Prescrizioni del Garante n. 767 del 18/12/2025

Avvocato, link Google Drive aperto e diffusione dei dati dei patrocinati

Il provvedimento riguarda un avvocato che, in un esposto disciplinare presentato a un Ordine professionale, aveva messo a disposizione dati personali e documenti dei propri assistiti tramite un link Google Drive lasciato accessibile in modalità aperta. Il Garante ha esaminato la vicenda a seguito di segnalazione e reclamo relativi alla presunta diffusione dei dati.

Origine del procedimento e fatti denunciati

La vicenda trae origine da una segnalazione e da un reclamo riferiti alla possibile divulgazione dei dati personali di un numero rilevante di soggetti che avevano promosso un esposto, con il patrocinio dell’avvocato, nei confronti di un medico presso l’Ordine Provinciale dei Medici Chirurghi e Odontoiatri competente. Secondo quanto prospettato, i dati sarebbero stati resi accessibili attraverso un link di Google Drive inserito nell’esposto.

Il reclamante chiedeva l’adozione di misure correttive, ammonimenti e, in particolare, l’eventuale limitazione o il divieto del trattamento. Il Garante ha riunito i procedimenti, poiché riferiti al medesimo oggetto e al medesimo titolare del trattamento.

Attività istruttoria e difese del titolare

Nel corso dell’istruttoria, l’Autorità ha chiesto chiarimenti sulle misure di sicurezza adottate, sulla valutazione dei rischi per gli interessati e sull’eventuale osservanza degli obblighi di notifica e comunicazione di data breach ai sensi degli articoli 33 e 34 GDPR.

L’avvocato ha sostenuto che:

• i dati erano stati comunicati solo a un ente pubblico, l’Ordine professionale;
• il caricamento su Google Drive sarebbe stato di per sé sicuro;
• la violazione sarebbe dipesa dalla successiva comunicazione del link da parte dell’Ordine a terzi;
• egli, una volta avuta notizia della possibile esposizione, avrebbe modificato la condivisione del file da "chiunque abbia il link" a "con restrizioni", cancellando poi i dati;
• avrebbe inoltre inviato una comunicazione ai propri assistiti e presentato segnalazione all’Autorità.

Accertamenti del Garante

Dagli atti è risultato che l’avvocato aveva effettivamente utilizzato, nell’esposto, un link di condivisione dei dati personali dei patrocinati senza adottare l’opzione restrittiva per l’accesso. Ciò consentiva a chiunque fosse entrato in possesso del link di accedere ai documenti condivisi.

Il Garante ha ritenuto non provata, invece, la circostanza ulteriore secondo cui il link sarebbe stato pubblicato sul sito dell’avvocato. Tale aspetto era stato allegato nella segnalazione, ma è stato negato dal titolare e non è stato considerato accertato.

Violazioni accertate e norme applicate

L’Autorità ha concluso che l’utilizzo di un link aperto ha reso possibile l’acquisizione indiscriminata dei dati personali dei patrocinati, configurando una violazione del principio di integrità e riservatezza e degli obblighi di sicurezza.

Sono state ritenute violate:

• l’art. 5, par. 1, lett. f), GDPR, che impone di trattare i dati in modo da garantirne adeguata sicurezza e protezione da trattamenti non autorizzati o illeciti;
• l’art. 32 GDPR, che richiede misure tecniche e organizzative adeguate al rischio, tenendo conto della natura, dell’oggetto, del contesto e delle finalità del trattamento.

Il provvedimento richiama, inoltre, il fatto che il titolare aveva tardivamente adottato misure restrittive solo dopo avere appreso della problematica, circostanza che non è stata considerata sufficiente a sanare l’originaria violazione.

Valutazione delle difese e responsabilità

Il Garante ha respinto la ricostruzione difensiva secondo cui la responsabilità sarebbe da attribuire esclusivamente all’Ordine professionale o al successivo comportamento del terzo destinatario dei dati. Secondo l’Autorità, tale difesa si fondava su una mera ipotesi sul comportamento dell’Ordine in caso di link protetto e non eliminava il dato decisivo: il link aperto consentiva già di per sé un accesso diretto e indiscriminato ai dati.

L’Autorità ha quindi ritenuto che le cautele adottate fossero insufficienti rispetto al rischio insito nel trattamento effettuato.

Esito del procedimento e misure adottate

Pur dichiarando l’illiceità del trattamento, il Garante ha escluso l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 58, par. 2, lett. i), GDPR. Nella motivazione sono stati considerati, ai fini dell’art. 83 GDPR:

• il grado di responsabilità del titolare, anche in ragione della condotta dell’Ordine professionale che aveva trasmesso l’esposto senza oscurare il link aperto;
• l’assenza di vantaggi finanziari derivanti dalla condotta contestata;
• l’assenza di precedenti violazioni pertinenti.

In luogo della sanzione pecuniaria, il Garante ha disposto un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Provvedimenti finali e rimedi

Il Garante ha inoltre disposto:

• la pubblicazione del provvedimento sul sito istituzionale, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento n. 1/2019.

Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.