I liberi professionisti italiani — avvocati, commercialisti, architetti, medici, ingegneri, consulenti — gestiscono per professione grandi volumi di dati personali sensibili. Eppure il GDPR è spesso vissuto come un obbligo formale piuttosto che come una pratica integrata. Nel 2026, dopo otto anni di applicazione del Regolamento, il Garante per la Protezione dei Dati ha intensificato i controlli sulle libere professioni, soprattutto quelle che trattano dati sanitari (medici, farmacie, fisioterapisti) o dati finanziari (commercialisti, consulenti finanziari).
Questo articolo si rivolge ai liberi professionisti italiani con partita IVA che operano in proprio o in piccoli studi (1-10 persone). Affronta i tre ambiti più ricorrenti: gli obblighi documentali, il rapporto con gli ordini professionali, e la digitalizzazione (CRM, cloud, IA) introducendo rischi specifici. Per i liberi professionisti che gestiscono anche un sito web, si veda Lavoratore autonomo: documenti legali obbligatori per il sito.
Il GDPR si applica anche se siete un libero professionista individuale
Una confusione frequente: alcuni liberi professionisti pensano che il GDPR si applichi solo alle “imprese”. È sbagliato. L’Art. 4.7 del GDPR definisce il “titolare del trattamento” come “la persona fisica o giuridica” che determina le finalità e i mezzi del trattamento. Un avvocato individuale, un medico in libera professione, un consulente con partita IVA è un titolare a tutti gli effetti.
Il principio si applica indipendentemente dal volume di dati: anche un libero professionista con 50 clienti all’anno è soggetto al GDPR per:
- Il file clienti (anagrafica, contatti, fatturazione)
- Le pratiche professionali (documenti riservati)
- Gli archivi documentali (conservati per anni dopo la chiusura del rapporto)
- La corrispondenza email
- Le registrazioni audio/video di consulenze
Per la lista degli obblighi base, veda GDPR: chi è veramente coinvolto? Elenco completo.
Gli obblighi documentali specifici per i liberi professionisti
Informativa privacy ai clienti (Art. 13-14 GDPR). Da consegnare al primo contatto o al primo conferimento di dati. Per i liberi professionisti italiani, deve specificare:
- Identità del professionista e dell’eventuale studio (con i dati di iscrizione all’ordine, se applicabile)
- Finalità del trattamento: gestione della pratica, fatturazione, adempimenti fiscali, conservazione obbligatoria
- Base giuridica: tipicamente esecuzione contrattuale per la prestazione professionale, obbligo di legge per la conservazione fiscale/forense
- Categorie di dati trattati, con menzione delle eventuali categorie particolari (Art. 9 GDPR): dati sanitari per i medici, dati giudiziari per gli avvocati, dati biometrici per certe professioni
- Eventuali sub-fornitori (CRM, software gestionale, commercialista del professionista stesso, archiviazione cloud)
- Tempi di conservazione: in genere imposti dalle norme di settore (ad es. 10 anni per gli atti notarili, 10-30 anni per le cartelle cliniche a seconda della tipologia, 10 anni per i documenti contabili)
- Diritti dell’interessato (Art. 15-22 GDPR) e contatti per esercitarli
L’informativa generica scaricata da internet non è sufficiente. Deve essere adattata alla pratica reale del professionista. Veda Informativa sulla Privacy: elementi obbligatori.
Registro dei trattamenti (Art. 30 GDPR). Obbligatorio anche per le libere professioni che trattano:
- Dati sensibili in modo non occasionale (medici, psicoterapeuti, avvocati su questioni penali o di famiglia)
- Più di 250 interessati in modo non occasionale
- Trattamenti che presentano un rischio per i diritti degli interessati
Per la maggior parte dei liberi professionisti italiani, il registro è obbligatorio anche se gestiscono “solo” 100-200 clienti, poiché trattano in via abituale categorie particolari. Il registro deve essere mantenuto in forma scritta (cartacea o digitale) e prodotto su richiesta del Garante.
Misure di sicurezza documentate (Art. 32 GDPR). Le misure tecniche e organizzative devono essere proporzionate ai rischi. Per un libero professionista, le misure minime accettabili nel 2026 sono:
- Cifratura dei dispositivi (computer, smartphone, tablet) con dati professionali
- Password robuste e gestore di password
- Autenticazione a due fattori per gli accessi remoti (VPN, gestionale cloud)
- Backup regolari e ripristinabili
- Aggiornamenti software regolari (sistema operativo, antivirus, gestionale)
- Politica di accesso (chi può vedere cosa nella struttura)
L’assenza di queste misure base è la prima domanda del Garante in caso di breach.
