Co jest podstawą przetwarzania danych osobowych w związku z usługami psychologa w prywatnym gabinecie psychologicznym?

Jak jest podstawa przetwarzania danych osobowych przez prywatny gabinet psychologiczny?

Udzielana jest w nim mi.in. pomoc terapeutyczna. Zdarzają się sytuacje, w których psycholog wystawia opinię psychologiczną na podstawie wniosku np. rodzica. Dokumentacja z terapii nie jest wytwarzana. Terapeuta posiada notatki z wizyt.

Czy podstawą będzie zgoda czy też przepis prawa - z uwagi na okres 20 lat przechowywania dokumentacji (w przypadku, gdy notatki takową stanowią)?