I profili privacy dell'attività forense nella Relazione 2025 del Garante

I profili privacy dell'attività forense

nella Relazione 2025 del Garante

Premessa

Il 3 giugno 2026 il Garante per la protezione dei dati personali ha reso pubblica la Relazione annuale relativa all'attività svolta nel 2025. Come ogni anno, il documento restituisce una fotografia puntuale dell'azione dell'Autorità: pareri resi al legislatore, provvedimenti sanzionatori, ammonimenti, vicende di cronaca giudiziaria in cui il trattamento dei dati personali è stato oggetto di scrutinio. Ma la Relazione 2025 merita, per la classe forense, una lettura particolarmente attenta, perché in più punti l'attività dell'avvocato viene inquadrata non soltanto come professione regolata dal diritto, ma come attività essa stessa soggetta - salvo i limiti che l'ordinamento pone a tutela dell'indipendenza della funzione difensiva - alla disciplina del Regolamento (UE) 2016/679 e del Codice privacy.

Il taglio che si intende dare a questo contributo non è quello, pure legittimo, della sintesi generale del documento, quanto quello di isolare i passaggi della Relazione che toccano direttamente l'esercizio della professione forense: i casi in cui l'avvocato è stato sanzionato o ammonito come titolare del trattamento, i confini della competenza del Garante rispetto all'attività giurisdizionale e difensiva, il regime delle registrazioni di conversazioni utilizzate in giudizio, il ruolo degli Ordini forensi come titolari autonomi, e infine le ricadute pratiche - per lo studio legale e per il cittadino che ad esso si rivolge - di questo insieme di indicazioni.

1. Perché la Relazione riguarda da vicino l'avvocatura

Un equivoco ricorrente, anche tra professionisti esperti, è ritenere che l'attività forense sia sottratta in blocco alla disciplina sulla protezione dei dati personali, in ragione della sua natura difensiva e del rilievo costituzionale dell'art. 24 Cost. Non è così, o meglio: non lo è integralmente.

Il RGPD, all'art. 55, par. 3, e il Codice, all'art. 154, comma 7 (oltre all'art. 37 del d.lgs. n. 51/2018), sottraggono alla competenza del Garante i trattamenti effettuati dalle autorità giudiziarie nell'esercizio delle loro funzioni giurisdizionali, a presidio dell'indipendenza della magistratura. La Relazione 2025 conferma che tale esenzione si estende anche agli ausiliari del giudice - consulenti tecnici d'ufficio, custodi, cancellieri, ufficiali giudiziari, delegati alle vendite giudiziarie - che operano sotto la direzione e il controllo dell'autorità giudiziaria (artt. 61, 65, 68, 591-bis e 592 c.p.c.).

L'avvocato, tuttavia, non rientra in questo perimetro di esenzione. Quando tratta dati personali nell'esercizio della propria attività professionale - anche quando tale attività è funzionale alla difesa di un proprio assistito - l'avvocato agisce come titolare del trattamento ai sensi dell'art. 4, n. 7, RGPD, ed è pienamente soggetto agli obblighi che ne derivano: liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), minimizzazione (art. 5, par. 1, lett. c), sicurezza (art. 32) e, ovviamente, individuazione di un'idonea base giuridica ex art. 6. La Relazione 2025 offre, nel capitolo dedicato ai trattamenti in ambito giudiziario, tre casi concreti che meritano di essere analizzati singolarmente, perché fotografano altrettante situazioni di prassi quotidiana dello studio legale.

2. I casi sanzionati: quando lo studio legale sbaglia le "misure minime"

2.1. La PEC pervenuta ai colleghi d'ufficio

Con provvedimento 21 maggio 2025, n. 310 (doc. web n. 10167804), il Garante ha definito un reclamo presentato nei confronti di un avvocato che, nell'ambito di una procedura di pignoramento presso terzi, aveva inviato via e-mail documentazione contenente informazioni personali della reclamante anche ad altri dipendenti del medesimo ufficio, oltre al destinatario proprio della comunicazione. La comunicazione dei dati a soggetti ulteriori, privi di idonea base giuridica, ha integrato una violazione degli artt. 5, par. 1, lett. a), e 6 del RGPD, ed è stata definita con l'ammonimento del titolare.