Il rapporto con l’ordine professionale
Una specificità italiana: i liberi professionisti iscritti a un ordine (avvocati, commercialisti, medici, architetti, ingegneri, notai, psicologi) hanno obblighi aggiuntivi che derivano sia dal GDPR sia dalle norme di settore.
Codice deontologico vs GDPR: i codici deontologici professionali (es. Codice Deontologico Forense per gli avvocati, Codice Deontologico Medico per i medici) impongono il segreto professionale che si sovrappone alle norme GDPR senza sostituirle. Il segreto professionale rafforza la protezione, non la esonera dagli adempimenti GDPR.
Trasmissione di dati all’ordine: gli ordini professionali raccolgono dati sui propri iscritti per finalità istituzionali (albo, formazione continua, vigilanza disciplinare). Le richieste dell’ordine al singolo professionista sono in genere legittime ma vanno gestite con discernimento:
- Verificare la base giuridica della richiesta (obbligo di legge, regolamento dell’ordine)
- Trasmettere solo i dati necessari (principio di minimizzazione, Art. 5.1.c GDPR)
- Conservare traccia della trasmissione
Vigilanza disciplinare: l’ordine può richiedere accesso a documenti relativi a una specifica vicenda disciplinare. Anche in questo caso, la trasmissione deve essere proporzionata.
Pubblicità professionale: le regole sulla pubblicità sanitaria (Legge 145/2018 per i medici) e altre norme di settore impongono restrizioni che si sommano al GDPR sul marketing diretto. Un medico non può inviare email promozionali ai pazienti per nuovi servizi senza il loro consenso esplicito e nei limiti deontologici.
La digitalizzazione e i rischi specifici
Nel 2026, la maggior parte dei liberi professionisti italiani usa strumenti digitali per la propria attività: gestionali in cloud, CRM, sistemi di videoconferenza, IA per la redazione di documenti, archivi digitali. Ogni strumento è un punto di esposizione.
Gestionali in cloud (Areas, TeamSystem, Profis, Fatture in Cloud, Plus24, ecc.): la maggior parte dei gestionali italiani è ospitata in Europa, ma alcuni hanno sub-fornitori USA (Amazon AWS, Microsoft Azure). Verificare:
- Il Data Processing Agreement (DPA) tra voi e il gestionale
- L’elenco dei sub-fornitori
- I trasferimenti extra-UE eventuali e le garanzie applicate (SCC versione giugno 2021)
- La cancellazione automatica dei dati alla fine del rapporto
CRM (HubSpot, Salesforce, Zoho): le grandi piattaforme CRM trasferiscono dati negli USA. Il Data Privacy Framework UE-USA permette questi trasferimenti, ma serve documentazione interna sulla base giuridica.
Videoconferenza (Zoom, Microsoft Teams, Google Meet, Webex): per le consulenze a distanza, registrare una sessione (con consenso) o conservare la trascrizione automatica richiede una valutazione. La conservazione di registrazioni di consulenze legali o mediche è soggetta a regole strette di retention.
IA generativa per la redazione: l’uso di ChatGPT, Claude o altri LLM per redigere documenti professionali (pareri legali, perizie, prescrizioni) pone problemi specifici:
- I dati del cliente non devono essere immessi nel prompt (specialmente se la piattaforma usa i prompt per addestrare i propri modelli)
- I documenti prodotti vanno verificati: gli LLM generalisti producono regolarmente citazioni inventate, riferimenti normativi errati, conclusioni non fondate
- Il segreto professionale: trasmettere dati clienti a un fornitore IA esterno può configurare una violazione del segreto
Per i documenti legali specificamente, si veda Usare IA generica per scrivere condizioni d’uso: perché è rischioso.
Archiviazione digitale: la sostituzione dell’archivio cartaceo con archivi digitali richiede sistemi che garantiscano integrità, conservazione decennale (o trentennale), accessibilità solo agli autorizzati. I servizi di “conservazione sostitutiva” certificati AgID sono lo standard italiano.
