Condivisione sicura dei file per studi legali

Lo scambio di file di uno studio legale non è un problema, ma quattro: ricevere documenti da un cliente che non ha mai usato i tuoi sistemi, inviare all’esterno gli elaborati dello studio, far circolare materiale tra co-difensori, consulenti tecnici e controparti, e conservare l’intero fascicolo da qualche parte per tutto il tempo che impone la tua politica di conservazione. Ognuno ha un modello di minaccia diverso, e la maggior parte degli studi risolve tutti e quattro con lo stesso strumento — l’email — perché è l’unico canale che ogni controparte possiede già.

Questa pagina parla di come decidere che cosa usare al suo posto. Affronta che cosa i tuoi obblighi di riservatezza esigono davvero da uno strumento, che cosa copre e che cosa non copre la parola "crittografato" quando il materiale è coperto dal segreto professionale, come funzionano la raccolta, la conservazione e la cancellazione quando il fornitore non può leggere i file, e le domande che separano una risposta reale da una risposta di marketing. ShieldFive compare alla fine, con le sue lacune dichiarate per nome — diverse sono dirimenti per alcuni studi, ed è meglio leggerle qui che scoprirle dopo la migrazione. Nulla di tutto questo è consulenza legale; valgono le regole del tuo ordine professionale e le condizioni concordate con i clienti, e variano da una giurisdizione all’altra.

Riservatezza e privilegio sono due obblighi distinti

Vengono abitualmente ridotti a uno solo, e la confusione produce cattive decisioni sugli strumenti.

Il dovere di riservatezza è quello ampio. Nella maggior parte delle giurisdizioni copre praticamente tutto ciò che riguarda un incarico, qualunque ne sia la fonte, e obbliga a compiere sforzi ragionevoli per impedire divulgazioni non autorizzate. "Ragionevole" è la parola determinante: è uno standard, non una lista di controllo, e si sposta man mano che si sposta la tecnologia disponibile. Una scelta di strumento difendibile dieci anni fa non è automaticamente difendibile oggi.

Negli Stati Uniti il riferimento abituale di quell’obbligo è la ABA Model Rule 1.6(c), che è una norma statunitense e nient’altro. Per uno studio italiano l’equivalente evidente è il segreto professionale forense, presidiato dal codice deontologico forense e la cui violazione è punita dall’art. 622 del Codice penale ("Rivelazione di segreto professionale"). Quando in mezzo ci sono dati personali, quel dovere si sovrappone agli obblighi di sicurezza del trattamento dell’articolo 32 del GDPR — il Regolamento (UE) 2016/679, insieme al Codice Privacy (D.lgs. 196/2003) — sotto la vigilanza del Garante per la protezione dei dati personali. Sono corpi normativi distinti che sfociano nello stesso punto: lo strumento attraverso cui passano i documenti del cliente fa parte della conformità, non è un dettaglio esterno a essa.

Il privilegio avvocato-cliente (attorney–client privilege) è più stretto e di natura probatoria. Protegge le comunicazioni riservate scambiate al fine di ottenere un parere legale, e può andare perduto: per divulgazione a un terzo, per una gestione incauta, a volte per una produzione documentale involontaria. È una figura di common law, senza equivalente esatto negli ordinamenti di tradizione continentale, dove lo stesso interesse è tutelato attraverso il segreto professionale. Se far transitare materiale coperto attraverso un fornitore tecnicamente in grado di leggerlo incida sul privilegio è cosa che dipende dalla giurisdizione e dai fatti, e nessuna pagina di un fornitore può risponderti al posto tuo. Ma la direzione del rischio non è in dubbio: meno sono le parti tecnicamente capaci di leggere il materiale, più breve è l’argomentazione che ti troverai a dover sostenere.

Questo è il legame concreto tra le regole deontologiche e la questione architetturale. Un fornitore che conserva i documenti dei tuoi clienti in una forma che lui può leggere è una parte con accesso. Può essere una parte affidabile e con un buon programma di sicurezza — la maggior parte lo è — ma la sua capacità di leggere i file è un dato di fatto del sistema, e sopravvive a ogni promessa scritta nel contratto. Un fornitore architetturalmente incapace di leggerli elimina la domanda invece di risponderle.

Che cosa copre e che cosa non copre la parola "crittografato"

Quasi tutti gli strumenti per file sul mercato dichiarano di crittografare i tuoi dati. La parola abbraccia almeno tre assetti diversi, e la differenza si vede solo sotto pressione.

