Consenso informato digitale per psicologi: validità, firma e tracciabilità

Quando il consenso informato passa dalla carta allo schermo, il punto non è semplicemente “avere una firma digitale”. Il punto è poter ricostruire un processo: quali informazioni ha ricevuto la persona, in quale versione, quando le ha lette, come ha espresso la propria scelta e dove è conservata la prova.

Un PDF firmato può far parte di questo processo, ma da solo non garantisce che il consenso sia stato davvero informato. Allo stesso modo, un flusso digitale può essere pienamente adeguato anche senza una firma qualificata, se è progettato in modo comprensibile, attribuibile e tracciabile.

In questa guida vediamo come impostarlo nello studio di psicologia, distinguendo quattro piani che vengono ancora confusi: consenso alla prestazione, informativa privacy, registrazione o trascrizione della seduta e uso di strumenti di intelligenza artificiale.

Il consenso informato è un processo, non un modulo

L’articolo 24 del Codice Deontologico richiede allo psicologo di fornire, nella fase iniziale del rapporto, informazioni adeguate e comprensibili sulle prestazioni, sulle finalità e modalità del lavoro e sui limiti giuridici della riservatezza. Lo scopo è mettere la persona nelle condizioni di scegliere consapevolmente.

Per le prestazioni sanitarie, la Legge 219/2017 rafforza lo stesso principio: nessun trattamento può iniziare o proseguire senza un consenso libero e informato, salvo i casi previsti dalla legge. La norma ammette diverse modalità di documentazione, non soltanto il foglio firmato.

La conseguenza pratica è semplice: la validità non nasce dal supporto, carta o digitale. Nasce dalla qualità dell’informazione e dalla possibilità di dimostrare il percorso seguito.

Un sistema digitale ben costruito dovrebbe quindi permettere di ricostruire almeno questi elementi:

chi ha ricevuto l’informazione;
quale testo gli è stato mostrato;
quando è avvenuta la presa visione;
come è stata espressa l’accettazione;
se esistono scelte separate per attività ulteriori;
dove si trova la versione accettata.

Quattro livelli da non confondere

Separare i diversi livelli non significa obbligatoriamente creare quattro documenti. Significa evitare che autorizzazioni diverse finiscano nascoste in un’unica casella “Accetto tutto”.

1. Consenso alla prestazione professionale

Riguarda il percorso psicologico o psicoterapeutico: natura e obiettivi della prestazione, modalità di svolgimento, compenso, durata prevedibile quando possibile, regole del setting e limiti della riservatezza.

È il consenso che nasce dal rapporto professionale. La firma lo documenta, ma non sostituisce il colloquio, la spiegazione e la possibilità di fare domande.

2. Informativa privacy e base giuridica

L’informativa privacy spiega come vengono trattati i dati personali: chi è il titolare, per quali finalità, per quanto tempo, con quali destinatari e quali diritti può esercitare la persona.

Non va confusa con il consenso alla prestazione. Il Garante ha chiarito che il professionista sanitario soggetto al segreto professionale non deve chiedere un consenso privacy per i trattamenti strettamente necessari alla cura richiesta dal paziente. L’informativa prevista dal GDPR resta comunque necessaria.

Se invece il dato viene usato per una finalità ulteriore e non necessaria alla prestazione, bisogna individuare una base giuridica adeguata e, quando si sceglie il consenso, renderlo specifico, libero, informato e dimostrabile.

3. Registrazione e trascrizione della seduta

Registrare l’audio o produrre una trascrizione non è un dettaglio tecnico. Aumenta la quantità e la sensibilità dei dati trattati e introduce domande precise: perché si registra, chi accede al file, dove viene conservato, per quanto tempo e cosa succede se la persona rifiuta o cambia idea.

Per questo la scelta relativa alla registrazione o alla trascrizione dovrebbe essere presentata in modo separato e riconoscibile, senza nasconderla nel consenso generale.

