Scarica PDF
PDF in formato A4 · download immediato · senza registrazione
<strong>Avviso:</strong> questo documento è un modello di esempio senza valore di consulenza legale. Adattatelo al vostro contesto professionale — si raccomanda la verifica da parte di un avvocato specializzato in protezione dei dati. GenoEasy declina ogni responsabilità per l'utilizzo di questo modello.
Perché è necessario un consenso — e perché un contratto non è sufficiente?
I dati del genogramma sono categorie particolari di dati personali ai sensi dell'Art. 9 GDPR. Comprendono dati sanitari, indicazioni sull'origine etnica, sulle convinzioni religiose o filosofiche, sulla vita sessuale e su costellazioni biografiche — nel caso di clienti/e con fragilità psichica, spesso riferiti a più generazioni. Questo rende il loro trattamento vietato per impostazione predefinita (Art. 9 par. 1); diventa lecito solo se ricorre una delle eccezioni previste dal par. 2. Nella consulenza libero-professionale, ciò è quasi sempre lett. a — il consenso esplicito.
Un contratto di consulenza ai sensi degli §§ 611 ss. BGB (codice civile tedesco) giustifica la raccolta di dati ordinari (nome, indirizzo, dati relativi agli onorari) tramite l'Art. 6 par. 1 lett. b GDPR. Per le categorie particolari come diagnosi, farmaci, malattie familiari o storia di dipendenze, questo non è sufficiente. Occorre un secondo consenso separato ed esplicito — in forma scritta o elettronica, granulare per finalità di trattamento, liberamente revocabile.
Tre motivi per cui un consenso correttamente documentato è essenziale: In primo luogo sul piano giuridico — senza consenso valido, la raccolta e la conservazione sono illecite (Art. 5 par. 1 lett. a, Art. 9, Art. 7 GDPR). Le autorità di controllo irrogano sanzioni fino a 20 milioni di EUR o al 4% del fatturato annuo (Art. 83 par. 5). In secondo luogo sul piano civilistico — i/le clienti/e possono richiedere il risarcimento del danno non patrimoniale ai sensi dell'Art. 82 GDPR; la Corte di Cassazione federale tedesca (BGH) ha confermato nel 2024 che già la «perdita di controllo» sui dati è sufficiente (BGH VI ZR 10/24). In terzo luogo sul piano professionale — per i/le terapeuti/e abilitati/e il rispetto del GDPR è anche obbligo deontologico; per i/le consulenti liberi/e è il rischio di compliance più grave, nella pratica quasi impossibile da assicurare.
Problema specifico del genogramma: Il/la cliente raccoglie dati su terzi (genitori, nonni, fratelli, partner, eventualmente figli di terzi). Queste persone non possono prestare il proprio consenso — e l'«eccezione domestica» (Art. 2 par. 2 lett. c) non si applica al trattamento professionale. La Conferenza per la Protezione dei Dati (DSK) risolve pragmaticamente: il/la cliente deve essere informato/a che riferisce dalla propria memoria; le informazioni sui terzi vengono trattate esclusivamente nel contesto terapeutico tra cliente e consulente/e, non comunicate all'esterno e conservate per il tempo strettamente necessario. Questo caso speciale va inserito in ogni dichiarazione di consenso come clausola autonoma.
Contenuto: Art. 6 base giuridica · Art. 7 condizioni del consenso · Art. 9 categorie particolari · Art. 13/14 obblighi informativi · Art. 30 registro · clausole obbligatorie · insidie · FAQ · copertina per la stampa · dichiarazione di consenso compilabile · lista di controllo per l'adattamento · fonti.
Art. 6 GDPR — Liceità del trattamento
GDPR Art. 6 par. 1 (estratto)
«Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l'interessato ha espresso il consenso …;
b) il trattamento è necessario all'esecuzione di un contratto …;
c) il trattamento è necessario per adempiere un obbligo legale …;
d) il trattamento è necessario per la salvaguardia degli interessi vitali …;
e) il trattamento è necessario per l'esecuzione di un compito … di interesse pubblico …;
f) il trattamento è necessario per il perseguimento del legittimo interesse … purché non prevalgano … i diritti fondamentali dell'interessato.»
