Il colloquio con il cliente e la gestione dei dati personali tra segreto e GDPR

Il primo colloquio con il cliente è il momento in cui si raccolgono le informazioni necessarie a valutare la questione e a impostare la difesa, ma è anche il momento in cui lo studio entra in possesso di una quantità rilevante di dati personali, talvolta appartenenti a categorie particolari, come i dati relativi alla salute, alla vita sessuale, alle convinzioni religiose o all'origine razziale ed etnica. Da qui nasce il problema pratico che questo contributo intende affrontare: come conciliare il dovere deontologico di segretezza e riservatezza con gli obblighi di informativa e di trattamento imposti dalla disciplina in materia di protezione dei dati personali. Si tratta di due corpi di regole che non sono in conflitto, ma che operano su piani diversi e richiedono allo studio una organizzazione consapevole, fatta di modulistica, istruzioni interne, criteri di conservazione e formazione del personale. Il rischio, quando questa organizzazione manca, non è soltanto sanzionatorio: è quello di un trattamento illecito che finisce per ledere proprio l'interesse del cliente che il segreto intende proteggere.

Segretezza e riservatezza: due doveri distinti ma convergenti

Occorre anzitutto chiarire che segreto professionale e riservatezza non sono sinonimi. Il segreto professionale è il dovere, di fonte deontologica e in parte anche penale, di non rivelare quanto si conosce per ragione del proprio ministero; la riservatezza è il dovere, anch'esso deontologico, di non utilizzare le informazioni apprese in modo pregiudizievole per il cliente e di non divulgarle. Entrambi i doveri trovano il proprio fondamento nella fiducia che il cliente ripone nell'avvocato e nella funzione stessa della professione. La disciplina in materia di protezione dei dati personali, dal canto suo, non sostituisce né riduce questi doveri: li presuppone e vi aggiunge un apparato di obblighi strumentali, che riguardano il come il dato viene raccolto, registrato, conservato, comunicato e cancellato. In questa prospettiva, il segreto professionale è la regola sostanziale di protezione del cliente; la normativa sui dati personali è la regola organizzativa che rende quella protezione effettiva e verificabile.

Il fondamento normativo del segreto e il suo ambito

Il codice deontologico forense dedica al segreto professionale una disciplina articolata, che impone all'avvocato di mantenere il segreto su quanto appreso nell'esercizio dell'attività e di adottare ogni cautela perché il segreto sia preservato anche da parte dei collaboratori e dei terzi che intervengono nello svolgimento dell'incarico. Sul versante penale, la rivelazione del segreto professionale è punita a determinate condizioni, e la stessa disciplina processuale protegge le comunicazioni tra difensore e assistito. Il punto operativo è che l'ambito del segreto non coincide con il contenuto del fascicolo: comprende anche le informazioni raccolte e non utilizzate, le bozze, gli appunti, la corrispondenza, i messaggi scambiati su canali telematici e persino il fatto stesso dell'esistenza dell'incarico, quando la sua divulgazione possa recare pregiudizio. Ne deriva che ogni riflessione sulla gestione dei dati personali nello studio deve muovere da una nozione ampia di informazione protetta, non limitata ai soli documenti formalmente acquisiti.

L'informativa al cliente: contenuto e momento

Il secondo tassello è l'informativa resa al cliente. La disciplina in materia di protezione dei dati personali richiede che l'interessato sia informato, in forma concisa, trasparente, intelligibile e facilmente accessibile, circa l'identità e i contatti del titolare del trattamento, le finalità e la base giuridica del trattamento, i destinatari o le categorie di destinatari dei dati, il periodo di conservazione, i diritti esercitabili e il diritto di proporre reclamo all'autorità di controllo. Nel contesto forense, l'informativa si intreccia con l'incarico professionale: essa va resa preferibilmente in un momento anteriore o contestuale all'assunzione dell'incarico, e deve essere coordinata con le informazioni che l'avvocato già fornisce al cliente in ordine al mandato, al compenso e alle modalità di svolgimento dell'attività. Un'informativa chiara non è un adempimento burocratico: è lo strumento con cui il cliente comprende quali dati vengono trattati, perché e per quanto tempo, e in che misura il trattamento sia necessario per la difesa dei suoi interessi.

