In breve
- Lo studio può trattare anche dati sanitari e giudiziari del cliente e della controparte quando serve ad accertare, esercitare o difendere un diritto in giudizio (art. 9, par. 2, lett. f, GDPR; art. 2-octies Codice privacy).
- Il registro dei trattamenti serve quasi sempre: il Garante indica espressamente gli avvocati fra i professionisti obbligati, perché trattano dati giudiziari e sanitari. Il DPO, invece, per l’avvocato singolo di norma no.
- Alla controparte non si deve l’informativa quando i dati sono coperti dal segreto professionale (art. 14, par. 5, lett. d, GDPR), ma i canali di notifica vanno scelti con attenzione: il Garante ha sanzionato notifiche alla PEC aziendale della controparte.
La **privacy nello studio legale** ha una particolarità che nessun altro professionista ha in questa misura: lo studio tratta dati personali di persone che non sono sue clienti e che non hanno interesse a collaborare, come la controparte e i testimoni, e li tratta spesso nelle categorie più delicate, salute e procedimenti penali. Il **GDPR** lo consente, ma con regole precise, a cui si aggiungono il **Codice privacy** (D.Lgs. 196/2003) e le **Regole deontologiche** del Garante per le investigazioni difensive e la difesa in giudizio (provv. n. 512 del 19 dicembre 2018).
Questa guida riepiloga cosa serve a uno studio, anche piccolo: basi giuridiche, informative, registro, fornitori, violazioni dei dati, e i casi in cui il Garante è intervenuto su avvocati. Quanto a lungo conservare il fascicolo e come si tutela il segreto professionale è nella guida sulla [conservazione del fascicolo](/guide/conservazione-fascicolo-avvocato-segreto-professionale).
01Su quale base lo studio tratta i dati
| Dati | Base giuridica | Norma |
|---|---|---|
| Dati comuni del cliente | Esecuzione del contratto d’opera e obblighi di legge (fiscali, antiriciclaggio) | art. 6, par. 1, lett. b e c, GDPR |
| Dati comuni della controparte e dei terzi | Legittimo interesse alla difesa del cliente | art. 6, par. 1, lett. f, GDPR |
| Salute, orientamento, opinioni e altre categorie particolari | Necessità di accertare, esercitare o difendere un diritto in sede giudiziaria | art. 9, par. 2, lett. f, GDPR |
| Condanne penali e reati | Autorizzazione di legge per la difesa di un diritto | art. 10 GDPR; art. 2-octies, c. 3, lett. e, Codice privacy |
La stessa finalità di difesa limita i diritti dell’interessato: la cancellazione non spetta quando i dati servono per un diritto in giudizio (art. 17, par. 3, lett. e, GDPR), e l’art. 2-undecies del Codice privacy esclude l’esercizio dei diritti degli artt. 15-22 quando ne deriverebbe un pregiudizio effettivo e concreto alle investigazioni difensive o alla difesa. La limitazione si comunica con una risposta motivata, salvo che anche questa pregiudichi la difesa.
02Informativa al cliente, e alla controparte no
- Al cliente: l’informativa dell’art. 13 GDPR, al conferimento dell’incarico. Le Regole deontologiche del Garante (art. 3) consentono un’informativa unica, anche affissa nello studio o pubblicata sul sito, con formule sintetiche e colloquiali. Conviene comunque farla firmare con la lettera di incarico.
- Alla controparte e ai terzi: l’informativa dell’art. 14 non è dovuta quando i dati devono restare riservati per un obbligo di segreto professionale (par. 5, lett. d) o quando darla pregiudicherebbe le finalità del trattamento (lett. b).
- Intelligenza artificiale: se nello studio si usano sistemi di IA, dal 10 ottobre 2025 c’è un’informativa in più, prevista dalla L. 132/2025: la trovi nella guida dedicata all’informativa sull’IA.
03Registro dei trattamenti e DPO
Il registro dei trattamenti (art. 30 GDPR) non è obbligatorio per chi ha meno di 250 dipendenti, ma l’esenzione cade se il trattamento non è occasionale o riguarda dati sanitari o giudiziari. Per questo le FAQ del Garante indicano espressamente fra gli obbligati i liberi professionisti con almeno un dipendente o che trattano dati sanitari o relativi a condanne e reati, come gli avvocati. Uno studio legale, anche individuale, in pratica deve tenerlo.