Spiegazione in parole semplici. L'Art. 6 è la soglia d'accesso per qualsiasi trattamento di dati. Nella pratica della consulenza sono rilevanti solo tre fattispecie: lett. a (consenso) come base predefinita per i/le consulenti liberi/e, lett. b (esecuzione del contratto) per i dati relativi all'onorario e ai recapiti derivanti dal contratto di consulenza, lett. c (obbligo legale) per la conservazione decennale delle fatture ai sensi del § 147 AO (codice tributario tedesco). I contenuti del genogramma non rientrano nella lett. b — anche se la consulenza stessa è oggetto del contratto, la raccolta concreta di dati familiari sensibili costituisce un'operazione di trattamento autonoma.
Cosa deve contenere il consenso? Un'indicazione chiara di quale base giuridica si applica a quale categoria di dati. Le formulazioni generiche («dati necessari per la consulenza») sono insufficienti secondo la prassi del BfDI (Commissario federale per la protezione dei dati e la libertà d'informazione). Separare: §1 dati contrattuali (lett. b), §2 contenuti del genogramma (lett. a + Art. 9 lett. a), §3 archivio fatture (lett. c).
Insidie
- Clausola generica «acconsente al trattamento dei dati necessari per la consulenza» — invalida, perché non informata (Art. 4 n. 11)
- Commistione di lett. a e lett. b in un'unica firma — la revoca diventa impossibile perché i trattamenti distinti non sono riconoscibili
- Ricorso al «legittimo interesse» (lett. f) per dati terapeutici/di consulenza — l'Art. 9 lett. f è esaustivo; la lett. f dell'Art. 6 non lo supera
Art. 7 GDPR — Condizioni per il consenso
GDPR Art. 7 (estratto)
«(1) Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato … ha prestato il proprio consenso.
(2) Se il consenso è prestato … nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso … deve essere presentata in modo … comprensibile e facilmente accessibile … distinguibile chiaramente … dalle altre questioni. …
(3) L'interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. … La revoca del consenso non pregiudica la liceità del trattamento … effettuato prima della revoca. Prima di prestare il proprio consenso, l'interessato è informato di ciò.
(4) Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione … se l'esecuzione di un contratto … è subordinata alla prestazione del consenso a un trattamento … non necessario all'esecuzione di tale contratto.»
Spiegazione in parole semplici. L'Art. 7 è il controllo di qualità del consenso. Quattro obblighi: obbligo di prova (par. 1 — il modulo firmato in originale deve essere reperibile in qualsiasi momento), obbligo di separazione (par. 2 — il consenso non può essere incorporato nel testo contrattuale, quindi serve un documento separato), informativa sul diritto di revoca (par. 3 — il/la cliente deve essere informato/a in anticipo del diritto di revoca, altrimenti il consenso è invalido), libertà / divieto di condizionamento (par. 4 — la consulenza non può essere subordinata a un consenso a trattamenti non necessari).
Cosa deve contenere il consenso? Un documento autonomo (non parte del contratto di consulenza), firmato prima di qualsiasi raccolta di dati, con esplicita informativa sul diritto di revoca. Ogni consenso granulare (tenuta del fascicolo, supervisione, registrazione audio, comunicazione al medico di base) riceve una casella di controllo separata. Il/la cliente deve poter scegliere per ogni casella senza che la consulenza venga altrimenti rifiutata.
Insidie
- Consenso come allegato al contratto di consulenza, firmato contestualmente — viola il divieto di commistione (par. 2)
- Informativa sulla revoca solo sul retro o nelle «note sulla privacy» — deve essere visibile prima della firma
- «La consulenza può essere erogata solo con questo consenso» — divieto di condizionamento, rende il consenso non libero
- Casella digitale spuntata senza registrazione dell'orario — obbligo di prova (par. 1) non soddisfatto
Art. 9 GDPR — Categorie particolari (cuore del lavoro con il genogramma)
GDPR Art. 9 par. 1 + par. 2 lett. a (estratto)
«(1) È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona.
