Il problema è che tu inserisci quella riga sopra di session_start().
session_start invia al browser un cookie, quindi un header, perciò devi metterlo prima di qualsiasi output, spazi compresi