Articolo a cura di: Redazione - Studio Legale Calvello

Uno studio professionale gestisce ogni giorno dati personali di clienti, dipendenti, collaboratori, praticanti, fornitori e altri soggetti coinvolti nell’attività. A seconda della professione esercitata, può trattare anche informazioni sulla salute, dati giudiziari, documentazione fiscale e patrimoniale o altre informazioni che richiedono particolare attenzione. Per questo la privacy negli studi professionali non può essere ridotta alla consegna di un’informativa al cliente o alla presenza di alcuni modelli predisposti anni prima.

La conformità al GDPR deve corrispondere al modo in cui lo studio lavora realmente: quali dati raccoglie, dove vengono conservati, chi può consultarli, quali software e servizi cloud vengono utilizzati, quali fornitori intervengono nel trattamento e quali misure sono state adottate per gestire accessi, conservazione, cancellazione e possibili violazioni. Quando l’organizzazione cambia, anche la gestione privacy deve essere verificata e, se necessario, aggiornata.

Perché la gestione della privacy in uno studio professionale richiede un’analisi concreta dell’attività

Il Regolamento (UE) 2016/679 si applica allo studio professionale in relazione ai trattamenti effettivamente svolti. La prima questione, quindi, non è stabilire quanti documenti privacy debbano essere predisposti, ma ricostruire correttamente i flussi di dati. Uno studio individuale con pochi strumenti informatici presenta esigenze diverse rispetto a uno studio associato o a una società tra professionisti con dipendenti, collaboratori, più sedi, gestionali condivisi e servizi esterni.

Occorre anzitutto individuare il ruolo assunto dallo studio nei diversi trattamenti. Nei rapporti con i propri clienti, dipendenti e collaboratori lo studio opera normalmente come titolare del trattamento per le attività delle quali determina finalità e mezzi. In altri rapporti professionali la qualificazione deve essere verificata sulla base dell’attività concretamente affidata e dell’autonomia con cui viene svolta: utilizzare automaticamente la qualifica di responsabile del trattamento soltanto perché un professionista riceve dati da un cliente può portare a una ricostruzione non corretta dei ruoli.

La stessa attenzione serve all’interno dello studio. Segretarie, dipendenti, praticanti e collaboratori che trattano dati sotto l’autorità del titolare devono operare entro un perimetro definito e ricevere istruzioni coerenti con le mansioni effettivamente svolte. Non basta quindi predisporre una nomina standard: occorre stabilire, ad esempio, chi possa accedere ai fascicoli dei clienti, al gestionale, alle cartelle condivise, alla posta elettronica o agli archivi cartacei e con quali autorizzazioni.

Un passaggio particolarmente utile è il registro delle attività di trattamento. L’esenzione prevista dall’art. 30, paragrafo 5, GDPR per determinate organizzazioni con meno di 250 dipendenti non opera, tra l’altro, quando il trattamento non è occasionale oppure riguarda particolari categorie di dati o dati relativi a condanne penali e reati. Circostanze che possono ricorrere frequentemente nell’attività di numerosi studi professionali. Il registro, quando dovuto e comunque quando adottato come strumento organizzativo, deve descrivere trattamenti reali e rimanere aggiornato, non essere conservato come documento statico scollegato dall’attività.

Questo spiega anche perché un precedente adeguamento GDPR dello studio professionale non dovrebbe essere considerato definitivo. L’ingresso di nuovi collaboratori, l’adozione di un gestionale, il trasferimento degli archivi nel cloud, il cambio del provider informatico, l’apertura di una nuova sede o l’introduzione di nuovi servizi possono modificare trattamenti, destinatari, misure di sicurezza e responsabilità.

