Una PEC può costare caro: il Garante richiama gli avvocati sulla privacy digitale

La trasformazione digitale ha cambiato profondamente il modo in cui gli avvocati gestiscono fascicoli, notifiche e comunicazioni con clienti e controparti. Tuttavia, proprio gli strumenti che hanno reso più veloce l’attività professionale stanno diventando una delle principali fonti di esposizione ai rischi privacy.

È questo il messaggio che emerge dalla Relazione 2025 del Garante per la protezione dei dati personali, che dedica un focus specifico al settore forense. Dall’analisi dei provvedimenti adottati emerge infatti un dato significativo: molte violazioni non dipendono da sofisticati attacchi informatici, ma da errori apparentemente banali nella gestione delle comunicazioni digitali.

L’invio di un documento all’indirizzo sbagliato, la condivisione di un link privo di adeguate restrizioni di accesso o l’utilizzo di una casella PEC aziendale accessibile a più persone possono determinare la diffusione non autorizzata di dati personali, con conseguenze sia sul piano disciplinare sia sotto il profilo della protezione dei dati.

La casistica richiamata dall’Autorità evidenzia situazioni molto diverse tra loro, accomunate però da un elemento ricorrente: la mancanza di adeguate misure organizzative. In alcuni casi informazioni personali sono state trasmesse a destinatari che non avevano titolo per riceverle; in altri, documenti contenenti dati riservati sono stati condivisi attraverso piattaforme cloud senza cifratura o senza limitare l’accesso ai soli soggetti autorizzati. Vi sono poi episodi nei quali comunicazioni contenenti informazioni strettamente personali sono state inviate a indirizzi di posta elettronica aziendali, consentendo a terzi di prenderne visione.

La lezione che emerge va oltre il singolo episodio. Il GDPR impone infatti al professionista di valutare preventivamente il rischio connesso alle modalità di trasmissione delle informazioni. Non è sufficiente che il contenuto della comunicazione sia legittimo: anche lo strumento utilizzato e i destinatari individuati devono garantire un livello di protezione adeguato ai dati trattati.

Allo stesso tempo, il quadro non può essere letto in modo assoluto. L’attività dell’avvocato presenta caratteristiche peculiari che richiedono un costante bilanciamento tra diritto alla protezione dei dati personali e diritto di difesa. La stessa giurisprudenza del Garante riconosce che, quando il trattamento dei dati risulta strettamente funzionale all’esercizio dell’attività difensiva o all’avvio di un procedimento giudiziario, la valutazione non può prescindere dalle esigenze della tutela giurisdizionale. In diverse occasioni, infatti, l’Autorità ha ritenuto prevalente l’interesse alla difesa rispetto alle contestazioni formulate in materia di privacy.

Questa distinzione assume particolare rilievo anche sotto il profilo delle competenze istituzionali. Le contestazioni riguardanti documenti prodotti nel corso di un giudizio, così come i trattamenti effettuati dagli ausiliari dell’autorità giudiziaria, ricadono normalmente nella sfera delle valutazioni processuali demandate al giudice e non al Garante, a conferma della necessità di preservare l’autonomia della funzione giurisdizionale.

Per gli studi legali il messaggio è chiaro: la compliance privacy non può più limitarsi alla predisposizione dell’informativa o all’aggiornamento del registro dei trattamenti. Diventa indispensabile investire nell’organizzazione del lavoro quotidiano, definendo procedure per la gestione delle e-mail, verificando attentamente i destinatari delle comunicazioni, limitando l’accesso ai documenti condivisi, adottando strumenti di cifratura e pseudonimizzazione e formando costantemente collaboratori e personale amministrativo.

---

LEGGI ANCHE