Il GDPR si applica allo studio legale anche quando il titolare esercita da solo. Il segreto professionale protegge il rapporto con l’assistito, ma non sostituisce la valutazione delle finalità, delle basi giuridiche, degli accessi e dei tempi di conservazione. La particolarità della professione richiede invece di coordinare il Regolamento con il Codice privacy e con le regole deontologiche relative alle investigazioni difensive e alla tutela dei diritti in sede giudiziaria.
Non tutti i dati contenuti in un fascicolo sono dati relativi a condanne penali o reati ai sensi dell’articolo 10. Una controversia civile può contenere dati ordinari, dati sanitari soggetti all’articolo 9 e, in alcuni casi, informazioni penali. Distinguere queste categorie evita di utilizzare un’unica giustificazione per qualsiasi documento. Il punto di partenza è capire quale informazione serve alla specifica attività professionale e perché.
Individuare il titolare e le persone che possono accedere
L’avvocato che determina finalità e mezzi del trattamento nell’esercizio del mandato opera normalmente come titolare. L’identificazione concreta cambia secondo l’organizzazione: professionista individuale, associazione o società professionale, oppure più professionisti coinvolti. Le regole deontologiche del Garante del 19 dicembre 2018 richiedono di considerare queste situazioni, evitando di attribuire automaticamente lo stesso ruolo a tutti coloro che condividono locali o strumenti.
Un collega incaricato di una consulenza autonoma non diventa responsabile del trattamento soltanto perché riceve documenti. Analogamente, un collaboratore che opera sotto l’autorità dello studio va istruito secondo le funzioni effettive. Occorre distinguere l’autonomia professionale dalla semplice esecuzione di attività per conto altrui; nei casi di determinazione congiunta si valuta la contitolarità. Il contratto aiuta a formalizzare la relazione, ma non modifica la realtà dei compiti svolti.
Per esempio, uno studio che condivide una segreteria con altri professionisti deve decidere chi vede calendari, nomi degli assistiti e allegati. La condivisione del costo non giustifica l’accesso di ogni collega a tutti i fascicoli. Account individuali, autorizzazioni per pratica e istruzioni scritte permettono di separare le attività senza impedire il lavoro quotidiano. L’uscita di un collaboratore richiede anche la revoca degli accessi e la gestione delle copie affidategli.
I dati giudiziari e la base giuridica del mandato
Per i dati ordinari dell’assistito, l’articolo 6, paragrafo 1, lettera b), può applicarsi al trattamento necessario all’esecuzione del contratto di cui l’interessato è parte, o alle misure precontrattuali adottate su sua richiesta. Non basta che un dato sia utile allo studio. Inoltre, il mandato conferito da una società non rende automaticamente contrattuale il trattamento dei dati di dipendenti, controparti e testimoni: per queste persone va individuato il fondamento appropriato.
La fatturazione e gli adempimenti imposti dalla legge possono fondarsi sull’obbligo legale; altre operazioni possono richiedere una valutazione dell’interesse legittimo, con necessità e bilanciamento. Il consenso non deve essere chiesto come autorizzazione generale a svolgere il mandato quando il trattamento necessario ha un diverso fondamento. Un’attività facoltativa, come una comunicazione promozionale, richiede invece un esame distinto e non può essere assorbita nel rapporto difensivo.
Per le categorie particolari di dati, oltre alla base dell’articolo 6 serve una condizione dell’articolo 9. La lettera f) del paragrafo 2 riguarda il trattamento necessario per accertare, esercitare o difendere un diritto in sede giudiziaria. Non autorizza la raccolta indiscriminata di informazioni sanitarie o familiari. In una controversia risarcitoria, si selezionano i documenti medici pertinenti al danno discusso, evitando di acquisire l’intera storia clinica solo perché disponibile.
L’articolo 10 disciplina separatamente condanne penali, reati e connesse misure di sicurezza. Fuori dal controllo dell’autorità pubblica, il trattamento richiede l’autorizzazione del diritto dell’Unione o nazionale con garanzie appropriate. L’articolo 2-octies del Codice privacy nel testo coordinato del Garante richiama norme di legge o, nei casi previsti dalla legge, di regolamento; tra gli ambiti considerati figura l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. Il mandato e il consenso non costituiscono da soli un’autorizzazione illimitata a trattare dati penali.
