GDPR per studi legali: checklist pratica

Qual è il ruolo dello studio rispetto ai dati dei clienti?

Lo studio è titolare del trattamento: decide perché e come trattare i dati dei clienti e ne risponde, anche quando si serve di fornitori.

Per i dati di clienti, controparti e testimoni, lo studio decide finalità e mezzi del trattamento ed è quindi titolare ai sensi dell'articolo 4 del Regolamento (UE) 2016/679. Chi fornisce un software, un archivio o una casella email di cui lo studio si serve tratta i dati per conto dello studio ed è, di regola, responsabile del trattamento.

I dati trattati comprendono spesso categorie particolari (salute, convinzioni, vita sessuale) e dati relativi a condanne penali e reati: questo alza il livello di attenzione richiesto, ma non rende l'attività impossibile. Il segreto professionale si somma agli obblighi del GDPR e non li sostituisce.

Che cosa deve avere in regola uno studio?

Informative ai clienti, registro dei trattamenti, nomine dei responsabili, misure di sicurezza adeguate, una procedura per le violazioni e una per le richieste degli interessati.

Gli adempimenti ricorrenti sono pochi e si possono tenere sotto controllo con una checklist, da rivedere almeno una volta l'anno:

• Informativa (artt. 13-14) consegnata al cliente all'incarico, con finalità, basi giuridiche, tempi di conservazione e diritti.
• Registro dei trattamenti (art. 30): per uno studio che tratta dati in modo non occasionale e anche dati particolari è, di fatto, da tenere; indica categorie di dati, finalità, destinatari e tempi.
• Nomina dei responsabili (art. 28): contratto o atto con ogni fornitore che tratta dati per conto dello studio (gestionale, archivio, email, assistenza informatica).
• Autorizzazione di collaboratori, praticanti e segreteria (art. 29), con istruzioni scritte su come trattare i dati.
• Misure di sicurezza (art. 32): controllo degli accessi, autenticazione a due fattori, cifratura dei dispositivi, aggiornamenti, copie di sicurezza.
• Procedura per le violazioni dei dati (artt. 33-34): chi decide, come si documenta, come si notifica.
• Procedura per le richieste degli interessati (artt. 15-22): chi risponde e come, entro un mese.
• Politica di conservazione: per quanto tempo si tengono fascicoli, fatture, email, e come si cancella.
• Verifica dei trasferimenti fuori dallo Spazio economico europeo dei fornitori, e delle garanzie applicate.

Serve un responsabile della protezione dei dati (DPO)?

Di norma no per il singolo studio: la nomina è obbligatoria in casi specifici (autorità pubbliche, monitoraggio su larga scala, trattamento su larga scala di categorie particolari).

Un avvocato che opera in studio individuale o piccolo non rientra, in genere, tra i soggetti obbligati, perché il trattamento non è "su larga scala". Gli studi più strutturati o specializzati in settori sensibili devono valutare caso per caso, anche con un parere. Nominare un DPO volontariamente è possibile ma comporta gli stessi obblighi di quello obbligatorio.

Quali misure di sicurezza sono ragionevoli?

Quelle proporzionate al rischio: accessi con credenziali personali e a due fattori, dati cifrati, copie di sicurezza verificate e dispositivi aggiornati.

L'articolo 32 non impone una lista fissa ma richiede misure adeguate al rischio. Per uno studio significa, in concreto, non condividere le credenziali, attivare l'autenticazione a due fattori su posta e gestionale, cifrare i computer portatili, mantenere aggiornati sistemi e antivirus, e controllare che le copie di sicurezza si possano davvero ripristinare.

Contano anche le abitudini: non inviare documenti sensibili su canali non sicuri, bloccare lo schermo, separare le aree riservate, limitare l'accesso ai fascicoli a chi serve. Le persone sono la parte più esposta.

Che cosa fare in caso di violazione dei dati?

Valutare subito il rischio per gli interessati e, se c'è, notificare al Garante entro 72 ore dalla scoperta; documentare comunque ogni episodio (artt. 33-34).

Una violazione è la perdita, distruzione, alterazione o divulgazione non autorizzata di dati: una PEC inviata al destinatario sbagliato, un portatile rubato, un account compromesso. Se è probabile un rischio per i diritti delle persone, la notifica al Garante va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore; se il rischio è elevato vanno informati anche gli interessati.

Ogni violazione, anche quella che non richiede notifica, va annotata con fatti, effetti e rimedi in un registro interno. Decidere in anticipo chi guida la risposta evita di improvvisare nel momento peggiore.

Come gestire le richieste degli interessati e la conservazione?

Rispondendo entro un mese alle richieste di accesso, rettifica o cancellazione, e definendo prima per quanto tempo si conserva ciascun tipo di documento.

Un cliente o una controparte può chiedere di accedere ai propri dati, correggerli, limitarne il trattamento o ottenerne la cancellazione, nei limiti degli obblighi di legge e dell'esercizio o difesa di un diritto in sede giudiziaria. Serve una persona incaricata e una traccia di ogni richiesta e risposta.

La conservazione si decide per categoria: per esempio, le scritture e le fatture hanno obblighi propri, i fascicoli seguono le regole professionali e l'interesse a difendersi. Quel che non serve più va cancellato in modo documentato, non lasciato dove capita.

Che cosa offre Gestioo e che cosa resta allo studio?

Gestioo mette a disposizione strumenti per applicare queste regole (ruoli, due fattori, audit log, cestino, export); informative, registri e nomine restano compiti dello studio.

In Gestioo ogni studio vede solo i propri dati, gli utenti hanno ruoli e permessi, l'accesso può essere protetto con autenticazione a due fattori, le operazioni sensibili sono registrate in un registro delle attività, ciò che si elimina resta nel cestino per un periodo (30 giorni di default) e il titolare può esportare i dati del team, anche cifrati. I documenti restano nel Nextcloud collegato allo studio.

Non sostituiscono il lavoro di compliance: informative, registro dei trattamenti, nomine e politiche sono responsabilità dello studio, e la conformità dipende anche dall'uso che se ne fa. Le informative e i termini di Gestioo sono attualmente in bozza, in attesa di validazione legale: prima di affidare dati reali, richiedi la versione definitiva.