La maggior parte delle affermazioni sulla "crittografia di livello bancario" descrive la riga di mezzo. È una postura legittima e diffusa — crittografare a riposo con chiavi che gestisci tu è genuinamente meglio che non farlo — ma è una promessa sul comportamento, non un vincolo sulla capacità.

Ora la parte che i fornitori dicono meno spesso. Anche nel modello più forte, la crittografia non copre:

• I dispositivi terminali. Un portatile compromesso, una macchina condivisa, il telefono di un praticante senza blocco schermo. La crittografia protegge il file in transito e a riposo, non il dispositivo dove viene decifrato e letto.
• Il destinatario. Una volta che condividi un documento con il legale della controparte, quel documento è suo. Scadenza e limite ai download restringono il riaccesso alla copia sul server; non arrivano alla copia che sta sul suo disco.
• Il link, se il link è la chiave. La condivisione tramite link è una capacità al portatore: chi ha l’URL può aprire il documento. Inviare il link all’indirizzo sbagliato espone quanto inviare il file, a meno che un secondo fattore non viaggi separatamente.
• I metadati, se non sono crittografati anch’essi. I nomi di file e cartelle fanno trapelare le pratiche. Una cartella intitolata a una parte più un file chiamato "bozza di transazione v4" sono già una divulgazione anche se i documenti sono sigillati. Chiedi in modo specifico se i nomi vengono crittografati o soltanto archiviati.
• Le richieste dell’autorità rivolte a chiunque altro. Il tuo cliente, il tuo co-difensore e il tuo consulente tecnico possono essere destinatari di ordini autonomi. La crittografia cambia ciò che si può obbligare il fornitore a produrre, non ciò che possono produrre le parti.
• La via di consegna di un’applicazione web. Ogni crittografia eseguita nel browser dipende dal JavaScript che il server invia. La formulazione onesta è "crittografato nel browser, testo cifrato a riposo", non "nessun server potrebbe mai sovvertire tutto questo". Qualsiasi fornitore che affermi la versione forte sta esagerando.

I quattro scambi, e che cosa serve a ciascuno

Raccolta dal cliente. Il più difficile dei quattro, perché il vincolo non è la sicurezza ma l’attrito. Un cliente che deve creare un account, scegliere una password e ricordarsela manderà i documenti via email, e non avrai risolto nulla. Ciò che serve alla raccolta è un link che il cliente possa aprire a freddo, un elenco visibile di ciò che manca ancora, e una crittografia che avvenga senza che il cliente si accorga che è avvenuta. Qualunque altra cosa tu stia valutando, prova questo passaggio con un cliente reale e non tecnico prima di impegnarti.

Invio degli elaborati. Qui hai più controllo e dovresti usarlo: una scadenza, un limite ai download e — quello che conta di più — un secondo fattore che non viaggi nella stessa email del link. Una password inviata via SMS o dettata al telefono trasforma un link al portatore in qualcosa di più vicino a una consegna a due fattori.

Co-difensori, consulenti tecnici, controparti. Sono controparti professionali con i propri sistemi e i propri obblighi, e spesso insisteranno per usare i loro. Metti in conto di andare dove sono loro. Ciò che puoi comunque controllare è quello che esce dalla tua parte: una condivisione circoscritta a documenti specifici invece dell’accesso alla cartella del fascicolo, e una traccia di che cosa hai mandato e quando.

Conservazione del fascicolo. Questa è gestione documentale, non condivisione di file, e le due cose vengono confuse spesso e in modo costoso. Se ti servono archiviazione per pratica, verifica dei conflitti di interesse, storico delle versioni legato a un numero di fascicolo e regole di conservazione che scattano da sole, ti serve un sistema di gestione documentale o una suite gestionale per lo studio. Uno strumento di condivisione forzato in quel ruolo diventa un archivio ombra che nessuno riesce a cercare — il che è peggio dell’email che hai sostituito. Per le divulgazioni massive e la due diligence, vedi camera dati virtuale o condivisione sicura dei file; i controlli che una camera dati aggiunge (filigrana per documento, flusso di Q&A, analisi granulare delle visualizzazioni) sono reali, e uno strumento di condivisione non li ha.

Conservazione e cancellazione

La cancellazione è il punto in cui gli strumenti crittografati si comportano diversamente da quelli a cui il tuo studio è abituato, e le differenze contano per una politica di conservazione.

Parti dalla distinzione che genera quasi tutta la confusione: revocare una condivisione non è cancellare un file. La revoca chiude la via d’ingresso; il documento resta nella tua cassaforte. La cancellazione elimina l’oggetto archiviato. Una politica che dice "i link scadono dopo 30 giorni" non ha detto nulla su quanto a lungo lo studio conserva il materiale, e un auditor se ne accorgerà.

