ATTACCO AL FASCICOLO DELL’AVVOCATO: CYBERSECURITY E RESPONSABILITÀ PROFESSIONALE
11/08/2026
Stampa la pagina
La responsabilità dell’avvocato in caso di data breach non deriva automaticamente dall’attacco informatico subito. Il GDPR richiede l’adozione di misure tecniche e organizzative adeguate ai rischi, mentre la diligenza professionale impone la tutela delle informazioni riservate del cliente. Quando una violazione nasce da carenze prevedibili e prevenibili, possono emergere profili di responsabilità privacy e professionale. Cybersecurity, segreto professionale e corretta organizzazione dello studio sono oggi elementi essenziali per proteggere dati, fascicoli e rapporto fiduciario con il cliente.
Basta un’e-mail. Un clic su un link apparentemente innocuo. Una password compromessa.
E, improvvisamente, il contenuto di fascicoli giudiziari, contratti, documenti di identità, informazioni patrimoniali e dati particolarmente riservati può finire nelle mani di soggetti non autorizzati.
È quanto accaduto recentemente a Jones Day, uno dei più importanti studi legali statunitensi. Nell’aprile 2026, lo studio ha comunicato di essere stato vittima di un incidente di phishing che aveva consentito l’accesso non autorizzato a un numero limitato di file relativi a dieci clienti. L’attacco è stato rivendicato dal gruppo criminale Silent.
Il caso dimostra una cosa molto semplice: per compromettere le informazioni di uno studio legale non è necessario violare l’intera infrastruttura informatica. A volte può essere sufficiente ottenere l’accesso a un singolo account.
La domanda, allora, non è soltanto se l’avvocato possa essere vittima di un attacco informatico.
È anche se, in determinate circostanze, possa essere chiamato a rispondere delle conseguenze dell’attacco.
L’avvocato non è responsabile per il solo fatto di essere stato attaccato
Il primo punto da chiarire è fondamentale: un data breach non determina automaticamente la responsabilità dell’avvocato.
Il GDPR non impone una sicurezza assoluta, né pretende che il titolare del trattamento sia in grado di impedire ogni attacco informatico. L’articolo 32 richiede invece l’adozione di misure tecniche e organizzative adeguate al rischio, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento.
La responsabilità non può quindi essere valutata soltanto sulla base del risultato finale. Il fatto che un attacco sia riuscito non significa, da solo, che le misure adottate fossero inadeguate.
Il problema nasce quando l’incidente rivela una carenza organizzativa prevedibile e prevenibile: password facilmente intuibili, mancata gestione degli accessi, sistemi non aggiornati, assenza di backup, mancata formazione del personale o utilizzo di strumenti privi di adeguate garanzie di sicurezza.
In questi casi, la violazione potrebbe non essere più soltanto la conseguenza di un’azione criminale esterna, ma anche il risultato di una gestione inadeguata del trattamento dei dati.
La domanda diventa quindi concreta: lo studio aveva adottato misure ragionevoli e adeguate rispetto ai rischi che conosceva o avrebbe dovuto conoscere?
Il fascicolo del cliente come responsabilità
Gli studi legali custodiscono informazioni particolarmente preziose. Un fascicolo può contenere strategie processuali, dati finanziari, informazioni sanitarie, documenti personali e segreti commerciali.
Per questo il ransomware rappresenta una minaccia particolarmente seria. Il modello oggi più diffuso non consiste soltanto nel bloccare i sistemi e chiedere un riscatto. Sempre più spesso i dati vengono prima sottratti e poi utilizzati come strumento di pressione.
Per un avvocato, le conseguenze possono essere enormi. La divulgazione di una memoria difensiva può compromettere una strategia processuale; la pubblicazione di documenti relativi a un procedimento penale può produrre conseguenze personali e reputazionali; la diffusione di informazioni sanitarie può provocare danni difficilmente reversibili.
In questo scenario, la custodia dei dati del cliente non è soltanto un problema tecnico.
È parte del rapporto professionale.
L’avvocato deve infatti organizzare la propria attività in modo coerente con la particolare natura delle informazioni che tratta. La dimensione dello studio può incidere sul livello delle misure concretamente esigibili, ma non elimina l’obbligo di valutare i rischi.
