Cartella clinica psicologo: GDPR e come sceglierla (2026)
Appunti su Word, fogli in un cassetto, chat su WhatsApp? Il rischio GDPR è tuo. Come tenere la cartella clinica a norma.
Nella maggior parte degli studi la “cartella clinica” è una somma di cose: un quaderno per gli appunti in seduta, un file Word per paziente, i test scansionati in una cartella del desktop, i messaggi su WhatsApp, un backup su una chiavetta. Funziona, finché non succede qualcosa: un portatile rubato, un paziente che chiede copia dei propri dati, un collega che ti sostituisce e non trova niente. È lì che scopri che i dati psicologici sono la categoria più protetta del GDPR, e che la responsabilità è interamente tua. Vediamo come mettere ordine.
In sintesi. La cartella clinica dello psicologo raccoglie anagrafica, consensi, anamnesi, valutazione, piano di intervento, note delle sedute ed esiti dei test. Sono dati relativi alla salute (art. 9 GDPR): servono misure di sicurezza adeguate come cifratura, accesso con credenziali forti, tracciamento degli accessi e server nell’Unione europea. Il Codice deontologico chiede di conservare la documentazione per almeno 5 anni dalla fine del rapporto; molti professionisti arrivano a 10 anni per coprire la prescrizione della responsabilità civile. Un software serio deve cifrare i dati, tenere un audit log, permettere l’esportazione e gestire archiviazione e cancellazione.
Cosa deve contenere la cartella clinica dello psicologo
Non esiste un modello unico imposto per legge alla libera professione, ma c’è un contenuto minimo che ogni Ordine e ogni assicurazione si aspetta di trovare:
- Anagrafica e recapiti del paziente (e dei genitori o tutori per i minori).
- Consenso informato e informativa privacy firmati, con la data.
- Motivo della richiesta e invio (chi ha indirizzato il paziente).
- Anamnesi e valutazione iniziale, compresi eventuali test e i loro esiti.
- Ipotesi di lavoro e piano di intervento, con obiettivi concordati.
- Diario delle sedute: date, presenze, note sintetiche, eventi rilevanti.
- Comunicazioni con altri professionisti (medico, psichiatra), sempre con consenso.
- Chiusura: motivo della conclusione, esiti, eventuali invii.
Una distinzione utile: le note di processo, cioè le tue riflessioni personali sul caso, non sono la stessa cosa del diario clinico. Tenerle separate ti aiuta quando un paziente esercita il diritto di accesso: sai esattamente cosa fa parte della documentazione e cosa sono tuoi appunti di lavoro.
Per quanto tempo va conservata
| Riferimento | Cosa prevede | In pratica |
|---|---|---|
| Codice deontologico psicologi | Conservazione della documentazione per almeno 5 anni dalla conclusione del rapporto | Minimo inderogabile |
| Prescrizione responsabilità contrattuale (art. 2946 c.c.) | 10 anni | Molti colleghi e assicurazioni consigliano 10 anni |
| GDPR (art. 5, limitazione della conservazione) | Non oltre il necessario rispetto allo scopo | Fissa un termine, scrivilo nell’informativa e rispettalo |
| Minori | I termini decorrono in modo diverso | Chiedi indicazioni al tuo Ordine o all’assicurazione |
Il punto critico non è scegliere tra 5 e 10 anni, ma decidere e scriverlo nell’informativa privacy, poi rispettarlo davvero. Una cartella “dimenticata” per 20 anni in un hard disk non è prudenza: è un trattamento senza base.
Cosa chiede il GDPR sui dati psicologici
I dati raccolti in seduta rientrano nelle categorie particolari dell’art. 9 GDPR. Il trattamento per finalità di cura è lecito, ma richiede tutele rafforzate. In concreto:
- Sicurezza adeguata (art. 32): cifratura, accesso protetto, backup, capacità di ripristino. Un file Word sul portatile senza password non lo è.
- Registro dei trattamenti (art. 30): anche lo studio singolo che tratta dati sanitari in modo non occasionale dovrebbe tenerlo.