(2) Il paragrafo 1 non si applica nei seguenti casi: a) l'interessato ha prestato il proprio consenso esplicito al trattamento … per una o più finalità specifiche …»
Spiegazione in parole semplici. L'Art. 9 è la norma speciale per i dati sensibili — e i contenuti del genogramma vi rientrano praticamente sempre. L'origine etnica (questioni migratorie, «radici familiari»), le convinzioni religiose (appartenenza confessionale, conversioni, conflitti religiosi in famiglia), i dati sanitari (malattie, diagnosi psichiatriche, storia di dipendenze), i dati sulla vita sessuale (orientamento sessuale, infedeltà ricorrente) — tutto questo può emergere nel genogramma, e non appena una sola di queste categorie è coinvolta, l'Art. 9 si applica all'intero insieme di dati di quella persona.
La soglia per «esplicito» (par. 2 lett. a) è più elevata rispetto al consenso ordinario: non basta una «inequivocabile azione positiva» come per l'Art. 6 lett. a, ma è richiesto un sì esplicito a questa specifica categoria. Il consenso tacito (attraverso il racconto) non è sufficiente.
Cosa deve contenere il consenso? Per ogni categoria (salute, origine, religione, vita sessuale, eventualmente dati genetici in caso di malattie familiari) una casella di controllo separata con finalità di trattamento concreta. Esempio: «☐ Acconsento alla raccolta di dati sanitari (malattie proprie e familiari) ai fini della creazione del genogramma.» — separata da «☐ Acconsento alla raccolta di dati sull'origine etnica (storia migratoria della famiglia).»
Insidie
- Consenso unico onnicomprensivo «dati sanitari e tutti gli altri dati sensibili» — l'Art. 9 richiede granularità per finalità
- Consenso orale all'inizio di una seduta («può raccontarmi tutto ciò che è importante») — non costituisce consenso esplicito ai sensi della lett. a, obbligo di prova non soddisfatto
- Presupposto che un consenso generico nel colloquio iniziale copra tutte le sedute successive — copre solo le finalità di trattamento note al momento
- Omissione delle informazioni sui terzi (genitori, nonni) — anch'esse sono dati ai sensi dell'Art. 9, ma il/la cliente non può prestare il consenso per loro
Art. 13 / 14 GDPR — Obblighi informativi
GDPR Art. 13 par. 1 + 2 (sintesi)
In caso di raccolta di dati direttamente presso l'interessato/a, il titolare del trattamento deve comunicare al momento della raccolta: (a) nome e recapiti del titolare, eventualmente del/della responsabile della protezione dei dati; (b) finalità del trattamento + base giuridica; (c) in caso di lett. f, il legittimo interesse perseguito; (d) destinatari o categorie di destinatari; (e) eventuale trasferimento verso paesi terzi + misure di garanzia; (f) periodo di conservazione o criteri per determinarlo; (g) diritti dell'interessato/a (accesso, rettifica, cancellazione, limitazione, opposizione, portabilità); (h) diritto di revoca del consenso; (i) diritto di proporre reclamo all'autorità di controllo; (j) indicazione se la comunicazione è obbligatoria per legge o per contratto; (k) decisioni automatizzate.
L'Art. 14 estende questo obbligo ai dati raccolti presso terzi — con termine «entro un mese dalla raccolta», al più tardi al primo contatto.
Spiegazione in parole semplici. Gli Artt. 13/14 sono gli obblighi di trasparenza che precedono il consenso. Un consenso valido presuppone che il/la cliente sappia in anticipo cosa accadrà. Le violazioni sono più frequenti e più costose delle violazioni dell'Art. 7 — le autorità di controllo verificano sistematicamente la completezza delle informazioni.
In pratica: Il foglio informativo ai sensi dell'Art. 13 è un documento autonomo, consegnato e controfirmato prima della dichiarazione di consenso («Dichiaro di aver ricevuto e letto l'informativa sulla protezione dei dati»). Nella pratica: documento in due parti — pagina 1 foglio informativo, pagina 2 consenso con caselle di controllo granulari.
