Uno studio legale che custodisce fascicoli su carta risponde a due discipline diverse allo stesso tempo, e la seconda pesa più della prima. Il GDPR chiede misure adeguate e dimostrabili; il segreto professionale ha norme proprie, sanzioni proprie e una conseguenza che nessuna sanzione amministrativa eguaglia. Questa guida serve a costruire il documento che tiene insieme le due cose.
Perché uno studio legale ha due obblighi, non uno
È la distinzione da cui dipende tutto il resto, e viene quasi sempre appiattita su una sola delle due.
Il GDPR si applica anche alla carta
Il primo equivoco da togliere di mezzo: il Regolamento non riguarda solo il digitale. Si applica al trattamento non automatizzato quando i dati personali sono contenuti in un archivio o destinati a figurarvi.
Un faldone ordinato per pratica, per nominativo o per numero di protocollo è un archivio. Non serve un database perché scatti l'obbligo: serve un criterio di organizzazione, e in uno studio c'è sempre.
Il segreto professionale ha regole sue
Qui sta la differenza fra uno studio legale e qualsiasi altro titolare del trattamento, ed è una differenza di natura, non di grado.
La rivelazione di un segreto appreso per ragione della professione è un reato: lo prevede l'articolo 622 del Codice Penale, punibile a querela della persona offesa. Sul versante processuale, l'articolo 200 del Codice di Procedura Penale stabilisce che l'avvocato non può essere obbligato a deporre su ciò che ha appreso nell'esercizio della professione: è una tutela, e presuppone che quelle informazioni siano custodite.
Ma la conseguenza che pesa di più è deontologica. L'articolo 28 del Codice Deontologico Forense prevede la censura e, quando la violazione riguarda il segreto professionale, la sospensione dall'esercizio dell'attività da uno a tre anni.
Per uno studio di due o tre persone, tre anni di sospensione non sono una sanzione: sono la fine dell'attività. È il motivo per cui la sicurezza dell'archivio, in uno studio legale, non è una voce di spesa amministrativa.
Quando serve una valutazione d’impatto
Il GDPR non chiede a tutti lo stesso livello di formalizzazione. Sapere in quale caso si ricade evita sia di fare burocrazia inutile sia di trovarsi scoperti.
L’elenco del Garante
L'articolo 35 del Regolamento impone la valutazione d'impatto quando il trattamento può presentare un rischio elevato. Per rendere operativa la previsione, il Garante ha adottato il provvedimento n. 467 dell'11 ottobre 2018, che elenca dodici tipologie di trattamento per le quali la valutazione è dovuta.
Fra queste rientrano i trattamenti di categorie particolari di dati, articolo 9: salute, convinzioni, orientamento, dati biometrici, oppure di dati relativi a condanne penali e reati, articolo 10, quando sono interconnessi con altri dati.
Le due categorie sono distinte e vale la pena non confonderle: i dati giudiziari non sono «categorie particolari», hanno un articolo proprio e un regime proprio. Uno studio penale li tratta per definizione.
Che cosa cambia averla fatta
La valutazione non è un adempimento che protegge dal furto: protegge dalla contestazione di non averci pensato. Documenta perché una misura è stata scelta e perché è stata giudicata proporzionata.
È la differenza pratica fra dire «abbiamo un armadio chiuso a chiave» e poter mostrare che il tipo di armadio è stato scelto dopo aver classificato i fascicoli, stimato le minacce e valutato il rischio residuo. La prima è un'affermazione, la seconda è una prova.
La valutazione dell’archivio in cinque passaggi
Non serve un documento lungo. Serve un percorso decisionale tracciabile, che si scrive in poche pagine e si aggiorna una volta l'anno.
Come si scrive la valutazione dell’archivio cartaceo
Descrivi che cosa custodisci e dove
Tipologie di fascicoli, volumi indicativi, in quali locali e in quali contenitori, e per quanto tempo restano. Senza questo elenco i passaggi successivi non hanno un oggetto.