- Fornitori come responsabili (art. 28): se usi un software in cloud, il fornitore deve firmare con te un accordo sul trattamento dei dati (DPA).
- Trasferimenti extra-UE: server e sub-fornitori fuori dall’Unione complicano molto le cose. Meglio evitarli.
- Diritti del paziente: accesso, rettifica, portabilità e, nei limiti dell’obbligo di conservazione, cancellazione.
- Data breach: in caso di violazione (furto del portatile, account compromesso) hai 72 ore per valutare e notificare al Garante.
WhatsApp, Gmail e Google Drive personali. Sono gli strumenti più usati e i meno adatti a custodire una cartella clinica: account personali, nessun accordo di trattamento, dati mescolati alla vita privata. Usali, se proprio, solo per la logistica degli appuntamenti, mai per conservare contenuti clinici.
Carta, file sparsi o software: il confronto
| Cartaceo | File sul PC | Software dedicato | |
|---|---|---|---|
| Protezione da furto o perdita | Armadio chiuso a chiave | Dipende da te (spesso nulla) | Cifratura e backup inclusi |
| Tracciamento degli accessi | No | No | Audit log |
| Ricerca e continuità | Lenta | Disordinata | Storico per paziente |
| Accesso del paziente / portabilità | Fotocopie | Manuale | Esportazione |
| Archiviazione a fine percorso | Scatole | Cartelle dimenticate | Archivio e anonimizzazione |
La tua cartella clinica è ancora un insieme di file? Synalla Coach cifra note, trascrizioni e allegati prima di salvarli, su server europei, con audit log di ogni accesso.
Prova gratisCome scegliere un software per la cartella clinica: 8 criteri
- Server nell’UE, compresi i fornitori di AI e di email, senza trasferimenti extra-UE.
- Cifratura dei contenuti clinici, non solo “connessione sicura”: le note devono essere illeggibili anche a chi accede al database.
- Audit log: chi ha aperto quale scheda e quando.
- Autenticazione a due fattori per l’accesso.
- Consensi registrati sulla scheda, con data e storico delle modifiche.
- Esportazione completa (portabilità art. 20) e possibilità di andartene con i tuoi dati.
- Archiviazione e anonimizzazione per conciliare conservazione obbligatoria e diritto all’oblio.
- Accordo di trattamento (DPA) disponibile e chiaro.
Prima di firmare, fai al fornitore una domanda semplice: “se domani voglio andarmene, in che formato mi date i miei dati e quanto ci vuole?”. La risposta ti dice molto.
Il caso delle registrazioni e dell’AI
Sempre più colleghi registrano le sedute (con consenso) o usano strumenti di trascrizione e sintesi. Si può fare, ma la registrazione diventa parte della documentazione clinica e alza l’asticella: serve un consenso specifico, separato da quello al trattamento dei dati, e il fornitore AI deve trattare i dati nell’UE, senza usarli per addestrare modelli. Il consenso, e come raccoglierlo bene, è il tema della guida al consenso informato.
Come Synalla Coach gestisce la cartella clinica
In Synalla Coach ogni persona che segui ha una scheda viva: anagrafica, consensi, sedute con note e note private, allegati, eventuali registrazioni con trascrizione. Note, trascrizioni e allegati sono cifrati lato applicazione (AES-256) prima di toccare il database, su data center europei e senza trasferimenti extra-UE, neppure verso i fornitori AI.
Ogni apertura di scheda, seduta o registrazione finisce in un audit log non modificabile. I consensi sono tipizzati (trattamento dati, registrazione, analisi AI) e storicizzati. A fine percorso archivi la scheda senza perderla, con anonimizzazione quando serve, ed esporti tutto in JSON e PDF quando vuoi. Accesso con 2FA, titolare dello studio gratis, 15 giorni di prova.
Prova Synalla Coach — 15 giorni gratis →Sistemata la cartella, l’altro grande capitolo amministrativo dello studio è il fisco: trovi tutto nella guida alla fattura dello psicologo e in quella al Sistema TS per psicologi.