Caso speciale del genogramma Art. 14: Quando il/la cliente fornisce informazioni su terzi (nonna, zio defunto), questi dati vengono raccolti presso terzi. Interpretazione rigorosa: le persone citate dovrebbero essere informate entro un mese. Nella pratica della consulenza questo è impraticabile — la Conferenza per la Protezione dei Dati (DSK) accetta una riduzione al minimo necessario (minimizzazione dei dati) e la non comunicazione a terzi. Tuttavia, inserire per iscritto nel consenso che le informazioni sui terzi vengono utilizzate esclusivamente per la consulenza.
Insidie
- Obbligo informativo assolto solo nel corso della consulenza — il «momento della raccolta» è già il colloquio iniziale
- Informativa generica trovata in rete, senza indirizzo proprio dello studio, durata di conservazione, categorie di destinatari — regolarmente valutata come insufficiente dalle autorità di controllo
- Omissione del diritto di reclamo presso la competente autorità di controllo regionale (non «presso il BfDI» — che è competente solo per le autorità federali)
- Nessuna indicazione della durata di conservazione — «per quanto necessario» non è sufficiente; indicare un termine concreto (10 anni per le fatture, 3 anni per la documentazione di consulenza o il termine previsto dall'ordine professionale)
Art. 30 GDPR — Registro delle attività di trattamento
GDPR Art. 30 par. 1 + 5 (estratto)
«(1) Ogni titolare del trattamento … tiene un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene …: nome e recapiti del titolare … finalità del trattamento; descrizione delle categorie di interessati e delle categorie di dati personali; categorie di destinatari; … trasferimenti verso paesi terzi; … termini previsti per la cancellazione; … descrizione generale delle misure tecniche e organizzative.
(5) Gli obblighi … non si applicano alle imprese … che occupano meno di 250 persone, a meno che … il trattamento … possa presentare un rischio … o non sia occasionale o includa … categorie particolari di dati di cui all'articolo 9 …»
Spiegazione in parole semplici. L'Art. 30 è l'obbligo di documentare il proprio trattamento — e l'eccezione del par. 5 non si applica praticamente mai agli studi di consulenza: i dati del genogramma sono dati ai sensi dell'Art. 9 e vengono trattati regolarmente (non solo occasionalmente). Pertanto il registro dei trattamenti è obbligatorio per ogni studio di consulenza — anche per il professionista/la professionista che lavora da solo/a.
Contenuto: per ogni finalità di trattamento (1. consulenza, 2. fatturazione dell'onorario, 3. eventuale supervisione, 4. eventuale marketing) una scheda. Le autorità di controllo possono richiedere il registro in qualsiasi momento; il ritardo o l'assenza vengono sanzionati come violazione autonoma.
Cosa deve contenere il consenso? In realtà nulla — il registro è interno. Tuttavia: le finalità di trattamento e le durate di conservazione indicate nel consenso devono essere coerenti con il registro. Le autorità di controllo verificano esattamente questa corrispondenza. Modello in questo PDF nell'ultima pagina esplicativa — registro minimo da compilare autonomamente.
