Privacy e GDPR per lo studio legale: la guida agli adempimenti

Punti chiave dell'articolo

▸Lo studio legale è titolare del trattamento dei dati di clienti e controparti, con obblighi propri
▸Il registro delle attività di trattamento (art. 30) è di fatto obbligatorio perché lo studio tratta categorie particolari e dati giudiziari
▸I fornitori esterni (gestionale in cloud, consulenti) vanno nominati responsabili con contratto ex art. 28
▸Il data breach va notificato al Garante entro 72 ore quando comporta un rischio per gli interessati

Uno studio legale tratta dati personali per mestiere, e quasi sempre dati delicati: stato di salute, procedimenti penali, situazioni familiari ed economiche. Per il Regolamento UE 2016/679 (GDPR) lo studio è titolare del trattamento e ha una serie di obblighi propri: individuare le basi giuridiche, dare l'informativa, tenere il registro delle attività di trattamento, adottare misure di sicurezza, regolare i rapporti con i fornitori esterni e gestire gli eventuali data breach.

Questa guida mette in fila quegli adempimenti nel modo in cui si presentano nella pratica di uno studio, con gli articoli del GDPR e del Codice privacy italiano (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018) che li stabiliscono. Non sostituisce la consulenza di chi si occupa di protezione dei dati: serve a sapere che cosa esiste e perché.

Lo studio come titolare del trattamento

L'avvocato, o lo studio associato, è titolare del trattamento ai sensi dell'art. 4, n. 7 del GDPR: è chi determina finalità e mezzi del trattamento dei dati. Nel dare mandato, il cliente affida allo studio i propri dati e quelli necessari alla difesa, comprese le informazioni sulle controparti e su terzi coinvolti. Su tutti questi dati lo studio decide come e perché trattarli, quindi ne è titolare e ne risponde.

Attenzione a una distinzione che genera confusione. Quando il cliente è a sua volta un titolare (per esempio un'azienda) e affida all'avvocato un'attività, l'avvocato che gestisce la lite in piena autonomia professionale resta di regola titolare autonomo, non responsabile del trattamento del cliente: l'autonomia e il segreto professionale sono incompatibili con il ruolo di mero esecutore. È un punto sottolineato anche dalla Commissione privacy del Consiglio Nazionale Forense nei suoi documenti sul GDPR e l'avvocato.

Le basi giuridiche: dati comuni, particolari e giudiziari

Nessun trattamento è lecito senza una base giuridica. Per i dati comuni le basi tipiche dello studio, previste dall'art. 6 del GDPR, sono l'esecuzione del contratto o del mandato con il cliente, l'adempimento di obblighi di legge (per esempio quelli fiscali e antiriciclaggio) e il legittimo interesse. Il consenso, nel rapporto con il cliente, è spesso non necessario proprio perché il trattamento serve a eseguire l'incarico.

Per i dati appartenenti a categorie particolari (art. 9: salute, vita sessuale, opinioni politiche, convinzioni religiose, dati biometrici e altro) serve una delle condizioni dell'art. 9, paragrafo 2. Quella su cui l'attività forense si regge è la lettera f: il trattamento necessario per accertare, esercitare o difendere un diritto in sede giudiziaria. È questa la norma che consente all'avvocato di trattare la cartella clinica o l'orientamento del cliente quando servono alla causa.

I dati relativi a condanne penali e reati (art. 10 del GDPR, i cosiddetti dati giudiziari) hanno un regime a parte. L'art. 10 ne consente il trattamento solo sotto il controllo dell'autorità pubblica o quando autorizzato dal diritto dell'Unione o dello Stato membro con garanzie adeguate. In Italia la base è l'art. 2-octies del d.lgs. 196/2003, introdotto dal d.lgs. 101/2018. Per l'attività difensiva il quadro è completato dalle regole deontologiche del Garante del 19 dicembre 2018, adottate ai sensi dell'art. 20, comma 4 del d.lgs. 101/2018, sui trattamenti per le investigazioni difensive e per far valere o difendere un diritto in sede giudiziaria.