Un provvedimento del Garante del 2024, nato anche da contestazioni relative a registrazioni di sedute di psicoterapia, ha ribadito che gli obblighi di trasparenza e informazione iniziano dalla prima raccolta di dati, non dal momento in cui il terapeuta considera formalmente “iniziata” la terapia.

4. Uso di strumenti di intelligenza artificiale

L’uso dell’AI non produce automaticamente, in ogni situazione, l’obbligo di chiedere un nuovo consenso privacy. Dipende dal trattamento concreto, dalla sua necessità e dalla base giuridica utilizzata.

Esiste però un obbligo di trasparenza. La Legge 132/2025 stabilisce che, nelle professioni intellettuali, le informazioni sui sistemi di intelligenza artificiale utilizzati devono essere comunicate al cliente in modo chiaro, semplice ed esaustivo. L’AI deve restare strumentale e di supporto: la prestazione e la responsabilità professionale rimangono umane.

Se l’AI lavora su una registrazione o una trascrizione opzionale della seduta, è prudente costruire un passaggio distinto, comprensibile e revocabile. Non perché la parola “AI” richieda sempre la stessa formula, ma perché quel flusso tratta materiale particolarmente delicato e non dovrebbe essere dato per implicito.

La firma elettronica è sempre necessaria?

Non necessariamente. Un documento elettronico non può essere privato di effetti giuridici soltanto perché è digitale. Tuttavia, il suo valore probatorio dipende dalle caratteristiche del processo con cui è stato formato.

Una firma elettronica semplice, come una spunta accompagnata da credenziali o un’accettazione tramite link, non equivale automaticamente a una firma autografa. La sua affidabilità viene valutata considerando sicurezza, integrità, immodificabilità e capacità di collegare l’azione alla persona.

Le firme elettroniche avanzate, qualificate o digitali offrono garanzie più forti. In particolare, la firma qualificata ha un effetto equivalente a quello della firma autografa secondo il quadro eIDAS.

Per lo studio, la domanda corretta non è quindi soltanto “c’è una firma?”, ma:

il firmatario è identificabile?
la versione del documento è rimasta integra?
data e ora sono registrate?
il sistema conserva una traccia dell’azione?
la persona può recuperare una copia?
eventuali modifiche generano una nuova versione?

Cosa dovrebbe contenere un consenso informato digitale

Il contenuto preciso dipende dalla prestazione e dal caso concreto. Come checklist operativa, verifica almeno questi punti.

Identità del professionista. Nome, qualifica, iscrizione all’Albo, contatti e dati professionali pertinenti.
Identità della persona. Dati sufficienti a collegare il documento al paziente o, nei casi previsti, a chi esercita la responsabilità genitoriale o la tutela.
Prestazione proposta. Finalità, modalità, strumenti principali, setting e durata prevedibile quando è possibile indicarla.
Compenso e regole organizzative. Tariffa, gestione di spostamenti e cancellazioni e altre condizioni rilevanti.
Riservatezza e suoi limiti. Segreto professionale e casi in cui la legge o una situazione di tutela impongono valutazioni diverse.
Informativa privacy collegata. Versione aggiornata e facilmente accessibile, distinta dal consenso alla prestazione.
Scelte ulteriori separate. Sedute online, registrazione, trascrizione e uso di AI vanno spiegati quando presenti, con opzioni non ambigue.
Versione e data. Il sistema deve conservare il testo esatto mostrato, non sostituirlo retroattivamente quando il modello viene aggiornato.
Modalità di accettazione. Firma, OTP, link personale o altro sistema coerente con il livello di garanzia necessario.
Copia e aggiornamenti. La persona deve poter ricevere il documento e sapere come vengono gestite modifiche, revoca o nuove scelte.

Questa checklist non sostituisce la revisione del proprio modello con il consulente legale o privacy, soprattutto nei casi di minori, coppie, contesti giudiziari o trattamenti non standard.

Quando bisogna aggiornare o raccogliere di nuovo il consenso

Non ogni correzione grafica richiede una nuova firma. Serve però una nuova valutazione quando cambia qualcosa che può incidere sulla scelta della persona.

