¿Dónde deben guardar los terapeutas y profesionales de la salud las notas de sus pacientes? (Secreto médico + RGPD, 2026)

Terminas una sesión, redactas tus notas y entonces llega la pregunta silenciosa para la que nadie te preparó: ¿dónde se guardan realmente? ¿En tu portátil? ¿En un documento de Google? ¿En la app de gestión de consulta que te recomendó un colega? Para la mayoría de los profesionales de la salud y de los terapeutas, las notas de pacientes son lo más sensible que manejan, y la decisión de dónde guardarlas suele tomarse por accidente: lo que resultaba más fácil el día en que aumentó la carga de pacientes.

Este artículo responde directamente a la pregunta práctica: dónde guardar las notas de pacientes para respetar a la vez el secreto médico y el RGPD, sin fingir que una sola herramienta te vuelve «conforme» por sí sola. Está escrito para terapeutas que trabajan por su cuenta, psicólogos, fisioterapeutas, consultas pequeñas y cualquier profesional clínico que guarde notas de casos fuera del departamento informático de un hospital. No es asesoramiento jurídico, y cuando la ley es específica te remitiré al principio en lugar de inventar una cita.

Respuesta rápida

Guarda las notas de pacientes de modo que el archivo resulte ilegible para cualquiera salvo tú, y que ningún tercero pueda leerlo aunque esté en sus servidores. En la práctica, eso significa una de tres vías: conservar las notas en tu propio dispositivo con un cifrado sólido y copias de seguridad disciplinadas; recurrir a un proveedor certificado de alojamiento de datos de salud (en Francia, un Hébergeur de Données de Santé, HDS); o usar una herramienta con cifrado de conocimiento cero (zero-knowledge), en la que el proveedor solo guarda datos cifrados. La nube de consumo habitual (Google Drive, Dropbox, un espacio de Notion sin más) encaja mal, porque el proveedor puede técnicamente leer los datos y rara vez tiene contrato o certificación para historiales de salud. El secreto médico y el RGPD son dos obligaciones distintas que se aplican a la vez, y ningún producto te certifica: lo hace todo tu proceso.

Por qué esto te afecta especialmente

Las notas de un profesional clínico no son documentos corrientes. En el derecho francés, la información de los pacientes está protegida por el secreto médico (secret médical), un deber de secreto profesional que tiene su origen en el Code de la santé publique y cuya violación castiga penalmente el Code pénal. No necesitas recordar los números de artículo para sentir su peso: revelar información identificable de un paciente, incluso por negligencia, no es solo un incidente de datos; puede convertirse en un asunto profesional y penal.

A eso se suma el RGPD. Los datos de salud son una «categoría especial» de datos personales, a la que el reglamento concede una protección reforzada: su tratamiento está restringido por defecto y exige garantías adecuadas. El RGPD también exige medidas de seguridad «adecuadas al riesgo» y menciona expresamente el cifrado como una de ellas. Así que cargas con dos obligaciones a la vez. El secreto médico dice quién puede saber. El RGPD dice cómo deben protegerse los datos, durante cuánto tiempo y qué ocurre si se filtran. Una herramienta cómoda no cumple ninguna de las dos si, sin que lo notes, deja tus notas clínicas legibles para una empresa que nunca evaluaste.

El riesgo no es abstracto. Un portátil perdido o robado, una contraseña reutilizada, una unidad compartida mal configurada, una brecha en un subcontratista de tu proveedor de nube: cualquiera de estos casos puede convertir una nota privada en una nota expuesta. Si el documento es legible, que quede expuesto significa que su contenido queda al descubierto. Ese es precisamente el escenario contra el que conviene protegerse desde el diseño, y por eso el modelo de cifrado importa más que la marca de la app.

La verdadera pregunta: ¿quién puede leer el archivo?

Casi toda la confusión sobre el almacenamiento desaparece cuando dejas de preguntar «¿está cifrado?» y empiezas a preguntar «¿quién tiene las claves?». Casi todos los servicios serios cifran los datos en reposo. La diferencia decisiva es si el proveedor puede descifrarlos.

Hay tres grandes modelos, y conviene ser honestos sobre dónde te deja cada uno.

Modelo de almacenamiento	Quién puede leer las notas	Adecuación para historiales de pacientes
Nube de consumo (Google Drive, Dropbox, Notion sin más)	El proveedor, que tiene las claves	Mala. Rara vez con contrato o certificación para datos de salud; legible por el proveedor
Alojamiento certificado de datos de salud (HDS en Francia)	El proveedor de alojamiento, dentro de un marco legal y técnico estricto	Buena, y a veces obligatoria, pero más pesada y normalmente de pago
Zero-knowledge / cifrado del lado del cliente	Solo tú; el proveedor guarda datos cifrados opacos	Sólida para la confidencialidad; la recuperación de la clave corre de tu cuenta
Local-first, cifrado en tu propio dispositivo	Solo tú, sin conexión	Sólida para la confidencialidad y el control de tus datos; las copias de seguridad corren de tu cuenta

La diferencia entre la primera fila y las dos últimas lo es todo. En una brecha, un almacenamiento legible por el proveedor filtra documentos legibles, mientras que un almacenamiento cifrado del lado del cliente filtra ruido ilegible. Merece la pena entender ese contraste en detalle, porque es exactamente lo que cambia tu exposición cuando algo sale mal. Escribí un análisis completo de qué cambia realmente cuando se filtran datos cifrados en reposo frente a datos cifrados en local, y la versión corta es esta: el cifrado en reposo protege los discos del proveedor; el cifrado del lado del cliente te protege del proveedor.

