L'attualità in pratica

RISERVATEZZA · PSEUDONIMIZZAZIONE

«I nostri dati non devono uscire dallo studio»

L'obiezione è quella giusta, e la maggior parte delle risposte che le si danno non lo sono. Una clausola di riservatezza non risponde alla domanda.

Per studi e direzioni legali che rifiutano qualsiasi trattamento esterno delle proprie pratiche. Quanto vale un impegno contrattuale, e dove si colloca l'unica domanda che decide.

È la prima obiezione, è formulata in ogni studio e in ogni direzione legale, ed è fondata. Chi la solleva non ostacola per principio: applica un obbligo la cui violazione lo espone personalmente. La risposta abituale consiste nel produrre una clausola di riservatezza e un impegno di non utilizzo dei dati. Quella risposta è seria e non risponde alla domanda posta.

Quanto vale un impegno contrattuale

Vale molto, e conviene partire da qui anziché trattarlo con condiscendenza. Un impegno di riservatezza assistito da una penale, da un obbligo di audit e da un regime di responsabilità non limitato costituisce una protezione giuridica reale. Il fornitore che lo violi si espone a conseguenze serie, e tale prospettiva è di per sé un fattore di sicurezza.

Organizza la riparazione. È la sua funzione, ed è efficace per la quasi totalità dei rischi che uno studio incontra: un difetto del servizio, un ritardo, una prestazione non conforme.

Non fa altro, ed è qui che il ragionamento di solito si arresta.

Che cosa uno studio verifica realmente oggi

Vale la pena di descrivere la prassi corrente, perché è più debole di quanto gli studi credano.

Il contratto viene riletto, spesso bene: estensione dell'impegno, regime di responsabilità, penale, legge applicabile. Quel lavoro riguarda interamente le conseguenze di una violazione.

Ciò che non viene quasi mai verificato è l'antecedente: che cosa il fornitore faccia effettivamente dei dati. La documentazione tecnica, quando esiste, è letta come una dichiarazione in più. È una descrizione di fatti, e si verifica diversamente da un impegno.

Perché la riparazione non basta qui

Il segreto professionale non è un'obbligazione di risultato accompagnata da un risarcimento. La sua violazione è, in sé, il danno.

Un'informazione coperta dal segreto esce dallo studio e diventa accessibile a un terzo. Il fornitore è in colpa, paga, la penale opera. Che cosa è stato riparato? La perdita economica dello studio, eventualmente. Non la posizione del cliente, né quella dell'avvocato rispetto al proprio obbligo.

In altri termini: uno studio non può proteggersi da una violazione del segreto mediante un meccanismo che presuppone che la violazione sia già avvenuta. La clausola risponde a un rischio di danno; il segreto pone un problema di natura diversa.

Vi si aggiunge una difficoltà probatoria: per attivare la clausola occorre accertare che una divulgazione sia avvenuta, dunque scoprirla. Ora, la circolazione di un'informazione non è quasi mai rilevabile dall'esterno, e uno studio lo apprende dalle conseguenze, mesi dopo, senza poter risalire alla fonte.

Uno studio non può proteggersi da una violazione del segreto con un meccanismo che presuppone che la violazione sia già avvenuta.

Che cosa hanno deciso alcune giurisdizioni straniere

Due decisioni rese all'estero illuminano il ragionamento, a condizione di non trasporle: il privilege di matrice anglosassone non è il segreto professionale degli ordinamenti continentali.

Nel novembre 2025 una giurisdizione britannica si è pronunciata sulla condotta di un professionista che aveva sottoposto corrispondenza di clienti e provvedimenti ufficiali a un assistente consumer. La sua formulazione, riportata nella massima del provvedimento pubblicato, è di nettezza inusuale: caricare documenti riservati in uno strumento di IA aperto equivale a collocare tale informazione nel pubblico dominio, e dunque a violare la riservatezza dovuta al cliente.

Il punto decisivo non è la severità della formula, è ciò che essa non dice. Nessuna fuga di dati era stata accertata, nessun cliente si era lamentato: la violazione era integrata dal caricamento in sé. È ciò che una clausola non può cogliere, poiché essa organizza la riparazione di un pregiudizio.