Informative, collaboratori, fornitori, software e cloud: dove verificare la conformità GDPR dello studio

Una verifica della compliance GDPR di uno studio professionale deve confrontare la documentazione esistente con i processi effettivi. Le informative rese ai clienti, ai dipendenti e agli altri interessati devono descrivere correttamente finalità, basi giuridiche, destinatari, tempi di conservazione e ulteriori elementi richiesti dagli artt. 13 e 14 GDPR. Utilizzare un unico modello per situazioni differenti può lasciare fuori trattamenti che nel frattempo sono stati introdotti oppure indicare modalità operative che lo studio non segue più.

La stessa verifica riguarda i soggetti esterni. Il consulente informatico, il fornitore del gestionale, il servizio di hosting, la piattaforma cloud, il provider utilizzato per backup o archiviazione e altri fornitori possono trattare dati personali per conto dello studio. Quando ricorrono i presupposti dell’art. 28 GDPR, il rapporto deve essere disciplinato mediante un contratto o altro atto giuridico che definisca il trattamento affidato e gli obblighi del responsabile. Prima ancora della formalizzazione occorre però capire quali dati siano effettivamente accessibili al fornitore, dove vengano trattati e quali garanzie siano offerte.

La diffusione dei servizi cloud rende questa analisi particolarmente concreta. Un professionista può utilizzare contemporaneamente posta elettronica, suite per la produttività, videoconferenza, firma elettronica, conservazione documentale, CRM, software gestionali e sistemi di backup. Ciascun servizio può comportare trattamenti diversi e coinvolgere ulteriori soggetti. La scelta del fornitore non dovrebbe quindi essere valutata soltanto sulla base delle funzionalità del prodotto, ma anche considerando gli aspetti contrattuali e le misure tecniche e organizzative pertinenti al trattamento.

La sicurezza prevista dall’art. 32 GDPR deve essere proporzionata ai rischi effettivi. Per uno studio professionale questo significa esaminare concretamente gestione delle credenziali, profili di accesso, autenticazione, backup, aggiornamento dei sistemi, protezione dei dispositivi, procedure per il personale e modalità di conservazione degli archivi. Anche i documenti cartacei continuano a richiedere attenzione: fascicoli lasciati accessibili, archivi non adeguatamente protetti o documenti eliminati senza procedure coerenti possono determinare problemi indipendentemente dalla sicurezza dei sistemi informatici.

Un audit privacy dello studio professionale serve proprio a far emergere la distanza tra quanto risulta dai documenti e quanto avviene nella pratica. Se vengono rilevate incongruenze, l’intervento non consiste necessariamente nel rifare tutta la documentazione: può essere sufficiente aggiornare specifici trattamenti, ridefinire ruoli e autorizzazioni, rivedere i rapporti con alcuni fornitori o introdurre procedure che mancavano. Quando invece l’impianto è molto datato o non rappresenta più l’organizzazione, può essere necessario un riesame più ampio. La revisione della documentazione privacy deve quindi partire dall’attività reale dello studio e non dalla semplice sostituzione formale dei modelli.

Accessi ai dati, sicurezza e data breach: i rischi che emergono nella gestione quotidiana dello studio

La conformità privacy diventa particolarmente concreta quando si esamina chi può accedere ai dati e cosa accade quando qualcosa non funziona. In uno studio professionale i fascicoli possono essere consultati da più persone, i documenti possono circolare tramite posta elettronica, essere salvati su server o piattaforme cloud e venire utilizzati anche da dispositivi portatili. Il principio di accountability richiede che queste modalità siano organizzate tenendo conto della natura dei dati, delle caratteristiche dello studio e dei rischi effettivamente presenti.

I profili di accesso dovrebbero essere coerenti con le mansioni. Un collaboratore non dovrebbe poter consultare indistintamente informazioni che non gli servono per svolgere l’attività affidata; allo stesso modo, la cessazione del rapporto con un dipendente, praticante o collaboratore richiede una gestione tempestiva delle credenziali e degli accessi. Il problema non riguarda soltanto il gestionale: può interessare caselle email, cartelle condivise, servizi cloud, archivi documentali e applicazioni utilizzate dallo studio. Particolare attenzione merita quindi anche l’accesso ai dati da parte di ex dipendenti e collaboratori.