Una breve nota de vocabulario, porque los términos de marketing se confunden entre sí. «Cifrado de extremo a extremo» y «zero-knowledge» están relacionados, pero no son idénticos, y la distinción importa cuando eliges una herramienta para datos regulados. Si quieres la versión precisa, consulta cifrado de extremo a extremo frente a zero-knowledge. Para notas en reposo, la propiedad que buscas es el conocimiento cero: el servicio que aloja tus datos no puede leerlos, aunque sufra un ataque o reciba una solicitud de una autoridad.

Unas palabras sobre el HDS: dónde se aplica y dónde no

En Francia, cuando un tercero aloja datos de salud identificables por cuenta tuya, ese proveedor necesita, por lo general, la certificación HDS (hébergement de données de santé), un marco anclado en el Code de la santé publique. Es un punto ciego frecuente: un terapeuta guarda sus expedientes en una nube genérica sin certificación HDS, suponiendo que «está cifrado» basta. Para datos de salud alojados por un tercero, normalmente no basta.

Pero hay un matiz que cambia el cálculo. El HDS regula el alojamiento por parte de un tercero. Si los datos se quedan en tu propio dispositivo, o si solo llegan a un proveedor como datos cifrados que este no puede descifrar, el panorama cambia. La certificación está pensada para que un proveedor externo sea de confianza con datos legibles. El almacenamiento local-first evita por completo la externalización, y el almacenamiento zero-knowledge significa que el proveedor guarda algo que, de entrada, no puede leer. Ninguna de las dos cosas hace que el HDS sea irrelevante en todos los casos, y si no tienes claro si tu configuración equivale a un alojamiento de datos de salud por parte de un tercero, ese es precisamente el momento de consultar a un abogado o a tu colegio profesional. Este artículo no puede decidirlo por ti.

Conservación: las notas que ya no necesitas son un riesgo

El RGPD te pide no conservar los datos personales más tiempo del necesario, y los historiales médicos tienen sus propias normas de conservación según tu profesión y tu contexto. La consecuencia práctica para el almacenamiento es sencilla: necesitas poder encontrar, revisar y eliminar los registros antiguos, no solo acumularlos para siempre «por si acaso». Una carpeta gigantesca e indiferenciada con una década de notas clínicas es a la vez un problema de cumplimiento y un problema de alcance en caso de brecha. Un almacenamiento que te permita organizar, etiquetar, buscar y depurar no es un extra aquí: forma parte de hacerlo bien. La misma disciplina que mantiene los documentos de tus clientes organizados y fáciles de encontrar en un solo lugar es la que te permite cumplir de verdad una obligación de conservación o de supresión, en lugar de hacer suposiciones.

Qué significa en la práctica: una lista de comprobación

Sea cual sea la herramienta que elijas, estas son las medidas concretas que aportan la mayor parte de la protección:

Cifra antes de que los datos salgan de tu control. Prefiere el cifrado del lado del cliente o en local antes que «la nube lo cifra por nosotros». La pregunta siempre es quién tiene la clave. Si quieres los fundamentos, aquí tienes una guía práctica para cifrar tus notas y entender los modelos de amenaza.
Usa una contraseña robusta y única, y un plan de recuperación real. El cifrado del lado del cliente significa que nadie puede restablecer tu contraseña por ti. Esa es la idea, y también el riesgo. Anota tu material de recuperación y guárdalo en un lugar físico seguro.
Haz copias de seguridad sin romper la confidencialidad. Una sola copia cifrada está a un desastre de desaparecer. Conserva copias de seguridad que también estén cifradas, para que un disco de respaldo o un destino de sincronización nunca se convierta en el eslabón débil.
Separa los identificadores cuando puedas. Seudonimizar las notas (un código en lugar del nombre completo en el cuerpo del archivo) reduce el daño si algún archivo llega a quedar expuesto.
Ten un plan para dispositivos perdidos. El cifrado de disco completo en el portátil, el bloqueo de pantalla y saber que puedes revocar el acceso o cambiar las claves importan más que cualquier marca.
Depura con regularidad. Revisa la conservación al menos una vez al año y elimina lo que ya no estás obligado a guardar.
No des por hecho que una herramienta te hace cumplir. El cumplimiento es todo tu proceso: base jurídica, información al paciente, seguridad, conservación y gestión de brechas. El software es solo un ingrediente.

Si también manejas otros archivos regulados de clientes, el mismo razonamiento que se aplica a las notas de un terapeuta vale para cualquier profesional que guarde registros sensibles; el análisis que escribí para asesorías contables que guardan documentos de clientes bajo el RGPD desarrolla con más detalle la lógica «adecuada al riesgo» del artículo 32, y se traslada sin dificultad.

