Cosa succede al tuo PDF quando premi «Scegli file»

È giovedì pomeriggio e l'agenzia immobiliare vuole tutti i documenti per l'affitto in un unico file: contratto di lavoro, le ultime due buste paga, l'ultima dichiarazione dei redditi, copia della carta d'identità. Digiti «unire PDF» nella barra di ricerca, clicchi sul primo risultato, trascini quattro file nel riquadro, aspetti cinque secondi, scarichi il risultato e chiudi la scheda.

Che cosa sia successo in quei cinque secondi, quasi nessuno è andato a leggerlo. Eppure gran parte di quelle informazioni è pubblica — bisogna solo sapere dove guardare. E raramente il posto giusto è la pagina con il lucchetto e la parola «sicuro».

Questo articolo, deliberatamente, non fa nomi di fornitori. Ti mostra invece come valutare da solo, in pochi minuti, qualsiasi servizio — compreso il nostro.

Il viaggio del tuo file

Quando uno strumento online basato su server elabora il tuo PDF, non lo fa nel tuo browser. Lo fa in un data center, e il file deve arrivarci. Il percorso tipico è questo:

Il browser impacchetta il file e lo invia via HTTPS a un load balancer, che lo passa a un nodo di elaborazione. Lì il file finisce — a seconda dell'architettura — nella memoria RAM, su un disco temporaneo o direttamente in un object storage come Amazon S3. Un processo worker esegue l'operazione vera e propria. Il risultato viene salvato a sua volta, di solito dietro un URL generato casualmente, perché tu possa scaricarlo. Nel frattempo web server, load balancer e applicazione scrivono i loro file di log. Gli object storage replicano i dati su più sedi. I backup seguono un calendario tutto loro.

Non è una critica, è artigianato solido: è così che si costruiscono servizi scalabili. Ma spiega perché «cancellato» sia una parola con più significati di quanti se ne sospettino leggendola. Il comando di cancellazione colpisce con affidabilità il file dell'utente. Che raggiunga anche ogni replica, ogni backup e ogni riga di log è una questione di implementazione — e non c'è informativa sulla privacy che lo racconti.

Come si legge un termine di cancellazione

Qui arriva la parte più utile di questo articolo, e ti costa cinque minuti per fornitore.

Sulle homepage, negli articoli di supporto e nelle FAQ compaiono numeri come «cancellato dopo un'ora». È testo di marketing. Ciò che vincola legalmente è l'informativa sulla privacy. Se metti le due cose una accanto all'altra, fai attenzione a cinque punti:

1. I numeri coincidono? Cerca nell'informativa la sezione sui tempi di conservazione e confrontala con quello che c'è scritto sulla pagina del prodotto. L'esperienza insegna che il confronto vale la pena.

2. Il termine decorre dal caricamento o dall'ultimo accesso? La differenza è enorme. Un termine «dall'ultima apertura» non è un orologio: è un timer che riparte a ogni accesso.

3. Vale lo stesso termine con e senza account? Molti scelgono apposta di non registrarsi per lasciare meno tracce. Verifica se nel tuo caso questo significhi davvero la conservazione più breve o quella più lunga — la risposta non è sempre quella che ti aspetti.

4. Ci sono eccezioni per singoli strumenti? Le firme elettroniche, per esempio, richiedono per ragioni probatorie una conservazione più lunga; è oggettivamente sensato, ma spesso è scritto solo nelle clausole in piccolo del singolo servizio.

5. Che data porta il documento? Se l'informativa è nettamente più vecchia delle funzioni più recenti nel menù — per esempio strumenti di IA per riassumere o tradurre — vale la pena chiedersi quali ulteriori sub-responsabili del trattamento siano arrivati nel frattempo.

Il quinto punto è il più attuale. Le funzioni di IA richiedono quasi sempre altri fornitori dietro le quinte. Chi vuole sapere dove finisce davvero il documento trova la risposta nella lista dei subprocessor — mai sulla pagina del prodotto.