Insidie
- Presupposto «sono uno studio individuale, non ho bisogno del registro» — non vale per i dati ai sensi dell'Art. 9
- Registro e testo del consenso si contraddicono nelle durate di conservazione — violazione automatica del GDPR
- Registro tenuto solo mentalmente — l'obbligo di prova (Art. 5 par. 2) richiede la forma scritta o elettronica
Clausole obbligatorie della dichiarazione di consenso (lista di controllo)
L'elenco seguente è la lista obbligatoria consolidata tratta dal testo modello del BfDI, dall'informativa pratica del BPtK sulla protezione dei dati 2018 e dalle delibere della DSK. Se manca anche una sola categoria, il consenso viene di norma considerato invalido in caso di controversia:
- Identità del titolare del trattamento — nome, indirizzo, telefono, e-mail
- Responsabile della protezione dei dati (se presente) — recapiti
- Finalità del trattamento — concrete, separate per categoria di dati
- Base giuridica — Art. 6 + Art. 9 menzionati espressamente
- Categorie di dati raccolti — Art. 9 indicato espressamente
- Destinatari / categorie di destinatari — commercialista, fornitore IT con contratto di trattamento, supervisore/supervisrice
- Trasferimento verso paesi terzi — di norma «no» in caso di archiviazione locale/UE
- Durata di conservazione — concreta (10 anni fatture, X anni documentazione di consulenza)
- Diritti dell'interessato/a — accesso, rettifica, cancellazione, limitazione, opposizione, portabilità
- Diritto di revoca — in qualsiasi momento per il futuro, in forma libera
- Diritto di reclamo — presso la competente autorità di controllo regionale, nominata esplicitamente
- Indicazione di volontarietà — conseguenze del mancato consenso
- Indicazione su decisioni automatizzate — di norma «no»
- Data + firma del/della cliente + eventualmente dei/delle esercenti la responsabilità genitoriale
- Caselle di controllo granulari — una per ogni finalità di trattamento
- Clausola speciale genogramma — informazioni sui terzi (familiari) esclusivamente per la consulenza
Tre casi speciali della pratica di consulenza
Minorenni
I bambini sotto i 16 anni (standard GDPR; in Germania 16) non possono prestare il consenso in modo autonomo e valido — è richiesto il consenso di tutti gli esercenti la responsabilità genitoriale. A partire da circa 14 anni, un'informazione supplementare adeguata all'età del minore è standard deontologico (BPtK, DGSF). In caso di genitori che vivono separati: entrambi gli esercenti la responsabilità genitoriale firmano, anche se si presenta una sola persona. In caso di affidamento esclusivo: prova (decreto del tribunale) nel fascicolo.
Registrazioni audio e video
Le registrazioni costituiscono un'attività di trattamento autonoma e distinta con rischio aggiuntivo (diritti sull'immagine ai sensi del § 22 KunstUrhG — legge tedesca sul diritto d'autore in materia artistica, voce come dato biometrico). Consenso separato con finalità autonoma (formazione, auto-riflessione, supervisione), durata di conservazione propria e obbligo di cancellazione al termine della finalità. Mai come «casella sotto il consenso principale» — modulo separato.
Supervisione e intervisione
Anche le discussioni di casi anonimizzate costituiscono una comunicazione di dati (al/alla supervisore/supervisrice). Se rientra nel § 203 StGB (codice penale tedesco — segreto professionale per i/le terapeuti/e abilitati/e), è sufficiente il rinvio all'obbligo di segreto professionale. In caso di supervisione libera senza § 203: acquisire un impegno contrattuale alla riservatezza del/della supervisore/supervisrice e menzionarlo/a espressamente nel consenso come categoria di destinatari o quantomeno indicarlo/a come «supervisore/supervisrice professionalmente vincolato/a al segreto».
Insidie nei casi speciali
- Minorenni: consenso di un solo esercente la responsabilità genitoriale in caso di affidamento condiviso — invalido
- Registrazioni audio: «ha acconsentito allora» anni dopo — il consenso è legato a un momento e a una finalità
- Supervisione: genericamente «ne discuto con colleghi/e» — troppo vago, la categoria di destinatari deve essere riconoscibile
FAQ — Sei domande centrali dei/delle clienti/e
1. Cosa succede se revoco il mio consenso?
La revoca ha effetto immediato e per il futuro (Art. 7 par. 3 GDPR). Tutti i dati trattati legittimamente fino a quel momento possono essere conservati — non vengono effettuate nuove raccolte o elaborazioni. Le fatture devono essere conservate per 10 anni (§ 147 AO), in quanto obbligo di legge che non costituisce violazione del diritto di revoca. La documentazione di consulenza può essere cancellata su richiesta, salvo che non si applichi un obbligo di conservazione professionale. Una serie di sedute in corso può essere conclusa o interrotta congiuntamente — Lei decide.
