Privacy nel sito dello psicologo: cosa serve davvero

Il sito di uno psicologo raccoglie pochi dati, ma delicati. Chi ti scrive per la prima volta a volte racconta subito la sua situazione, e quelle sono informazioni sulla salute, che il GDPR protegge in modo particolare (articolo 9). Ecco cosa serve davvero, senza spaventarsi e senza fare finta di niente.

Il modulo di contatto

È il punto più importante, perché è da lì che arrivano i dati. Le regole che uso:

• Pochi campi: nome, email, telefono facoltativo, messaggio. Tutto il resto lo chiedi al primo colloquio. È il principio di minimizzazione (articolo 5 del GDPR).
• Un avviso chiaro sopra il campo del messaggio: “Non inserire informazioni sulla tua salute: ne parliamo con calma al primo colloquio.”
• Il link all’informativa accanto al pulsante di invio.
• Niente caselle di consenso inutili. Per rispondere a chi ti scrive, la base giuridica sono le misure precontrattuali richieste dalla persona. Un consenso separato serve solo se vuoi usare quei dati per altro, ad esempio una newsletter.
• Protezione dallo spam senza strumenti di tracciamento, ad esempio un campo invisibile ai visitatori invece dei “captcha” che caricano servizi esterni.

Ricorda anche cosa succede dopo: le richieste arrivano nella tua email, che non è un canale adatto a contenuti clinici. Rispondi proponendo una chiamata o un colloquio, senza entrare nei dettagli per iscritto.

L’informativa privacy

L’informativa (articolo 13 del GDPR) deve spiegare in modo semplice chi tratta i dati, quali, perché, su quale base, per quanto tempo, a chi li passa e quali diritti ha la persona. In concreto deve contenere:

• i tuoi dati come titolare: nome, indirizzo, email, partita IVA;
• quali dati raccogli dal sito e perché: rispondere alle richieste di informazioni e di appuntamento;
• la base giuridica e per quanto tempo conservi i dati, ad esempio 12 mesi dall’ultimo contatto se non nasce un percorso;
• i fornitori che li trattano per tuo conto: hosting del sito, servizio del modulo, email;
• se i dati possono uscire dall’Unione Europea, e con quali garanzie;
• i diritti della persona e la possibilità di reclamo al Garante.

Attenzione ai generatori automatici: spesso producono testi pensati per un negozio online, con voci che non c’entrano nulla con uno studio. Un’informativa che descrive trattamenti che non fai è sbagliata quanto una che manca.

Cookie: quando serve il banner

Secondo le Linee guida del Garante sui cookie (10 giugno 2021), il consenso serve per i cookie e gli strumentidiversi da quelli tecnici: analisi di terze parti, profilazione, pubblicità. Se il sito usa solo strumenti tecnici, basta la cookie policy e il banner non serve.

Gli elementi che di solito fanno comparire il banner sono:

• Google Analytics: richiede il consenso, quindi il banner. Se ti servono solo i numeri di visita, esistono strumenti senza cookie.
• Mappe di Google incorporate: meglio un’immagine della mappa con un link “Apri in Google Maps”.
• Video di YouTube incorporati: meglio una copertina che carica il video solo al clic.
• Pulsanti dei social e pixel pubblicitari: per uno studio, quasi sempre non servono.

Un sito senza banner non è solo più semplice da mettere in regola: è anche più accogliente per chi arriva in un momento difficile.

I dati da mostrare per legge e per l’Ordine

• La partita IVA in home page: è obbligatoria per chi ha un sito legato all’attività (articolo 35 del DPR 633/1972). Di solito si mette nel piè di pagina, visibile su tutte le pagine.
• Ordine regionale e numero di iscrizione all’Albo, insieme al titolo esatto: è la base di una presentazione corretta, come chiede il Codice deontologico.
• I link a privacy policy e cookie policy, raggiungibili da ogni pagina.

WhatsApp e telefono

Un pulsante WhatsApp è comodo e molte persone lo preferiscono. Va bene, purché sia un semplice link che si apre solo se la persona lo tocca, e purché tu non lo usi per parlare di contenuti clinici. Vale lo stesso consiglio dell’email: WhatsApp serve a fissare un appuntamento.

Checklist finale

• Modulo con pochi campi, avviso sui dati di salute e link all’informativa.
• Informativa privacy scritta per il tuo studio, non copiata.
• Cookie policy che descrive davvero cosa usa il sito.
• Banner solo se ci sono cookie di analisi o profilazione, con “Accetta” e “Rifiuta” sullo stesso piano.
• Partita IVA, Ordine e numero di iscrizione visibili.
• Fornitori (hosting, modulo, email) indicati nell’informativa.
• Nessuna mappa, video o pixel che carichi servizi esterni senza bisogno.

Riferimenti: Regolamento UE 2016/679 (GDPR), artt. 5, 9 e 13; Linee guida del Garante sui cookie e altri strumenti di tracciamento del 10 giugno 2021; art. 35 del DPR 633/1972. Per casi particolari, come sedute online o gestione delle cartelle, conviene un consulente privacy.