Il caso è banale nella sua dinamica - un errore nella compilazione dei destinatari, verosimilmente per un "rispondi a tutti" poco meditato - ma è istruttivo proprio per questo: ricorda che l'obbligo di individuare correttamente il novero dei destinatari di una comunicazione professionale non è una formalità, ma un presidio sostanziale del principio di minimizzazione, la cui violazione è imputabile al titolare a prescindere dall'assenza di dolo.

2.2. Il link di condivisione senza restrizioni di accesso

Con provvedimento 18 dicembre 2025, n. 767 (doc. web n. 10216406), il Garante ha ammonito un avvocato che, nella presentazione di un esposto, aveva utilizzato un link di condivisione dei dati personali dei propri patrocinati senza attivare l'opzione di accesso ristretto, con la conseguenza che chiunque fosse venuto a conoscenza del link avrebbe potuto accedere ai documenti condivisi. L'Autorità ha ravvisato la violazione dell'art. 5, par. 1, lett. f), RGPD (integrità e riservatezza) e dell'art. 32 RGPD, che impone al titolare l'adozione di misure tecniche e organizzative adeguate al rischio - tra cui, richiama espressamente il provvedimento, pseudonimizzazione e cifratura dei dati, nonché la capacità di garantire riservatezza, integrità, disponibilità e resilienza dei sistemi di trattamento.

Questo caso è particolarmente rilevante nell'attuale contesto di digitalizzazione della professione forense: l'uso di piattaforme cloud di condivisione documentale (Google Drive, OneDrive, WeTransfer e analoghi) è ormai prassi diffusa negli studi legali, ma la Relazione ricorda che la comodità dello strumento non esonera dalla verifica delle impostazioni di sicurezza. Un link "pubblico" o privo di restrizioni configura, di per sé, una violazione dell'art. 32 RGPD, indipendentemente dal fatto che si sia effettivamente verificato un accesso non autorizzato.

2.3. La diffida inviata alla PEC istituzionale del destinatario

Con provvedimento 23 ottobre 2025, n. 629 (doc. web n. 10199088), il Garante ha ammonito un avvocato che aveva inviato una diffida riguardante questioni personali dell'interessato utilizzando l'indirizzo di posta elettronica istituzionale dell'ente presso cui il destinatario lavorava, anziché un recapito personale o l'indirizzo fisico. Ciò aveva consentito che dati personali del destinatario fossero conoscibili da terzi non legittimati, in particolare dal dipendente incaricato del controllo della casella PEC istituzionale condivisa. Il Garante ha precisato che l'interessato non era un professionista e, non essendo quindi tenuto per legge a dotarsi di un domicilio digitale, il suo indirizzo PEC personale non era reperibile in pubblici elenchi: da qui la violazione degli artt. 5, par. 1, lett. a), e 6 RGPD, per difetto di liceità, correttezza e trasparenza del trattamento.

Il principio che se ne ricava - e che vale la pena isolare per la prassi degli studi legali - è che la scelta del canale di comunicazione con la controparte, specie quando riguarda vicende personali estranee alla sfera professionale del destinatario, non è indifferente sul piano della protezione dei dati: occorre privilegiare recapiti riservati alla sfera privata dell'interessato, salvo che quest'ultimo sia tenuto per legge a un domicilio digitale conoscibile (come avviene, ad esempio, per i professionisti iscritti in albi e per le imprese).

3. Il limite della competenza del Garante: produzione di atti in giudizio

Accanto ai casi di sanzione, la Relazione richiama un profilo di segno opposto, altrettanto rilevante per la pratica processuale: nel 2025 sono stati presentati numerosi reclami concernenti la produzione di informazioni in giudizio, rispetto ai quali il Garante ha dichiarato, con provvedimento dirigenziale di archiviazione, la propria incompetenza, in applicazione dell'art. 160-bis del Codice. Tale disposizione stabilisce che la validità, l'efficacia e l'utilizzabilità nel procedimento giudiziario di atti, documenti e provvedimenti fondati su un trattamento di dati personali non conforme alla disciplina di protezione dei dati restano regolate dalle pertinenti disposizioni processuali, e non dal diritto della protezione dei dati.