Secondo, in un sistema zero-knowledge la cancellazione è genuinamente distruttiva e non esiste un annullamento lato fornitore. Nessuno, presso il fornitore, può ricostruire un file di cui non ha mai avuto le chiavi. È esattamente il punto, ed è anche il rischio: la stessa proprietà che sconfigge un ordine dell’autorità sconfigge la tua richiesta di recupero. Ogni studio che ne adotti uno ha bisogno di un accordo scritto sulla custodia della passphrase e della chiave di recupero prima di far passare dallo strumento una pratica reale — in mano a più di una persona, conservato fuori dal sistema, e provato.

Terzo, la scadenza automatica e l’obbligo di conservazione a fini di contenzioso sono in conflitto diretto. Uno strumento che cancella a tempo cancellerà allegramente materiale che sei tenuto a preservare. Dove un obbligo di conservazione è prevedibile, tieni la copia di riferimento nel sistema governato dal tuo piano di conservazione e tratta lo strumento di condivisione come un canale, non come un archivio.

Quarto, chiedi che cosa significhi la cancellazione a valle. I backup crittografati possono conservare testo cifrato per un periodo dopo che il record è sparito dalla tua interfaccia. Di solito va bene — è illeggibile — ma dovrebbe essere una risposta documentata, non una supposizione.

Che cosa chiedere a un fornitore

Le domande qui sotto sono quelle le cui risposte differiscono davvero da prodotto a prodotto. Una risposta vaga a una di queste è essa stessa informativa.

1. Potete leggere i file dei miei clienti? È una policy o un’architettura? L’unica risposta duratura è architetturale. "Non guardiamo" e "non possiamo guardare" sono affermazioni diverse.
2. Chi detiene le chiavi, e che cosa consegnate se ricevete un ordine dell’autorità? Un fornitore che detiene le chiavi consegna documenti. Un fornitore zero-knowledge consegna testo cifrato e metadati. Chiedi quale dei due, per iscritto.
3. Quali metadati conservate, e i nomi dei file sono crittografati? Vedi sopra: i nomi fanno trapelare le pratiche.
4. Dove risiedono fisicamente i dati, e sotto quale giurisdizione? Poi chiedi se l’accordo sul trattamento dei dati (il DPA dell’articolo 28 del GDPR) è standard o è riservato a un contratto enterprise.
5. Quali controlli porta con sé un link di condivisione, e la chiave viaggia nel link? Scadenza, limite ai download, revoca, una password facoltativa che viaggi separatamente. Se la chiave sta nell’URL, dillo a te stesso con tutte le lettere: inoltrare il link è inoltrare l’accesso.
6. Che cosa succede quando un avvocato lascia lo studio? Rimuovere l’account è il minimo sindacale. Chiedi che cosa accade al materiale che quella persona ha già decifrato e messo in cache, e se esiste una rotazione delle chiavi che renda illeggibile per lei il materiale futuro.
7. Potete darmi un registro degli accessi per una pratica specifica? Molti strumenti non possono, oppure lo mostrano solo in un’interfaccia senza esportazione. Se le istruzioni di gestione che un cliente impone al difensore esterno richiedono report di accesso, risolvi la questione prima di acquistare.
8. Quali garanzie di terze parti avete? SOC 2 Type II, ISO 27001, un penetration test recente con un riepilogo che tu possa leggere. "Prendiamo la sicurezza molto sul serio" non è una risposta, e non lo è nemmeno una certificazione in capo alla capogruppo se il prodotto non rientra nel perimetro.
9. Che cosa succede se perdiamo la passphrase? Per uno strumento crittografato la risposta onesta è "i dati sono persi". Conferma il meccanismo di recupero e chi lo custodisce.

Dove ShieldFive si colloca, e dove no

ShieldFive offre archiviazione, condivisione e raccolta di file cifrati lato client. I file vengono cifrati sul dispositivo prima del caricamento e i dati cifrati sono archiviati nell’UE. La password non raggiunge mai i suoi server: il browser la trasforma in un valore di accesso separato con Argon2id e invia solo quello, e la chiave che apre la cassaforte è derivata separatamente e resta sul dispositivo. Il codice dell’app web è distribuito da ShieldFive, quindi il client servito a ogni visita fa parte del modello di fiducia: non è una garanzia assoluta che il fornitore non possa decifrare i file. I caricamenti web usano per impostazione predefinita ML-KEM-1024/XChaCha20-Poly1305, con AES-GCM come alternativa; Anche Android usa per impostazione predefinita il formato ibrido, con la stessa alternativa AES-GCM, e legge entrambi i formati. Il core crittografico è open source, ma le applicazioni non lo sono interamente e non è stato completato un audit di sicurezza esterno.

