Quando un software sanitario promette “i tuoi dati sono cifrati”, ciò che in realtà dice è: li conserviamo, e se qualcuno accede ai nostri server, avrà bisogno di una chiave per leggerli. La promessa è utile. È anche più debole di quanto si creda.

Per i dati clinici in salute mentale, il vero standard — quello imposto dalla logica del segreto professionale e dallo spirito delle regolamentazioni europee — non è “cifrare bene”. È non archiviare.

Cosa significa concretamente “zero-retention”

Zero-retention (o ritenzione zero) significa che un software non conserva nulla del contenuto clinico che elabora:

L’audio della dettatura non viene scritto su disco
La trascrizione non viene persistita
La nota generata non viene archiviata sui server
Nulla compare nei log dell’applicazione
Nulla resta in una cache

Concretamente: i dati transitano nella memoria RAM durante l’elaborazione (alcuni secondi), la nota viene rispedita al browser del clinico, e tutte le tracce vengono cancellate immediatamente. Se si sequestra il server il giorno dopo, non c’è nulla da sequestrare.

Sul lato piattaforma resta solo ciò che serve a far funzionare il servizio: l’email del clinico, il suo abbonamento, statistiche d’uso aggregate. Nessun contenuto del paziente.

Perché è più forte della cifratura

La cifratura protegge da un attaccante che non ha la chiave. Ma i dati cifrati restano:

Copiati nei backup
Presenti nei log finché non vengono ruotati
Accessibili agli amministratori di sistema con la chiave (o tramite una master key ospitata sullo stesso server)
Vulnerabili se il processo di decifratura viene compromesso
Soggetti a richiesta giudiziaria

Non archiviare elimina tutti questi rischi con una singola decisione di architettura. Non c’è nulla da sequestrare, far trapelare, decifrare o ripristinare da backup. Il rischio non è ridotto, è assente.

Il GDPR (Regolamento Generale sulla Protezione dei Dati, UE) e il Codice Privacy italiano (D.lgs. 196/2003 come modificato dal D.lgs. 101/2018) condividono tre principi che convergono verso la ritenzione zero.

Minimizzazione dei dati (GDPR Art. 5.1.c). Si tratta solo ciò che è strettamente necessario. Per uno strumento che struttura una dettatura clinica in nota, il trattamento è assolto nel momento in cui la nota è restituita. Qualsiasi conservazione oltre non risponde ad alcuna finalità legittima e non è conforme.

Limitazione della conservazione (GDPR Art. 5.1.e). I dati non devono essere conservati oltre il necessario. “Non oltre il necessario” può significare, per uno strumento di trascrizione, zero secondi una volta prodotta la nota.

Protezione per default (GDPR Art. 25). Il titolare del trattamento deve attuare “per default” misure che garantiscano che solo i dati necessari vengano trattati. L’architettura è una di queste misure. Un software progettato per non persistire i dati è conforme per costruzione — non per impegno contrattuale.

Il segreto professionale indica la stessa direzione

Il segreto professionale (art. 622 Codice Penale italiano, art. 200 Codice di Procedura Penale) non si ferma alle pareti dello studio. Si estende a tutti gli ausiliari del clinico — e un software di note vi rientra non appena tratta dati identificativi o contenuti clinici.

Più un responsabile del trattamento archivia, più è esposto a un incidente che violi il segreto. La migliore strategia per un responsabile coscienzioso è organizzare la propria architettura in modo da non essere nelle condizioni di violare il segreto, nemmeno per errore.

Cosa non risolve lo zero-retention

Onestà intellettuale: la ritenzione zero non risolve tutto.

Il fornitore di IA (Whisper, Mistral, GPT, ecc.) tratta i dati per qualche secondo. Può conservare log di inferenza secondo le proprie politiche. Il suo accordo di sub-responsabile (DPA) va letto per verificare che escluda l’addestramento sui dati e la ritenzione prolungata.
Il browser del clinico può conservare la nota nella propria cache o cronologia. È responsabilità del clinico.
I metadati tecnici (IP, timestamp, durata della dettatura, specialità) continuano a esistere sul lato piattaforma per ragioni operative. Non sono contenuto clinico ma esistono.

Zero-retention non significa nessun dato esiste mai. Significa nessun contenuto clinico identificabile viene conservato.

Cosa cambia concretamente per il clinico

Tre conseguenze tangibili:

Nessun DPA lungo con il fornitore. Il DPA (Data Processing Agreement) resta necessario, ma il suo contenuto è più semplice: nessuna procedura di notifica di violazione, nessuna procedura di restituzione dati, nessuna procedura di cancellazione — perché non c’è nulla da far trapelare, restituire o cancellare.

Il diritto di accesso del paziente diventa banale. Se il paziente chiede, ai sensi del GDPR Art. 15, quali dati il responsabile del trattamento detiene su di lui: nessuno. Il clinico può rispondere in modo documentato.

Gli incidenti di sicurezza sono disaccoppiati dal contenuto clinico. Una compromissione del server di Psydict (per esempio) esporrebbe la lista dei clinici abbonati e metadati d’uso. Non esporrebbe una sola parola di una sola nota di un solo paziente.

Criteri pratici per valutare uno strumento

Quando un software sanitario annuncia “sicuro” o “conforme al GDPR”, porre tre domande precise:

Il contenuto clinico (audio, trascrizione, nota) viene persistito sui vostri server? Se sì, per quanto tempo e dove?
Compare nei log dell’applicazione? Se sì, qual è la politica di rotazione?
Chi, nella vostra azienda, ha accesso tecnico al contenuto in chiaro, e in quali circostanze?

Le risposte “cifrato a riposo” e “cifrato in transito” sono insufficienti di per sé. Dicono come i dati sono protetti, non per quanto tempo esistono.

Conclusione

Cifrare ciò che si archivia è una buona pratica. Non archiviare è meglio. Per uno strumento che non ha alcuna ragione funzionale per conservare le note cliniche che produce, l’architettura “zero-retention” non è un lusso di sicurezza — è la conseguenza logica del principio di minimizzazione e del segreto professionale.

Lo standard per i dati clinici in salute mentale dovrebbe essere questo: se non ne hai bisogno fra cinque secondi, non avresti mai dovuto averlo.