Si tratta di un chiarimento importante per l'avvocato che si difende da un reclamo, o che intende valutare le proprie strategie difensive: l'eventuale non conformità "a monte" del trattamento che ha originato una prova non ne determina automaticamente l'inutilizzabilità processuale secondo le regole del RGPD, ma resta interamente affidata alle regole del processo (civile, penale, tributario) nel cui ambito la prova viene prodotta. È un principio di netta separazione tra i due piani - quello della responsabilità per il trattamento e quello dell'ammissibilità della prova - che la Relazione ribadisce con chiarezza.

4. Le registrazioni di conversazioni nell'attività difensiva

Un caso di particolare interesse tecnico-giuridico, trattato nella Relazione nell'ambito dei procedimenti relativi ai liberi professionisti, riguarda un provvedimento di ammonimento adottato nei confronti di due avvocati per operazioni di trattamento relative alla registrazione di una conversazione. La vicenda: uno dei due avvocati aveva trasmesso all'avvocato di due società la registrazione di una conversazione intrattenuta dal proprio cliente con il reclamante; la registrazione era stata utilizzata nell'ambito di un'opposizione all'omologazione di un concordato preventivo ex art. 180 legge fallimentare, di cui le società erano parti, ma alla quale il reclamante - pur creditore di una delle società coinvolte - non aveva preso parte come opponente.

Il Garante ha accertato che entrambi gli avvocati avevano agito come titolari del trattamento in concorso (art. 5, l. n. 675/1996, richiamata nel testo del provvedimento in relazione al vecchio impianto normativo), rilevando che il trattamento - la consegna e la successiva ricezione della registrazione, nella fase precedente alla produzione in giudizio - era avvenuto in assenza di un'idonea condizione di liceità, in violazione degli artt. 5, par. 1, lett. a), e 6 RGPD.

L'aspetto di maggior rilievo pratico riguarda tuttavia il perimetro della censura: l'istruttoria non ha riguardato la produzione in giudizio della registrazione in sé - operazione per cui, come visto, vale l'esclusione di competenza ex art. 160-bis del Codice - bensì la fase antecedente, cioè lo scambio della registrazione tra i due difensori al di fuori del procedimento in cui essa è stata prodotta. La Relazione ribadisce, richiamando un consolidato orientamento della Cassazione penale (tra le altre, Cass. pen. 8 giugno 1999, n. 7239; Cass. pen. 16 marzo 2011, n. 31342; Cass. pen., sez. III, 13 maggio 2011, n. 18908; Cass. pen., sez. III, 3 ottobre 2012, n. 43898; Cass. pen. 8 marzo 2024, n. 10079), che la registrazione di una conversazione tra presenti è pienamente legittima quando effettuata da uno degli interlocutori per finalità di tutela di un proprio diritto in giudizio, purché la registrazione non sia destinata alla diffusione o alla comunicazione sistematica a soggetti estranei alla vicenda - principio sintetizzato dalla stessa Cassazione nella formula per cui "chi conversa accetta il rischio che la conversazione sia documentata mediante registrazione".

Per l'avvocato che riceve, utilizza o trasmette registrazioni di conversazioni nell'ambito della propria attività difensiva, la Relazione offre dunque un criterio operativo chiaro: la legittimità della registrazione in sé (fatta da un interlocutore, per finalità difensiva, non sistematicamente diffusa) non esime dalla necessità di valutare, separatamente, la liceità di ogni ulteriore trasmissione della registrazione a soggetti - anche altri difensori - che non siano parte del rapporto originario o del procedimento cui la prova è specificamente destinata.