Tipo di dato	Norma	Base per lo studio legale
Dati comuni	art. 6 GDPR	esecuzione del mandato, obbligo di legge, legittimo interesse
Categorie particolari	art. 9 GDPR	difesa di un diritto in sede giudiziaria (par. 2, lett. f)
Dati giudiziari	art. 10 GDPR e art. 2-octies d.lgs. 196/2003	attività difensiva con le regole deontologiche del Garante 2018

L'informativa ai clienti

L'informativa è il documento con cui lo studio spiega all'interessato quali dati tratta, per quali finalità, su quali basi giuridiche, per quanto tempo li conserva e quali diritti può esercitare. È prevista dall'art. 13 quando i dati sono raccolti presso l'interessato (il cliente) e dall'art. 14 quando provengono da terzi (per esempio i dati della controparte).

Nella pratica l'informativa si consegna al cliente al momento del conferimento del mandato, spesso insieme al mandato stesso. Deve essere in forma concisa, comprensibile e accessibile, con un linguaggio chiaro. Vanno indicati anche i tempi di conservazione del fascicolo e i destinatari dei dati, come i consulenti tecnici o i domiciliatari. Un'informativa generica che non dice nulla di specifico sullo studio non assolve l'obbligo.

Il registro delle attività di trattamento

Il registro delle attività di trattamento (art. 30 del GDPR) è il documento che mappa i trattamenti dello studio: finalità, categorie di interessati e di dati, destinatari, tempi di conservazione e misure di sicurezza. È lo strumento che dimostra il principio di responsabilizzazione, l'accountability su cui si regge tutto il Regolamento.

L'art. 30, paragrafo 5 prevede un'esenzione per chi ha meno di 250 dipendenti, ma con eccezioni che, per uno studio legale, la fanno saltare quasi sempre. L'obbligo resta infatti quando il trattamento non è occasionale oppure quando riguarda categorie particolari (art. 9) o dati giudiziari (art. 10). Lo studio legale tratta questi dati in modo strutturale e continuativo, non occasionale: per questo il registro è di fatto obbligatorio anche per lo studio individuale.

Il registro non è un modulo da archiviare

L'errore più comune è scaricare un modello di registro, compilarlo una volta e dimenticarlo. Il registro deve essere tenuto in forma scritta, anche elettronica, ed essere aggiornato quando cambiano i trattamenti, ed è il primo documento che il Garante chiede in caso di ispezione o di data breach. Un registro assente o palesemente non aderente alla realtà dello studio è già di per sé una violazione, prima ancora di qualsiasi incidente sui dati.

Le misure di sicurezza

L'art. 32 del GDPR impone misure tecniche e organizzative adeguate al rischio. Il Regolamento non elenca una lista chiusa di misure obbligatorie: chiede di valutare il rischio e di adottare misure proporzionate, tenendo conto dello stato della tecnica e della natura dei dati. Per uno studio che tratta dati di salute e dati giudiziari il livello di rischio è alto, quindi le misure devono esserlo altrettanto.

▸Controllo degli accessi: credenziali individuali, password robuste e, dove possibile, autenticazione a piu fattori sui gestionali e sulla posta.
▸Cifratura dei dispositivi portatili e dei supporti che escono dallo studio, e connessioni protette.
▸Backup regolari e verificati, tenuti separati dai sistemi di lavoro, come difesa anche contro i ransomware.
▸Aggiornamento dei sistemi e protezione antimalware, insieme alla gestione tempestiva delle utenze di chi lascia lo studio.
▸Misure organizzative: istruzioni scritte ai collaboratori autorizzati al trattamento, gestione ordinata del cartaceo, armadi e archivi chiudibili.

