Uno studio legale che non ha configurato SPF, DKIM e DMARC sul proprio dominio email espone i clienti a messaggi contraffatti inviati a loro nome, con conseguenze dirette sulla responsabilità per violazione dei dati personali. L’ACN ha pubblicato linee guida tecniche che traducono questo rischio in obblighi concreti, riconducibili agli artt. 25 e 32 del GDPR. Verificare la configurazione DNS del dominio dello studio è oggi un adempimento, non una scelta.
Punti chiave
- Punto 1 — SPF, DKIM e DMARC sono misure tecniche che il GDPR qualifica come obbligatorie per chi tratta dati personali via email.
- Punto 2 — L’assenza di queste protezioni espone lo studio a sanzioni del Garante fino a 10 milioni di euro o al 2% del fatturato.
- Punto 3 — Le linee guida ACN forniscono un riferimento tecnico ufficiale utilizzabile anche in sede di verifica ispettiva.
Uno studio legale che riceve o invia email per conto dei clienti tratta dati personali e, in molti casi, dati sensibili. Se il dominio email dello studio non è protetto da SPF, DKIM e DMARC, chiunque può spedire messaggi apparentemente provenienti da quell’indirizzo: truffe verso i clienti, phishing mirato, compromissione di comunicazioni processuali. Il rischio non è teorico: i cosiddetti attacchi BEC (Business Email Compromise) colpiscono in modo crescente gli studi professionali italiani.
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato nuove linee guida specificamente dedicate alla sicurezza delle email aziendali, con istruzioni operative su come implementare i tre protocolli di autenticazione SPF, DKIM e DMARC. Il documento è disponibile tramite Diritto.it e rappresenta oggi il riferimento tecnico ufficiale per valutare l’adeguatezza delle misure di sicurezza adottate.
Il contesto normativo
L’art. 32 del Regolamento UE 2016/679 (GDPR) impone al titolare del trattamento di adottare «misure tecniche e organizzative adeguate» per garantire un livello di sicurezza proporzionato al rischio. La configurazione corretta dei record DNS per l’autenticazione email rientra esattamente in questa categoria. Il Garante per la protezione dei dati personali ha già sanzionato enti e professionisti per mancata adozione di misure tecniche elementari, anche in assenza di una violazione conclamata dei dati (si veda, tra le altre, la decisione del Garante del 9 giugno 2022, doc. web n. 9782890). L’art. 25 GDPR aggiunge l’obbligo di privacy by design: la sicurezza del canale email deve essere progettata fin dalla configurazione del dominio, non aggiunta a posteriori.
Cosa cambia per lo studio
- Verifica immediata del dominio: controlla tramite strumenti gratuiti come MXToolbox se il tuo dominio ha record SPF, DKIM e DMARC configurati correttamente. Bastano 5 minuti e l’assenza di risultati positivi è già un segnale di inadempimento.
- Aggiornamento del registro dei trattamenti: il registro ex art. 30 GDPR deve riflettere le misure tecniche adottate. Se non menzioni l’autenticazione email tra le misure di sicurezza, il documento è incompleto.
- Istruzioni al fornitore IT: la maggior parte degli studi delega la gestione del dominio a un provider esterno. Invia una richiesta scritta di configurazione SPF, DKIM e DMARC: crea traccia documentale e sposta parte della responsabilità sull’incaricato del trattamento ex art. 28 GDPR.
- Informativa ai clienti: se lo studio usa email per comunicazioni riservate con i clienti, valuta di aggiornare l’informativa privacy per descrivere le misure tecniche adottate a protezione delle comunicazioni.
- Riferimento nelle perizie e consulenze: in caso di contenzioso o arbitrato su frodi informatiche via email, le linee guida ACN diventano lo standard tecnico di riferimento per valutare la diligenza del mittente o del destinatario.
Attenzione a
Il primo errore frequente è configurare SPF ma lasciare DMARC in modalità «none»: in questo caso il dominio risulta tecnicamente dotato di un record, ma non viene applicata alcuna azione sui messaggi non autenticati. Ai fini del GDPR e in sede ispettiva, una policy DMARC impostata su «none» equivale sostanzialmente all’assenza di protezione.
Il secondo rischio riguarda i domini secondari o le caselle email usate per newsletter e comunicazioni automatizzate: molti studi proteggono il dominio principale ma dimenticano sottodomini come «news.studiox.it» o «info.studiox.it», che restano vulnerabili e possono essere sfruttati per attacchi di spoofing verso i clienti dello studio.
Domande frequenti
Cosa rischia uno studio legale senza SPF e DMARC in caso di violazione dati?
Il Garante può irrogare sanzioni fino a 10 milioni di euro o al 2% del fatturato globale annuo ai sensi dell’art. 83 par. 4 GDPR. In caso di violazione documentata, l’assenza di misure tecniche adeguate ex art. 32 GDPR aggrava la posizione del titolare, anche se l’attacco è stato condotto da terzi.
SPF DKIM DMARC sono obbligatori per uno studio legale secondo il GDPR?
Non esiste un obbligo nominale di adottare questi specifici protocolli, ma l’art. 32 GDPR impone misure tecniche adeguate al rischio. Per uno studio che tratta dati sensibili via email, la mancata configurazione di SPF, DKIM e DMARC è difficilmente giustificabile come scelta consapevole e proporzionata.
Come verifico se il dominio del mio studio ha SPF e DMARC configurati correttamente?
Strumenti gratuiti come MXToolbox (mxtoolbox.com) o DMARC Analyzer permettono di analizzare i record DNS del dominio in pochi secondi. Inserisci il tuo dominio e controlla la presenza e la sintassi di record SPF, DKIM e DMARC. Un record DMARC con policy «reject» o «quarantine» indica una configurazione attiva.
Fonte di riferimento: Diritto.it