5. Gli Ordini forensi come titolari del trattamento

La Relazione dedica un passaggio specifico anche agli Ordini professionali, di sicuro interesse per i Consigli dell'Ordine e per i loro componenti. Con provvedimento 23 ottobre 2025, n. 625 (doc. web n. 10196142), il Garante ha sanzionato un ordine territoriale degli avvocati che aveva pubblicato sul proprio sito istituzionale un documento, redatto dal locale tribunale, contenente l'elenco di tredici procedimenti giudiziari penali, con il numero di fascicolo, i dati identificativi di diciotto imputati, i nominativi di quattro avvocati difensori, l'imputazione, lo stato del procedimento, la data dell'udienza e il giudice competente. Pur riconoscendo che la diffusione era stata originata da un errore umano nel difficile periodo pandemico, il Garante ha ritenuto violati gli artt. 5, par. 1, lett. a), 6, parr. 1 lett. c) ed e), 2 e 3, e 10 del RGPD, oltre agli artt. 2-ter e 2-octies del Codice (questi ultimi relativi al trattamento di dati giudiziari), irrogando la sanzione nei confronti dell'Ordine.

Il caso si affianca, nella Relazione, a episodi analoghi che hanno coinvolto altri Ordini professionali - un ordine provinciale delle professioni infermieristiche che aveva pubblicato online, per errore materiale, l'indirizzo di residenza di tutti gli iscritti (provv. 9 ottobre 2025, n. 585); un altro ordine il cui sito consentiva l'accesso libero al pannello di controllo dei dati di tutti i professionisti iscritti, per assenza di procedure di autenticazione (provv. 23 giugno 2025, n. 362); un ordine regionale degli psicologi vittima di un attacco ransomware, con conseguente esfiltrazione e pubblicazione sul dark web di dati relativi a iscritti sottoposti a procedimenti disciplinari e a pazienti, anche minori (provv. 29 aprile 2025, n. 271). Pur riguardando categorie professionali diverse, questi casi delineano un quadro di rischio comune - gestione di albi, di procedimenti disciplinari e di siti istituzionali - che riguarda con la medesima intensità gli Ordini forensi, chiamati a un adeguamento delle proprie misure di sicurezza informatica (autenticazione, cifratura, verifica preventiva dei contenuti pubblicati) proporzionato alla delicatezza dei dati custoditi, spesso comprensivi di dati giudiziari e disciplinari.

6. Il marketing verso gli iscritti all'albo: il limite dell'art. 130 del Codice

Un ultimo profilo, meno "drammatico" ma di rilievo quotidiano per gli studi legali strutturati e per le società che erogano servizi ai professionisti (formazione, software, servizi accessori), riguarda le comunicazioni promozionali indirizzate agli iscritti agli albi professionali. La Relazione riporta il caso di una società accreditata presso il Consiglio nazionale forense che aveva inviato comunicazioni promozionali relative a corsi di formazione, ritenendo di poter fondare il trattamento sul legittimo interesse. Il Garante ha ribadito un principio netto: quando la finalità della comunicazione è promozionale e il canale utilizzato è un mezzo di comunicazione elettronica, si applica l'art. 130 del Codice, quale lex specialis rispetto al Regolamento, e in tale ambito il legittimo interesse non è mai una base giuridica utilizzabile, non essendo contemplato dall'art. 13 della direttiva 2002/58/CE che l'art. 130 recepisce. Il caso è stato qualificato come violazione minore, con ammonimento, in ragione delle circostanze attenuanti (assenza di danno, tempestivo recepimento dell'opposizione, dimensioni ridotte del titolare). Analoga violazione è stata riscontrata nell'invio di e-mail promozionali a professionisti iscritti all'albo degli avvocati, i cui recapiti erano stati estratti dal relativo elenco pubblico, in assenza di un idoneo presupposto di liceità.

Per lo studio legale che promuove i propri servizi, o per il singolo professionista che riceve tali comunicazioni, il principio ha una doppia valenza: da un lato segnala che l'estrazione di recapiti da elenchi pubblici (compreso l'albo forense) non legittima, di per sé, l'invio di comunicazioni commerciali via e-mail o PEC, se non nei limiti del c.d. soft spam di cui all'art. 130, comma 4, del Codice (rapporto di clientela pregressa, prodotti o servizi analoghi, diritto di opposizione); dall'altro, offre all'avvocato destinatario di tali comunicazioni un fondamento chiaro per contestarne la liceità in caso di assenza di consenso o di un rapporto contrattuale pregresso.