Anche i tempi di conservazione devono essere valutati in relazione alle finalità del trattamento e agli obblighi applicabili. Il GDPR non stabilisce un unico termine valido per qualsiasi documento dello studio: occorre distinguere le diverse categorie di dati e considerare gli obblighi legali, le esigenze connesse all’incarico professionale e le eventuali necessità di tutela dei diritti. Accumulare indefinitamente dati e fascicoli soltanto perché lo spazio digitale lo consente non costituisce una corretta politica di conservazione. Sul punto è utile coordinare l’organizzazione interna con criteri specifici di conservazione dei dati personali e, quando presenti, con le regole applicabili ai dati contabili e fiscali.

Un altro profilo riguarda la gestione degli incidenti. L’invio di un allegato al destinatario sbagliato, la perdita di un computer contenente fascicoli, l’accesso abusivo a una casella email, un attacco ransomware o l’indebita consultazione di dati da parte di un soggetto interno possono integrare una violazione di dati personali. Non ogni data breach nello studio professionale comporta automaticamente una notifica al Garante, ma ogni episodio rilevante deve essere esaminato tempestivamente per determinarne natura, portata, conseguenze e rischio per i diritti e le libertà delle persone fisiche.

Quando ricorrono i presupposti dell’art. 33 GDPR, il titolare deve notificare la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Se la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, deve essere valutato anche l’obbligo di comunicazione agli interessati previsto dall’art. 34. Per questo è utile che lo studio disponga di una procedura interna che consenta a dipendenti e collaboratori di segnalare immediatamente un incidente: una valutazione iniziata troppo tardi può rendere più difficile ricostruire i fatti e rispettare gli eventuali termini previsti dal GDPR.

La gestione documentale assume rilievo anche in caso di controlli, reclami o richieste dell’Autorità. La conformità non consiste infatti soltanto nell’aver adottato determinate misure, ma anche nella possibilità di ricostruire le valutazioni effettuate e dimostrare come la protezione dei dati sia stata concretamente organizzata. Una verifica periodica delle indicazioni del Garante Privacy, insieme all’aggiornamento delle procedure interne, consente di confrontare l’organizzazione dello studio con l’evoluzione delle modalità di trattamento e dei rischi.

Un caso pratico: lo studio cresce, cambia gestionale e la vecchia organizzazione privacy non corrisponde più alla realtà

Consideriamo il caso realistico e anonimizzato di uno studio professionale che, nel corso degli anni, aumenta il numero dei collaboratori e trasferisce progressivamente documenti e fascicoli su un nuovo gestionale accessibile anche da remoto. La documentazione GDPR era stata predisposta in precedenza, quando l’organizzazione era più semplice, ma non era stata riesaminata dopo l’introduzione dei nuovi strumenti e dei nuovi rapporti con fornitori esterni.

La verifica parte dalla ricostruzione dei trattamenti effettivamente svolti e mette a confronto il registro, le informative, le autorizzazioni interne e i rapporti con i fornitori con l’organizzazione attuale. L’attenzione maggiore riguarda gli accessi: alcuni profili erano stati configurati in modo molto ampio e risultavano ancora presenti account riferibili a persone che non collaboravano più con lo studio. Anche il nuovo servizio cloud doveva essere esaminato sotto il profilo del rapporto con il fornitore e delle condizioni applicabili al trattamento dei dati.

L’intervento non richiede necessariamente di sostituire indistintamente ogni documento esistente. Si procede invece sulle aree che non rappresentano più la realtà dello studio: aggiornamento del registro e delle informative interessate, revisione delle autorizzazioni e delle istruzioni interne, verifica dei rapporti ex art. 28 GDPR pertinenti e riorganizzazione dei profili di accesso. Il caso mostra perché la verifica della conformità GDPR di uno studio professionale debba partire dai processi effettivi: una documentazione formalmente presente può risultare insufficiente quando persone, strumenti e modalità di trattamento sono cambiati nel tempo.

