Uno studio legale, un commercialista, uno studio tecnico trattano ogni giorno dati personali di clienti, dipendenti e controparti: documenti d’identità, dati fiscali, contenziosi, a volte dati sanitari. Il GDPR non chiede a uno studio di diventare una banca, ma chiede di adottare misure di sicurezza adeguate e di saper reagire quando qualcosa va storto. Vediamo cosa significa in pratica.
Cosa chiede l’articolo 32 del GDPR?
L’articolo 32 del GDPR obbliga titolare e responsabile del trattamento a mettere in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza proporzionato al rischio. Nel valutare cosa è adeguato si tiene conto dello stato dell’arte, dei costi, della natura dei dati e dei rischi per le persone.
L’articolo indica, “tra le altre”, queste misure:
| Cosa chiede l’art. 32 | Esempi pratici in uno studio |
|---|---|
| Pseudonimizzazione e cifratura dei dati | Dischi dei portatili cifrati, backup cifrati, connessioni remote via VPN |
| Riservatezza, integrità, disponibilità e resilienza dei sistemi | Firewall, account personali, autenticazione a due fattori, aggiornamenti |
| Capacità di ripristinare tempestivamente i dati dopo un incidente | Backup scollegato e procedura di ripristino provata |
| Procedura per testare e valutare regolarmente l’efficacia delle misure | Verifiche periodiche, prove di ripristino, rapporti di sicurezza |
Il punto chiave è il principio di responsabilizzazione (accountability): non basta fare le cose, bisogna poter dimostrare di averle fatte.
Cos’è un data breach?
Un data breach, o violazione dei dati personali, è un incidente di sicurezza che comporta in modo accidentale o illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a dati personali.
Esempi concreti:
- un ransomware cifra l’archivio clienti (perdita di disponibilità);
- un’email con la dichiarazione dei redditi di un cliente viene inviata alla persona sbagliata (perdita di riservatezza);
- un portatile non cifrato viene rubato dall’auto;
- un account di posta viene violato e usato per leggere la corrispondenza;
- un dipendente cancella per errore un archivio senza backup.
Non serve un “hacker” perché ci sia un data breach: anche l’errore umano conta.
Data breach: quando va notificato al Garante entro 72 ore?
L’articolo 33 prevede che il titolare notifichi la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone.
L’articolo 34 aggiunge che, se il rischio è elevato, bisogna informare anche le persone interessate, con un linguaggio semplice.
In sintesi:
| Situazione | Cosa fare |
|---|---|
| Violazione con rischio improbabile | Documentarla nel registro interno |
| Violazione con rischio per le persone | Notifica al Garante entro 72 ore + registro |
| Violazione con rischio elevato | Notifica al Garante + comunicazione agli interessati + registro |
La notifica si effettua tramite la procedura telematica messa a disposizione dal Garante sul proprio sito. Se le informazioni non sono tutte disponibili subito, si possono fornire in fasi successive.
Perché le 72 ore sono un problema per uno studio?
Le 72 ore decorrono da quando lo studio viene a conoscenza della violazione. Il rischio vero non è sforare il termine, ma non accorgersi affatto dell’incidente, o accorgersene dopo settimane.
Uno studio che usa solo il router dell’operatore spesso non ha modo di sapere se un computer ha inviato dati all’esterno o se qualcuno ha provato ad accedere da remoto. Per questo, accanto alla prevenzione, conta la capacità di rilevare: sapere cosa succede in rete e avere un registro che permetta di ricostruire i fatti. Ne parliamo nell’articolo su perché il router non basta.
Il registro delle violazioni: non dimenticarlo
L’articolo 33, paragrafo 5, chiede di documentare qualsiasi violazione, anche quelle che non si notificano: cosa è successo, quali conseguenze ha avuto e quali provvedimenti sono stati adottati. Il registro serve al Garante per verificare il rispetto delle regole, e allo studio per imparare dagli errori.
