modo che la riservatezza sia già dentro il sistema? Scrivi ad AstraLoop Studio: costruiamo il gestionale del tuo studio, tu resti in regola con il tuo Ordine.