Questa guida tratta solo aspetti legali e organizzativi, non cosa scrivere nella documentazione. Gli adempimenti privacy generali (informativa, registro, fornitori) sono nella guida al GDPR per psicologi.
Cosa rientra nella documentazione clinica dello psicologo?
Nel linguaggio comune si parla di «cartella clinica», ma in senso stretto la cartella clinica è quella delle strutture di ricovero, con regole proprie. Per lo studio in libera professione il riferimento è l'art. 17 del Codice deontologico, che parla di «appunti, note, scritti o registrazioni di qualsiasi genere e sotto qualsiasi forma» che riguardano il rapporto professionale. In pratica:
- appunti e note delle sedute, su carta o in digitale;
- protocolli e risultati dei test;
- relazioni, certificazioni e lettere a colleghi o invianti;
- registrazioni audio o video, quando presenti;
- consenso informato, informativa privacy e accordi su compenso e disdette;
- corrispondenza con il paziente che riguarda il percorso.
Le fatture e i documenti fiscali seguono regole a parte, descritte più sotto.
Per quanto tempo va conservata?
| Documento | Termine | Riferimento |
|---|---|---|
| Appunti, note, test, relazioni, registrazioni | Almeno 5 anni dalla conclusione del rapporto | Codice deontologico, art. 17 |
| Consenso informato e informativa | Insieme alla documentazione a cui si riferiscono | Servono come prova di cosa è stato concordato |
| Fatture, ricevute e scritture contabili | 10 anni dalla data dell'ultima registrazione | Codice civile, art. 2220 |
| Esiti degli invii al Sistema Tessera Sanitaria | Insieme alle fatture | Prassi: provano l'invio |
| Messaggi solo organizzativi (orari, spostamenti) | Il tempo necessario | GDPR, art. 5 (limitazione della conservazione) |
Per le cartelle cliniche dei ricoveri ospedalieri una circolare del Ministero della Sanità del 1986 prevede la conservazione senza limiti di tempo: riguarda le strutture, non lo studio privato dello psicologo.
Da quando si contano i cinque anni?
Dalla conclusione del rapporto professionale, non dalla prima seduta né da ogni singola seduta. Perché la data sia chiara:
- annota nella scheda del paziente la data di chiusura del percorso (ultima seduta, o comunicazione di interruzione);
- se una persona torna dopo una pausa lunga, considera il nuovo periodo e aggiorna la data di fine al termine del nuovo percorso;
- per i percorsi che si interrompono senza una comunicazione, stabilisci un criterio e scrivilo (per esempio: l'ultima seduta svolta).
Perché conviene valutare dieci anni
Lo psicologo è un esercente la professione sanitaria. La legge 24/2017 (art. 7, comma 3) prevede che risponda personalmente del proprio operato ai sensi dell'art. 2043 del codice civile, salvo che abbia agito nell'adempimento di un'obbligazione contrattuale assunta con il paziente. In libera professione il contratto con il paziente c'è quasi sempre: per un'azione di responsabilità contrattuale la prescrizione ordinaria è di dieci anni (art. 2946 del codice civile). Se lavori come dipendente o per conto di una struttura, il quadro cambia.
La documentazione è la tua principale prova di cosa hai fatto e concordato. Per questo conservarla fino a dieci anni è una scelta prudente. Da quando decorre la prescrizione in un caso concreto è una valutazione giuridica: chiedi conferma al tuo legale e verifica cosa prevede la tua polizza (vedi anche la guida all'assicurazione professionale).
Conservare più a lungo è compatibile con il GDPR?
Sì, se c'è un motivo e lo dichiari. Il GDPR (art. 5, par. 1, lett. e) chiede di conservare i dati per il tempo necessario alle finalità; la tutela in caso di contestazioni è una finalità riconosciuta. In concreto:
- scegli un termine (per esempio «dieci anni dalla conclusione del rapporto») e applicalo a tutti i pazienti;
- scrivilo nell'informativa e nel registro delle attività di trattamento, anche indicando il criterio;
- alla scadenza cancella davvero: tenere tutto «per sempre» non è una scelta prudente, è un rischio in più.
Come proteggere la documentazione clinica?
