Professionisti e imprese: cifratura e GDPR

Che cosa dice il GDPR

Il regolamento (UE) 2016/679 non contiene un obbligo generale di cifrare. Parte da un principio: i dati personali devono essere trattati «in maniera da garantire un'adeguata sicurezza», compresa la protezione «da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali» (art. 5, par. 1, lett. f, principio di «integrità e riservatezza»).

La norma operativa è l'art. 32. Titolare e responsabile del trattamento, tenendo conto dello stato dell'arte, dei costi, della natura e delle finalità del trattamento e del rischio per le persone, mettono in atto misure adeguate che comprendono, «tra le altre, se del caso»:

«a) la pseudonimizzazione e la cifratura dei dati personali;»

Seguono, nello stesso elenco, la riservatezza e la disponibilità dei sistemi, il ripristino dei dati dopo un incidente e la verifica periodica delle misure (lett. b, c e d). Il considerando 83 indica la cifratura come esempio di misura per limitare i rischi di distruzione, perdita, modifica, divulgazione o accesso non autorizzati. L'art. 25 aggiunge la protezione dei dati fin dalla progettazione e per impostazione predefinita.

Le scelte pesano anche sulle sanzioni: l'autorità valuta la responsabilità del titolare «tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32» (art. 83, par. 2, lett. d), e la violazione degli obblighi degli articoli da 25 a 39 può costare fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo, se superiore (art. 83, par. 4).

Quando qualcosa va storto: artt. 33 e 34

La «violazione dei dati personali» è la violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati (art. 4, punto 12). Il caso tipico è il portatile rubato con le cartelle dei clienti. Le conseguenze sono due:

L'esenzione dell'art. 34, par. 3, lett. a) dice:

«il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura»

Le condizioni sono due: la misura doveva essere applicata proprio ai dati coinvolti, e doveva renderli incomprensibili a chi non è autorizzato. La cifratura produce questo effetto solo finché la chiave resta segreta: una password scritta su un foglio nella stessa borsa del portatile lo annulla. In Italia l'autorità di controllo è il Garante per la protezione dei dati personali (d.lgs. 196/2003, art. 2-bis).

NIS2: il d.lgs. 138/2024

Il decreto che ha recepito la direttiva NIS2 si applica ai soggetti dei settori elencati nei suoi allegati I e II che superano i massimali della piccola impresa (art. 3, comma 2). Secondo la raccomandazione 2003/361/CE, a cui il decreto rinvia, è piccola l'impresa che occupa meno di 50 persone e ha un fatturato annuo o un totale di bilancio annuo non superiore a 10 milioni di euro. Altri vi rientrano indipendentemente dalle dimensioni: per esempio i fornitori di servizi di comunicazione elettronica accessibili al pubblico e i prestatori di servizi fiduciari (comma 5), alcune pubbliche amministrazioni (comma 6) e i soggetti individuati dall'Agenzia per la cybersicurezza nazionale (commi 8, 9 e 13). Il GDPR resta comunque applicabile (comma 11).

Per chi vi rientra, l'art. 24 impone misure tecniche, operative e organizzative adeguate e proporzionate, che comprendono almeno, tra l'altro, la gestione dei backup (lett. c) e le «politiche e procedure relative all'uso della crittografia e, ove opportuno, della cifratura» (lett. h); le approvano gli organi di amministrazione, che rispondono delle violazioni (art. 23). Gli incidenti significativi si segnalano al CSIRT Italia: una pre-notifica entro 24 ore, una notifica entro 72 ore, una relazione finale entro un mese dalla notifica (art. 25).

Per uno studio professionale o una piccola impresa che non rientra in questi criteri il riferimento resta il GDPR. Se il decreto NIS2 si applichi lo si verifica confrontando la propria attività con gli allegati e con i criteri dell'art. 3.

In pratica: dove serve la cifratura

1. Il portatile. Con il disco cifrato, chi lo trova non può leggere i dati senza la chiave: vedi Come criptare il disco del computer.
2. Chiavette e dischi esterni. Piccoli e facili da perdere: vedi Come criptare una chiavetta USB o un disco esterno.
3. Gli allegati. Un allegato con dati delicati può finire al destinatario sbagliato. Un PDF o un file Office cifrato con una password di apertura resta illeggibile per chi non la conosce, e la password non va scritta nella stessa e-mail: vedi Come criptare un PDF con password, Come criptare un file Word o Excel e Come criptare un'email e gli allegati.
4. I backup. Contengono gli stessi dati degli originali: un backup in chiaro vanifica la cifratura del resto, ma senza backup non si ripristina nulla dopo un incidente. Vedi Programmi per criptare i file.
5. Le chiavi e la documentazione. Chi conosce le chiavi e dove sono custodite quelle di ripristino: una chiave persa rende i dati inaccessibili anche al titolare. Il principio di responsabilizzazione chiede poi di poter dimostrare le misure adottate (art. 5, par. 2).

Casi frequenti

• «Lavoro da solo e ho pochi clienti: devo cifrare?» Il GDPR non fissa un obbligo uguale per tutti: la misura va valutata rispetto al rischio (art. 32). Se però un dispositivo non cifrato con dati di clienti va perso, la violazione va valutata secondo gli artt. 33 e 34 senza l'esenzione legata alla cifratura.
• «Si è persa una chiavetta cifrata: devo avvisare i clienti?» L'art. 34, par. 3, lett. a) esclude la comunicazione agli interessati se i dati erano incomprensibili a chi non è autorizzato. Restano la valutazione sulla notifica all'autorità e l'obbligo di documentare la violazione (art. 33).

Fonti

Regolamento (UE) 2016/679 (GDPR), artt. 4, punto 12), 5, 25, 32, 33, 34, 83 e considerando 83; d.lgs. 30 giugno 2003, n. 196, art. 2-bis; d.lgs. 4 settembre 2024, n. 138, artt. 2, 3, 23, 24 e 25 (testo vigente su normattiva.it); raccomandazione 2003/361/CE della Commissione, allegato, art. 2. Verificato il 23 settembre 2026.