Terapeuti e professionisti sanitari: dove conservare le note dei pazienti? (Segreto medico + GDPR, 2026)

Finisci una seduta, scrivi le tue note, e poi arriva la domanda silenziosa a cui nessuno ti ha preparato: dove finiscono davvero? Sul tuo portatile? In un Google Doc? Nel gestionale per lo studio che ti ha consigliato un collega? Per la maggior parte dei professionisti sanitari e dei terapeuti, le note sui pazienti sono la cosa più sensibile che maneggiano, e la scelta di dove conservarle avviene di solito per caso: quello che era più comodo il giorno in cui il carico di pazienti si è fatto pesante.

Questo articolo risponde direttamente alla domanda pratica: dove puoi conservare le note dei pazienti rispettando sia il segreto medico sia il GDPR, senza fingere che un singolo strumento ti renda «conforme» da solo. È scritto per terapeuti che lavorano da soli, psicologi, fisioterapisti, piccoli studi e qualsiasi clinico che tiene note cliniche al di fuori del reparto IT di un ospedale. Non è una consulenza legale, e dove la legge è specifica ti indicherò il principio anziché inventare una citazione.

Risposta rapida

Conserva le note dei pazienti in modo che il file sia illeggibile per chiunque tranne te, e che nessuna terza parte possa leggerlo nemmeno quando si trova sui suoi server. In pratica significa seguire una di tre strade: tenere le note sul tuo dispositivo con una crittografia robusta e backup disciplinati; usare un host certificato per i dati sanitari (in Francia, un Hébergeur de Données de Santé, HDS); oppure usare uno strumento con crittografia zero-knowledge, in cui il fornitore detiene sempre e solo dati crittografati. Il cloud consumer comune (Google Drive, Dropbox, un normale workspace Notion) è poco adatto, perché il fornitore può tecnicamente leggere i dati e raramente ha un contratto o una certificazione per le cartelle sanitarie. Segreto medico e GDPR sono due obblighi distinti che si applicano entrambi, e nessun prodotto ti certifica: a contare è l’intero tuo processo.

Perché questo pesa proprio su di te

Le note di un clinico non sono documenti qualsiasi. Secondo la legge francese, le informazioni sui pazienti sono coperte dal segreto medico (secret médical), un obbligo di segreto professionale radicato nel Code de la santé publique e sostenuto, in caso di violazione, da sanzioni penali previste dal Code pénal. Non serve ricordare i numeri degli articoli per sentirne il peso: divulgare informazioni identificabili su un paziente, anche per negligenza, non è soltanto un incidente sui dati, può diventare una questione professionale e penale.

A questo si aggiunge il GDPR. I dati sanitari sono una «categoria particolare» di dati personali, che il regolamento tratta con una protezione rafforzata: il loro trattamento è limitato in linea di principio e richiede garanzie adeguate. Il GDPR richiede anche misure di sicurezza «adeguate al rischio» e cita esplicitamente la crittografia tra queste misure. Quindi porti due obblighi insieme. Il segreto medico dice chi può sapere. Il GDPR dice come devono essere protetti i dati, per quanto tempo e cosa succede in caso di fuga. Uno strumento comodo non soddisfa né l’uno né l’altro se, senza dirlo, rende le tue note cliniche leggibili da un’azienda che non hai mai verificato.

Il rischio non è astratto. Un portatile perso o rubato, una password riutilizzata, un drive condiviso configurato male, una violazione presso un subfornitore del tuo cloud: ognuno di questi può trasformare una nota privata in una nota esposta. Quando il documento sottostante è leggibile, esposizione significa che il contenuto è finito fuori. È proprio lo scenario contro cui vale la pena progettare, ed è per questo che il modello di crittografia conta più del marchio sull’app.

La vera domanda: chi può leggere il file?