2. Chi ha accesso ai miei dati oltre a Lei?
Nessuno senza il Suo esplicito consenso. Nell'ambito degli obblighi di legge: il/la commercialista per le fatture (con contratto di trattamento dei dati), il/la fornitore/fornitrice IT per la sicurezza tecnica (anch'esso con contratto ai sensi dell'Art. 28 GDPR), in caso di sedute online la piattaforma utilizzata (limitata a server UE). La supervisione avviene esclusivamente in forma anonimizzata — il Suo nome non viene menzionato. Casse malattia, familiari o datore di lavoro non ricevono alcuna informazione senza il Suo consenso scritto.
3. Dove vengono conservati i miei dati e per quanto tempo?
Le note di seduta e i dati del genogramma vengono conservati localmente e in forma cifrata sul mio dispositivo (nessun cloud storage senza accordo esplicito). Le fatture vengono conservate per 10 anni (§ 147 AO). La documentazione di consulenza viene conservata secondo il termine previsto dal mio ordine professionale (nella consulenza libera di norma 3 anni dalla fine del contratto; in caso di abilitazione 10 anni). Trascorso tale termine, i dati vengono cancellati nel rispetto della normativa sulla protezione dei dati. Anche i backup vengono cancellati alla scadenza.
4. Cosa significa la clausola relativa ai dati dei miei familiari?
Nel lavoro con il genogramma, Lei mi racconta dalla propria memoria di genitori, nonni e altri parenti. Queste informazioni sui terzi diventano parte del Suo fascicolo di consulenza. Lei attesta di riferire dalla propria memoria — non raccogliamo informazioni dall'esterno. Questi dati non lasciano lo spazio di consulenza e non vengono comunicati a familiari. Anche essi sono soggetti alla Sua revoca.
5. Quali diritti ho concretamente ai sensi del GDPR?
Lei può in qualsiasi momento (a) richiedere l'accesso ai dati che ho conservato su di Lei (Art. 15); (b) richiedere la rettifica di dati errati (Art. 16); (c) richiedere la cancellazione, salvo che sussista un obbligo di conservazione (Art. 17); (d) richiedere la limitazione del trattamento (Art. 18); (e) ricevere una copia dei Suoi dati in formato leggibile da dispositivo automatico (Art. 20); (f) revocare il Suo consenso in qualsiasi momento (Art. 7 par. 3); (g) presentare reclamo all'autorità di controllo regionale per la protezione dei dati. Tratto tutte le richieste gratuitamente e entro un mese.
6. Cosa succede in caso di violazione dei dati?
Sono tenuto/a a notificare all'autorità di controllo qualsiasi violazione dei dati che comporti un rischio per i Suoi diritti e libertà entro 72 ore (Art. 33 GDPR). In caso di rischio elevato — ad esempio perdita di note di seduta non cifrate — La informerò personalmente (Art. 34). In concreto: la perdita del dispositivo cifrato è soggetta all'obbligo di notifica; La informerò tempestivamente e La consiglierò sulle misure di protezione che può adottare. Misure preventive: cifratura del disco fisso, backup separati, autenticazione a due fattori.
Note sull'utilizzo del modello fotocopiabile
Le pagine seguenti contengono una dichiarazione di consenso stampabile e compilabile ai sensi degli Artt. 6, 7 e 9 GDPR. È possibile staccare queste pagine, compilarle e firmarle insieme al/alla cliente/a.
- Gli spazi sottolineati devono essere compilati (nome, indirizzo, luogo di archiviazione, durata di conservazione …).
- Le caselle ☐ devono essere spuntate — separatamente per ogni finalità di trattamento. Il/la cliente decide in modo granulare.
- Le spiegazioni relative a ciascuna clausola si trovano nelle pagine precedenti di questo modello (Artt. 6 / 7 / 9 / 13 / 30).
- Questo modello è una base di discussione per un appuntamento con un/una avvocato/a specializzato/a in diritto della protezione dei dati. Non è un modello giuridicamente vincolante.
- Prima dell'uso in studio: completare la lista di controllo per l'adattamento alla fine di questo modello.
