A dieci anni dall’adozione del Regolamento UE 2016/679, molti studi legali italiani gestiscono ancora il trattamento dei dati con impostazioni del 2018, mai aggiornate alla luce delle sanzioni del Garante e delle linee guida EDPB. Il rischio concreto non è solo sanzionatorio: un’informativa obsoleta o un DPA non aggiornato espone lo studio a responsabilità diretta verso i clienti. La revisione periodica degli adempimenti GDPR non è un consiglio, è un obbligo ricavabile dall’art. 24 del Regolamento, che impone misure tecniche e organizzative aggiornate nel tempo.
Punti chiave
- Punto 1 — L’art. 24 GDPR impone aggiornamento continuo delle misure organizzative, non solo un setup iniziale.
- Punto 2 — I DPA con fornitori cloud e software vanno riverificati: molti contratti del 2018 non coprono le clausole post-Schrems II.
- Punto 3 — Il Garante ha emesso oltre 50 provvedimenti sanzionatori dal 2019: consultarli orienta la valutazione del rischio studio.
Dieci anni dopo l’adozione del Regolamento UE 2016/679, uno studio legale che non ha mai aggiornato la propria documentazione privacy è già inadempiente. Non si tratta di perfezionismo: l’art. 24 GDPR impone misure tecniche e organizzative «aggiornate» rispetto al rischio, il che significa che un registro dei trattamenti compilato nel 2018 e mai toccato non soddisfa l’obbligo di accountability.
L’occasione per questa riflessione arriva da un’analisi pubblicata da Diritto.it, che ripercorre un decennio di applicazione del Regolamento europeo sulla protezione dei dati, evidenziando come il quadro sia radicalmente mutato rispetto alle aspettative iniziali del 2016.
Il contesto normativo
Il riferimento cardine resta il Regolamento UE 2016/679 (GDPR), recepito in Italia con d.lgs. 101/2018 che ha adeguato il Codice Privacy (d.lgs. 196/2003). Sul fronte giurisprudenziale, la Corte di Giustizia UE con la sentenza Schrems II (C-311/18 del 16 luglio 2020) ha invalidato il Privacy Shield, rendendo illeciti tutti i trasferimenti verso USA non coperti da Standard Contractual Clauses aggiornate. Il Garante italiano ha poi pubblicato il provvedimento del 9 giugno 2022 sulle violazioni legate a Google Analytics, che tocca direttamente qualsiasi studio con sito web. Sul piano sanzionatorio, l’art. 83 GDPR prevede sanzioni fino a 20 milioni di euro o il 4% del fatturato globale annuo: anche per uno studio individuale, la soglia del 4% può risultare più gravosa rispetto all’importo fisso.
Cosa cambia per lo studio
- Revisione dei DPA con i fornitori: ogni contratto di Data Processing Agreement stipulato prima del 2021 va riverificato. I fornitori di software gestionale, cloud e videoconferenza devono offrire SCC aggiornate al modello 2021 della Commissione UE. Senza aggiornamento, il trasferimento dati è illecito ex art. 46 GDPR.
- Aggiornamento dell’informativa sul sito: dopo il provvedimento del Garante su Google Analytics, ogni studio che usa strumenti di analisi statistica con server USA deve o sostituire lo strumento o adottare una configurazione anonimizzante certificata. L’informativa deve riflettere la situazione reale dei cookie attivi.
- Registro dei trattamenti: l’art. 30 GDPR impone l’aggiornamento del registro ogni volta che cambia una finalità, un fornitore o una categoria di dati. Uno studio che ha assunto collaboratori o cambiato gestionale dal 2018 ha quasi certamente un registro non aggiornato.
- Formazione dello staff: l’art. 29 GDPR e le linee guida EDPB n. 01/2022 richiedono che chiunque tratti dati sotto l’autorità del titolare operi secondo istruzioni documentate. La formazione va erogata e registrata, non solo comunicata verbalmente.
- Gestione delle data breach: l’art. 33 GDPR impone notifica al Garante entro 72 ore dalla scoperta di una violazione. Molti studi non hanno ancora una procedura scritta per identificare e notificare una violazione: un accesso non autorizzato alla casella PEC o al gestionale è già una breach notificabile.
Attenzione a
Il primo errore ricorrente è trattare il GDPR come un adempimento una tantum: firmato il consenso nel 2018, archiviata la pratica. Il Garante ha sanzionato soggetti proprio per l’assenza di aggiornamento documentale, non solo per violazioni attive. Controllare il sito, il registro e i DPA almeno una volta l’anno non è una scelta, è la prova dell’accountability richiesta dall’art. 24.
Il secondo rischio riguarda i trasferimenti verso paesi terzi non adeguati. Se lo studio usa strumenti SaaS americani — anche solo per le email o il backup — senza SCC aggiornate e senza una Transfer Impact Assessment, ogni trattamento è potenzialmente illecito. La sanzione del Garante irlandese a Meta (1,2 miliardi di euro nel 2023) lo ha reso evidente anche ai non specialisti.
Domande frequenti
Ogni quanto va aggiornato il registro dei trattamenti GDPR per uno studio legale?
Non esiste una cadenza fissa imposta dalla norma, ma l’art. 30 GDPR richiede che il registro rifletta la realtà attuale dei trattamenti. In pratica, va aggiornato ogni volta che cambia un fornitore, una finalità o una categoria di dati trattati. Una revisione annuale strutturata è la prassi minima raccomandata dalle linee guida EDPB.
Uno studio legale è obbligato a nominare un DPO secondo il GDPR?
No, salvo che il trattamento riguardi dati su larga scala o categorie particolari in modo sistematico (art. 37 GDPR). La maggior parte degli studi individuali o associati non supera le soglie che impongono la nomina. Tuttavia, designare volontariamente un referente privacy interno con compiti documentati riduce il rischio sanzionatorio e semplifica la gestione delle breach.
Cosa rischia uno studio legale che usa Google Analytics senza adeguarsi al provvedimento del Garante del 2022?
Il Garante ha dichiarato illecito il trasferimento dati verso USA tramite Google Analytics nella configurazione standard, con provvedimenti notificati a diversi titolari italiani. Lo studio che continua a usarlo senza anonimizzazione certificata o senza passare a un’alternativa con server europei è esposto a un provvedimento correttivo e a sanzioni ex art. 83 GDPR.
Fonte di riferimento: Diritto.it