Gran parte della confusione sull’archiviazione scompare quando smetti di chiederti «è crittografato?» e inizi a chiederti «chi ha le chiavi?». Quasi tutti i servizi seri crittografano i dati a riposo. La differenza decisiva è se il fornitore può decrittografarli.

Ci sono tre grandi modelli, e conviene essere onesti su dove ti lascia ciascuno.

Modello di archiviazione	Chi può leggere le note	Adatto alle cartelle dei pazienti
Cloud consumer (Google Drive, Dropbox, Notion standard)	Il fornitore, che detiene le chiavi	Poco. Raramente ha un contratto o una certificazione per i dati sanitari; leggibile dal fornitore
Host sanitario certificato (HDS in Francia)	L’host, entro un quadro giuridico e tecnico rigoroso	Buono, e talvolta obbligatorio, ma più pesante e di solito a pagamento
Crittografia zero-knowledge / lato client	Solo tu; il fornitore conserva dati crittografati opachi	Forte per la riservatezza; la responsabilità del recupero della chiave è tua
Local-first, crittografato sul tuo dispositivo	Solo tu, offline	Forte per la riservatezza e per il controllo dei tuoi dati; i backup sono a tuo carico

La differenza tra la prima riga e le ultime due è tutta la partita. In caso di violazione, un archivio leggibile dal fornitore lascia trapelare documenti leggibili, mentre un archivio crittografato lato client lascia trapelare rumore illeggibile. Vale la pena capire questo contrasto nel dettaglio, perché è esattamente ciò che cambia la tua esposizione quando qualcosa va storto. Ho scritto un’analisi completa su cosa cambia davvero quando trapelano dati crittografati a riposo rispetto a dati crittografati in locale, e in breve: la crittografia a riposo protegge i dischi del fornitore, la crittografia lato client protegge te dal fornitore.

Una breve nota di vocabolario, perché i termini del marketing si confondono. «Crittografato end-to-end» e «zero-knowledge» sono concetti collegati ma non identici, e la distinzione conta quando scegli uno strumento per dati regolamentati. Se vuoi la versione precisa, leggi crittografia end-to-end e zero-knowledge a confronto. Per le note a riposo, la proprietà che ti serve è la zero-knowledge: il servizio che ospita i tuoi dati non può leggerli, nemmeno se subisce un attacco informatico o riceve la richiesta di un’autorità.

Una parola sull’HDS: dove si applica e dove no

In Francia, quando una terza parte ospita per tuo conto dati sanitari identificabili, quell’host deve in genere avere la certificazione HDS (hébergement de données de santé, cioè hosting di dati sanitari), un quadro ancorato al Code de la santé publique. È un punto cieco frequente: un terapeuta conserva le cartelle dei pazienti su un cloud generico non certificato HDS, pensando che «è crittografato» basti. Per i dati sanitari ospitati da terzi, di solito non basta.

Ma ecco la sfumatura che cambia i conti. L’HDS disciplina l’hosting da parte di una terza parte. Se i dati non lasciano mai il tuo dispositivo, o se arrivano a un fornitore soltanto come dati crittografati che il fornitore non può decrittografare, il quadro cambia. La certificazione serve a rendere affidabile un host esterno a cui si affidano dati leggibili. L’archiviazione local-first evita del tutto l’esternalizzazione, e l’archiviazione zero-knowledge significa che il fornitore detiene fin dall’inizio qualcosa che non può leggere. Nessuna delle due rende l’HDS irrilevante in ogni caso, e se non sei sicuro che la tua configurazione rientri nell’hosting di dati sanitari da parte di terzi, è proprio il momento di chiedere a un avvocato o al tuo ordine professionale. Questo articolo non può decidere al posto tuo.

