Mettendo a confronto il provvedimento del Garante n. 60 del 2008, contenuto nell’allegato A6 del decreto legislativo 196/2003, con quello pubblicato in Gazzetta Ufficiale il 15 gennaio scorso, immediatamente si evince che la struttura delle nuove regole deontologiche ricalca esattamente quella delle precedenti, eccezione fatta per quelle parti in cui vengono citati i riferimenti alle norme del decreto legislativo 196/2003 abrogate dal decreto legislativo 101/2018.

Ciò significa che l’avvocato diligente e rispettoso, da sempre, della normativa sul trattamento dei dati personali, non ha nulla da temere a seguito dell’entrata in vigore del nuovo Regolamento posto che la disciplina non fa altro che ribadire principi già noti.

Le modalità di trattamento

L’articolo 2 comma 1, dedicato alle modalità di trattamento, dispone che “L’avvocato organizza il trattamento anche non automatizzato dei dati personali secondo le modalità che risultino più adeguate, caso per caso, a favorire in concreto l’effettivo rispetto dei diritti, delle libertà e della dignità degli interessati, applicando i princìpi di finalità, proporzionalità e minimizzazione dei dati sulla base di un’attenta valutazione sostanziale e non formalistica delle garanzie previste, nonché di un’analisi della quantità e qualità delle informazioni che utilizza e dei possibili rischi”.

Viene precisato che se i dati sono trattati per esercitare il diritto di difesa in sede giurisdizionale, ciò può avvenire anche prima della pendenza di un procedimento, sempreché i dati medesimi risultino strettamente funzionali all'esercizio del diritto di difesa, in conformità ai principi di liceità, proporzionalità e minimizzazione dei dati rispetto alle finalità difensive (art. 5 del Regolamento UE 2016/679).

Il comma 6 dell’articolo 2 prevede poi che devono considerarsi utilizzati lecitamente e secondo correttezza secondo i medesimi principi di cui all’art. 5 del Regolamento (UE) 2016/679:

a) i dati personali contenuti in pubblici registri, elenchi, albi, atti o documenti conoscibili da chiunque, nonché in banche di dati, archivi ed elenchi, ivi compresi gli atti dello stato civile, dai quali possono essere estratte lecitamente informazioni personali riportate in certificazioni e attestazioni utilizzabili a fini difensivi;

b) atti, annotazioni, dichiarazioni e informazioni acquisite nell'ambito di indagini difensive, in particolare ai sensi degli articoli 391-bis, 391-ter e 391-quater del codice di procedura penale, evitando l'ingiustificato rilascio di copie eventualmente richieste. Se per effetto di un conferimento accidentale, anche in sede di acquisizione di dichiarazioni e informazioni ai sensi dei medesimi articoli 391-bis, 391-ter e 391-quater, sono raccolti dati eccedenti e non pertinenti rispetto alle finalità difensive, tali dati, qualora non possano essere estrapolati o distrutti, formano un unico contesto, unitariamente agli altri dati raccolti.

Appare evidente la volontà del Garante di consentire l’utilizzo di dati per i quali è la legge a prevederne e disporne la pubblicità legale mentre, da tale utilizzo, dovrebbero rimanere estromessi quelli presenti in internet ove non sia una norma a disporne, con quel mezzo, la pubblicità.    

Chi è qualificabile, nello studio legale, titolare del trattamento?

Il comma 2 dell’articolo 2 evidenzia che la figura del Titolare dovrà essere individuata, a seconda dei casi, in:

a) un singolo professionista;

b) una pluralità di professionisti, codifensori della medesima parte assistita o che, anche al di fuori del mandato di difesa, siano stati comunque interessati a concorrere all’opera professionale quali consulenti o domiciliatari;

c) un’associazione tra professionisti o una società di professionisti.

Il Garante, già con il chiarimento del 3 giugno 2004 n. protocollo 22457, inviato al Consiglio Nazionale Forense, aveva precisato che:

– “il titolare del trattamento è il soggetto cui competono le decisioni di fondo in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”;

– “quando l´attività professionale è prestata individualmente, il titolare del trattamento è la persona fisica dell´avvocato esercente. Ad analoga conclusione deve giungersi nel caso di attività svolta congiuntamente da due professionisti, i quali assumono in questa ipotesi la qualità di contitolari del medesimo trattamento”;

– “quando, invece, l´attività è svolta in forma societaria o da un´associazione professionale o da una società tra avvocati, il titolare è l´entità nel suo complesso. In questo caso, gli adempimenti previsti dal Codice vanno pertanto attuati in termini unitari, evitando la loro frammentazione o ripetizione a cura dei singoli professionisti.”.