Per uno studio, tutto questo si mappa su tre dei quattro scambi. In entrata, una richiesta di documenti per studi legali dà al cliente un link protetto da PIN, con l’elenco di ciò che manca e senza alcun account da creare, e ogni caricamento viene sigillato con le chiavi dello studio nel browser del cliente. Per una raccolta di tipo questionario anziché di documenti, i moduli di raccolta dati crittografati funzionano allo stesso modo. In uscita, un link di condivisione porta con sé una scadenza, un limite ai download e un elenco facoltativo di paesi consentiti — utile, ma tratta quell’elenco come attrito e non come un controllo, perché una VPN lo aggira. Il controllo che conviene usare ogni volta è la password di condivisione: se la imposti, resta fuori dal link e ti viene mostrata separatamente, così l’URL da solo non basta più. Se la lasci vuota, una chiave generata automaticamente viaggia nel frammento del link, il che significa che il link è la credenziale.

Sull’uscita di un componente dello studio, ShieldFive è più onesto della media e il dettaglio conviene conoscerlo prima di farci affidamento. La rimozione di un membro cancella la sua chiave incapsulata, quindi quella persona perde l’accesso da qualsiasi dispositivo o sessione nuovi. Ma un membro che avesse già sbloccato e messo in cache la chiave dello studio conserva l’accesso ai documenti ricevuti prima della rimozione finché non ruoti le chiavi dello studio. La rotazione emette una nuova chiave dello studio per le richieste future e la reincapsula per i membri rimasti; non ricifra ciò che era già stato ricevuto. Pianifica le uscite di conseguenza.

Ora i limiti, che sono la ragione per cui questa sezione esiste. ShieldFive non è un sistema di gestione documentale né un gestionale di studio: niente archiviazione per pratica, niente verifica dei conflitti di interesse, niente calcolo dei termini processuali, niente rilevazione delle ore e fatturazione, niente firma elettronica. Non è una camera dati: niente filigrana per documento, niente flusso di Q&A, niente analisi delle visualizzazioni. Non ha una funzione di conservazione a fini di contenzioso (legal hold): nulla sospende una scadenza o blocca una cancellazione perché esiste un obbligo di conservazione. Registra gli eventi di sicurezza lato server, ma non espone un report degli accessi autonomo ed esportabile da consegnare a un cliente in base alle sue istruzioni di gestione per il difensore esterno. E non ha alcun audit di terze parti completato: niente SOC 2, niente ISO 27001, e non viene firmato il Business Associate Agreement di HIPAA statunitense. Ciò che offre in cambio è un core crittografico open source e una revisione di sicurezza interna pubblicata, che è un tipo di prova diverso, non un sostituto.

Se l’ufficio acquisti del tuo studio richiede un SOC 2 già completato, o se le tue pratiche hanno bisogno di un vero sistema di gestione documentale, ShieldFive non è lo strumento — e una pagina che ti dicesse il contrario ti farebbe un cattivo servizio.

Un assetto praticabile per uno studio di piccole dimensioni

1. Decidi qual è l’archivio di riferimento, e assicurati che sia quello governato dal tuo piano di conservazione. Lo strumento di condivisione è un canale in entrata e in uscita.
2. Metti per iscritto la regola di custodia della passphrase e della chiave di recupero prima della prima pratica reale: chi le detiene, dove, e come entra una seconda persona se la prima non è raggiungibile.
3. Scegli i tipi di pratica che devono usare sempre lo scambio crittografato — di norma tutto ciò che comporta documenti d’identità, dati finanziari, informazioni sulla salute, o un cliente con condizioni contrattuali di sicurezza — e rendilo l’impostazione predefinita per quelli, non un’opzione.
4. Standardizza un unico schema in uscita: scadenza impostata, limite ai download impostato, password impostata e inviata su un canale diverso da quello del link. Uno schema che seguono tutti vale più di cinque schemi configurabili che non segue nessuno.
5. Prova la raccolta con un cliente reale, possibilmente uno impaziente e dal telefono. Se lo aggira, lo strumento ha fallito a prescindere dalla sua crittografia.
6. Inserisci le uscite nella checklist di offboarding: rimuovi il membro, poi ruota la chiave dello studio, sapendo che i documenti già ricevuti restano leggibili per chi avesse messo in cache quella vecchia.
7. Rivedi dopo un ciclo di pratica e guarda la cosa che conta davvero: quale quota dello scambio sensibile continua ad avvenire via email. È quel numero, non un elenco di funzioni, a dirti se l’adozione ha funzionato.