Classifica per criticità, non per volume
Separa le pratiche ordinarie da quelle che contengono dati dell'articolo 9 o dell'articolo 10. È la distinzione che determina il livello di misura, e va motivata.
Elenca le minacce concrete di quei locali
Intrusione dall'esterno, accesso interno non autorizzato, incendio, allagamento, smarrimento durante un trasferimento. Vanno pesate sul luogo reale: piano strada, accessi multipli, presenza di pubblico, personale esterno.
Indica le misure e collega ognuna alla minaccia Il passaggio che vale il documento
Qui il documento diventa una prova: ogni misura deve rispondere a una minaccia elencata sopra. Un contenitore certificato senza una minaccia associata è una spesa; una minaccia senza misura è un rischio accettato e va detto.
Dichiara il rischio residuo e motivalo
Che cosa resta dopo le misure, e perché è accettabile. È il passaggio che quasi nessuno scrive ed è quello che dimostra che la valutazione è stata fatta davvero.
Il documento va conservato insieme alle schede tecniche dei contenitori, alla prova dell'installazione e alle istruzioni interne. Sono questi allegati a trasformare una scelta in una misura documentata.
Le persone che entrano nello studio
In uno studio il rischio principale non arriva di notte con un piede di porco: arriva di giorno, a porte aperte, con qualcuno che ha un motivo legittimo per essere lì.
La segregazione degli accessi
L'accesso ai locali non equivale all'autorizzazione ai dati, e questa distinzione va resa praticabile, non solo scritta:
- L'archivio in un'area non attraversata dai visitatori, mai nella stanza dove si ricevono i clienti
- Fascicoli accessibili solo a chi segue quella pratica, che è il criterio con cui si decide chi ha la chiave
- Nessun cliente lasciato solo in prossimità dell'archivio o di una scrivania con documenti
- Personale esterno, pulizie, manutenzioni, in orari o in condizioni che non lascino fascicoli esposti
L'ultimo punto è quello sottovalutato: le pulizie avvengono quasi sempre quando non c'è nessuno, ed è esattamente lo scenario in cui la scrivania sgombra smette di essere una buona abitudine e diventa una misura.
Chiavi, codici e fine dei rapporti
Il rischio non è che una chiave venga rubata: è che se ne perda il conto.
- Chiavi nominative, non un mazzo comune appeso all'ingresso
- Chiave di scorta in busta sigillata, custodita in un luogo diverso
- Con serratura elettronica, un codice per persona: è ciò che rende possibile sapere chi ha aperto
- Codici cambiati alla cessazione di ogni collaborazione, tirocinio compreso
Il registro delle aperture ha senso quando esiste un rischio credibile di accesso indebito dall'interno. Non è tecnologia fine a sé stessa: è l'unico modo per rispondere alla domanda che verrebbe posta dopo un incidente.
La chiusura di fine giornata
La regola è una sola e non ammette eccezioni comode: ciò che non è in lavorazione non resta esposto. Fascicoli riposti quando si lascia la postazione, scrivanie libere alla chiusura, sala d'attesa e sala riunioni senza atti a vista.
Funziona se è uniforme. Una regola applicata da tre persone su cinque, in sede di contestazione, dimostra che la regola esisteva e non veniva rispettata: è peggio che non averla.
Il contenitore: quale serve e come si sceglie
Su questo il blog ha già due guide, e qui basta il criterio. Per i fascicoli in uso quotidiano il contenitore di partenza sono i classificatori metallici con serratura.
Per l'effrazione contano le classi UNI EN 14450 (S1 e S2) e i gradi UNI EN 1143-1, con la regola che il livello si sceglie dalla criticità dei fascicoli e non dal volume: il confronto completo sta nella guida alla scelta fra cassaforte e armadio blindato.