Anche con il vigente Regolamento, titolare del trattamento, tra le altre figure, sarebbe, quindi, anche quella del domiciliatarioart. 28 GDPR individuata da una parte considerevole della dottrina.

Da quanto appena trascritto, credo sia evidente come, in assenza di una specifica analisi da farsi nel concreto e, quindi, caso per caso, sia difficile se non impossibile identificare quale delle figure debba essere attribuita a quel determinato professionista alle prese con il trattamento dei dati; non possono esistere modelli preconfezionati da indossare dovendosi, invece, avere riguardo, nello specifico, al ruolo e alle attività effettivamente svolte.

L’avvocato deve dare istruzioni per iscritto alle persone autorizzate

Il Regolamento prevede, in capo al professionista, l’obbligo di dare, per iscritto, adeguate istruzioni alle persone da lui autorizzate relativamente al modo in cui i dati devono essere trattati; più precisamente deve formulare concrete indicazioni in ordine alle modalità che tali soggetti devono osservare, a seconda del loro ruolo da svolgere:

• sostituto processuale;
• praticante avvocato (con o senza abilitazione al patrocinio);
• consulente tecnico di parte, perito, investigatore privato o altro ausiliario che non rivesta la qualità di autonomo titolare del trattamento, nonché di tirocinante, stagista o di persona addetta a compiti di collaborazione amministrativa.

L’avvocato dovrà, quindi, predisporre POLICY ossia regole, linee di condotta, dal contenuto che potrebbe essere diverso a seconda del destinatario delle stesse e delle attività che quest’ultimo dovrà compiere.

Le regole deontologiche pubblicate in Gazzetta Ufficiale il 15 gennaio 2019, ribadiscono e ripropongono, a proposito dell’informativa che l’avvocato deve dare al proprio cliente, il contenuto dell’articolo 3 del provvedimento n. 60 del Garante del 6 novembre 2008, con ciò continuando a favorirne e agevolarne il compito, posto che “l'avvocato può fornire in un unico contesto, anche mediante affissione nei locali dello Studio e, se ne dispone, pubblicazione sul proprio sito Internet, anche utilizzando formule sintetiche e colloquiali, l'informativa sul trattamento dei dati personali (art. 13 del Regolamento) e le notizie che deve indicare ai sensi della disciplina sulle indagini difensive.”.

Sul punto appare evidente, però, che debbano farsi le dovute distinzioni ed eccezioni in quanto, ad esempio, l’avvocato diligente e rispettoso del principio della accountability, dovrà verificare se, a seconda del cliente che a lui si rivolge, possano o meno, le modalità di informativa contenute nell’articolo 3 sopra trascritto, ritenersi tanto idonee quanto sufficienti ad assolverne il correlato obbligo. A tal proposito l’ipotesi di scuola è quella dell’avvocato consapevole di avere come cliente una persona analfabeta, non in grado di leggere o comunque con un grado di istruzione talmente limitato da poter ritenere, con la media diligenza, l’assoluta incapacità di comprenderne il contenuto oppure quella del cliente non vedente o comunque con percezione ottico – visiva ridottissima.

Cosa accade al termine di un grado di giudizio o in caso di cessazione dello svolgimento di un incarico?

La definizione di un grado di giudizio o la cessazione dello svolgimento di un incarico non comportano un'automatica dismissione dei dati.

Definito il procedimento o giunto (anche prematuramente) a termine il mandato (revoca – rinuncia), atti e documenti attinenti all'oggetto della difesa o delle investigazioni difensive possono essere conservati, in originale o in copia e anche in formato elettronico, ove ciò sia necessario in relazione a ipotizzabili altre esigenze difensive del cliente o del difensore, ferma restando la loro utilizzazione in forma anonima per finalità scientifiche. La valutazione è effettuata tenendo conto della tipologia dei dati. Se è prevista una conservazione per adempiere a un obbligo normativo, anche in materia fiscale e di contrasto della criminalità, sono custoditi i soli dati personali effettivamente necessari per adempiere al medesimo obbligo. Nel rispetto di quanto dettato dal codice deontologico forense relativamente alla restituzione al cliente dell'originale degli atti da questi ricevuti, e salvo quanto diversamente stabilito dalla legge, l’avvocato può, previa comunicazione al cliente, distruggere, cancellare o consegnare all'avente diritto o ai suoi eredi o aventi causa la documentazione integrale dei fascicoli degli affari trattati e le relative copie mentre, in caso di revoca o di rinuncia al mandato fiduciario o del patrocinio, è fatto al medesimo obbligo di consegnare la documentazione acquisita, in originale se cosi detenuta, al difensore che subentrerà formalmente nella difesa.