Come lettura adiacente, email o condivisione sicura dei file spiega perché il canale predefinito fallisce, la checklist per la condivisione di documenti con i clienti è la versione operativa breve dell’adozione qui sopra, e la raccolta sicura di documenti per gli avvocati dell’immigrazione percorre la stessa decisione per una singola area di pratica, con un confronto completo tra fornitori. Se stai confrontando fornitori zero-knowledge in generale, dieci di loro valutati onestamente è la rassegna più ampia.

Domande frequenti

Usare uno strumento di condivisione in cloud viola il segreto professionale?

Di per sé no, e nessuna pagina di un fornitore può darti una risposta specifica per la tua giurisdizione. La posizione generale è che ricorrere al servizio di un terzo non compromette automaticamente la riservatezza quando lo studio ha adottato precauzioni ragionevoli per preservarla — il che sposta il peso su che cosa significhi "ragionevole" per le tue pratiche, la tua giurisdizione e la sensibilità del materiale. Negli ordinamenti di common law la domanda equivalente è se si rinunci al privilegio; in Italia si pone come segreto professionale forense sommato agli obblighi di sicurezza dell’articolo 32 del GDPR. La conclusione pratica è la stessa nei due quadri: l’argomento è più corto e più solido quante meno sono le parti tecnicamente capaci di leggere i documenti. Consulta le indicazioni del tuo ordine e le condizioni concordate con i clienti; tratta questa pagina come contesto, non come consulenza.

Serve la crittografia end-to-end, o basta la crittografia a riposo?

Per buona parte del materiale di uno studio, la crittografia a riposo presso un fornitore serio è una scelta difendibile, e fingere il contrario sarebbe disonesto. La distinzione morde in situazioni specifiche: materiale soggetto a clausole contrattuali di riservatezza imposte dal cliente, pratiche in cui il fornitore potrebbe plausibilmente ricevere un ordine dell’autorità, lavoro transfrontaliero con vincoli di residenza dei dati, e tutto ciò per cui una violazione dei dati del fornitore sarebbe di per sé una divulgazione da notificare. Adatta il modello alla pratica invece di adottare un’unica postura per tutto.

Che cosa deve fare uno studio di fronte alla perdita di una passphrase in un sistema zero-knowledge?

Pianifica il recupero prima di archiviare pratiche reali: verifica la procedura documentata e conserva un backup indipendente. ShieldFive emette una chiave di recupero in fase di configurazione, la mostra una sola volta, e non può recuperarla per te. L’assetto che funziona è lo stesso che gli studi già usano per le combinazioni delle casseforti e per i depositi fiduciari: la chiave di recupero conservata fuori dal sistema, in mano ad almeno due persone, con una regola scritta su come vi accede la seconda. Verifica che funzioni prima che lo strumento contenga qualcosa che non puoi permetterti di perdere.

ShieldFive può essere usato come il nostro sistema di gestione documentale?

No, e non è progettato per esserlo. Non c’è archiviazione per pratica, né verifica dei conflitti di interesse, né storico delle versioni legato a un numero di fascicolo, né regole di conservazione automatiche, né firma elettronica. Usarlo come archivio dello studio creerebbe un secondo deposito che il tuo gestionale documentale non vede. Il ruolo che gli si adatta è quello di canale: raccogliere documenti dai clienti e inviare materiale sensibile all’esterno, con la copia di riferimento che vive dove dice la tua politica di conservazione.

ShieldFive supporta la conservazione a fini di contenzioso o produce un registro di audit per i clienti?

Nessuna delle due cose, a oggi. Non esiste un meccanismo di conservazione che sospenda una scadenza o blocchi una cancellazione, quindi una pratica soggetta a obbligo di conservazione non dovrebbe dipendere da uno strumento basato su timer. Gli eventi di sicurezza vengono registrati lato server, ma non esiste un report degli accessi autonomo ed esportabile da allegare alle istruzioni di gestione che un cliente impone al difensore esterno. Se una delle due è un requisito rigido per la tua attività, questa è una ragione legittima per scegliere altro — e conviene verificarla con qualsiasi fornitore, perché un numero sorprendente di essi non riesce a esportare un registro degli accessi.