Una premessa che vale per tutto l'articolo: il GDPR non è un modulo da compilare una volta, è un modo di gestire i dati nel tempo. Lo studio professionale è un bersaglio appetibile proprio perché concentra, in pochi computer, i dati di centinaia di clienti. Chi attacca lo sa: violare uno studio significa mettere le mani su decine di aziende a valle. Per questo gli errori che seguono non sono cavilli formali — sono le crepe da cui passa il danno vero, economico e reputazionale.
Errore 1 — Il registro dei trattamenti non esiste (o è un modello copiato)
Il registro delle attività di trattamento (art. 30 GDPR) è il documento da cui parte tutto: dice quali dati tratti, perché, dove finiscono e per quanto li tieni. Negli studi succedono due cose, entrambe sbagliate: o il registro non c'è proprio, oppure è un fac-simile scaricato da internet che descrive uno studio generico, non il tuo.
Il problema pratico è che senza un registro veritiero non sai cosa devi proteggere. Non puoi mettere in sicurezza dati che non hai mai mappato. Il rimedio non è un tomo: è una tabella onesta — gestionale di contabilità, software paghe, posta elettronica, archivio cartaceo, cloud documentale, eventuale videosorveglianza — in cui per ogni voce scrivi finalità, categorie di dati, dove sono conservati e per quanto tempo. Mezza giornata di lavoro fatto bene vale più di cinquanta pagine copiate.
Errore 2 — Basi giuridiche e informative sbagliate (il consenso usato a caso)
L'equivoco più diffuso è pensare che ogni trattamento richieda il consenso del cliente. Quasi mai è così. Quando un commercialista tiene la contabilità o un avvocato segue una causa, la base giuridica è il contratto (e spesso un obbligo di legge): chiedere il consenso è non solo inutile, ma fuorviante, perché il consenso è revocabile e tu quei dati devi trattarli comunque per erogare la prestazione.
Il risultato di questa confusione sono informative generiche, identiche per tutti, che non reggono a un controllo. L'informativa giusta dice in modo chiaro chi sei, quali dati tratti, su quale base, per quanto tempo li conservi e quali diritti ha l'interessato. Il consenso esplicito va tenuto per ciò che davvero lo richiede — per esempio l'invio di una newsletter o comunicazioni promozionali — e va separato dal resto. Meno moduli, ma corretti.
Errore 3 — I fornitori esterni senza nomina a responsabile
Questo è l'errore più sottovalutato e, paradossalmente, quello che il Garante verifica volentieri. Ogni soggetto esterno che tratta dati per conto tuo deve essere nominato responsabile del trattamento con un contratto ai sensi dell'art. 28. E i fornitori sono molti più di quanti pensi:
- il fornitore del gestionale in cloud (contabilità, paghe, pratiche);
- il servizio di posta elettronica e archiviazione documentale — se usi Microsoft 365, il contratto con le condizioni sul trattamento dati esiste già e va conservato;
- il consulente IT o l'MSP che amministra i tuoi sistemi e quindi può accedere ai dati;
- chi gestisce per te backup, conservazione sostitutiva o invio massivo di email.
Senza queste nomine, in caso di problema la responsabilità ricade interamente su di te, anche se l'errore l'ha commesso il fornitore. Il rimedio è una semplice ricognizione: elenca chi tocca i tuoi dati e verifica che per ognuno esista l'atto di nomina o le clausole equivalenti. È un pomeriggio di ordine, non un progetto.
Errore 4 — I dati lasciati senza protezione tecnica reale
Si può avere la carta in perfetto ordine e i dati comunque esposti, perché il GDPR chiede anche misure tecniche adeguate (art. 32). Negli studi le falle ricorrenti sono sempre le stesse:
- Account condivisi — tutti entrano nel gestionale con lo stesso utente. Così non sai mai chi ha fatto cosa, e basta una persona che esce dallo studio per dover cambiare tutto.
- Niente secondo fattore — la posta e i gestionali protetti dalla sola password. È la porta più usata dai criminali: attivare l'MFA chiude oltre il 99% degli attacchi automatizzati agli account.
- Dati sensibili inviati in chiaro per email — buste paga, referti, visure spedite come allegato senza alcuna protezione. Servono canali sicuri o file protetti da password comunicata a parte.
- Backup assente o mai verificato — un attacco ransomware o un guasto possono cancellare anni di pratiche in un istante. Vale la regola 3-2-1-1-0: più copie, una offline, e soprattutto ripristini testati. Un backup mai provato è un backup che non esiste.
- Dispositivi non gestiti — notebook e telefoni personali con i dati dello studio, senza cifratura del disco né possibilità di blocco da remoto se vengono persi. Strumenti come Microsoft Intune e Defender mettono ordine senza appesantire chi lavora.
Nessuna di queste misure è esotica: sono le fondamenta dell'igiene digitale di uno studio. Mancano quasi sempre per abitudine, non per costo.
Errore 5 — Nessuna procedura per il data breach
Quando qualcosa va storto — un'email truffa che ruba le credenziali, un portatile rubato, un ransomware — il GDPR concede 72 ore per notificare la violazione al Garante, quando ne ricorrono i presupposti. Settantadue ore sono pochissime se in quel momento devi ancora capire cosa fare, chi chiamare e quali dati siano coinvolti.
Eppure quasi nessuno studio ha una procedura scritta. Ne basta una di una pagina: chi viene avvisato per primo, chi valuta la gravità, chi contatta il consulente IT, come si documenta l'accaduto e quando scatta la notifica. Sapere in anticipo questi passaggi è ciò che distingue un incidente gestito da una crisi. Lo abbiamo raccontato in dettaglio in Data breach: i primi 30 minuti che fanno la differenza: i primi gesti contano più di tutto il resto. E poiché quasi ogni breach inizia da un clic sbagliato, vale la pena ripassare i segnali del phishing con tutto lo studio, praticanti e segreteria compresi.
In sintesi
Per uno studio professionale il GDPR non è un esame da superare una volta, ma il modo in cui custodisci la fiducia dei tuoi clienti. I cinque errori più comuni — registro assente, basi giuridiche sbagliate, fornitori non nominati, protezioni tecniche mancanti, nessuna procedura per il breach — hanno tutti un rimedio concreto e proporzionato. Non serve burocrazia in più: serve mettere in fila le cose giuste una volta e tenerle vive nel tempo. Il vantaggio, oltre a essere in regola, è dormire sonni tranquilli sapendo che i dati di chi si è affidato a te sono davvero protetti.
Se vuoi capire a che punto è il tuo studio, scrivici: facciamo una verifica pratica dei tuoi trattamenti, dei fornitori da nominare e delle protezioni tecniche su posta, gestionali, dispositivi e backup. Niente documentazione fine a sé stessa — solo ciò che serve a tenere al sicuro i dati dei tuoi clienti e a non farti trovare impreparato.
Articoli collegati: Data breach: i primi 30 minuti che fanno la differenza · MFA: perché è obbligatorio e come implementarlo · NIS2: cosa cambia per la tua azienda