Un piccolo studio non dovrà necessariamente adottare le stesse soluzioni di una grande multinazionale. Dovrà però interrogarsi su come protegge i dati, chi può accedervi e cosa accadrebbe se un dispositivo venisse smarrito o una credenziale fosse compromessa.
Dalla privacy alla responsabilità professionale
L’articolo 32 del GDPR rappresenta il punto di partenza, ma non esaurisce il problema. L’avvocato è infatti anche un professionista soggetto a obblighi di diligenza e riservatezza.
La protezione delle informazioni del cliente costituisce una componente essenziale del rapporto fiduciario e del segreto professionale.
La cybersecurity diventa così il punto di incontro tra più piani diversi: protezione dei dati personali, obblighi professionali e possibile responsabilità nei confronti del cliente.
Se un attacco sofisticato riesce a superare misure di sicurezza adeguate, la violazione potrà rappresentare un evento non imputabile al professionista. Se, invece, l’incidente è favorito da una gestione gravemente negligente, il quadro può essere molto diverso.
Si pensi al caso di un account condiviso tra più persone senza adeguati controlli, di credenziali lasciate senza protezione o di un servizio cloud scelto senza alcuna valutazione delle garanzie offerte.
La responsabilità, in questi casi, non deriverebbe dal semplice fatto di essere stati attaccati, ma dalla mancata adozione di misure ragionevolmente esigibili.
Il data breach è anche un test sull’organizzazione dello studio
Quando si verifica un attacco, la risposta dello studio diventa decisiva.
Occorre comprendere cosa sia accaduto, quali sistemi siano stati compromessi, quali dati siano stati coinvolti e quali conseguenze possano derivarne. Se la violazione presenta un rischio per i diritti e le libertà delle persone fisiche, il titolare deve notificare il data breach al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione. Ogni violazione deve inoltre essere documentata, anche quando non sussistano i presupposti per la notifica.
La gestione dell’incidente può quindi diventare essa stessa un elemento di valutazione della diligenza dello studio.
Un’organizzazione che non sa chi coinvolgere, come contenere l’incidente o come valutare i dati compromessi dimostra una vulnerabilità che non è soltanto tecnologica.
Per questo la preparazione preventiva assume un’importanza decisiva. Non serve necessariamente un complesso piano aziendale. Ma è ragionevole che lo studio sappia, almeno, chi contattare, quali sistemi isolare e come procedere alla valutazione della violazione.
Il segreto professionale passa anche dalla tecnologia
Il segreto professionale non si protegge più soltanto evitando di divulgare le informazioni del cliente.
Software gestionali, cloud, sistemi di videoconferenza e piattaforme di archiviazione sono ormai strumenti ordinari dell’attività professionale. Ma ogni servizio esterno comporta anche nuovi rischi e, potenzialmente, nuovi soggetti coinvolti nella gestione delle informazioni.
La scelta di un fornitore non può quindi dipendere soltanto dal prezzo o dalla comodità. Occorre considerare le garanzie di sicurezza, la gestione degli accessi e le procedure previste in caso di incidente.
Il fascicolo del cliente non è più necessariamente conservato in un armadio dello studio. Può essere distribuito tra server, cloud, dispositivi mobili e piattaforme gestite da terzi.
Non è necessario trasformare ogni avvocato in un esperto informatico, ma non è più possibile considerare la sicurezza dei dati come un problema esclusivamente tecnico.
L’attacco a uno studio può iniziare da un’e-mail apparentemente innocua e concludersi con la pubblicazione di informazioni che il professionista aveva il dovere di proteggere.
Per l’avvocatura, la cybersecurity è quindi diventata qualcosa di più di una questione di compliance: è una componente della diligenza professionale.
L’avvocato non può impedire ogni attacco. Può però scegliere come organizzare il proprio studio, quali strumenti utilizzare, quali fornitori selezionare e quali misure adottare per ridurre il rischio.
Ed è probabilmente proprio qui che si giocherà, sempre più spesso, il confine tra l’avvocato vittima di un attacco e il professionista chiamato a rispondere delle conseguenze di una protezione inadeguata.