L'articolo 32 del GDPR non è una raccomandazione: fissa quattro obblighi tecnici precisi sulla sicurezza dei dati personali. Vediamo cosa richiede, e come Securoo ti aiuta a dimostrarli — uno per uno.
Il Regolamento Generale sulla Protezione dei Dati (UE 2016/679, "GDPR") è la legge europea che tutela i dati personali dei cittadini dell'Unione. È in vigore dal 25 maggio 2018, si applica a chiunque — pubblico o privato, dentro o fuori l'UE — tratti dati di residenti europei.
Per uno studio professionale (avvocato, commercialista, notaio, broker, medico, amministratore) significa una cosa molto concreta: sei tu il "titolare del trattamento" dei dati dei tuoi clienti. È tua la responsabilità di custodirli con misure tecniche adeguate. È a te che il Garante chiede conto in caso di violazione, non al fornitore del software.
Studio individuale o multinazionale, online o cartaceo: se tratti dati di cittadini UE, il GDPR si applica. Niente esoneri per piccole dimensioni.
Decidi tu finalità e mezzi del trattamento. Sei il primo responsabile davanti al Garante: il fornitore tecnico è il tuo "responsabile esterno".
Il principio di accountability (art. 5.2) impone di dimostrare le misure adottate, non solo affermarle. Audit log, DPA, registri.
Fino a € 20M o il 4% del fatturato globale. Centinaia di sanzioni effettivamente applicate dai Garanti europei ogni mese.
Il GDPR — articolo 32, paragrafo 1 — prescrive misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. Tra queste, in particolare:
«Tenuto conto dello stato dell'arte e dei costi di attuazione, [...] il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate [...] tra queste, ove il caso, [a] la pseudonimizzazione e la cifratura dei dati personali; [b] la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; [c] la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; [d] una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.» — GDPR, art. 32, par. 1
Cifrare i dati personali per garantire riservatezza per default e adottare la pseudonimizzazione dove possibile.
Garantire su base permanente le quattro proprietà dei sistemi che trattano dati personali.
Ripristinare disponibilità e accesso ai dati in tempi brevi in caso di incidente fisico o tecnico.
Procedure regolari per testare, verificare e valutare l'efficacia delle misure adottate.
L'articolo 32, lettera (a), cita esplicitamente la cifratura dei dati personali come misura di esempio. È l'unica misura tecnica nominata per nome nel regolamento. Tradotto in pratica: senza cifratura, dimostrare un "livello di sicurezza adeguato al rischio" davanti al Garante è praticamente impossibile.
Ogni documento del cliente — contratto, perizia, identificativo, documento sanitario — deve essere cifrato. Non basta "chiuderlo a chiave" su un drive cloud: serve cifratura end-to-end con chiavi che il fornitore non possiede.
Punto per punto. Niente promesse vaghe: ogni misura ha un riferimento tecnico verificabile.
AES-256 per i contenuti, RSA 4096-bit per le chiavi. Le chiavi non passano mai dai nostri server.
Riservatezza, integrità, disponibilità, resilienza — ognuna con un meccanismo tecnico dedicato.
RPO < 1 ora · RTO < 4 ore · retention 30 giorni.
Procedure periodiche di test e verifica documentate per ogni anno solare.
L'inadempimento dell'art. 32 non è una formalità burocratica: le sanzioni amministrative del Garante sono concrete, recenti e applicate. La giurisprudenza europea — anche per studi di piccole dimensioni — è ormai consolidata.
Le sanzioni sono pubbliche: il Garante pubblica online il provvedimento, con nome dello studio. L'impatto reputazionale è spesso più costoso della sanzione stessa.
Cinque domande, tre minuti. Riceverai una valutazione sintetica del tuo livello di esposizione e una checklist scaricabile pronta da consegnare al DPO o al tuo consulente legale.