Il testo corrente riflette inoltre l’abrogazione dei commi 2, 4 e 6 dell’articolo 2-octies operata dalla legge 2 dicembre 2025, n. 182. Una procedura interna non dovrebbe continuare a presentare il precedente rinvio al decreto ministeriale come disciplina vigente. Per la singola attività occorre identificare la disposizione applicabile e le relative garanzie, senza trasferire automaticamente allo studio regole previste per soggetti o finalità differenti.
Segreto professionale e GDPR: due obblighi da coordinare
Le informazioni ricevute durante il colloquio possono richiedere protezione prima ancora dell’apertura formale del fascicolo. La riservatezza riguarda anche documenti non depositati, appunti e comunicazioni preparatorie. Le regole deontologiche richiedono particolare attenzione alla corrispondenza telematica, alla raccolta da terzi e alle attività autonome svolte nello stesso studio. L’accessibilità materiale di un’informazione non dimostra che sia lecito raccoglierla o riutilizzarla.
Il segreto non coincide con l’articolo 9, paragrafo 3: quest’ultimo riguarda specificamente il trattamento per le finalità sanitarie e sociali della lettera h), alle condizioni previste, e non è la base generale del segreto forense. Analogamente, l’articolo 90 consente agli Stati membri di disciplinare alcuni poteri delle autorità in rapporto agli obblighi di segretezza; non crea un’esenzione generale dagli obblighi del GDPR per gli avvocati.
La traduzione operativa consiste nel limitare gli accessi a chi lavora sulla pratica, proteggere le comunicazioni e valutare le richieste esterne. Non è sufficiente aggiungere una formula di riservatezza in calce alle email. Se un gestionale permette a tutto lo studio di cercare qualsiasi cliente, occorre verificare se tale accessibilità sia necessaria, soprattutto quando esistono attività separate, conflitti di interessi o informazioni particolarmente delicate.
Informativa e richieste della controparte
Per i dati raccolti direttamente dall’assistito si applica l’articolo 13. L’informativa deve descrivere le attività reali, comprese conservazione, destinatari e diritti. Può essere coordinata con le informazioni relative all’incarico e alle investigazioni difensive, secondo le regole deontologiche. La pubblicazione sul sito può aiutare, ma occorre assicurare che la persona riceva effettivamente le informazioni richieste nel momento previsto.
Per i dati ottenuti da altre fonti si valuta l’articolo 14 e le sue eccezioni. In particolare, il paragrafo 5, lettera d), riguarda informazioni che devono restare riservate in virtù di un obbligo di segreto professionale disciplinato dal diritto dell’Unione o nazionale. L’eccezione deve essere pertinente al trattamento concreto; non basta dichiarare che ogni informazione nello studio è riservata. La guida sull’informativa per dati ottenuti da terzi aiuta a separare raccolta indiretta, tempi e condizioni di esonero.
Quando la controparte esercita un diritto, non va respinta automaticamente perché avversaria nel giudizio. L’articolo 2-undecies richiede un pregiudizio effettivo e concreto alle investigazioni difensive o all’esercizio di un diritto in sede giudiziaria. Il differimento, la limitazione o l’esclusione devono essere necessari e proporzionati, per il tempo e nella misura giustificati. Può essere possibile fornire una parte dei dati proteggendo soltanto gli elementi che rivelerebbero la strategia difensiva.
La disposizione prevede una comunicazione motivata senza ritardo, salvo che essa comprometta la finalità della limitazione, e la possibilità di esercitare i diritti tramite il Garante secondo l’articolo 160, con le relative informazioni all’interessato. È opportuno conservare una motivazione interna specifica, anche quando non si possano rivelare tutti gli elementi all’esterno. Le richieste ordinarie seguono gli articoli 12 e seguenti; la scelta di non agire richiede le informazioni dell’articolo 12.4 entro un mese, fatte salve le restrizioni nazionali effettivamente applicabili.