7. Alcune indicazioni operative per lo studio legale

Dalla lettura sistematica dei casi sopra illustrati emergono alcune linee di adeguamento che è opportuno segnalare, in chiave preventiva, agli studi legali e ai singoli professionisti:

- controllo dei destinatari nelle comunicazioni via PEC ed e-mail, con particolare attenzione alle comunicazioni multiple e agli inoltri automatici che possano coinvolgere soggetti privi di titolo a ricevere i dati (caso del pignoramento presso terzi);

- verifica delle impostazioni di sicurezza nei sistemi di condivisione documentale, evitando link di condivisione privi di restrizione di accesso, e valutando l'adozione di cifratura e, ove opportuno, pseudonimizzazione dei documenti scambiati (art. 32 RGPD);

- scelta ponderata del canale di comunicazione con la controparte, privilegiando recapiti personali - specie per le persone fisiche non tenute per legge a un domicilio digitale pubblico - quando la comunicazione riguardi vicende della sfera privata del destinatario;

- cautela nella circolazione di registrazioni e materiale probatorio raccolto da terzi, distinguendo tra la fase di raccolta/trasmissione (soggetta al RGPD) e la fase di produzione in giudizio (regolata dalle norme processuali ex art. 160-bis del Codice);

- adeguate misure di sicurezza informatica per i siti istituzionali degli Ordini forensi e degli studi associati, con particolare riguardo a procedure di autenticazione robuste e a controlli preventivi sui contenuti pubblicati, specie quando riguardino dati giudiziari o disciplinari;

- verifica della base giuridica per le comunicazioni promozionali indirizzate a colleghi o clienti tramite PEC o e-mail, tenendo presente che il legittimo interesse non è invocabile nell'ambito applicativo dell'art. 130 del Codice.

8. Un cenno per il cittadino-cliente

Il taglio prevalentemente tecnico di questo contributo non deve far perdere di vista un destinatario ulteriore, cui la Relazione stessa si rivolge indirettamente: il cittadino che si affida a uno studio legale per la tutela dei propri interessi.

I casi esaminati confermano che anche l'avvocato, come qualunque altro titolare del trattamento, è responsabile della corretta gestione dei dati che il cliente - o la controparte - gli affida nel corso di una vicenda spesso già di per sé delicata (un pignoramento, una diffida, un procedimento disciplinare, un concordato preventivo). Il cliente ha quindi titolo per attendersi dal proprio difensore non solo competenza tecnico-giuridica, ma anche un utilizzo attento e proporzionato dei propri dati personali, e - in caso di violazione - può rivolgersi al Garante con reclamo, secondo le medesime modalità previste per qualunque altro titolare del trattamento, fatti salvi gli ambiti di esenzione legati alla funzione giurisdizionale in senso stretto.

Conclusioni

La Relazione 2025 del Garante conferma un dato che la classe forense non può più permettersi di sottovalutare: l'attività dell'avvocato, quando comporta trattamento di dati personali, è pienamente soggetta alla disciplina di protezione dei dati, salvo le limitate ipotesi - proprie dell'esercizio della funzione giurisdizionale in senso stretto e dell'attività degli ausiliari del giudice - in cui il legislatore ha inteso porre un presidio di indipendenza. Per il resto, la gestione della corrispondenza, la condivisione di documenti, la scelta dei canali di comunicazione, la circolazione di materiale probatorio raccolto da terzi e le comunicazioni promozionali verso colleghi e clienti restano governate dalle regole ordinarie del RGPD e del Codice, con margini di responsabilità che i casi del 2025 dimostrano tutt'altro che teorici. Un adeguamento organizzativo mirato - spesso a costo contenuto, come dimostra la natura "procedurale" più che economica delle criticità riscontrate - rappresenta oggi, per lo studio legale, non solo un adempimento normativo, ma un elemento di qualità del servizio reso al cliente.

12 agosto 2026

Avv. Maurizio Reale