Le misure minime da cui partire
Senza pretesa di completezza, e da adattare con il proprio consulente privacy:
- Backup cifrato, scollegato e provato. → La regola 3-2-1
- Autenticazione a due fattori su posta, cloud e gestionale. → Password, MFA e passkey
- Firewall con monitoraggio e registro degli eventi.
- Cifratura dei portatili e dei dispositivi che escono dallo studio.
- Account personali e permessi minimi: ognuno vede solo ciò che gli serve.
- Aggiornamenti automatici.
- Formazione del personale e istruzioni scritte.
- Regole sull’uso dell’IA: non inserire dati di clienti in servizi non autorizzati. → IA generativa in studio
- Una procedura per gli incidenti, con nomi e numeri. → Attacco informatico: cosa fare
Attenzione al controllo dei lavoratori
Gli strumenti che osservano il traffico di rete possono, in teoria, rivelare informazioni sull’attività dei dipendenti. In Italia questo tema incrocia lo Statuto dei lavoratori (articolo 4, sul controllo a distanza) oltre al GDPR. Un buon sistema di sicurezza deve quindi raccogliere solo i dati necessari, conservarli per un tempo limitato e accompagnarsi a un’informativa chiara per il personale. È un aspetto da valutare con il proprio consulente del lavoro o legale.
Come aiuta Strega Defence
Strega Defence non rende uno studio “conforme”: nessun prodotto può farlo. Aiuta però a fare e dimostrare alcune cose che il GDPR chiede: protegge la rete chiudendo ciò che non serve, si accorge degli eventi rilevanti e li segnala in italiano semplice, e tiene un Registro di chi ha fatto cosa e quando, alla base di un rapporto periodico da mostrare a clienti, consulenti e autorità. Scopri Strega Defence.
Se lo studio lavora per aziende soggette alla direttiva NIS2, leggi anche cosa cambia con la NIS2 per i fornitori.
Questo articolo ha scopo divulgativo e non costituisce consulenza legale. Per i casi concreti rivolgiti al tuo consulente privacy o al DPO.
Domande frequenti
Il GDPR obbliga ad avere un firewall?
Il GDPR non nomina prodotti specifici: chiede misure tecniche e organizzative adeguate al rischio. Per uno studio che tratta dati riservati di clienti, un firewall configurato e sorvegliato è però una delle misure che rientrano normalmente nello stato dell’arte.
Entro quanto tempo va notificato un data breach?
Senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza, salvo che sia improbabile un rischio per le persone. Se si notifica oltre le 72 ore, vanno spiegati i motivi del ritardo.
Un’email inviata al destinatario sbagliato è un data breach?
Sì, se contiene dati personali: è una divulgazione non autorizzata. Va valutato il rischio per le persone coinvolte per decidere se notificarla al Garante, e va comunque annotata nel registro delle violazioni.
Chi deve notificare il data breach: lo studio o il fornitore informatico?
La notifica al Garante spetta al titolare del trattamento, cioè normalmente lo studio. Il fornitore che tratta dati per conto dello studio, come responsabile del trattamento, deve informare il titolare senza ingiustificato ritardo appena viene a conoscenza della violazione.
Quali sanzioni rischia uno studio che non adotta misure adeguate?
Per le violazioni degli obblighi di sicurezza e di notifica il GDPR prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. A queste si aggiungono il danno reputazionale e le possibili richieste di risarcimento.
Il registro delle violazioni è obbligatorio anche se non è successo nulla?
Il GDPR chiede di documentare ogni violazione che si verifica. Se non ne sono avvenute, il registro resta vuoto, ma è buona pratica predisporlo, insieme alla procedura per gestire gli incidenti, così da essere pronti.
Fonti e approfondimenti
- Regolamento (UE) 2016/679 (GDPR), testo ufficiale — EUR-Lex. Articoli 32, 33, 34 e 83.
- Data breach: notifica delle violazioni al Garante — Garante per la protezione dei dati personali.
- Cybersecurity: temi e consigli — Garante privacy.
- Accendiamo la cybersicurezza – consigli per le PMI — Agenzia per la Cybersicurezza Nazionale.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
