L'attualità in pratica
DEONTOLOGIA · RISERVATEZZA
Copilota giuridico e segreto professionale: che cosa impegna uno studio che lo adotta
Il vostro contratto con il fornitore contiene una clausola di riservatezza, ed è ben redatta. Non risponde tuttavia alla domanda che il segreto professionale pone.
Per studi che adottano un copilota giuridico su pratiche coperte dal segreto, e per direzioni legali soggette a un obbligo di riservatezza equivalente. Che cosa organizza una clausola, che cosa non può coprire, e che cosa si verifica invece.
Il contratto che avete firmato per adottare un copilota giuridico contiene un impegno di riservatezza, un divieto di utilizzare i vostri dati per altre finalità, una penale e un regime di responsabilità. È stato riletto da chi conosce il diritto dei contratti, ed è valido. La domanda da porsi non è se sia ben redatto, ma se riguardi ciò che il segreto professionale esige. Non lo riguarda, e questa distinzione non è teorica.
Che cosa organizza una clausola di riservatezza
Va detto senza condiscendenza, perché il ragionamento che segue viene talvolta presentato come una squalifica del contratto, e non lo è: un impegno serio con un fornitore serio costituisce una protezione reale, e l'assenza di tale impegno sarebbe una colpa.
Una clausola di riservatezza è un meccanismo di responsabilità: organizza la riparazione di una violazione. È la sua funzione, la svolge correttamente, e tratta efficacemente la quasi totalità dei rischi contrattuali che uno studio incontra.
Produce tre effetti utili: dissuade, attribuendo un costo alla violazione; indennizza, se la violazione si verifica; e consente di risolvere. Tutti e tre presuppongono che l'inadempimento sia avvenuto e sia accertato.
Che cosa esige il segreto professionale
Non si tratta di un'obbligazione di risultato accompagnata da un risarcimento. La violazione del segreto è, in sé, il danno: non è una perdita economica che un'indennità potrebbe compensare, è la rottura di ciò che fonda il rapporto tra un avvocato e il proprio cliente.
La conseguenza pratica è diretta. Uno studio la cui informazione coperta dal segreto sia circolata non è ripristinato da una penale. Il fornitore paga, lo studio è indennizzato, e nulla di ciò che è accaduto viene cancellato, né per il cliente né per l'avvocato rispetto al proprio obbligo.
L'obbligo grava peraltro sull'avvocato e non sul fornitore: una violazione impegna lo studio davanti al proprio ordine e al proprio cliente, quale che sia la responsabilità contrattuale del terzo per fatto del quale essa si sia verificata. Il ricorso contro il fornitore è questione distinta e successiva.
Una clausola organizza ciò che accade dopo una divulgazione. Il segreto professionale riguarda ciò che non deve accadere.
Perché i due non coincidono
Alla differenza di natura si aggiunge una difficoltà probatoria di cui si parla poco. Per attivare una clausola occorre accertare che una divulgazione sia avvenuta, il che presuppone scoprirla.
Ora, la circolazione di un'informazione non è quasi mai rilevabile dall'esterno. Uno studio che apprende di una fuga di dati lo apprende dalle sue conseguenze, spesso mesi dopo, e senza poter risalire alla fonte tra le numerose mani per le quali la pratica è passata.
Una protezione la cui attivazione presupponga di rilevare l'evento che essa sanziona offre dunque meno di quanto la sua redazione lasci intendere. Non è un difetto della clausola: è il limite dell'approccio contrattuale applicato a questo tipo di obbligo.
La questione dei subfornitori a valle
Una difficoltà particolare sfugge integralmente al ragionamento contrattuale, ed è sistematica: il fornitore con cui lo studio contratta non esegue quasi mai da solo.
Ricorre a un fornitore di hosting, spesso a un fornitore di modello, talvolta a fornitori di infrastruttura o di supervisione. Tali terzi non sono parti del contratto dello studio e gli sono vincolati soltanto attraverso la catena dei contratti a monte.
Una clausola ben redatta impone al fornitore di far sottoscrivere i medesimi impegni ai propri prestatori, il che è necessario e risolve soltanto una parte del problema: organizza una responsabilità a cascata senza ridurre il numero di luoghi attraverso i quali l'informazione transita. Il numero di anelli conta dunque quanto la loro solidità, ed è questione di fatto.