Le sanzioni recenti del Garante sui liberi professionisti
Il Garante ha sanzionato negli ultimi anni diverse fattispecie ricorrenti tra i liberi professionisti:
- Email cliente inviata con tutti gli altri clienti in copia (uso di “A:” invece di “CCN:”): violazione dell’Art. 32 (sicurezza), sanzione tipica 5 000-30 000 €
- Mancanza di informativa privacy fornita ai pazienti/clienti: sanzione 10 000-50 000 €
- Cartelle cliniche conservate oltre il termine legale o trasmesse a terzi senza base: sanzioni significative, soprattutto per i medici
- Cessione del file clienti in caso di vendita dell’attività senza il consenso degli interessati: violazione frequente in caso di passaggio di clientela
- Backup conservato su drive non protetto e compromesso
Le tre azioni prioritarie nel 2026
Per i liberi professionisti che partono da zero o quasi sulla conformità, ecco le tre azioni ad alto impatto:
Azione 1 — Aggiornare l’informativa privacy. Generare un’informativa adatta alla propria attività reale, con riferimenti italiani (Codice Privacy, codici deontologici). Consegnarla a tutti i nuovi clienti al primo contatto. Per i clienti esistenti, comunicare via email che l’informativa aggiornata è disponibile.
Azione 2 — Inventario dei sub-fornitori e DPA. Elencare tutti i fornitori che hanno accesso a dati personali dei clienti (gestionale, CRM, email provider, cloud storage, commercialista del professionista, archivista). Per ciascuno: verificare presenza del DPA, base giuridica del trattamento, eventuali trasferimenti extra-UE. Documentare in un registro interno.
Azione 3 — Misure di sicurezza minime. Cifratura dispositivi, password manager, autenticazione 2FA, backup regolari. Investimento iniziale: 100-300 € per le licenze software. Tempo: una giornata di setup.
FAQ
Un libero professionista deve nominare un DPO? In generale no, salvo eccezioni. Il GDPR (Art. 37) impone il DPO quando l’attività principale richiede un monitoraggio sistematico su larga scala o il trattamento di categorie particolari su larga scala. Un avvocato individuale o un medico in libera professione non rientrano tipicamente in questi criteri. Una clinica medica con 10+ medici dipendenti, invece, deve valutare la nomina.
Cosa succede se subisco un breach (es. furto del laptop)? Notifica al Garante entro 72 ore, valutazione del rischio per gli interessati, e se il rischio è elevato (cartelle cliniche, documenti riservati), comunicazione diretta agli interessati. La cifratura del dispositivo è un fattore mitigante decisivo: un laptop cifrato non costituisce un breach se le chiavi non sono state compromesse.
Posso usare WhatsApp per comunicare con i clienti? WhatsApp Business è ammissibile per comunicazioni di routine ma non per trasmettere dati sensibili (referti, documenti riservati). Per i medici e gli avvocati, è preferibile utilizzare canali certificati o email con cifratura.
Devo registrarmi al Garante come titolare? No. Il GDPR ha eliminato l’obbligo generale di notificazione preventiva (esistente nella vecchia disciplina italiana). Il Garante non tiene più un registro dei titolari. L’obbligo si è trasformato in accountability: dovete essere pronti a dimostrare la conformità in caso di controllo.
Posso usare l’email del cliente per inviargli auguri natalizi o promozioni di nuovi servizi? Solo con base giuridica adeguata. Per i clienti esistenti, l’Art. 130.4 del Codice Privacy ammette il “soft opt-in” per prodotti o servizi analoghi a quelli già acquistati. Per servizi diversi, serve consenso esplicito. Per i medici, vigono le regole specifiche sulla pubblicità sanitaria.
Quanto costa mettersi in conformità GDPR come libero professionista? Dipende dal punto di partenza. Per un libero professionista individuale che parte da zero: 500-2 000 € per documenti adattati, consulenza iniziale e setup tecnico base. Per uno studio di 5-10 persone con dati sensibili: 3 000-10 000 €. Le soluzioni di generazione automatica come WebLegal coprono la parte documentale (informativa privacy, termini, cookie) a costi ridotti, lasciando solo la consulenza specialistica al professionista esterno.
Articolo aggiornato il 27 maggio 2026. I riferimenti normativi citati sono al GDPR (Reg. UE 2016/679), al Codice Privacy (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018), e ai codici deontologici delle singole professioni.