Succede, per esempio, quando:

cambia in modo sostanziale la prestazione o il setting;
si passa alla modalità a distanza con condizioni non ancora spiegate;
si introduce la registrazione o la trascrizione delle sedute;
entra nel flusso uno strumento di AI che tratta contenuti del percorso;
cambiano finalità, tempi di conservazione o soggetti coinvolti nel trattamento;
il vecchio documento contiene informazioni incomplete o non più corrette.

In questi casi non basta modificare il modello generale. Bisogna conservare la versione precedente, produrne una nuova e documentare la nuova informazione o scelta.

Un flusso pratico in sette passaggi

Un processo semplice può funzionare così.

Preparare un modello aggiornato e adatto al tipo di prestazione.
Consegnarlo prima dell’avvio o nel primo momento utile, lasciando tempo per leggerlo.
Spiegare i punti essenziali e rispondere alle domande.
Separare le scelte opzionali, soprattutto registrazione, trascrizione e AI.
Registrare identità, versione, data, ora e modalità di accettazione.
Archiviare una copia non modificabile e renderla disponibile alla persona.
Creare una nuova versione quando il flusso cambia in modo rilevante.

[IMMAGINE 3]

Dove entra GestAI

La tecnologia non decide se un consenso è adeguato. Può però ridurre gli errori organizzativi che rendono difficile dimostrarlo.

In GestAI i consensi e i documenti firmati possono essere conservati nella scheda del paziente, accanto alla documentazione del percorso. Questo evita che il modulo resti disperso tra email, cartelle locali e scansioni con nomi poco chiari.

Il vantaggio non è “rendere valido” un documento con un clic. È avere un flusso più ordinato, recuperabile e coerente, lasciando al professionista la responsabilità del contenuto e della relazione con il paziente.

Domande frequenti

Il consenso informato digitale è valido?

Può esserlo. Deve offrire informazioni comprensibili, permettere una scelta libera e lasciare una traccia attribuibile della versione accettata. Il formato digitale, da solo, non rende il consenso né valido né invalido.

Basta un PDF firmato?

Non sempre. Il PDF documenta una parte del processo, ma conta anche poter dimostrare chi lo ha ricevuto, quale versione ha letto, quando ha firmato e se ha avuto la possibilità di comprendere e fare domande.

Serve il consenso privacy per trattare i dati del paziente?

Per i trattamenti strettamente necessari alla prestazione sanitaria richiesta, il professionista soggetto al segreto professionale può operare senza basarsi sul consenso privacy. L’informativa resta obbligatoria. Finalità ulteriori devono essere valutate separatamente.

Per usare l’AI serve sempre un consenso specifico?

Non esiste una risposta unica valida per qualunque strumento. L’uso dell’AI deve essere comunicato con chiarezza. Se comporta registrazione, trascrizione o altri trattamenti opzionali, è opportuno gestire quelle scelte separatamente e definire la base giuridica corretta.

Lo stesso consenso può essere usato per sempre?

Solo finché prestazione, strumenti e informazioni rilevanti restano coerenti con quanto spiegato. Se il flusso cambia in modo sostanziale, bisogna aggiornare il documento e valutare una nuova informazione o accettazione.

In sintesi

Un buon consenso informato digitale non è il vecchio foglio trasformato in PDF. È un processo che tiene insieme chiarezza, libertà di scelta, identità, versione e tracciabilità.

Prima di chiederti quale firma usare, controlla quindi quattro cose: cosa stai spiegando, quali autorizzazioni stai separando, quale prova stai conservando e cosa succede quando il flusso cambia.

Se vuoi organizzare consensi, documenti e cartella del paziente in un unico spazio, puoi provare GestAI gratis per 30 giorni, senza carta di credito.

Avvertenza. Questo contenuto ha finalità informativa e non costituisce consulenza legale. I modelli e i flussi del singolo studio vanno verificati in base alla prestazione, al contesto e ai soggetti coinvolti.