Perché il GDPR riguarda anche il libero professionista
Il Regolamento UE 2016/679, in vigore dal 25 maggio 2018, si applica a chiunque tratti dati personali di cittadini europei, indipendentemente dalla dimensione dello studio. Dal primo cliente in rubrica il libero professionista è titolare del trattamento.
L'equivoco più diffuso è credere che il GDPR "non riguardi i piccoli". Gli articoli 5, 6, 13, 30 e 33 si applicano senza distinzione di fatturato: cambia solo la proporzionalità delle misure, non l'obbligo. Uno studio con pochi clienti tratta dati personali come una multinazionale.
L'ambito di applicazione soggettivo
La soglia dei 250 dipendenti dell'articolo 30 riguarda solo l'esonero dal registro: un libero professionista che tratta dati in modo non occasionale è obbligato a tenerlo anche con zero dipendenti.
Cosa deve fare davvero un libero professionista
Quattro obblighi pratici coprono la quasi totalità delle situazioni reali: informativa corretta, base giuridica documentata, registro dei trattamenti aggiornato, piano di gestione del data breach. Bastano questi quattro documenti, scritti bene e aggiornati quando cambia qualcosa.
Informativa privacy ai clienti
L'articolo 13 GDPR impone che ogni interessato riceva un'informativa completa prima della raccolta dei dati. Non basta un link a una pagina generica: deve essere comprensibile, contestualizzata e riferita al trattamento specifico. Ecco cosa deve sempre contenere:
- Identità e contatti del titolare del trattamento e, se presente, del responsabile.
- Finalità: emissione fatture, gestione contabile, adempimenti fiscali, conservazione documentale.
- Base giuridica: adempimento contrattuale, obbligo di legge, legittimo interesse, consenso esplicito.
- Tempi di conservazione: dieci anni per le fatture, periodi diversi per altri documenti.
- Diritti dell'interessato: accesso, rettifica, cancellazione, limitazione, portabilità, reclamo al Garante.
Un'informativa copiata da un collega è la causa più frequente di contestazione perché non rispecchia la realtà del trattamento. Quando il Garante verifica, confronta l'informativa con i dati raccolti: la divergenza è una "informativa non veritiera".
Base giuridica del trattamento: quando serve il consenso
L'articolo 6 GDPR elenca sei basi giuridiche. Per un libero professionista le basi realistiche sono tre: adempimento contrattuale, obbligo di legge, consenso. Il consenso non è mai obbligatorio per i trattamenti contrattuali o fiscali: chiederlo per la fattura è una forzatura che il Garante sanziona.
Vuoi sapere quando scade ogni adempimento? Apri lo Scadenziario iOrganize → per tenere sotto controllo gli obblighi ricorrenti di informativa, revisione del registro dei trattamenti e formazione interna del personale sui temi privacy.
Registro dei trattamenti
L'articolo 30 GDPR impone la tenuta del registro a imprese con almeno 250 dipendenti, ma estende l'obbligo sotto quella soglia quando il trattamento sia non occasionale o comprenda categorie particolari di dati. Per un libero professionista che tratta dati sanitari, dati di minori o dati relativi a condanne penali, l'obbligo scatta a prescindere dalla dimensione dello studio.
Il registro è un documento operativo: per ogni trattamento indica finalità, base giuridica, categorie di interessati e di dati, destinatari, tempi di conservazione, misure di sicurezza. Aggiornalo ogni volta che aggiungi un trattamento o cambi software gestionale.
Data breach: cosa fare entro 72 ore
L'articolo 33 GDPR impone la notifica al Garante entro 72 ore da quando il titolare viene a conoscenza di una violazione, salvo che sia improbabile un rischio per gli interessati. La notifica descrive natura, categorie, conseguenze e misure. Le sanzioni per omessa notifica arrivano a dieci milioni di euro o al 2% del fatturato.
Quando scatta la comunicazione ai clienti
L'articolo 34 GDPR richiede che gli interessati siano informati senza ingiustificato ritardo quando la violazione presenta un rischio elevato. Il criterio dell'ENISA è chiaro: traffugamento di un database di clienti con email e dati fiscali è comunicazione obbligatoria, mentre la perdita di una password cifrata con hash robusto no.
Sanzioni e controlli del Garante
L'articolo 83 GDPR introduce un sistema sanzionatorio a doppio binario: fino a venti milioni di euro o al 4% del fatturato mondiale annuo per le violazioni più gravi, fino a dieci milioni o al 2% per quelle minori. Le delibere del Garante hanno applicato sanzioni graduate ma non simboliche, anche a partire da cinquemila euro.
Sanzioni reali del 2024-2026 a studi professionali
Nell'ultimo biennio il Garante ha sanzionato diversi studi medici e dentistici per informative generiche non adattate, per assenza di base giuridica su trattamenti sanitari e per omessa notifica di data breach da ransomware.
Errori più comuni dei liberi professionisti
Dopo anni di ispezioni, tre errori ricorrono con impressionante regolarità negli studi di ogni dimensione.
Copiare l'informativa da un collega senza adattarla
Un'informativa standard contiene riferimenti a trattamenti che lo studio non fa e tralascia trattamenti che svolge. Il Garante la considera non veritiera, con sanzione equivalente all'informativa assente. Personalizzare è il primo dovere del titolare.
Conservare dati "per sempre" senza criterio
L'articolo 5 GDPR impone che i dati siano conservati per il tempo strettamente necessario alle finalità. Conservare tutto per sempre viola il principio di limitazione della conservazione. Serve una matrice, anche minima, che documenti per ogni categoria il termine di cancellazione.
Non avere un piano di data breach
Scoprire una violazione e non sapere cosa fare nelle prime 72 ore trasforma un incidente gestibile in una sanzione. Serve un piano interno: chi avvisare, come documentare, quando notificare il Garante.
Come iOrganize ti aiuta a non sbagliare
All'interno dei piani HubHome e HubBiz, iOrganize conserva in modo strutturato la documentazione GDPR dello studio: informative, registro dei trattamenti, piani di data breach, evidenze formative. I file sono archiviati su Cloudflare R2 con accesso cifrato e retention configurabile.
Il piano HubBiz include lo Scadenziario Compliance completo, che integra le scadenze privacy (revisione annuale del registro, aggiornamento informative, formazione interna) con Agenzia delle Entrate, INPS e INAIL in un unico calendario. GestireGDPR e adempimenti fiscali nello stesso posto dove passano le fatture significa un controllo unico e zero rischio di dimenticanze.