L'ironia degli strumenti più delicati

Dai un'occhiata a una tipica lista di strumenti. Due funzioni compaiono quasi ovunque, ed è proprio lì che l'approccio dell'upload sviluppa una logica curiosa:

«Oscurare un PDF». Oscuri dei passaggi perché il documento, nella sua forma originale, non deve finire in mani altrui. Per ottenerlo, lo trasmetti nella sua forma originale a un terzo.

«Rimuovere la password da un PDF». Hai un file cifrato — l'estratto conto, la polizza, la busta paga. Per togliere la protezione, trasmetti il file e la password.

Non è un'accusa a nessuno; sul server, tecnicamente, non si può fare altrimenti. Ma sono esattamente i due casi in cui tre secondi di riflessione valgono la spesa.

Anche i metadati sono dati

Le informative sulla privacy distinguono spesso tra il file e i suoi metadati — nome, dimensione, tipo. E i metadati ricadono di frequente sotto regole più generose, per esempio l'analisi a fini di miglioramento del prodotto.

Suona innocuo, finché non si pensa ai nomi di file che stanno davvero sui dischi. Licenziamento_Rossi_finale.pdf. Diagnosi_oncologia_2024.pdf. Accordo_separazione_bozza3.pdf. Il contenuto resta chiuso, il titolo no.

Che non si tratti di un problema teorico lo dimostra uno sguardo al database Have I Been Pwned. Nella voce dedicata a un grande servizio PDF compromesso nel 2020, tra le categorie di dati esposti figurano espressamente, accanto ai nomi e agli hash delle password, anche i titoli dei documenti convertiti.

Tre incidenti documentati

I casi che seguono sono documentati pubblicamente e verificabili tramite le fonti indicate. Riguardano esclusivamente i servizi lì descritti e non permettono conclusioni su altri fornitori.

Settembre 2020 — la portata fu inizialmente minimizzata. Un fornitore di servizi PDF quotato in borsa segnalò alla propria autorità di vigilanza un incidente di sicurezza dall'impatto limitato; i dati dei clienti non sarebbero stati coinvolti. Pochi mesi dopo, un noto gruppo di criminali informatici pubblicò il database completo: 14 GB, oltre 77 milioni di record. In precedenza, un pacchetto composto da quel database più circa un terabyte di documenti era stato messo in vendita con un'offerta di partenza di 80.000 dollari. (Documentato da BleepingComputer e Have I Been Pwned.)

Luglio 2024 — lo storage era semplicemente aperto. Il team di ricerca di Cybernews trovò due servizi PDF il cui spazio Amazon S3 era raggiungibile in rete senza alcuna restrizione di accesso. Al momento della pubblicazione erano liberamente accessibili oltre 89.000 file, tra cui passaporti, patenti, contratti e certificati. Secondo il report, i ripetuti tentativi di contatto dei ricercatori rimasero senza risposta, mentre i documenti continuavano ad arrivare. (Documentato da Cybernews.)

Marzo 2025 — i convertitori falsi. L'ufficio dell'FBI di Denver mise pubblicamente in guardia contro siti di conversione fraudolenti. Fanno davvero quello che promettono — solo che il documento restituito contiene codice malevolo. Secondo l'FBI, alcuni di questi servizi frugano inoltre nei file caricati alla ricerca di dati personali, bancari e di criptovalute. Una portavoce dell'ufficio dichiarò ai media che il rischio maggiore lo corre chi digita «free online file converter» in un motore di ricerca, perché in cima ai risultati compaiono spesso annunci a pagamento. (Comunicato stampa del FBI Denver Field Office, marzo 2025.)

Il terzo caso è il più importante per la vita di tutti i giorni, perché non ha nulla a che vedere con la negligenza di aziende serie. Descrive offerte costruite fin dall'inizio come trappole — e che, agli occhi dell'utente, hanno esattamente lo stesso aspetto di tutte le altre.