Che cosa si verifica invece
La domanda decisiva riguarda i fatti anziché gli impegni: che cosa esce effettivamente dallo studio, e dove va? Si scompone in quattro punti, applicabili a qualsiasi fornitore.
Quali dati lasciano l'infrastruttura dello studio, e in quale forma: il documento intero, un estratto, una versione pseudonimizzata, una rappresentazione derivata, metadati?
Dove sono trattati fisicamente, e sotto quale giurisdizione si trovano tali installazioni?
Per quanto tempo vi permangono, e che cosa resta dopo il trattamento?
Chi, presso il fornitore e i suoi prestatori, può tecnicamente accedervi, e come tale accesso è tracciato?
Una quinta domanda si impone quando il fornitore impiega un procedimento di pseudonimizzazione, il che è frequente: dove è conservata la tabella di corrispondenza, e chi detiene la chiave che consente di leggerla?
La risposta determina il valore del procedimento. Sostituire nomi, società e indirizzi con identificativi opachi riduce fortemente ciò che un terzo potrebbe trarre da una fuga, a condizione che la corrispondenza sia cifrata e che la chiave non sia conservata insieme ai dati cifrati. Se entrambe si trovano nello stesso luogo e sono accessibili alle stesse persone, il procedimento aggiunge un passaggio senza aggiungere una barriera.
Una parola sul lessico, che qui non è questione di stile. L'anonimizzazione è per definizione irreversibile; un procedimento che consenta di ripristinare gli elementi identificativi è una pseudonimizzazione, ed è necessariamente il caso in materia giuridica poiché l'elaborato finale deve recare i nomi reali. Un fornitore che impieghi il termine anonimizzazione per un dispositivo reversibile descrive male ciò che fa, e l'imprecisione merita di essere rilevata.
Queste cinque risposte descrivono uno stato di fatto. Si verificano, non dipendono dalla buona fede di alcuno, e devono essere ottenute per iscritto e sottoscritte da chi impegna il fornitore.
Il contratto riacquista allora tutta la propria utilità, su un altro oggetto: imporre la notifica preventiva di ogni modifica che incida sul trattamento o sulla localizzazione dei dati, con diritto di recesso. Non protegge il segreto, protegge la conoscenza che lo studio ha del proprio dispositivo.
Che cosa il cliente può legittimamente chiedere
Un punto merita di essere anticipato, perché ormai arriva per iscritto: il cliente che interroga il proprio consulente sulle modalità di trattamento della propria pratica.
La richiesta è legittima e richiede una risposta fattuale. Ciò che uno studio può utilmente dire sta in tre elementi: quali trattamenti sono effettuati, dove, e chi ne risponde. Ciò che non dovrebbe dire è il dettaglio degli strumenti impiegati, che cambia ogni anno e lo impegna su uno stato di fatto che non controlla.
La richiesta proviene il più delle volte da una direzione legale, e assume la forma di un questionario scritto inviato a un intero elenco di consulenti. È un documento archiviato che richiede risposte in caselle, non una conversazione in cui si possa sfumare.
Una risposta preparata a freddo, approvata dai soci e conservata come risposta tipo, vale più di una formulazione improvvisata che varierà da cliente a cliente e le cui versioni successive finiranno per essere confrontate.
Il segreto all'interno dello studio
Un punto è regolarmente omesso perché non riguarda alcun terzo: l'accesso interno.
Un sistema che dia all'intero studio una visione su tutte le pratiche crea una difficoltà rispetto al segreto indipendentemente da qualsiasi uscita di dati. I perimetri che uno studio mantiene tra i propri team, per ragioni deontologiche o di prevenzione dei conflitti di interesse, devono essere riprodotti in modo identico dal dispositivo, in mancanza di che l'adozione li cancella.
Questa questione si pone con eguale forza in uno studio che non impieghi alcun sistema esterno. La separazione interna è un'esigenza risalente, e gli studi la trattano da tempo con mezzi organizzativi. Un sistema che ignori tali perimetri non crea il problema: lo rende visibile, e lo aggrava dando accesso a un volume che nessuna organizzazione umana consentiva di percorrere.
Questa esigenza è una proprietà tecnica e non una consegna d'uso: un sistema che non sappia distinguere i perimetri obbliga a limitarne l'impiego alle pratiche meno sensibili, cioè a quelle in cui serve meno.
Il presente articolo espone lo stato del diritto alla data di revisione. Non costituisce un parere e non sostituisce l'analisi di un professionista su una situazione determinata.