Quando si parla di privacy studi professionali Napoli, la reazione più diffusa fra avvocati, commercialisti, consulenti del lavoro e notai è una scrollata di spalle: siamo piccoli, non facciamo marketing, non vendiamo dati. È una lettura comprensibile e sbagliata, perché confonde la dimensione dell’organizzazione con la delicatezza di ciò che tratta. Uno studio professionale di tre persone può custodire dati più sensibili di quelli di un’azienda con duecento dipendenti.
Che cosa c’è davvero dentro un fascicolo
Basta aprire un armadio per rendersene conto. In uno studio legale passano dati relativi a condanne penali e reati, che l’art. 10 del GDPR circonda di cautele particolari; dati sanitari e, in materia di famiglia o di lavoro, informazioni che rientrano nelle categorie particolari dell’art. 9; dati di terzi che non sono clienti e che spesso non sanno nemmeno di essere menzionati in un atto. In uno studio di consulenza del lavoro transitano buste paga, certificati, provvedimenti disciplinari, dati di tutti i dipendenti delle aziende assistite. In uno studio commercialistico, la situazione patrimoniale di famiglie e imprese.
Non è un trattamento accessorio rispetto all’attività professionale: è l’attività professionale. E questo sposta completamente il baricentro del rischio.
Privacy studi professionali Napoli: da dove nasce la contestazione
I procedimenti dell’Autorità che riguardano i professionisti raramente partono da un’ispezione. Partono da una persona: un ex cliente che chiede la cancellazione dei propri dati e non riceve risposta; una controparte che si vede notificare un atto contenente informazioni che non immaginava fossero in circolazione; un ex collaboratore; un dipendente dello studio. Il reclamo apre l’istruttoria, e l’istruttoria non si limita al fatto segnalato.
A quel punto le domande sono sempre le stesse, e sono quelle a cui uno studio senza un impianto documentale fatica a rispondere: esiste il registro delle attività di trattamento previsto dall’art. 30? Chi sono i responsabili del trattamento designati ai sensi dell’art. 28 — il gestionale in cloud, il consulente informatico, il servizio di conservazione, il data center dove sta il backup — e con quale atto sono stati nominati? Per quanto tempo vengono conservati i fascicoli definiti e sulla base di quale decisione? Chi, nello studio, ha accesso a che cosa?
I tre punti su cui si inciampa più spesso
- La conservazione senza fine. L’art. 5, paragrafo 1, lettera e) del Regolamento impone di conservare i dati per un tempo non superiore a quello necessario. La prassi dello studio professionale è l’opposto: non si butta via niente, perché non si sa mai. Un archivio ventennale non è solo un problema di spazio, è un’estensione proporzionale dell’area esposta in caso di violazione.
- I fornitori mai inquadrati. Il gestionale è in cloud, la posta è su un servizio esterno, i backup stanno altrove, il sito lo gestisce un’agenzia. Ciascuno di questi soggetti tratta dati per conto dello studio e dovrebbe essere designato responsabile con un atto che ne definisca il perimetro. Nella maggior parte dei casi quell’atto non esiste, oppure è una clausola nelle condizioni generali che nessuno ha letto.
- La sicurezza delle credenziali. Il Garante ha sanzionato con 85.000 euro, in un provvedimento reso noto nel maggio 2026, una società che conservava le password in parte in chiaro e in parte con metodi di cifratura non conformi, mantenendo per di più le credenziali di sistemi ormai obsoleti. Il principio vale identico per uno studio professionale, con la differenza che nello studio quelle credenziali aprono fascicoli, non anagrafiche commerciali.
Il segreto professionale non è uno scudo
È un equivoco frequente: poiché il professionista è tenuto al segreto, l’adempimento in materia di protezione dei dati sarebbe superfluo o quantomeno attenuato. Non è così. Segreto professionale e disciplina sulla protezione dei dati personali sono piani distinti, che rispondono a logiche e ad autorità diverse. Il segreto vincola il professionista verso l’esterno; il Regolamento gli impone di governare il trattamento anche all’interno dello studio, e di esserne responsabile verso gli interessati.
Semmai è vero il contrario: proprio perché il materiale è coperto da segreto, una violazione che lo esponga produce conseguenze più gravi, sul piano sanzionatorio e su quello disciplinare.
Quanto si rischia, in concreto
L’art. 83 del GDPR gradua le sanzioni su due fasce: fino a 10 milioni di euro o al 2 per cento del fatturato mondiale annuo per le violazioni degli obblighi di titolare e responsabile, fra cui quelli di sicurezza; fino a 20 milioni o al 4 per cento per le violazioni dei principi del trattamento e dei diritti degli interessati. Gli importi effettivamente irrogati ai professionisti sono ovviamente di ordine diverso, ma il punto non è questo.
Il punto è che un procedimento davanti all’Autorità assorbe tempo e attenzione, può concludersi con l’ordine di modificare o cessare un trattamento su cui l’operatività dello studio si regge, e apre quasi sempre il fronte della responsabilità civile verso l’interessato. Per uno studio professionale, il danno reputazionale di una contestazione che riguarda la gestione dei dati dei clienti è difficilmente recuperabile.
Sul sito trovi la pagina dedicata all’assistenza privacy per studi legali e professionisti e la guida al GDPR per avvocati. Per i profili che riguardano i rapporti con i fornitori è utile l’articolo sulla nomina del responsabile del trattamento ai sensi dell’art. 28, mentre sui tempi di archiviazione è pertinente quello sui tempi di conservazione dei dati personali. L’attività giudiziale dello studio è descritta sul sito dell’avv. Elio Errichiello.
Un esame preliminare della documentazione in essere — registro, informative, designazioni, contratti con i fornitori — dice in poche ore dove uno studio è davvero esposto. Se vuoi farlo, scrivici dalla pagina contatti.
Avv. Elio Errichiello