L'art. 17 del Codice deontologico parla di «custodia e controllo»; l'art. 32 del GDPR chiede misure adeguate al rischio, e i dati sulla salute sono tra i più delicati.
Documenti cartacei
- Armadio o cassettiera chiusi a chiave, in una stanza non accessibile a chi non lavora con te.
- Niente fascicoli sulla scrivania o in sala d'attesa; attenzione agli studi condivisi a ore.
- Se porti documenti fuori dallo studio, solo il necessario e in una cartella chiusa.
- Valuta di digitalizzare l'archivio storico, poi distruggi la carta in modo sicuro.
Documenti digitali
- Cifratura: del disco del computer e, meglio ancora, dei singoli documenti e delle note.
- Accessi: password robuste, autenticazione a due fattori, account solo tuoi.
- Backup cifrati e una prova di ripristino ogni tanto: perdere la documentazione è una violazione come diffonderla.
- Fornitori: chi conserva i dati per tuo conto deve avere un accordo art. 28 GDPR e dire dove sono i server.
- Niente archivi paralleli: chat, chiavette e cartelle sparse sono le prime cose che si dimenticano.
In Fuoriseduta note cliniche e documenti caricati sono cifrati AES-256 su server nell'Unione Europea, restano cifrati nei backup e le operazioni sensibili come esportazioni e accessi finiscono in un registro.
Fuoriseduta manda i promemoria, incassa, emette le fatture con ENPAP e bollo e le invia al Sistema TS. Guarda la demo senza registrarti e lascia la tua email per ricevere un avviso all'apertura.
Chi può vedere la documentazione?
Il paziente
Ha il diritto di accesso ai propri dati e di riceverne copia (art. 15 GDPR): la risposta va data entro un mese, prorogabile nei casi complessi, e la prima copia è gratuita. Per le strutture sanitarie la legge 24/2017 (art. 4) fissa anche tempi propri (sette giorni per la documentazione disponibile). Come gestire, nella richiesta di accesso, appunti personali di lavoro e ipotesi interpretative è una questione delicata: da verificare con il tuo Ordine o un legale prima di rispondere, senza però lasciar scadere il termine.
Terzi, familiari e autorità
Nessuno, senza un consenso valido e dimostrabile della persona o un obbligo di legge: il segreto professionale vale anche verso familiari, colleghi e invianti (artt. 11-13 e 15 del Codice deontologico). Per i minori la fattura e il consenso hanno regole proprie: vedi fatturazione per pazienti minorenni.
Dopo la morte del paziente
I diritti sui dati di una persona deceduta possono essere esercitati da chi ha un interesse proprio, agisce a tutela dell'interessato come suo mandatario o per ragioni familiari meritevoli di protezione (art. 2-terdecies del Codice privacy). Ogni richiesta va valutata caso per caso, tenendo conto del segreto professionale: chiedi un parere al tuo Ordine.
Se il paziente chiede di cancellare tutto, devi farlo?
Il diritto alla cancellazione (art. 17 GDPR) non è assoluto. Non si applica, tra l'altro, quando la conservazione serve ad adempiere un obbligo di legge, come per le fatture, o per accertare, esercitare o difendere un diritto in sede giudiziaria. Puoi quindi rifiutare la cancellazione di ciò che devi conservare, spiegando per iscritto il motivo e il termine, e cancellare il resto, per esempio i recapiti usati solo per i promemoria. Se la richiesta riguarda la documentazione professionale entro il termine minimo dell'art. 17 del Codice deontologico, confrontati con il tuo Ordine.
Cosa succede alla documentazione se chiudi lo studio?
L'art. 17 del Codice deontologico chiede di fare in modo che, in caso di morte o impedimento, la protezione della documentazione sia affidata a un collega o all'Ordine. Non serve aspettare l'imprevisto:
- individua un collega di fiducia disposto a custodire l'archivio e mettilo per iscritto;
- prevedi come potrà accedere ai documenti (chiavi, password, accesso di emergenza a un gestore di password);
- se chiudi l'attività, continua a conservare la documentazione fino alla scadenza del termine, oppure affidala al collega informando i pazienti;
- conserva le fatture per dieci anni anche dopo la chiusura della partita IVA (vedi chiudere la partita IVA da psicologo).
Le modalità di affidamento all'Ordine variano: chiedi al tuo Ordine regionale come procedere.