Il caso tedesco — e la regola europea: due obblighi, non uno

Per i privati è una questione di buon senso. Per le aziende e per certe professioni è una questione giuridica. La Germania fa qui da caso di studio, ma buona parte della lezione vale per tutta l'UE. Quanto segue riassume il quadro normativo e non sostituisce una consulenza legale sul caso concreto.

Responsabili del trattamento. Un'azienda che affida a un servizio esterno un documento con dati personali sta esternalizzando un trattamento. La norma non è tedesca ma europea, e vale identica in Italia: il GDPR. La Camera di commercio di Monaco e dell'Alta Baviera (IHK) lo formula senza ambiguità nella sua guida alla protezione dei dati sui siti web: anche attività come la conversione di dati costituiscono, ai sensi del GDPR, un trattamento per conto del titolare — e serve quindi un contratto ai sensi dell'art. 28 GDPR. E ancora: l'obbligo viene meno solo se non vengono trattati dati personali in assoluto. Se il contratto manca, la violazione c'è, anche se il fornitore lavora in modo impeccabile; le sanzioni arrivano fino a 10 milioni di euro o al due per cento del fatturato annuo mondiale (art. 83, par. 4, GDPR).

Molti fornitori affermati mettono a disposizione un contratto del genere. Solo che, in pratica, non lo firma nessuno che voglia semplicemente unire due pagine al volo.

I professionisti vincolati al segreto. Per avvocati, medici, commercialisti, notai e psicoterapeuti tedeschi si aggiunge il § 203 del codice penale tedesco (StGB), che punisce la violazione del segreto professionale. Fino al 2017 la situazione era delicata: qualsiasi passaggio a un fornitore IT esterno poteva costituire una rivelazione del segreto. La legge di riforma sulla protezione dei segreti in caso di coinvolgimento di terzi, in vigore dal 9 novembre 2017, ha creato la categoria della «altra persona che partecipa all'attività»: in base al § 203, comma 3, secondo periodo, StGB, la rivelazione nei suoi confronti è lecita nella misura in cui è necessaria per avvalersi del servizio; a corredo esistono norme abilitanti negli ordinamenti professionali (§ 43e BRAO, § 62a StBerG, § 26a BNotO, § 50a WPO).

L'inghippo sta nel comma 4: il professionista deve vincolare il fornitore alla riservatezza e informarlo delle conseguenze penali. Chi lo omette diventa a sua volta punibile. Un contratto di nomina a responsabile del trattamento ai sensi del GDPR non basta allo scopo — regola la protezione dei dati, non il diritto penale. Sono due obblighi distinti, e il secondo viene regolarmente dimenticato.

Il dettaglio è tedesco, la lezione no: anche in Italia il segreto professionale gode di una tutela propria, distinta dal GDPR. Chi fa passare al volo l'atto riservato di un cliente per un convertitore online gratuito, con ogni probabilità, non ha adempiuto a nessuno dei due obblighi.

L'alternativa: calcolare dove il file già si trova

Il motivo per cui l'elaborazione dei PDF è storicamente avvenuta sui server è tecnico. Un PDF non è un formato di testo, ma una struttura binaria con tabelle di riferimenti incrociati, font incorporati e alberi di oggetti. Per smontarlo e riscriverlo in modo pulito serve una libreria seria — e per decenni quelle librerie sono state scritte in C o C++ e non giravano nel browser.

WebAssembly ha sciolto il nodo. Le stesse librerie possono essere compilate in un formato binario che il browser esegue a velocità quasi nativa. Il flusso diventa questo:

1. Scegli un file. Il browser lo consegna al codice JavaScript tramite la File API come ArrayBuffer — senza traffico di rete.
2. Un modulo WebAssembly, di solito in un Web Worker perché l'interfaccia resti fluida, elabora i byte nella memoria della scheda.
3. Il risultato viene generato come Blob e offerto per il download tramite un Object URL.
4. Chiudi la scheda. La memoria viene liberata.