Conservazione: le note che non ti servono più sono un rischio

Il GDPR ti chiede di conservare i dati personali non più a lungo del necessario, e le cartelle sanitarie hanno regole di conservazione proprie a seconda della professione e del contesto. La conseguenza pratica per l’archiviazione è semplice: devi poter ritrovare, rivedere ed eliminare le vecchie cartelle, non solo accumularle per sempre «per sicurezza». Un’enorme cartella indifferenziata con dieci anni di note cliniche è un problema sia di conformità sia di raggio d’impatto in caso di violazione. Un archivio che ti permette di organizzare, etichettare, cercare e sfoltire qui non è un optional: fa parte del lavoro fatto bene. La stessa disciplina che tiene i documenti dei clienti organizzati e reperibili in un unico posto è quella che ti permette di rispettare davvero un obbligo di conservazione o di cancellazione, invece di andare a tentativi.

In pratica: una checklist

Qualunque strumento tu scelga, queste sono le mosse concrete che danno gran parte della protezione:

• Crittografa prima che il file esca dal tuo controllo. Preferisci la crittografia lato client o locale a «ci pensa il cloud a crittografarlo». La domanda è sempre chi detiene la chiave. Se vuoi le basi, ecco una guida pratica per crittografare le tue note e capire i modelli di minaccia in gioco.
• Usa una passphrase forte e unica e un vero piano di recupero. Crittografia lato client significa che nessuno può reimpostarti la password. È proprio questo il punto, ed è anche il rischio. Metti per iscritto il tuo materiale di recupero e custodiscilo fisicamente al sicuro.
• Fai backup senza compromettere la riservatezza. Una sola copia crittografata è a un disastro dalla scomparsa. Tieni backup a loro volta crittografati, così un disco di backup o una destinazione di sincronizzazione non diventano mai l’anello debole.
• Separa gli identificativi quando puoi. Pseudonimizzare le note (un codice al posto del nome completo nel corpo del file) riduce i danni se un singolo file viene esposto.
• Prevedi un piano per i dispositivi persi. Crittografia completa del disco sul portatile, blocco dello schermo e la possibilità di revocare o cambiare le chiavi contano più di qualsiasi marchio.
• Sfoltisci a scadenze fisse. Rivedi la conservazione almeno una volta l’anno ed elimina ciò che non sei più tenuto a conservare.
• Non dare per scontato che uno strumento ti renda conforme. La conformità è l’intero tuo processo: base giuridica, informativa ai pazienti, sicurezza, conservazione e gestione delle violazioni. Il software è solo un ingrediente.

Se gestisci anche altri file regolamentati dei clienti, lo stesso ragionamento che vale per le note di un terapeuta vale per qualsiasi professionista che detiene documenti sensibili; l’analisi che ho scritto per gli studi contabili che archiviano i documenti dei clienti secondo il GDPR approfondisce la logica «adeguata al rischio» dell’articolo 32, e si applica senza difficoltà.

Dove Filarr può aiutare (e dove no)

Filarr è uno spazio di lavoro local-first e crittografato: note, file e un grafo che li collega, tutto crittografato sul tuo computer. Per il problema di riservatezza di un clinico, risponde bene alla parte difficile.

Cosa fa: ogni file è crittografato con AES-256-GCM sotto un’unica chiave dell’account casuale, con un valore casuale nuovo per ogni file. Quella chiave è a sua volta bloccata da una chiave derivata dalla tua passphrase con PBKDF2-SHA512 a 600.000 iterazioni (ben oltre le 210.000 raccomandate dall’OWASP per PBKDF2-SHA512), e il recupero passa da una frase di recupero BIP-39 di 24 parole che controlli tu. Per impostazione predefinita nulla esce dal tuo dispositivo: funziona completamente offline, quindi non c’è nessun host terzo che legge le tue note, perché non c’è proprio nessun host terzo. Se attivi la sincronizzazione cloud facoltativa, i file vengono crittografati prima di partire, e il server conserva sempre e solo blob opachi che non può decrittografare: è il modello zero-knowledge descritto sopra. Un limite da conoscere riguarda l’accesso con un account. Dal 16 ottobre 2026, i nuovi account e quelli che hanno effettuato di nuovo l’accesso non inviano più la password: al server arriva solo una chiave derivata, calcolata sul tuo dispositivo. Durante una transizione di circa due mesi, però, un account che non ha ancora rifatto l’accesso o una vecchia versione dell’app invia ancora la password ai server di Filarr al momento dell’accesso (in HTTPS), e in quel caso un server compromesso potrebbe intercettarla: un motivo in più per tenere in locale i dati sanitari direttamente identificativi. Puoi tenere in un unico posto note, PDF relativi ai pazienti e cartelle cliniche, organizzarli con tag e ricerca, ed eliminare ciò che non ti serve più. È gratis per sempre in uso locale; il piano gratuito sincronizza 5 GB, e la sincronizzazione a pagamento parte da 4 €/mese.