Cosa fare se cambi gestionale o archivio?
La documentazione resta tua anche quando smetti di usare un programma. Prima di disdire, esporta note, documenti e fatture in un formato leggibile, verifica che l'esportazione sia completa e conservala in un archivio cifrato. In Fuoriseduta, per esempio, alla chiusura dell'account hai 30 giorni per esportare i dati, poi vengono cancellati: l'esportazione è il tuo archivio per gli anni che restano.
Come distruggere la documentazione alla scadenza?
- Carta: distruggidocumenti a frammenti, o un servizio di distruzione certificata; mai nel normale cestino.
- File: eliminazione dall'archivio, dai backup alla loro rotazione e da eventuali copie locali.
- Dispositivi dismessi: cancellazione sicura o distruzione fisica dei supporti, come indicato dal Garante nel provvedimento del 2008 sui rifiuti elettronici.
- Traccia: annota quando e come hai distrutto un archivio, senza ricopiare i dati.
Checklist operativa
- Decidi il termine di conservazione (minimo cinque anni dalla fine del rapporto, dieci per prudenza).
- Scrivilo nell'informativa e nel registro dei trattamenti.
- Annota la data di chiusura di ogni percorso.
- Tieni la carta sotto chiave e i file cifrati, con backup verificati.
- Conserva consensi e accordi insieme alla documentazione.
- Tieni le fatture e gli esiti del Sistema TS per dieci anni.
- Designa per iscritto un collega per i casi di impedimento.
- Una volta l'anno, distruggi in modo sicuro ciò che è scaduto.
Domande frequenti
Posso tenere la documentazione solo in digitale?
Sì: il Codice deontologico parla di documentazione «sotto qualsiasi forma». Servono però misure adeguate: cifratura, accessi protetti, backup verificati e un fornitore con accordo art. 28 GDPR. Se digitalizzi un archivio cartaceo, controlla che le scansioni siano complete e leggibili prima di distruggere la carta.
Devo conservare anche i messaggi scambiati con i pazienti?
Quelli che riguardano il percorso fanno parte della documentazione, perché l'art. 17 parla di scritti «di qualsiasi genere»: salvane una copia nel fascicolo invece di lasciarli solo nel telefono. I messaggi puramente organizzativi, come spostamenti di orario, si tengono solo per il tempo necessario.
Se lavoro in un centro medico, chi conserva la documentazione?
Dipende da chi è titolare del trattamento, cioè da come è inquadrata la collaborazione: se la documentazione sta nei sistemi del centro, può essere il centro a conservarla secondo le sue regole. Mettete per iscritto chi conserva cosa, per quanto tempo e come potrai accedervi se la collaborazione finisce (vedi anche psicologo in un centro medico).
Dopo la scadenza posso tenere i dati in forma anonima?
Sì, se sono davvero anonimi: i dati anonimi non sono più dati personali e il GDPR non si applica (considerando 26). Negli appunti di lavoro però dettagli su luoghi, persone ed eventi possono rendere riconoscibile chi è stato in percorso: nel dubbio, distruggi.
Fonti
Fonti consultate a ottobre 2026.
- Codice deontologico degli psicologi italiani, artt. 11-13, 15 e 17 – CNOP
- Codice civile, artt. 2220, 2043 e 2946 – Normattiva
- Legge 8 marzo 2017, n. 24, artt. 4 e 7 – Normattiva
- Regolamento (UE) 2016/679 (GDPR), artt. 5, 12, 15, 17, 32 e considerando 26 – Unione europea
- D.lgs. 196/2003, Codice in materia di protezione dei dati personali, art. 2-terdecies – Normattiva
- FAQ sul registro delle attività di trattamento (termini di cancellazione) – Garante privacy
- Rifiuti elettronici e misure di sicurezza dei dati personali, provvedimento del 13 ottobre 2008 – Garante privacy
Fuoriseduta manda i promemoria, incassa, emette le fatture con ENPAP e bollo e le invia al Sistema TS. Guarda la demo senza registrarti e lascia la tua email per ricevere un avviso all'apertura.
Contenuto informativo, aggiornato a ottobre 2026: non sostituisce il parere del tuo commercialista o consulente. Le norme cambiano: controlla sempre le fonti ufficiali indicate.