FAQ sulla privacy e sul GDPR negli studi professionali

Uno studio professionale deve obbligatoriamente nominare un DPO?

No. La presenza di uno studio professionale non determina, da sola, l’obbligo di nominare un Responsabile della protezione dei dati (DPO/RPD). Occorre verificare se ricorre una delle condizioni previste dall’art. 37 GDPR, considerando in particolare le attività principali svolte, la natura dei dati trattati, la scala dei trattamenti e l’eventuale monitoraggio regolare e sistematico degli interessati. La valutazione deve quindi essere effettuata sulla situazione concreta dello studio.

La documentazione GDPR predisposta alcuni anni fa deve essere rifatta?

Non necessariamente. Deve però essere verificato se corrisponde ancora ai trattamenti effettivamente svolti. Nuovi collaboratori, software gestionali, servizi cloud, modalità di lavoro da remoto, fornitori o differenti sistemi di archiviazione possono rendere necessario aggiornare registro dei trattamenti, informative, autorizzazioni, contratti ex art. 28 GDPR e procedure interne. Una documentazione datata non è automaticamente irregolare, ma diventa problematica quando non rappresenta più l’organizzazione reale dello studio.

Lo studio professionale deve tenere il registro delle attività di trattamento?

L’art. 30, paragrafo 5, GDPR prevede un’esenzione limitata per imprese e organizzazioni con meno di 250 dipendenti, ma l’esenzione non opera, tra gli altri casi, quando il trattamento effettuato non è occasionale oppure comprende categorie particolari di dati o dati relativi a condanne penali e reati. Poiché molti studi effettuano stabilmente trattamenti di dati personali nell’ambito della propria attività, la concreta applicabilità dell’esenzione deve essere verificata con attenzione.

Cosa deve fare lo studio se invia per errore un documento al destinatario sbagliato?

L’episodio deve essere valutato come possibile violazione di dati personali. Occorre ricostruire rapidamente quali informazioni siano state comunicate, a chi, quali persone siano coinvolte, quali conseguenze possano derivarne e quali misure siano state adottate per contenerle. La notifica al Garante non è automatica: ai sensi dell’art. 33 GDPR deve essere effettuata quando la violazione è suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche, salvo che tale rischio sia improbabile. Nei casi previsti dall’art. 34 deve essere valutata anche la comunicazione agli interessati.

Quando è opportuno effettuare un audit privacy dello studio professionale?

Un audit può essere particolarmente utile quando la documentazione non viene verificata da tempo, lo studio è cresciuto, sono cambiati software o fornitori, sono entrati nuovi dipendenti o collaboratori oppure sono emerse criticità nella gestione dei dati. La verifica permette di confrontare documenti, ruoli, procedure e misure di sicurezza con i trattamenti effettivamente svolti, individuando gli interventi necessari senza presumere che ogni elemento dell’organizzazione debba essere ricostruito da zero.

Verificare la conformità privacy e GDPR dello studio professionale

La gestione della privacy di uno studio professionale deve essere costruita sulla sua organizzazione effettiva. Tipologia dei dati trattati, numero di collaboratori, strumenti informatici, servizi cloud, fornitori esterni, modalità di conservazione e profili di accesso possono modificare gli adempimenti necessari e richiedere valutazioni differenti da studio a studio.

Quando la documentazione è incompleta o non viene aggiornata da tempo, sono stati introdotti nuovi strumenti oppure esistono dubbi sulla corretta gestione dei dati, possiamo esaminare l’organizzazione esistente e individuare gli interventi pertinenti. Per sottoporci il caso è possibile richiedere una valutazione in merito al GDPR e alla privacy dello studio professionale attraverso il modulo dedicato.