In nessun punto il file lascia il dispositivo. La cassetta degli attrezzi esiste ed è matura: PDF.js di Mozilla è da anni il motore che visualizza i PDF in Firefox. pdf-lib crea e modifica documenti in puro JavaScript. MuPDF.js di Artifex porta nel browser l'intero motore MuPDF come WebAssembly. Tesseract.js rende possibile il riconoscimento del testo in locale. E per il caso più duro — da Word o Excel a PDF — da novembre 2024 c'è ZetaOffice di allotropia, una build di LibreOffice in WebAssembly con binding JavaScript.

Cosa resta onestamente difficile lato client

Un articolo che elenca solo vantaggi è pubblicità. Ecco quindi il conto al contrario:

La memoria. Il diffusissimo wasm32 indirizza al massimo 4 GB — non è un limite morbido, è l'intero spazio di indirizzamento di un puntatore a 32 bit. Da WebAssembly 3.0 (settembre 2025) esiste l'indirizzamento a 64 bit, ma i browser lo limitano a 16 GB, costa in prestazioni e il supporto non è ovunque allo stesso punto. In pratica: una scansione da 400 megabyte con 800 pagine può far chiudere la scheda su uno smartphone datato. Un server questo problema non ce l'ha.

Il tempo di caricamento. Un modulo WebAssembly con uno stack PDF completo pesa diversi megabyte. Alla prima visita va scaricato — poi resta nella cache e la pagina funziona perfino offline, ma la prima impressione è più lenta rispetto a uno strumento su server.

E il punto più importante, anche per quanto ci riguarda: lato client non significa automaticamente rispettoso della privacy. Il sito conosce comunque il tuo indirizzo IP. Script di analytics, telemetria degli errori e reti pubblicitarie lavorano a prescindere da dove venga elaborato il PDF. Un servizio che calcola in locale e nel frattempo integra cinque tracker ha risolto solo metà del problema. Perciò non chiederti soltanto se il file resta dove si trova, ma anche che cos'altro esce comunque dalla porta — e chiedilo a ogni fornitore, compreso questo.

Il test che fai da solo in 30 secondi

Non devi credere a nessuno sulla parola. Due verifiche che funzionano su qualsiasi sito:

Il test di rete. Apri gli strumenti per sviluppatori (F12 oppure Ctrl+Maiusc+I, su Mac Cmd+Opzione+I), vai alla scheda «Rete» e filtra su «Fetch/XHR». Poi elabora un file. Uno strumento basato su server genera a quel punto una richiesta POST il cui volume di dati trasmessi corrisponde all'incirca alla dimensione del tuo file. Con l'elaborazione locale, lì non succede nulla.

Il test offline. Ancora più semplice, e non ammette giustificazioni: carica la pagina, poi spegni il Wi-Fi o attiva la modalità aereo — e continua a lavorare. Ciò che funziona senza connessione, garantito, non ha trasmesso niente.

Fai pure entrambi i test su questa pagina. Ci dispiacerebbe il contrario.

Una regola pratica da portare via

Prima di cliccare su «Scegli file», poniti una sola domanda: manderei questo documento per e-mail a uno sconosciuto che promette di cancellarlo dopo due ore?

Per il menù della festa del circolo: certo. Per la presentazione al consiglio di amministrazione, la cartella clinica, l'atto di un cliente, la scansione della carta d'identità: meglio di no.

E se la risposta è «meglio di no», la buona notizia è che non devi scegliere tra comodità e prudenza. Ormai il browser sa cavarsela da solo.

Aggiornato a luglio 2026. Questo articolo descrive meccanismi tecnici generali e il quadro normativo; non valuta singoli fornitori e non costituisce consulenza legale. Per giudicare un servizio concreto, verifica sempre di persona la versione più recente della sua informativa sulla privacy.