1. Titolare del trattamento
Indirizzo dello studio · P.IVA · Codice fiscale
Email e PEC di contatto per le richieste privacy
RPD/DPO: di norma non obbligatorio per lo studio individuale — indicare "non designato" se è il tuo caso.
2. I trattamenti dello studio tipo
| Trattamento | Finalità | Categorie di dati | Base giuridica | Conservazione |
|---|---|---|---|---|
| Cartella clinica e note delle sedute | Erogazione della prestazione psicologica | Anagrafici, dati sulla salute (art. 9) | Art. 6.1.b + art. 9.2.h (finalità di cura) o 9.2.a (consenso esplicito) | Secondo il criterio dichiarato in informativa (per la documentazione clinica si fa riferimento agli orientamenti del CNOP) |
| Anagrafica e contatti | Gestione appuntamenti e comunicazioni | Nome, contatti, recapiti | Art. 6.1.b (esecuzione del contratto) | Durata del rapporto + termini di legge |
| Fatturazione e adempimenti fiscali | Obblighi fiscali, invio Sistema TS | Anagrafici, codice fiscale, importi | Art. 6.1.c (obbligo legale) | 10 anni (conservazione documenti contabili) |
| Consensi e documenti firmati | Prova del consenso prestato | Anagrafici, firma, data/ora, evidenze tecniche | Art. 7.1 (dimostrabilità del consenso) | Finché serve a dimostrare il consenso, poi cancellazione |
| Questionari e test (se li usi) | Valutazione clinica | Dati sulla salute (art. 9) | Come la cartella clinica | Come la cartella clinica |
3. Destinatari e responsabili esterni
Ogni fornitore che tocca i dati va nominato Responsabile ex art. 28, con un DPA firmato. Nel registro elenca almeno:
- Gestionale / cloud dove risiedono cartelle e fatture — con DPA e indicazione di dove stanno i server.
- Posta elettronica usata per comunicare con i pazienti.
- Piattaforma di videoconsulto, se fai sedute online.
- Commercialista (in genere titolare autonomo, non responsabile: verificalo).
- Eventuale segreteria o collaboratore: autorizzato al trattamento, con istruzioni scritte.
Trasferimenti extra UE: indicali esplicitamente se un fornitore conserva i dati fuori dall'Unione, con la base che li legittima.
4. Misure di sicurezza da dichiarare
- Cifratura dei dati a riposo e in transito.
- Accesso con credenziali personali, dispositivo bloccato con PIN/biometria.
- Backup regolari e verificati, anch'essi protetti.
- Nessun contenuto clinico su chat personali o email non protette.
- Procedura per la violazione dei dati: chi te ne accorge, cosa fai, notifica al Garante entro 72 ore quando dovuta.
5. I quattro errori che vediamo più spesso
- Contenuti clinici su WhatsApp personale o SMS.
- Note e cartelle su file non cifrati, condivisi tra dispositivi senza controllo.
- Conservazione «per sempre», senza un criterio scritto nell'informativa.
- Fornitori senza DPA: se il gestionale o il cloud non ti offre la nomina ex art. 28, è un segnale d'allarme.
Fonti: Regolamento UE 2016/679 (artt. 9, 28, 30), Garante Privacy, orientamenti CNOP. Questa scheda è divulgazione, non consulenza legale: il registro va adattato alla tua organizzazione, se necessario con un consulente privacy. Dati aggiornati a luglio 2026. Approfondimento: la guida privacy per psicologi.
Ce ne sono altre sei
Le schede dello studio sono sette: soglie del forfettario, ENPAP dal lordo al netto, i primi trenta giorni di partita IVA, le scadenze del Sistema TS, il registro dei trattamenti, le sedute online e le dieci domande da fare a un software. Te le mandiamo tutte via email.
Riceverai anche le nostre guide fiscali e le novità del prodotto — niente spam, disiscrizione con un clic (Privacy Policy).