- Cosa contiene: finalità (difesa, consulenza, adempimenti fiscali e antiriciclaggio, amministrazione), categorie di interessati e di dati, destinatari (uffici giudiziari, consulenti, domiciliatari, fornitori), tempi di conservazione, misure di sicurezza.
- Il DPO (responsabile della protezione dei dati) è obbligatorio solo per trattamenti su larga scala di dati particolari o giudiziari (art. 37). Il considerando 91 del GDPR dice che il trattamento dei dati dei clienti da parte di un singolo avvocato non è su larga scala: di norma non serve. Uno studio grande o specializzato (per esempio in responsabilità medica, con migliaia di cartelle cliniche) deve valutarlo.
04Collaboratori e fornitori: chi deve firmare cosa
| Chi | Ruolo | Cosa serve |
|---|---|---|
| Collaboratori, praticanti, segreteria | Persone autorizzate | Istruzioni scritte e impegno alla riservatezza (art. 2 Regole deontologiche; art. 2-quaterdecies Codice privacy) |
| Codifensori, associati | Contitolari o titolari autonomi | Chiarire per iscritto chi fa cosa |
| Gestionale e archivio in cloud, posta, PEC, firma elettronica | Responsabili del trattamento | Contratto con i contenuti dell’art. 28, par. 3, GDPR |
| Commercialista, consulente del lavoro | Responsabili, per i dati che ricevono dallo studio | Contratto ex art. 28 |
| Consulenti tecnici di parte, investigatori | Di regola titolari autonomi per la loro attività | Incarico scritto con le regole di riservatezza |
05Violazione dei dati: le 72 ore
Una PEC mandata al destinatario sbagliato, un portatile rubato, una casella violata: sono violazioni di dati personali. Il titolare le notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile un rischio per le persone (art. 33 GDPR); se il rischio è elevato, avvisa anche gli interessati (art. 34). Ogni violazione, anche non notificata, va annotata in un registro interno.
- Le sanzioni: fino a 10 milioni di euro o al 2% del fatturato per le violazioni degli obblighi del titolare (art. 83, par. 4); fino a 20 milioni o al 4% per i principi e i diritti (par. 5).
- Nelle ispezioni del Garante presso uno studio legale può assistere il presidente del Consiglio dell’ordine (art. 159, comma 3, Codice privacy).
06I casi in cui il Garante è intervenuto sugli avvocati
| Provvedimento | Fatto | Esito |
|---|---|---|
| 16 novembre 2023 (doc. web 9973749) | Atti di una causa di divorzio notificati alla PEC aziendale della controparte, letta da un socio e dai dipendenti | Sanzione di 500 €: violati minimizzazione e base giuridica |
| 26 febbraio 2026, n. 118 (doc. web 10237805) | Atti notificati nel 2020 alla PEC professionale della controparte, nonostante le diffide a usare l’indirizzo di residenza | Ammonimento: all’epoca la notifica a quella PEC non era obbligatoria |
La lezione non è «non notificare via PEC»: dal 2023 la notifica al domicilio digitale è la regola (lo spiega la guida sulle notifiche in proprio via PEC). È scegliere l’indirizzo giusto dal registro giusto, e chiedersi chi leggerà quella casella. Per le persone fisiche, una PEC aziendale condivisa è quasi sempre l’indirizzo sbagliato.
La privacy dello studio, in una pagina
- Informativa al cliente firmata con l’incarico, e pubblicata sul sito.
- Registro dei trattamenti aggiornato, con i tempi di conservazione.
- Istruzioni scritte a collaboratori, praticanti e segreteria.
- Contratti ex art. 28 con i fornitori di cloud, posta, gestionale e firma.
- Procedura per le violazioni dei dati e registro interno.
- Password, cifratura dei portatili e accessi personali, non condivisi.
- Criteri per scegliere l’indirizzo di notifica della controparte.
- Regole per la distruzione dei fascicoli e dei dispositivi dismessi.
Con Omega
La privacy come parte del lavoro, non come fascicolo a parte
- Incarichi & informative prepara l’informativa privacy e quella sull’IA con i dati dello studio, e le conserva firmate con la pratica.
- Ogni persona dello studio entra con il proprio accesso e vede solo le aree per cui ha il permesso.
- Il Cloud tiene i file privati finché non li condividi con un collega.
- Adempimenti ha una categoria per la privacy: revisione del registro, contratti con i fornitori, formazione del personale, con la loro scadenza.
