Link Drive non protetto: ammonito l’avvocato per la mancata adozione di adeguate misure di sicurezza

Fonte: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10216406

L'utilizzo di strumenti digitali di condivisione richiede una valutazione preventiva delle impostazioni di sicurezza e dei possibili rischi, nonché la loro configurazione secondo criteri di sicurezza adeguati adottando procedure interne coerenti con i principi di privacy by design e privacy by default previsti dal GDPR, evitando modalità di condivisione che possano comportare una diffusione non autorizzata di dati personali. È quanto emerge dal provvedimento n. 767 del 18 dicembre 2025 (doc. web n. 10216406) con cui il Garante per la protezione dei dati personali ha ammonito un avvocato che, nell'ambito della presentazione di un esposto, ha messo a disposizione diversi documenti relativi ai propri assistiti mediante un link Drive privo di adeguate restrizioni di accesso, esponendo così al rischio di diffusione i dati personali di 2.950 interessati.

Vediamo nel dettaglio la vicenda sottoposta all'esame del Garante.

L'avvio del procedimento e l'istruttoria

La vicenda trae origine da una segnalazione e da un reclamo relativi alla possibile diffusione dei dati personali di numerosi assistiti rappresentati dall'avvocato nell'ambito di un esposto presentato nei confronti di un professionista sanitario presso il competente Ordine Provinciale dei Medici Chirurghi e Odontoiatri.

Nel corso dell'istruttoria, è emerso che all'esposto erano allegate le procure nonché la copia dei documenti di identità dei clienti, in versione scaricabile attraverso un collegamento a una cartella di condivisione inserito nel testo dell'atto.

 L'avvocato ha sostenuto di aver predisposto il link di condivisione al fine di renderlo accessibile esclusivamente all'Ordine professionale destinatario dell'esposto. Tuttavia, l'Ordine ha successivamente reso accessibile il documento ad altri soggetti senza oscurare i nomi di tutti gli esponenti, i loro codici fiscali e il link di condivisione.

La decisione del Garante

A parere del Garante, il punto principale della vicenda risiede nelle modalità di configurazione del collegamento adottate dal professionista, ossia un link privo di una protezione che limitasse l'accesso ai soli soggetti autorizzati, con la conseguenza che chiunque fosse venuto in possesso del collegamento avrebbe potuto visualizzare e scaricare i documenti presenti nella cartella.

Al riguardo, l'Autorità ha ricordato che il titolare del trattamento è tenuto a valutare preventivamente i rischi connessi alle modalità di trattamento e ad adottare misure tecniche e organizzative proporzionate al livello di rischio, senza poter fare affidamento su comportamenti corretti o prevedibili da parte di terzi, in questo caso l'Ordine.

Pertanto, l'avvocato, quale titolare del trattamento, avrebbe dovuto valutare il rischio derivante dalla condivisione di documenti contenenti dati personali di un numero elevato di interessati e adottare modalità di accesso maggiormente protette, tenuto conto anche della natura delle informazioni coinvolte. In tal modo avrebbe evitato di esporre a rischi per la sicurezza i dati di circa 2.950 persone e comprendenti informazioni identificative quali nome, cognome, data e luogo di nascita, residenza e codice fiscale, oltre a copie dei documenti di identità e delle procure.

 Per queste ragioni il Garante ha ritenuto che la condotta tenuta dall'avvocato abbia integrato una violazione del GDPR e precisamente

• dell'art. 5, par. 1, lett. f), GDPR, relativo ai principi di integrità e riservatezza del trattamento;
• dell'art. 32 GDPR, che impone al titolare l'adozione di misure tecniche e organizzative adeguate al rischio, idonee a garantire la riservatezza, l'integrità e la sicurezza dei dati personali.

L'ammonizione

Sebbene abbia accertato la violazione del GDPR, il Garante ha ritenuto sufficiente applicare la misura dell'ammonimento prevista dall'art. 58, par. 2, lett. b), GDPR, senza irrogare una sanzione pecuniaria, in considerazione delle seguenti circostanze:

• la diffusione dei dati è stata agevolata anche dalla successiva trasmissione dell'esposto da parte dell'Ordine professionale senza oscurare il collegamento;

• l'assenza di vantaggi economici per l'avvocato;

• la mancanza di precedenti violazioni pertinenti.

Osservazioni

Il provvedimento assume particolare interesse, in quanto evidenzia come il rischio derivante dall'utilizzo di piattaforme cloud o di strumenti digitali di condivisione non dipenda dallo strumento utilizzato in sé, ma dalle modalità con cui esso viene configurato. Ciò rappresenta un importante monito per gli avvocati e, più in generale, per tutti i professionisti che quotidianamente gestiscono documentazione contenente i dati personali dei propri clienti, ricordando loro che anche un semplice errore nella configurazione di un collegamento può trasformarsi in una violazione dei dati personali di vasta portata, soprattutto quando sono coinvolti documenti identificativi, procure o informazioni relative a numerosi assistiti (ndr).