Registro, DPO e valutazione del rischio
Il registro dei trattamenti descrive attività, categorie di interessati e dati, destinatari, trasferimenti, conservazione e misure generali di sicurezza. Non deve riprodurre il contenuto dei fascicoli né trasformarsi in un elenco di clienti. Una struttura per gestione degli incarichi, contabilità, personale e sito rende più semplice collegare gli obblighi alle operazioni reali e individuare chi aggiorna ciascuna voce.
L’esenzione per organizzazioni con meno di 250 dipendenti, prevista dall’articolo 30, paragrafo 5, è qualificata. Non copre i trattamenti non occasionali, quelli che possono presentare un rischio per diritti e libertà, né quelli che includono categorie particolari dell’articolo 9 o dati dell’articolo 10. Sono condizioni alternative che escludono l’esenzione per le attività pertinenti. Lo studio non può quindi invocare le proprie dimensioni per sottrarre la gestione ordinaria delle pratiche al registro.
La nomina del DPO segue criteri diversi. Il considerando 91 precisa che il trattamento di dati di clienti da parte di un singolo avvocato non va considerato su larga scala. Per strutture più articolate, l’analisi riguarda attività principali, quantità e varietà dei dati, numero di interessati, durata ed estensione del trattamento. L’articolo 37 richiede, nei casi pertinenti, monitoraggio regolare e sistematico su larga scala oppure trattamento su larga scala di dati degli articoli 9 o 10: un solo elemento non basta.
Non esiste quindi una regola secondo cui ogni piccolo studio è sempre esente o ogni studio numeroso deve nominare il DPO. La guida alla nomina del RPD permette di documentare la valutazione. Anche l’eventuale valutazione d’impatto dipende dal rischio elevato e dai criteri applicabili; l’assenza di un DPO obbligatorio non esonera dalla sicurezza e dalla verifica dei rischi del trattamento.
Conservare i fascicoli senza fissare una scadenza unica
La chiusura del mandato non comporta necessariamente la distruzione immediata di tutti gli atti. L’articolo 4 delle regole deontologiche ammette la conservazione quando necessaria per ulteriori esigenze difensive ipotizzabili dell’assistito o dello studio, considerando la tipologia dei dati. Se un obbligo normativo richiede conservazione, si custodiscono solo i dati effettivamente necessari a tale obbligo. Questa disciplina non autorizza un archivio perpetuo di ogni allegato ricevuto.
Occorre distinguere documentazione contabile, prove rilevanti per contestazioni professionali, originali da restituire e copie di lavoro. Termini fiscali o prescrizionali non diventano automaticamente una durata uniforme dell’intero fascicolo. La politica di conservazione dovrebbe associare ogni insieme a una finalità, un evento iniziale, una durata motivata e un responsabile della revisione. La tabella dei tempi è uno strumento organizzativo, non una fonte normativa autonoma.
Un esempio: conclusa una controversia, può essere necessario conservare gli atti decisivi e la prova delle istruzioni dell’assistito, mentre duplicati tecnici o bozze superate non presentano la stessa utilità. La scelta va verificata anche rispetto a impugnazioni, nuove esigenze difensive e obblighi applicabili. Limitare l’accesso è una garanzia, ma non rende lecito trattenere dati che non hanno più una ragione di conservazione.
Le regole disciplinano inoltre restituzione degli originali, successione nel mandato e cessazione dell’attività professionale. La titolarità non scompare soltanto perché l’avvocato smette di esercitare. Uno studio deve quindi prevedere chi custodirà gli archivi e gestirà le richieste in caso di chiusura o impedimento, evitando che documenti riservati rimangano in account personali abbandonati o su dispositivi non più amministrati.
I due punti deboli: PEC e cloud
La PEC offre specifiche funzioni di trasmissione e prova, ma non elimina errori di destinatario, furto di credenziali o accessi interni eccessivi. Prima di inviare atti, si controllano indirizzo, allegati e versione del documento. Per pratiche delicate è ragionevole prevedere una seconda verifica proporzionata. Il sistema deve permettere di capire chi ha effettuato le operazioni senza creare una raccolta indiscriminata di informazioni sui collaboratori.
