Quando si ragiona su che cosa esce da uno studio, si pensa al cliente. Il cliente però è una parte sola del fascicolo, e spesso non è nemmeno quella più delicata: nello stesso documento ci sono il testimone citato, il consulente tecnico, il minore di cui si discute l’affidamento, il medico che ha firmato una relazione, la controparte con il suo indirizzo.
Queste persone hanno una cosa in comune. Non hanno firmato niente con voi, non hanno letto la vostra informativa e, quasi sempre, non sanno nemmeno che il vostro studio esiste.
Il consenso del cliente non copre gli altri
L’informativa che il cliente ha ricevuto riguarda il trattamento dei suoi dati. Non è un’autorizzazione a trattare quelli di un terzo, e non lo diventa perché il terzo compare in un documento che il cliente ha portato. Per i dati di chi non è parte del rapporto, lo studio resta titolare e la base giuridica va trovata altrove, di solito nell’esercizio del diritto di difesa.
Quella base giuridica copre il trattamento necessario alla difesa. Copre l’acquisizione di un referto, la citazione di un testimone, il deposito di una relazione. Non copre, senza un ragionamento in più, l’invio dello stesso documento a un fornitore di intelligenza artificiale per ottenere un riassunto: quello è un trattamento ulteriore, con una finalità diversa e un destinatario diverso, ed è il tipo di passaggio su cui la domanda «era necessario» ha una risposta scomoda.
Chi c’è in un fascicolo, in ordine di quanto lo si dimentica
Prima di decidere che cosa togliere conviene sapere chi c’è, perché l’elenco è più lungo di quello che la memoria restituisce. In un fascicolo civile medio ci sono, quasi sempre: il cliente e i suoi familiari; la controparte, con residenza e codice fiscale; il difensore avverso, che è un nome proprio come gli altri; i testimoni indicati, con indirizzo; il consulente tecnico d’ufficio e quelli di parte; i medici che hanno firmato referti; il datore di lavoro e i colleghi citati in una causa di lavoro; l’istituto scolastico in una causa di famiglia; la banca, con il numero di rapporto; e i dipendenti pubblici che hanno sottoscritto un atto amministrativo.
L’ordine non è casuale: è più o meno l’ordine in cui questi nomi vengono dimenticati quando si ripulisce un documento a mano. Del cliente e della controparte ci si ricorda perché sono il titolo della causa; del medico che compare in una nota a piè di pagina no, e non perché si sia distratti: nella testa di chi legge non è una persona, è una fonte.
Alcuni di quei dati sono di categoria particolare
I fascicoli che contengono dati sanitari sono più di quanti sembri: infortunistica, responsabilità medica, cause di lavoro con inidoneità, separazioni con perizie psicologiche, previdenza. E dati sanitari vuol direarticolo 9 del GDPRsi apre in una scheda nuova, cioè un divieto di trattamento salvo che ricorra una delle condizioni del paragrafo 2.
Nei procedimenti che riguardano minori si aggiunge tutto quello che li identifica, che in un atto è quasi sempre più del nome: la scuola, il comune, la data di nascita, i nomi dei genitori. Togliere il nome del minore e lasciare i nomi dei genitori è una sostituzione che non protegge niente.
Il terzo ha diritto di chiedere, e la risposta va scritta
C’è una parte di questo discorso che di solito arriva ultima e che invece è la più concreta: quelle persone hanno dei diritti verso di voi, e possono esercitarli. L’articolo 15 del GDPR dà a chiunque il diritto di sapere se un titolare tratta dati che lo riguardano, quali sono, per quale finalità e, la lettera che interessa qui, a quali destinatari sono stati comunicati. Non serve un rapporto contrattuale: basta che i suoi dati siano nelle vostre mani.
La domanda che ne esce non è teorica. «Il documento in cui compaio è stato inviato a soggetti terzi?» ha due risposte possibili: no, oppure sì con il nome del fornitore, la finalità, il periodo di conservazione e, se il fornitore sta fuori dall’Unione, lo strumento del capo V su cui si regge il trasferimento. La seconda risposta si può dare soltanto se qualcuno, prima, ha scritto quelle cose nel registro dei trattamenti. Non averle scritte non rende la risposta più facile: la rende impossibile.
C’è poi l’articolo 14, che riguarda i dati non raccolti presso l’interessato e chiede, in linea di principio, di informarlo. Nel contenzioso opera spesso un’eccezione (informare il testimone di controparte comprometterebbe la difesa), ma l’eccezione va argomentata, non presunta, e vale per il trattamento necessario alla causa. Non si estende da sola a un invio fatto per far riassumere un documento.
Perché la sostituzione automatica funziona meglio qui che altrove
La differenza pratica fra togliere i dati del cliente e togliere quelli di tutti è la memoria. Del cliente ci si ricorda; del perito nominato a pagina trentuno, del medico citato in una nota, dell’indirizzo di un testimone che compare una volta sola, no.
Un programma che legge il documento non ha questa asimmetria: trova la ventottesima occorrenza con la stessa attenzione della prima, e le mette tutte in fila perché siano riviste. È il motivo per cui questa parte del lavoro conviene farla leggere a una macchina e decidere a una persona, che è esattamente il modo in cui Omissia è fatta: propone, mostra dove, e aspetta la conferma.
L’elenco di che cosa va tolto da un atto sta nell’articolo sui valori.