I responsabili esterni e i contratti ex art. 28

Lo studio non lavora da solo: usa un gestionale in cloud, un servizio di posta, un fornitore di conservazione digitale, a volte un commercialista o un consulente informatico che accede ai dati. Chi tratta dati per conto del titolare seguendo le sue istruzioni è responsabile del trattamento ai sensi dell'art. 28 del GDPR. Il rapporto va regolato da un contratto scritto, il data processing agreement, con i contenuti minimi che l'art. 28, paragrafo 3 elenca: oggetto, durata, natura e finalità del trattamento, obblighi di riservatezza, misure di sicurezza, gestione dei sub responsabili e assistenza al titolare.

Nella pratica significa una cosa concreta: il fornitore del software gestionale in cloud o dell'archiviazione dei documenti va nominato responsabile con un atto ex art. 28, e va verificato dove sono conservati i dati e con quali garanzie. Attenzione alla distinzione: il commercialista che elabora la contabilità dello studio con propria autonomia professionale è di regola titolare autonomo, non responsabile, mentre il tecnico che gestisce i sistemi per conto dello studio è responsabile. Vanno inoltre autorizzati per iscritto, come persone che agiscono sotto l'autorità del titolare (art. 29), i praticanti e i collaboratori interni che trattano i dati.

La gestione del data breach

Un data breach è una violazione di sicurezza che comporta, in modo accidentale o illecito, distruzione, perdita, modifica, divulgazione o accesso non autorizzato a dati personali. Per uno studio i casi tipici sono il computer o lo smartphone rubato, la mail con un allegato riservato inviata alla persona sbagliata, il ransomware che cifra i fascicoli, l'accesso abusivo alla casella di posta.

L'art. 33 del GDPR impone di notificare la violazione al Garante entro 72 ore da quando se ne viene a conoscenza, a meno che sia improbabile che comporti un rischio per i diritti e le libertà delle persone. Se il rischio per gli interessati è elevato, l'art. 34 impone di comunicare la violazione anche ai diretti interessati, senza ingiustificato ritardo. Ogni violazione, anche quella non notificata, va comunque documentata in un registro interno dei data breach, che consente al Garante di verificare le valutazioni fatte.

Scenario	Obbligo
Violazione senza rischio per gli interessati	documentazione interna, nessuna notifica
Violazione con rischio	notifica al Garante entro 72 ore (art. 33)
Violazione con rischio elevato	notifica al Garante e comunicazione agli interessati (art. 34)

Quando serve il DPO e il rapporto con il segreto professionale

Il responsabile della protezione dei dati (DPO) è previsto dall'art. 37 del GDPR. La nomina è obbligatoria in tre casi: se il trattamento è svolto da un'autorita o un organismo pubblico, se l'attività principale consiste in trattamenti che richiedono un monitoraggio regolare e sistematico degli interessati su larga scala, oppure se consiste nel trattamento su larga scala di categorie particolari o di dati giudiziari.

Lo studio legale individuale o di piccole dimensioni normalmente non rientra in questi casi: pur trattando dati particolari e giudiziari, non lo fa su larga scala nel senso del Regolamento. Diverso è il discorso per strutture grandi o molto specializzate, per esempio realtà organizzate che gestiscono penale o diritto sanitario con volumi elevati, dove la nomina puo diventare opportuna o dovuta. Anche quando non è obbligatorio, il DPO puo essere designato su base volontaria, e in quel caso ne seguono comunque tutte le regole.

Il rapporto tra GDPR e segreto professionale merita una nota. Il Regolamento non travolge il segreto: l'art. 90 consente agli Stati membri di prevedere norme specifiche a tutela dell'obbligo di segreto, e in Italia questo coordinamento passa dalle regole deontologiche adottate dal Garante nel 2018. In pratica i diritti dell'interessato, come l'accesso, incontrano il limite del segreto professionale e delle esigenze di difesa: il terzo non puo usare il diritto di accesso per aggirare le regole del processo.