Cosa non fa, ed è importante: Filarr è uno strumento di crittografia e di archiviazione, non una certificazione di conformità e non una consulenza legale. Non è, di per sé, un host certificato HDS; se la tua situazione richiede per legge un hosting certificato da parte di terzi, l’archiviazione local-first cambia l’analisi, ma devi verificare i tuoi obblighi specifici con un professionista qualificato. Non decide la tua base giuridica, non scrive la tua informativa ai pazienti e non gestisce una violazione al posto tuo. Ti dà una riservatezza solida e la proprietà dei tuoi dati. Il resto del GDPR, e l’intero segreto medico come dovere professionale, restano a te. Se vuoi vedere esattamente come è costruita la crittografia invece di fidarti sulla parola, il progetto della gerarchia di chiavi a due livelli, KEK e FEK, è documentato qui.

Domande frequenti

Posso tenere le note dei pazienti in Notion o Google Docs? Tecnicamente sì, ma in pratica è una scelta poco adatta per dati sanitari identificabili. Entrambi crittografano a riposo ma detengono le chiavi, quindi il fornitore può leggere il contenuto, e nessuno dei due ha in genere un contratto o una certificazione per le cartelle sanitarie. Per note cliniche sensibili, preferisci la crittografia lato client o locale, in cui solo tu puoi leggere il file.

Basta la crittografia per essere conformi al GDPR? No. La crittografia è una delle misure di sicurezza che il GDPR raccomanda esplicitamente, ed è una misura forte, ma la conformità copre anche la base giuridica, l’informativa ai pazienti, i limiti di conservazione e la gestione delle violazioni. Uno strumento può darti un’ottima crittografia e lasciare intatto il resto dei tuoi obblighi.

Mi serve per legge un host certificato HDS? Dipende dal fatto che una terza parte ospiti o meno per tuo conto dati sanitari identificabili. In Francia, l’hosting esternalizzato di dati sanitari rimanda in genere all’HDS. I dati che restano sul tuo dispositivo, o che un fornitore detiene solo come dati crittografati che non può leggere, cambiano questa analisi. Nel dubbio, chiedi al tuo ordine professionale o a un avvocato: questo articolo non può deciderlo per te.

Cosa succede alle mie note se mi rubano il portatile? Con una crittografia locale lato client, un ladro ottiene file crittografati inutilizzabili senza la tua passphrase, soprattutto se abbinata alla crittografia completa del disco e al blocco dello schermo. Senza crittografia, un dispositivo rubato può significare una violazione da notificare di dati dei pazienti leggibili. È l’argomento più chiaro in assoluto per crittografare le note a livello di file.

Come faccio un backup sicuro delle note dei pazienti crittografate? Tieni backup a loro volta crittografati, così il backup non diventa mai l’anello debole, e conserva il materiale di recupero (come una frase di recupero) fisicamente e separatamente. L’obiettivo sono copie che sopravvivono a un disastro senza mai esistere in forma leggibile.

Questo articolo è un’informazione generale per i professionisti sanitari e non costituisce una consulenza legale. Per i tuoi obblighi specifici in materia di segreto medico e GDPR, rivolgiti al tuo ordine professionale o a un avvocato qualificato.