In sintesi: il Conseil National des Barreaux ha aggiornato nel 2026 la sua raccomandazione sulla dematerializzazione dei fascicoli dei clienti. L’articolo 66-5 della legge del 1971 rimane la base, ma vi si innestano sette obblighi pratici — e diversi vengono verificati già durante l’audit dell’Ordine. Ecco quali sono e come un caveau installato presso il vostro studio risponde a questi requisiti senza vincolare il vostro studio a un fornitore estero.
Attendete il vostro audit dell’Ordine tra sei mesi. Sapete che dovrete spiegare come proteggete il segreto professionale sui documenti che i vostri clienti vi inviano — tramite e-mail, WhatsApp o sul Drive condiviso che avete finito per attivare l’anno scorso. L’idea vi mette a disagio. Avete ragione: la griglia di valutazione dell’ispettore non è più quella del 2019.
Dall’ultimo aggiornamento della raccomandazione CNB sulla dematerializzazione, gli ispettori dispongono di un elenco chiaro di punti da verificare. La maggior parte deriva direttamente dall’articolo 66-5 della legge del 31 dicembre 1971, che stabilisce il segreto come assoluto, generale e illimitato nel tempo. Il resto proviene dal RGPD, dal RIN e dalla giurisprudenza accumulata sulle fughe di dati dal 2020. Panoramica.
Cosa dice esattamente l’articolo 66-5
L’articolo 66-5 protegge «tutte le corrispondenze scambiate tra il cliente e il suo avvocato, tra l’avvocato e i suoi colleghi», ad eccezione di quelle recanti la dicitura «ufficiale». Il testo estende tale protezione «alle note di colloquio e, più in generale, a tutti i documenti del fascicolo». Il termine documento è volutamente ampio: copre il PDF che vi ha inviato il vostro cliente, la scansione che avete effettuato in studio, la nota che avete preso dopo il colloquio e la tabella Excel con la cronologia che avete costruito per preparare le conclusioni.
La conseguenza è chiara: non appena uno di questi oggetti esce dal vostro perimetro controllato — la vostra casella di posta Gmail, un Drive condiviso con il vostro stagista, un trasferimento WeTransfer — il segreto non è più formalmente protetto. La Corte di Cassazione lo ha ricordato più volte: la materializzazione digitale non cancella l’obbligo, lo sposta su chi sceglie lo strumento.
Le 7 obbligazioni pratiche che l’auditore esamina
1. La tracciabilità degli accessi
L’auditore vuole poter ricostruire chi, all’interno dello studio, ha avuto accesso a un determinato fascicolo, in quale data e da quale postazione. Un Drive condiviso che registra solo l’apertura di un file non è sufficiente. È necessario un registro di audit di cui potete provare l’integrità — ovvero che nessuno possa modificarlo a posteriori, nemmeno voi.
2. La separazione per fascicolo
La compartimentazione è esplicitamente richiesta. I documenti di un fascicolo non devono essere accessibili a un collaboratore che non vi sta lavorando. Su un Drive strutturato per cartelle, tutti vedono tutto per impostazione predefinita. Su un caveau che applica il principio del privilegio minimo, l’accesso è esplicito, fascicolo per fascicolo.
3. La marcatura temporale opponibile della ricezione
Quando un cliente deposita un documento, dovete poter provare in quale data è stato ricevuto — non inviato. Il timestamp di una mail in Gmail può essere contestato; dipende dal server di posta. Un documento depositato in un caveau di vostra proprietà, che registra la data di ricezione nel suo registro immutabile, ha un valore probatorio decisamente superiore.
4. La conservazione crittografata a riposo
Non solo la crittografia in transito (TLS), ma anche quella quando il file è archiviato sul disco. La maggior parte dei Drive consumer non esegue la crittografia lato client. Un caveau professionale deve crittografare almeno per cartella, idealmente con una chiave di cui si mantiene il controllo.
5. La prova di eliminazione al termine della pratica
Il RGPD impone un periodo di conservazione limitato. Alla chiusura della pratica, dovete essere in grado di provare che i documenti sono stati eliminati — o archiviati in una forma che rispetti la finalità iniziale. Un Drive che conserva tutto a tempo indeterminato non è conforme.
6. La resistenza alla requisizione straniera
Se i vostri documenti risiedono presso un fornitore statunitense — TaxDome, HoneyBook, SuiteDash, Notion — sono accessibili tramite richiesta ai sensi del CLOUD Act, senza che ne siate informati. Il segreto professionale francese non si oppone a una requisizione statunitense. Per uno studio legale o per chi gestisce affari sensibili, questo è inaccettabile.
7. L’effettiva portabilità dei dati
Il RGPD conferisce al cliente un diritto alla portabilità. L’avvocato deve poter, su richiesta, restituire i documenti di una pratica in un formato leggibile. Diversi SaaS rendono questa operazione così lenta o degradata da scoraggiarla. Un caveau installato presso di voi esporta un file ZIP in pochi secondi.
Perché un caveau installato presso di voi soddisfa tutti e sette i requisiti in una volta sola
La logica è semplice. Quando il caveau è in esecuzione sul tuo WordPress, ospitato presso OVH, Scaleway o Infomaniak, hai il controllo totale del codice, del server e della giurisdizione. La tracciabilità, la separazione, la marcatura temporale e la crittografia diventano parametri sotto il tuo controllo. La resistenza alle richieste straniere è meccanica: nessun editore terzo ha il controllo.
Questa è esattamente la promessa di Client Vault Pro: un plugin WordPress che installi, di cui rimani proprietario, che copre i sette obblighi dell’audit senza che tu debba avere a che fare con un editore SaaS straniero. Mantieni il controllo, i tuoi clienti rimangono al sicuro.
Cosa puoi fare già da questo mese
Non hai bisogno di attendere l’audit per progredire. Tre azioni, in quest’ordine. Uno: fai un inventario onesto. Elenca dove risiedono oggi i documenti dei tuoi ultimi dieci fascicoli. Probabilmente rimarrai sorpreso. Due: identifica il tuo punto di maggiore vulnerabilità — solitamente è il documento ricevuto tramite WhatsApp o email non crittografata. Tre: scegli un canale sovrano per il prossimo fascicolo che aprirai. Non tutti, solo il prossimo. Vedrai la differenza in termini di tracciabilità già dalla prima settimana.
Il giorno dell’audit, vorrai poter rispondere senza esitazioni alle sette domande. Il modo migliore per prepararsi è non aspettare l’ultimo momento.