Dichiarazione di consenso
ai sensi dell'Art. 6 par. 1 lett. a · Art. 7 · Art. 9 par. 2 lett. a GDPR
Titolare del trattamento (consulente/e / studio)
— riguardante —
Interessato/a (cliente/a)
— Con la presente presto i seguenti consensi. Ogni clausola può essere spuntata singolarmente; posso revocarla in qualsiasi momento per il futuro (Art. 7 par. 3 GDPR). —
1. Finalità della raccolta dei dati
☐ Acconsento alla raccolta, conservazione e trattamento dei miei dati personali ai fini della consulenza sistemica e della creazione del genogramma. Ulteriori finalità concrete (es. elaborazione di questionari di accompagnamento, relazione al committente, se applicabile):
2. Tipo di dati raccolti (Art. 9 GDPR — categorie particolari)
Acconsento alla raccolta delle seguenti categorie di dati. Spuntare ogni categoria separatamente:
☐ Dati sanitari (malattie proprie e familiari, diagnosi psichiatriche, dipendenze, farmaci)
☐ Dati sull'origine etnica (storia migratoria della famiglia, appartenenza culturale)
☐ Convinzioni religiose / filosofiche (confessione, conversioni, conflitti religiosi in famiglia)
☐ Dati sulla vita sessuale / orientamento sessuale (se rilevante per la problematica presentata)
☐ Altri dati:
Informazioni sui terzi: Prendo atto che il lavoro con il genogramma comprende informazioni sui miei familiari. Queste le riferisco dalla mia memoria; vengono trattate esclusivamente nell'ambito della mia consulenza e non comunicati a terzi.
3. Luogo e durata di conservazione
☐ Luogo di conservazione: localmente/cifrato sui dispositivi del/della consulente/e. In concreto:
☐ Durata di conservazione della documentazione di consulenza: anni dalla fine della consulenza
☐ Durata di conservazione delle fatture: 10 anni (§ 147 AO — prescritto dalla legge)
☐ Durata di conservazione delle registrazioni audio (se separatamente consentite): mesi / anni, poi cancellazione
4. Comunicazione a terzi
Di default nessuna comunicazione. Acconsento singolarmente alle seguenti comunicazioni:
☐ Commercialista/e (solo fatture, contratto di trattamento dei dati disponibile)
☐ Fornitore/fornitrice IT con contratto ai sensi dell'Art. 28 GDPR. Nome:
☐ Supervisore/supervisrice (discussione del caso in forma anonimizzata)
☐ Medico di base / terapeuta/e curante/e (Nome: · Contenuto: )
☐ In caso di sedute online: fornitore/fornitrice della piattaforma (Nome: · Sede del server: )
☐ Altri (con liberatoria dal segreto professionale separata):
5. Diritto di revoca
Prendo atto che: Posso revocare questo consenso in qualsiasi momento per il futuro — in forma libera, per iscritto o via e-mail, senza dover fornire motivazioni. La liceità del trattamento effettuato fino alla revoca rimane invariata (Art. 7 par. 3 GDPR).
Conseguenze della revoca: Nessuna nuova raccolta del genogramma; i dati già documentati vengono conservati nella misura in cui lo richiedano obblighi di conservazione legali o professionali, altrimenti vengono cancellati su richiesta. La consulenza può proseguire in forma ridotta senza questo consenso.
6. Diritto di reclamo e altri diritti
Prendo atto dei seguenti diritti dell'interessato/a: Accesso (Art. 15), Rettifica (Art. 16), Cancellazione (Art. 17), Limitazione (Art. 18), Portabilità (Art. 20), Opposizione (Art. 21).
Diritto di reclamo presso la competente autorità di controllo regionale per la protezione dei dati:
Decisioni automatizzate / profilazione: ☐ non hanno luogo ☐ vedere foglio informativo separato
Nota sulla volontarietà: La prestazione del consenso è volontaria. In assenza del consenso alla rispettiva categoria di dati, la corrispondente parte della consulenza (es. creazione del genogramma) non può essere effettuata; altre forme di consulenza rimangono possibili.
Il/la cliente/a riceve una copia firmata. L'originale rimane presso il/la consulente/e come prova ai sensi dell'Art. 7 par. 1 GDPR.