Per la protezione degli account si valutano autenticazione robusta, aggiornamenti, revoca tempestiva degli accessi e recupero sicuro. Le copie di sicurezza vanno protette e rese effettivamente ripristinabili. Cifratura e controllo degli accessi devono essere commisurati ai rischi: dichiarare che tutto è cifrato non chiarisce chi possiede le chiavi o quali utenti possano scaricare un intero archivio. La formazione deve riguardare gli errori possibili nel lavoro dello studio.
I fornitori non sono tutti responsabili del trattamento per ogni attività. Il servizio che conserva documenti esclusivamente per conto dello studio può esserlo; un operatore che determina proprie finalità per alcune operazioni può essere titolare autonomo per quelle operazioni. La disciplina dell’articolo 28 richiede un contratto o altro atto giuridico vincolante previsto dal diritto dell’Unione o nazionale, in forma scritta anche elettronica, con contenuti adeguati alla relazione.
Nel normale contratto con un gestionale si verificano istruzioni, riservatezza, sicurezza, assistenza, ricorso a subresponsabili e possibilità di controllo. L’ubicazione europea dei server non esclude da sola trasferimenti: contano anche accessi e soggetti coinvolti. Le regole sui trasferimenti internazionali vanno esaminate per il flusso concreto. Nella scelta del software per piccoli studi e organizzazioni, queste condizioni contano quanto le funzioni visibili nell’interfaccia.
Errori di invio e violazioni dei dati
Un documento inviato a una persona non autorizzata può costituire una violazione di dati personali; il rischio va valutato sui fatti, senza presumere che ogni errore abbia conseguenze identiche. Occorre contenere l’incidente, identificare i dati e i destinatari, documentare le misure e valutare gli obblighi di notifica. La richiesta di cancellare l’email al destinatario è una misura possibile, ma non prova da sola che la divulgazione non abbia prodotto rischi.
Ai sensi dell’articolo 33, la notifica al Garante avviene senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per diritti e libertà. Il ritardo va motivato; le informazioni possono essere fornite progressivamente alle condizioni previste. Tutte le violazioni di dati personali sono documentate, anche quelle non notificate. La comunicazione agli interessati dell’articolo 34 riguarda il rischio elevato e richiede una valutazione distinta, con le eccezioni previste dalla norma.
La gestione della notifica al Garante deve quindi essere praticabile anche quando il titolare è in udienza o assente. Un referente, un recapito del fornitore e criteri di escalation evitano che un incidente resti nella sola casella della segreteria. Gli obblighi comuni con i commercialisti possono aiutare a organizzare i servizi condivisi, mantenendo però separati fascicoli, segreti professionali e finalità.
Domande frequenti
Il segreto professionale consente di ignorare una richiesta di accesso?
No. Occorre esaminare i dati richiesti e le restrizioni applicabili. Per la tutela della difesa, l’articolo 2-undecies richiede un pregiudizio effettivo e concreto e una limitazione necessaria e proporzionata. Non basta la qualifica di avvocato o il fatto che il richiedente sia una controparte.
Basta far firmare un consenso privacy all’assistito?
No. Il trattamento necessario al mandato, quando ricorrono le condizioni contrattuali, ha un fondamento distinto dal consenso; obblighi legali, dati particolari e dati penali richiedono ulteriori valutazioni specifiche. L’informativa serve a spiegare questi trattamenti, non a far rinunciare l’assistito ai propri diritti.
Posso conservare un fascicolo se lo tengo in un archivio riservato?
La riservatezza protegge i dati, ma serve comunque una finalità e una durata giustificate. Si distinguono esigenze difensive, obblighi normativi e materiale non più necessario. La revisione periodica deve portare a una decisione concreta di conservazione, restituzione o cancellazione, comprese le copie pertinenti.
Fonti: Regolamento (UE) 2016/679, Codice privacy aggiornato dal Garante e regole deontologiche per investigazioni difensive e tutela giudiziaria.