Conservazione e cancellazione dei fascicoli

Il principio di limitazione della conservazione impone di tenere i dati per il tempo necessario alle finalità per cui sono trattati. Chiuso l'incarico, i dati del fascicolo non vanno tenuti a tempo indefinito, ma nemmeno cancellati subito: vanno bilanciate piu esigenze, come i termini per un'eventuale azione di responsabilità professionale, gli obblighi fiscali di conservazione e la tutela del cliente.

La soluzione pratica è definire in anticipo, e indicare nell'informativa, un tempo di conservazione ragionevole per i fascicoli dopo la chiusura del mandato, superato il quale si procede alla cancellazione sicura del digitale e alla distruzione del cartaceo. La deontologia forense impone comunque all'avvocato di restituire al cliente la documentazione a fine incarico. Definire una regola scritta e coerente vale piu di qualsiasi scelta caso per caso.

L'adempimento che il Garante controlla per primo

Se dovessi partire da un solo documento, parti dal registro delle attività di trattamento. È obbligatorio per lo studio, fotografa tutto il resto (basi giuridiche, tempi di conservazione, responsabili esterni, misure di sicurezza) ed è il primo atto che il Garante chiede in caso di controllo o di violazione. Uno studio con un registro reale e aggiornato ha già in mano l'ossatura della propria conformità.

Domande frequenti

Uno studio legale deve tenere il registro dei trattamenti?

Sì, di fatto sempre. L'esenzione dell'art. 30 per chi ha meno di 250 dipendenti non si applica quando si trattano categorie particolari o dati giudiziari in modo non occasionale, come fa ogni studio legale. Il registro è quindi obbligatorio anche per lo studio individuale.

L'avvocato è titolare o responsabile del trattamento dei dati del cliente?

Di regola è titolare autonomo. Anche quando il cliente è a sua volta titolare, l'avvocato che gestisce la lite con autonomia professionale e nel rispetto del segreto non è un mero esecutore, quindi non è responsabile del trattamento del cliente ma titolare a pieno titolo, come rilevato dalla Commissione privacy del CNF.

Entro quando va notificato un data breach al Garante?

Entro 72 ore da quando lo studio ne viene a conoscenza, ai sensi dell'art. 33 del GDPR, salvo che sia improbabile un rischio per i diritti degli interessati. Se il rischio è elevato, l'art. 34 impone di avvisare anche gli interessati. Ogni violazione va comunque annotata nel registro interno dei data breach.

Uno studio legale deve nominare un DPO?

Normalmente no. Lo studio individuale o piccolo, pur trattando dati particolari e giudiziari, non lo fa su larga scala secondo l'art. 37 del GDPR. La nomina puo diventare opportuna o dovuta per strutture grandi o molto specializzate, e resta sempre possibile designarlo su base volontaria.

Serve il consenso del cliente per trattare i suoi dati?

Spesso no. Per i dati comuni la base è l'esecuzione del mandato o l'obbligo di legge (art. 6), per i dati particolari e giudiziari è la difesa di un diritto in sede giudiziaria (art. 9, par. 2, lett. f, e art. 10 con l'art. 2-octies del Codice privacy). Il consenso non è la base tipica del rapporto con il cliente.

Il gestionale in cloud va nominato responsabile del trattamento?

Sì. Il fornitore che conserva o elabora i dati per conto dello studio è responsabile ai sensi dell'art. 28 del GDPR e va nominato con un contratto scritto (data processing agreement) che contenga gli elementi minimi previsti dal Regolamento, verificando dove sono conservati i dati e con quali garanzie.

Fonti

Alessio D'Aleo

CEO, The Future Law Studio

Fondatore di The Future Law Studio. Aiuta gli studi legali italiani a costruire un sistema di acquisizione clienti misurabile. Ogni guida cita fonti ufficiali e viene aggiornata quando la normativa cambia.

Contenuti giuridici revisionati da Avv. Claudio Luperto

Redatti con l'ausilio di strumenti di intelligenza artificiale e sottoposti a revisione editoriale umana, con fonti ufficiali citate e verificate.