Lista di controllo per l'adattamento prima dell'uso in studio
Prima dell'uso nel contatto con i/le clienti/e, tutti i punti devono essere chiariti con un/una avvocato/a specializzato/a in diritto della protezione dei dati:
☐ Titolare del trattamento (nome, indirizzo, recapiti) inserito
☐ Responsabile della protezione dei dati indicato (se richiesto ai sensi del § 38 BDSG — legge federale tedesca sulla protezione dei dati)
☐ Durate di conservazione concrete inserite — nessun segnaposto «X anni»
☐ Termine professionale per la documentazione di consulenza verificato (3 vs. 10 anni)
☐ Elenco dei destinatari (commercialista, IT, supervisore/supervisrice) concreto + stato del contratto di trattamento
☐ Autorità di controllo regionale nominata esplicitamente (diversa per ogni Land)
☐ Granularità: ogni categoria di dati spuntabile singolarmente (Art. 9)
☐ Clausola sulle informazioni dei terzi (caso speciale del genogramma) inserita
☐ Informativa sulla revoca collocata PRIMA della firma, senza condizionamento
☐ Foglio informativo Art. 13 predisposto come documento separato
☐ Registro dei trattamenti ai sensi dell'Art. 30 creato + coerente con il consenso
☐ Per le sedute online: piattaforma + sede del server + status Schrems II
☐ Per le registrazioni audio: consenso separato con finalità propria
☐ Per i minorenni: tutti gli esercenti la responsabilità genitoriale + informazione adeguata all'età
☐ Per la supervisione senza § 203: obbligo di riservatezza del/della supervisore/supervisrice contrattualmente fissato
☐ Piano di risposta alla violazione dei dati (notifica entro 72h Art. 33) disponibile
☐ Cifratura del disco fisso + autenticazione a due fattori tecnicamente implementati
☐ Originale del consenso archiviato in modo sicuro e reperibile (obbligo di prova)
☐ Testo del contratto verificato da un/una avvocato/a specializzato/a in diritto della protezione dei dati
Fonti e letteratura di approfondimento
- GDPR Artt. 5, 6, 7, 9, 13, 14, 28, 30, 33, 34, 82, 83 — testi integrali su dsgvo-gesetz.de.
- § 203 StGB (codice penale tedesco) — segreto professionale tutelato penalmente (collegamento all'Art. 9 par. 2 lett. h).
- § 147 AO (codice tributario tedesco) — obbligo di conservazione decennale per la documentazione contabile.
- § 38 BDSG (legge federale tedesca sulla protezione dei dati) — obbligo di nomina del responsabile della protezione dei dati.
- BfDI — Nozioni di base sul consenso (bfdi.bund.de) — Commissario federale per la protezione dei dati e la libertà d'informazione, testi modello.
- Datenschutzkonferenz (DSK) (datenschutzkonferenz.de) — delibere e orientamenti delle autorità di controllo, in particolare sul trattamento delle categorie particolari di dati.
- BPtK — Dichiarazione di protezione dei dati modello per psicoterapisti/e + BPtK Informativa pratica protezione dei dati 2018 (bptk.de) — Camera federale degli psicoterapeuti.
- Psychotherapeutenkammer Berlin — Protezione dei dati nella pratica psicoterapeutica (2018, guida pratica dettagliata).
- DGVT — Diritto della protezione dei dati per gli studi psicoterapeutici (dgvt.de).
- LPK Rheinland-Pfalz — FAQ protezione dei dati (lpk-rlp.de).
- KV Baden-Württemberg — Protezione dei dati & segreto professionale (kvbawue.de).
- PTK NRW — Diritto / Protezione dei dati (ptk-nrw.de).
- Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) — Wiki sulla protezione dei dati (datenschutz-wiki.de) — approfondimenti.
- BGH VI ZR 10/24 (2024) — risarcimento del danno non patrimoniale per perdita di controllo ai sensi dell'Art. 82 GDPR.
Per ogni clausola: verifica legale prima dell'adozione operativa. Leggi, giurisprudenza e prassi delle autorità di controllo cambiano — questo modello è una fotografia aggiornata al 2026-06-03.