Dónde puede ayudar Filarr (y dónde no)

Filarr es un espacio de trabajo cifrado y local-first: notas, archivos y un grafo que los relaciona, todo cifrado en tu propio equipo. Para el problema de confidencialidad de un profesional clínico, eso responde bien a la parte difícil.

Lo que hace: tus archivos y tus notas se cifran con AES-256-GCM con la clave de tu cuenta (FEK), una clave aleatoria, con un valor aleatorio nuevo para cada archivo. Esa clave está a su vez protegida por una clave derivada de tu contraseña con PBKDF2-SHA512 y 600 000 iteraciones (muy por encima de las 210 000 que recomienda OWASP para PBKDF2-SHA512), y la recuperación pasa por una frase BIP-39 de 24 palabras que controlas tú. Por defecto, tus notas y tus archivos no salen de tu dispositivo: la app funciona totalmente sin conexión, así que ningún proveedor externo lee tus notas, porque no hay ningún proveedor externo. Si activas la sincronización en la nube, que es opcional, los archivos se cifran antes de salir y el servidor solo guarda bloques opacos que no puede descifrar, que es el modelo zero-knowledge descrito más arriba. Un límite conocido, en vías de cerrarse: desde el 16 de octubre de 2026, al iniciar sesión se envía una clave derivada en tu equipo, no tu contraseña. Durante una transición de unos dos meses, una cuenta que todavía no ha vuelto a iniciar sesión, o una versión antigua de la app, sigue enviando la contraseña a los servidores de Filarr (por HTTPS), y un servidor comprometido podría capturarla: una razón más para guardar en local los datos de salud que identifican directamente al paciente. Puedes reunir notas, PDF relacionados con pacientes y expedientes en un solo lugar, organizarlos con etiquetas y búsqueda, y depurar lo que ya no necesitas. Es gratis para siempre en uso local; el plan gratuito sincroniza 5 GB y la sincronización de pago empieza en 4 €/mes.

Lo que no hace, y esto importa: Filarr es una herramienta de cifrado y almacenamiento, no una certificación de cumplimiento ni asesoramiento jurídico. No es, en sí mismo, un proveedor de alojamiento con certificación HDS; si tu situación exige legalmente un alojamiento certificado por parte de un tercero, el almacenamiento local-first cambia el análisis, pero debes confirmar tus obligaciones concretas con un profesional cualificado. No decide tu base jurídica, no redacta la información para tus pacientes ni gestiona una brecha por ti. Te da una confidencialidad sólida y la propiedad de tus datos. El resto del RGPD, y todo el secreto médico como deber profesional, siguen siendo responsabilidad tuya. Si quieres ver exactamente cómo está construido el cifrado en lugar de creerlo sin más, el diseño de la jerarquía de claves en dos niveles, KEK y FEK, está documentado aquí.

Preguntas frecuentes

¿Puedo guardar las notas de pacientes en Notion o Google Docs? Técnicamente sí; en la práctica, encajan mal con datos de salud identificables. Ambos cifran en reposo, pero guardan las claves, lo que significa que el proveedor puede leer el contenido, y por lo general ninguno tiene contrato ni certificación para historiales de salud. Para notas clínicas sensibles, prefiere el cifrado del lado del cliente o en local, donde solo tú puedes leer el archivo.

¿Basta con el cifrado para cumplir el RGPD? No. El cifrado es una de las medidas de seguridad que el RGPD recomienda expresamente, y es una medida sólida, pero el cumplimiento también abarca la base jurídica, la información al paciente, los límites de conservación y la gestión de brechas. Una herramienta puede darte un cifrado excelente y dejar intactas el resto de tus obligaciones.

¿Necesito legalmente un proveedor con certificación HDS? Depende de si un tercero aloja datos de salud identificables por cuenta tuya. En Francia, externalizar el alojamiento de datos de salud apunta, por lo general, al HDS. Los datos que se quedan en tu propio dispositivo, o que un proveedor solo guarda como datos cifrados que no puede leer, cambian ese análisis. En caso de duda, consulta a tu colegio profesional o a un abogado: este artículo no puede decidirlo por ti.

¿Qué pasa con mis notas si me roban el portátil? Con un cifrado local del lado del cliente, el ladrón se lleva archivos cifrados que no sirven de nada sin tu contraseña, sobre todo si se combina con el cifrado de disco completo y el bloqueo de pantalla. Sin cifrado, un dispositivo robado puede suponer una brecha de datos legibles de pacientes que hay que notificar. Es el argumento más claro para cifrar las notas a nivel de archivo.

¿Cómo hago copias de seguridad seguras de notas de pacientes cifradas? Conserva copias que también estén cifradas, para que la copia nunca se convierta en el eslabón débil, y guarda el material de recuperación (como una frase de recuperación) en un lugar físico y separado. El objetivo son copias que sobrevivan a un desastre sin existir nunca en forma legible.

Este artículo es información general para profesionales de la salud y no constituye asesoramiento jurídico. Para tus obligaciones concretas en materia de secreto médico y RGPD, consulta a tu colegio profesional o a un abogado cualificado.