Nel febbraio 2026 un tribunale federale statunitense ha deciso nello stesso senso, ritenendo che la policy del fornitore escludesse qualsiasi ragionevole aspettativa di riservatezza. Un'altra corte federale ha deciso in senso opposto lo stesso giorno: la giurisprudenza è divergente, e sarebbe imprudente trarne una regola.

Ciò che attraversa queste decisioni, malgrado la divergenza, è una constatazione che la divergenza non intacca: il canale utilizzato determina il livello di protezione, indipendentemente dall'intenzione di chi lo utilizza.

Anonimizzazione e pseudonimizzazione: che cosa tratta ciascuna

Una risposta intermedia è spesso proposta: rimuovere gli elementi identificativi dai documenti prima del trattamento. È ragionevole, è efficace, e richiede due precisazioni.

La prima riguarda il lessico, e non è cosmetica. L'anonimizzazione è per definizione irreversibile: se gli elementi possono essere ripristinati, si tratta di pseudonimizzazione, quale che sia la robustezza del procedimento. Ora, un elaborato giuridico deve recare i nomi reali: il ripristino è dunque necessario e il regime applicabile è quello della pseudonimizzazione. Un fornitore che impieghi il termine anonimizzazione per un dispositivo reversibile descrive male ciò che fa, e tale imprecisione dovrebbe indurre cautela.

La seconda riguarda ciò che il procedimento protegge. Sostituire nomi, società e indirizzi con identificativi opachi riduce considerevolmente ciò che un terzo potrebbe trarre da una fuga: ottiene una struttura giuridica senza sapere chi essa riguardi. È nettamente superiore a un impegno contrattuale, poiché agisce sul fatto anziché sulla sua riparazione.

Resta che il segreto professionale non riguarda soltanto gli identificativi. Un'operazione descritta con i propri importi, il proprio settore e il proprio calendario può restare riconoscibile per chi sia del mestiere. La pseudonimizzazione riduce fortemente l'esposizione senza annullarla, ed è così che va valutata: come misura di riduzione, non come garanzia di impossibilità.

La questione dei subfornitori a valle

Una difficoltà sfugge integralmente al ragionamento contrattuale, ed è sistematica.

Il fornitore con cui uno studio contratta non esegue quasi mai da solo. Ricorre a un fornitore di hosting, spesso a un fornitore di modello, talvolta a fornitori di infrastruttura. Tali terzi non sono parti del contratto dello studio e vi sono vincolati soltanto attraverso la catena dei contratti a monte.

Lo studio chiede dunque al proprio cliente di fidarsi di una catena della quale non conosce né la lunghezza né gli anelli. La clausola organizza una responsabilità a cascata senza ridurre il numero di luoghi attraverso i quali l'informazione transita.

Va aggiunto che la clausola non riduce nemmeno il numero di soggetti che accedono materialmente all'informazione. Organizza chi risponda in caso di violazione, non chi possa leggerla, e sono due questioni distinte che il contratto tende a confondere.

La domanda che decide davvero

Non riguarda gli impegni assunti, riguarda i fatti: che cosa esce effettivamente dallo studio, e dove va?

Quella domanda ha una risposta fattuale, verificabile, indipendente da qualsiasi promessa. Si scompone in quattro punti che ogni studio può porre a ogni fornitore, compreso quello che già utilizza.

Quali dati lasciano l'infrastruttura dello studio, e in quale forma: il documento intero, un estratto, una versione pseudonimizzata, una rappresentazione derivata, metadati?

Dove sono trattati fisicamente, e sotto quale giurisdizione si trovano tali installazioni?

Per quanto tempo vi permangono, e che cosa resta dopo il trattamento?

Chi, presso il fornitore, può tecnicamente accedervi; e se è impiegato un procedimento di pseudonimizzazione, dove è conservata la tabella di corrispondenza e chi detiene la chiave?

Queste quattro domande richiedono risposte scritte e sottoscritte da chi impegna il fornitore. Una risposta evasiva è di per sé un'informazione.