Base giuridica e categorie particolari di dati

Un profilo che merita particolare attenzione riguarda la base giuridica del trattamento. Quando l'avvocato tratta dati personali per l'esecuzione dell'incarico conferito dal cliente, la base giuridica è normalmente costituita dall'esecuzione di un contratto o dall'adempimento di obblighi di legge; quando invece si tratta di dati appartenenti a categorie particolari, il trattamento è consentito, tra l'altro, quando è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria. È questa la disposizione che permette all'avvocato di trattare, senza consenso esplicito, i dati sensibili del proprio assistito e, entro i limiti di quanto strettamente necessario, quelli di terzi coinvolti nella vicenda. Il criterio operativo che ne discende è quello di necessità e proporzionalità: si trattano i dati che servono, per il tempo che serve, evitando raccolte indiscriminate che non trovano giustificazione nell'incarico. La tentazione di conservare tutto «per sicurezza» è comprensibile, ma è anche la principale fonte di rischio, perché aumenta la superficie esposta in caso di accesso indebito o di smarrimento.

«Il trattamento dei dati personali è consentito quando è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali» (art. 9, par. 2, lett. f), del Regolamento UE 2016/679).

Misure organizzative minime per lo studio

Passando al piano organizzativo, lo studio che voglia gestire correttamente dati personali e segreto professionale non ha bisogno di soluzioni complesse, ma di alcune misure minime applicate con costanza. La prima è la designazione di un referente interno per la protezione dei dati, che tenga aggiornato il registro delle attività di trattamento e curi i rapporti con i fornitori; la seconda è la nomina, con atto scritto, dei soggetti che trattano dati per conto dello studio, dai gestori del servizio informatico ai consulenti esterni; la terza è la definizione di istruzioni scritte per i collaboratori, in particolare per i praticanti e per il personale amministrativo, sulle modalità di raccolta, archiviazione e trasmissione della documentazione. A queste si aggiungono misure più propriamente tecniche, come l'accesso protetto ai fascicoli, la cifratura dei supporti portatili e l'adozione di canali di comunicazione adeguati. Un esempio ricorrente: la corrispondenza con il cliente tramite applicazioni di messaggistica istantanea, se non accompagnata da cautele, espone il contenuto a rischi di diffusione e di conservazione su server non controllati, e dovrebbe essere limitata a comunicazioni di servizio, con riserva della trasmissione di documenti e di informazioni sensibili a canali più protetti.

Conservazione della documentazione e cancellazione

Il tema della conservazione merita un approfondimento autonomo, perché è qui che il dovere di segretezza e gli obblighi in materia di dati personali si incontrano più direttamente. Da un lato, l'avvocato ha l'interesse, e in alcuni casi il dovere, di conservare gli atti e i documenti relativi all'incarico per un tempo congruo, anche per far fronte a richieste dell'autorità e a eventuali contestazioni; dall'altro, la disciplina sui dati personali impone che i dati siano conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per cui sono trattati. Il punto di equilibrio va individuato caso per caso, tenendo conto della natura dell'incarico, della rilevanza degli interessi coinvolti e degli obblighi di legge che impongono una conservazione più lunga, come accade per la documentazione contabile e fiscale. In concreto, è opportuno distinguere tra il fascicolo dell'incarico, che segue i tempi della gestione professionale, e la documentazione amministrativa, che segue i tempi imposti dalla legge; ed è opportuno prevedere, al termine del periodo di conservazione, una procedura di cancellazione o di anonimizzazione che sia documentata e verificabile.

Cosa fare in pratica

La prima indicazione operativa riguarda il colloquio con il cliente: è opportuno che l'informativa sui dati personali venga consegnata e illustrata all'inizio del rapporto, insieme alla lettera di incarico, e che di essa resti traccia nel fascicolo; in questo modo il cliente è consapevole del trattamento e lo studio può dimostrare la correttezza del proprio operato. Conviene inoltre distinguere, fin dalla prima raccolta, tra i dati necessari alla gestione dell'incarico e quelli che non lo sono, evitando di acquisire documentazione eccedente o di conservarla senza una ragione precisa, perché ogni dato in più è un dato in più da proteggere.

La seconda indicazione riguarda l'organizzazione interna: lo studio dovrebbe dotarsi di istruzioni scritte, brevi e chiare, destinate a collaboratori e fornitori, che indichino chi può accedere ai fascicoli, come si trasmettono i documenti, dove si conservano i supporti e come si gestiscono gli incidenti. È utile, in questa prospettiva, mantenere un registro delle attività di trattamento aggiornato e verificare periodicamente i contratti con i fornitori che trattano dati per conto dello studio, senza demandare a terzi la responsabilità delle scelte organizzative.

La terza indicazione riguarda la conservazione: è consigliabile definire per iscritto i tempi di conservazione della documentazione, distinguendo tra fascicoli professionali e documentazione amministrativa, e prevedere una procedura di cancellazione periodica che sia documentata. Solo così il dovere di segretezza, che impone di proteggere le informazioni del cliente, e gli obblighi in materia di dati personali, che impongono di non conservarle oltre il necessario, possono convivere in modo coerente, senza che l'uno venga sacrificato all'altro.