Per il fuoco la questione è diversa, e l'errore più comune è confondere le due cose: un contenitore blindato non è un contenitore ignifugo, e un metallo non coibentato trasmette calore anche se le fiamme non entrano. Per la carta lo standard è la EN 1047-1 in classe P, dove i minuti indicano la durata dell'esposizione di prova: il dettaglio è nella guida alle classi degli armadi ignifughi.
Per un archivio di originali il fuoco è il rischio che non ammette ripristino: un fascicolo processuale bruciato non si recupera da un backup, e se ha valore probatorio non si ricostruisce affatto. Che cosa succede quando un evento del genere diventa una violazione di dati, con gli obblighi che ne derivano, è il tema del data breach sugli archivi cartacei.
Vale infine il criterio dell'ancoraggio: un contenitore che si può portare via è un contenitore che verrà aperto altrove, con tutto il tempo necessario.
Che cosa conservare come prova
L'ultimo passaggio è quello che rende il lavoro utile in sede di verifica.
Il fascicolo delle evidenze, da tenere aggiornato
La valutazione dell’archivio
I cinque passaggi scritti, con la data e la firma di chi l'ha redatta. È il documento principale e gli altri sono i suoi allegati.
La mappa di dove stanno i fascicoli
Locali, contenitori, criterio di ripartizione fra pratiche ordinarie e pratiche critiche. Va aggiornata quando cambia qualcosa, non una volta sola.
Le schede tecniche e le certificazioni
La classe dichiarata del contenitore, con il documento dell'organismo. Una targhetta senza norma non è una certificazione.
La prova dell’installazione
Ancoraggio eseguito e da chi. Senza, la classe dichiarata riguarda un oggetto in laboratorio, non quello che hai in studio.
Le istruzioni interne, firmate
Chiusura di fine giornata, gestione delle chiavi, chi accede a quali pratiche, come si gestiscono stampe e scarti. La firma è ciò che le rende opponibili.
Il registro dei controlli
Verifiche periodiche, cambi di codice, sostituzioni. Una misura senza manutenzione documentata invecchia insieme alla sua prova.
Armadi
Armadi blindati e ignifughi per archivi professionali, con classi certificate e formati per faldoni.
Vedi la categoriaFaq – Domande frequenti
Il GDPR si applica davvero anche ai fascicoli di carta?
Sì. Il Regolamento si applica al trattamento non automatizzato quando i dati personali sono contenuti in un archivio o destinati a figurarvi. Un faldone ordinato per pratica o per nominativo è un archivio a tutti gli effetti: non serve un database perché l'obbligo scatti.
Che cosa rischia un avvocato oltre alla sanzione privacy?
La rivelazione di un segreto appreso per ragione della professione è reato ai sensi dell'articolo 622 del Codice Penale, punibile a querela. Sul piano deontologico l'articolo 28 del Codice Deontologico Forense prevede la censura e, quando la violazione riguarda il segreto professionale, la sospensione dall'esercizio da uno a tre anni.
Uno studio legale deve fare la valutazione d’impatto?
Dipende dal trattamento. Il provvedimento del Garante n. 467 dell'11 ottobre 2018 elenca dodici tipologie per cui la valutazione è dovuta, fra cui i trattamenti di categorie particolari (art. 9) o di dati relativi a condanne penali e reati (art. 10) interconnessi con altri dati. Uno studio penale li tratta per definizione.
I dati giudiziari sono categorie particolari di dati?
No, ed è una distinzione che conviene tenere ferma. Le categorie particolari sono quelle dell'articolo 9: salute, convinzioni, orientamento sessuale, dati biometrici. I dati relativi a condanne penali e reati hanno un articolo proprio, il 10, e un regime diverso.
Un armadio blindato protegge anche dal fuoco?
No, e confondere le due cose è l'errore più comune. La resistenza allo scasso e la resistenza termica sono prestazioni distinte, misurate da norme diverse: un contenitore metallico non coibentato trasmette calore all'interno anche quando le fiamme non entrano. Per la carta lo standard di protezione dal fuoco è la EN 1047-1 in classe P.