La questione della chiave va posta sistematicamente, perché decide di tutto. Un procedimento di pseudonimizzazione la cui corrispondenza sia conservata nello stesso luogo e accessibile alle stesse persone dei dati non protegge nulla: aggiunge un passaggio, non una barriera. Il medesimo procedimento con una corrispondenza cifrata la cui chiave non sia conservata insieme ai dati cifrati muta la natura del rischio.

Perché l'architettura risponde dove la clausola non può

Un dato che non esce non può essere divulgato. Un dato che esce in una forma dalla quale nulla si può trarre senza una chiave conservata altrove non può esserlo del pari. In entrambi i casi non vi è nulla da far rispettare, nulla da sorvegliare, nulla da accertare davanti a un giudice: la protezione poggia su uno stato di fatto e non su un comportamento futuro.

La differenza rispetto all'approccio contrattuale è quella che separa una promessa da una proprietà. Una promessa può essere mantenuta o no, e il suo rispetto dipende da un comportamento futuro. Una proprietà architetturale è verificabile nel momento in cui la si constata e non dipende dal comportamento di alcuno.

Due episodi recenti ne danno la misura. Nel 2026 una violazione presso un grande fornitore di ricerca giuridica ha esposto dati riferibili a diverse migliaia di clienti aziendali, tra cui studi legali. E a fine luglio 2026 conversazioni condivise con assistenti si sono ritrovate indicizzate dai motori di ricerca: i loro autori avevano scelto di condividerle, quasi nessuno si attendeva che le pagine divenissero reperibili.

Nessuno dei due deriva da un inadempimento contrattuale: uno è un incidente di sicurezza, l'altro una conseguenza non anticipata di una funzionalità. In entrambi i casi la clausola sarebbe stata perfettamente rispettata.

Che cosa ciò implica per uno strato professionale

Questa esigenza vale per ogni dispositivo, compresi quelli rivolti ai professionisti del diritto, e sarebbe disonesto sostenere il contrario.

Uno strato di trattamento giuridico si fonda su modelli generali, gli stessi che il mercato conosce. Ciò che lo distingue da un account consumer non è dunque l'assenza di trattamento esterno, è che cosa esca e in quale forma: documenti i cui elementi identificativi siano stati sostituiti localmente prima di ogni invio, una tabella di corrispondenza cifrata la cui chiave non sia conservata con i dati, un regime contrattuale professionale che escluda l'addestramento.

Il lettore è dunque legittimato a porre le quattro domande che precedono a qualsiasi fornitore, compreso chi scrive queste righe, e a esigere risposte scritte. Un dispositivo che rispondesse che nessun dato esce mai meriterebbe un esame attento: è un'affermazione che pochissime architetture consentono di sostenere.

Che cosa l'obiezione continua legittimamente a coprire

Non scompare del tutto, e sarebbe disonesto sostenere il contrario. Tre punti sussistono quale che sia l'architettura adottata.

Il primo è l'accesso interno. Un sistema che dia all'intero studio una visione su tutte le pratiche crea una difficoltà rispetto al segreto all'interno dello studio stesso: la questione delle separazioni non si risolve per il fatto che i dati non escano.

Il secondo è la tracciabilità. Sapere è una cosa; poterlo dimostrare a un cliente, a un ordine o a un giudice è un'altra, e presuppone tracce che qualcuno deve aver previsto.

Il terzo riguarda la durata. Un'architettura è uno stato, e gli stati cambiano: un'evoluzione tecnica, un cambio di azionariato presso il fornitore, una migrazione di infrastruttura possono modificare ciò che era stato verificato all'ingresso. Ciò che è stato constatato una volta non vale impegno per il seguito, e nulla obbliga un fornitore a segnalare spontaneamente una modifica che non violi alcuna clausola.

La risposta sta in un'esigenza contrattuale semplice, ed è l'unico punto in cui il contratto riacquista tutta la propria utilità: l'obbligo di notificare preventivamente ogni modifica che incida sul trattamento o sulla localizzazione dei dati, con diritto di recesso. Il contratto non protegge il segreto, protegge la conoscenza che lo studio ha del proprio dispositivo.

Tale verifica non è dunque un atto unico ma un'esigenza ricorrente, da inserire nella governance dello studio allo stesso titolo del rinnovo di una polizza assicurativa.