E’ poi il comma 4 dell’articolo 4 a disporre che la titolarità del trattamento non cessa per il solo fatto della sospensione o cessazione dell'esercizio della professione e che, in caso di cessazione anche per sopravvenuta incapacità e qualora manchi un altro difensore anche succeduto nella difesa o nella cura dell'affare, la documentazione dei fascicoli degli affari trattati, decorso un congruo termine dalla comunicazione all'assistito, è consegnata al Consiglio dell'ordine di appartenenza ai fini della conservazione per finalità difensive.

La questione dell’informativa in caso di utilizzo di dati raccolti presso terzi

Le nuove regole deontologiche vengono interamente private del preambolo che caratterizzava quelle emanate dal Garante ed entrate in vigore il 1 gennaio 2009 (provvedimento del Garante n. 60 del 6 novembre 2008, Gazzetta Ufficiale 24 novembre 2008, n. 275) nel quale per gli avvocati veniva espressamente previsto l’esonero dal rendere l’informativa in caso di utilizzo di dati personali in giudizio anche se raccolti presso terziRegolamento Europeo 2016/679Considerando 62.

Infatti l’articolo 14 GDPR, che si occupa di indicare le informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato, prevede che tali informazioni non debbano essere fornite se:

a) l'interessato già ne dispone;

b) comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; in particolare per il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatte salve le condizioni e le garanzie di cui all'articolo 89, paragrafo 1, o nella misura in cui l'obbligo di cui al paragrafo 1 del presente articolo rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, anche rendendo pubbliche le informazioni;

c) l'ottenimento o la comunicazione sono espressamente previsti dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell'interessato;

d) i dati personali debbano rimanere riservati conformemente a un obbligo di segreto professionale disciplinato dal diritto dell'Unione o degli Stati membri, compreso un obbligo di segretezza previsto per legge;

mentre il Considerando 62 dispone che non è necessario imporre l'obbligo di fornire l'informazione se

1) l'interessato dispone già dell'informazione,

2) la registrazione o la comunicazione dei dati personali sono previste per legge,

3) informare l'interessato si rivela impossibile o richiederebbe uno sforzo sproporzionato.

Lo stesso Consiglio Nazionale Forense, a pagina 9 della pubblicazione “Il GDPR e l’Avvocato” presente nel sito istituzionale, afferma che “per gli avvocati il par. 5 dell'art. 14 prevede un'esenzione in virtù della necessità di preservare il segreto professionale: così è ad esempio il caso in cui il cliente trasmette informazioni e dati della controparte.”.

A beneficio delle Colleghe e dei Colleghi si rammenta altresì che il Garante, come comunicato il 21 dicembre 2018, ha individuato le prescrizioni contenute nelle autorizzazioni generali al trattamento dei dati adottate nel 2016 ancora compatibili con il nuovo Regolamento europeo in materia (GDPR) e con la recente riforma del Codice della privacy; in base all’analisi effettuata, tra le autorizzazioni generali che hanno cessato completamente i loro effetti, vi è anche la n. 4/2016 – trattamento dei dati sensibili da parte dei liberi professionisti ma, anche in questa ipotesi, credo e ritengo che venga in nostro soccorso il Regolamento 2016/679 con il contenuto del Considerando 52 il quale dispone che  “la deroga al divieto di trattare categorie particolari di dati personali dovrebbe essere consentita anche quando è prevista dal diritto dell'Unione o degli Stati membri, fatte salve adeguate garanzie, per proteggere i dati personali e altri diritti fondamentali, laddove ciò avvenga nell'interesse pubblico, in particolare il trattamento dei dati personali nel settore del diritto del lavoro e della protezione sociale, comprese le pensioni, e per finalità di sicurezza sanitaria, controllo e allerta, la prevenzione o il controllo di malattie trasmissibili e altre minacce gravi alla salute. Tale deroga può avere luogo per finalità inerenti alla salute, compresa la sanità pubblica e la gestione dei servizi di assistenza sanitaria, soprattutto al fine di assicurare la qualità e l'economicità delle procedure per soddisfare le richieste di prestazioni e servizi nell'ambito del regime di assicurazione sanitaria, o a fini di archiviazione nel pubblico interesse o di ricerca scientifica o storica o a fini statistici. La deroga dovrebbe anche consentire di trattare tali dati personali se necessario per accertare, esercitare o difendere un diritto, che sia in sede giudiziale, amministrativa o stragiudiziale.”.