Freelance e consulenti: come proteggere i dati dei clienti senza un reparto IT

Prendi un nuovo cliente. Nel giro di una settimana, il tuo portatile contiene i suoi fogli di calcolo finanziari, una cartella di contratti, qualche migliaio di parole di note strategiche, alcuni screenshot dei suoi strumenti interni, e magari un’esportazione di database che ti ha mandato via email «solo per fare prima». Ora sei, che tu l’abbia scelto o no, il custode dei dati sensibili di un’altra azienda. E a differenza sua, non hai un reparto IT, non hai un team di sicurezza, non hai un responsabile della conformità. Ci sei solo tu, con un portatile che va al bar.

È il rischio silenzioso al centro del lavoro da freelance e da consulente. I clienti ti danno accesso perché si fidano di te personalmente, ma l’esposizione legale e reputazionale è reale. Se ti rubano il portatile, se una cartella sincronizzata fa trapelare qualcosa, se un account cloud viene violato, sono i dati del tuo cliente a finire in giro e il tuo nome a essere legato all’incidente. Questo articolo è una guida pratica per proteggere i dati dei clienti quando lavori da solo. Niente gergo, niente allarmismo, e un resoconto onesto di ciò che fa davvero la differenza rispetto a ciò che dà solo la sensazione di essere produttivi.

Risposta rapida

Come freelance o consulente, puoi proteggere i dati dei clienti a un livello davvero professionale senza alcun reparto IT facendo quattro cose: crittografa il tuo dispositivo con la crittografia dell’intero disco (FileVault, BitLocker o LUKS), tieni le copie di lavoro dei file dei clienti dentro un’app con crittografia lato client, così che restino illeggibili anche se un servizio di sincronizzazione viene violato, usa un gestore di password con password uniche e l’autenticazione a due fattori su ogni account, e cancella o restituisci i dati del cliente quando l’incarico finisce. La crittografia è il controllo con l’effetto più forte, perché trasforma un portatile perso o un account cloud violato da una violazione di dati da notificare in un non-evento. Da sola non ti rende conforme al GDPR, quello dipende da tutto il tuo modo di lavorare, ma è la base su cui poggia tutto il resto.

Perché questo toglie il sonno ai freelance

L’ansia non è irrazionale. Alcuni fattori rendono i consulenti che lavorano da soli particolarmente esposti.

Concentri il rischio. Un dipendente dell’azienda del tuo cliente tocca i dati di un’azienda sola. Tu potresti tenere i dati di cinque clienti contemporaneamente, di settori diversi, sulla stessa macchina. Una sola compromissione può far trapelare i dati di più clienti in un colpo.

La superficie di attacco sei tu. Non c’è un portatile di lavoro separato chiuso in un ufficio, nessun dispositivo gestito con regole imposte, nessun firewall di rete mantenuto da qualcun altro. La tua macchina personale, i tuoi account cloud personali e le tue abitudini sono l’intero perimetro.

Hai una responsabilità legale. Ai sensi del GDPR, quando un cliente (il titolare del trattamento) ti affida dati personali da trattare per suo conto, sei di solito un responsabile del trattamento. L’articolo 28 impone che questo rapporto sia regolato da un contratto, di solito un accordo sul trattamento dei dati (DPA), e l’articolo 32 ti chiede di mettere in atto «misure tecniche e organizzative adeguate» per proteggere i dati. La cifratura è citata espressamente nell’articolo 32 come esempio di tali misure. In parole semplici: proteggere i dati dei clienti non è un optional da liquidare perché sei piccolo. È un obbligo legale che vale anche per te.

E per un freelance il modo in cui le cose vanno storte è brutale. Una grande azienda sopravvive a un titolo su una violazione di dati. Un consulente la cui reputazione è tutta la sua attività non sopravvive facilmente a «il collaboratore esterno ha perso l’elenco dei nostri clienti».

Questo articolo non è una consulenza legale e non può dirti quali siano esattamente i tuoi obblighi: dipendono dai tuoi clienti, dalla tua giurisdizione e dai dati coinvolti. Quello che può fare è mostrarti i controlli tecnici che riducono costantemente il tuo rischio, e dove stanno i limiti onesti.

I quattro controlli che contano davvero

La maggior parte dei consigli di sicurezza per i piccoli operatori è un muro di suggerimenti. Non ti servono quaranta abitudini. Ti servono quattro controlli fatti bene, più o meno in quest’ordine di efficacia.

1. Crittografa il dispositivo

Comincia da qui perché è gratuito, integrato, e protegge dall’incidente più comune in assoluto: un portatile perso o rubato. La crittografia dell’intero disco significa che se qualcuno ruba la macchina, il disco è illeggibile senza il tuo accesso. Attiva FileVault su macOS, BitLocker su Windows Pro (o la crittografia del dispositivo su Home), e usa LUKS su Linux. Ci vogliono dieci minuti e chiudi un’intera categoria di disastri del tipo «portatile dimenticato sul treno».

Ma capisci cosa la crittografia del disco non fa. Protegge i dati quando la macchina è spenta. Una volta che accedi, tutto è decrittografato e leggibile da qualsiasi app che giri con il tuo utente, e non fa nulla per i file che sincronizzi nel cloud o copi su una chiavetta USB. È necessaria e lontanissima dall’essere sufficiente. La distinzione tra protezione a livello di disco e a livello di file merita di essere capita bene, ed è spiegata con chiarezza in questa guida su crittografia del disco e crittografia lato client per note e file.

2. Tieni i file dei clienti in un’app con crittografia lato client

È il controllo che separa il livello amatoriale da quello professionale. La crittografia del disco protegge il portatile; la crittografia lato client protegge i file stessi, ovunque vadano.

L’idea chiave è che il file viene crittografato sul tuo dispositivo, con una chiave che hai solo tu, prima ancora di toccare un server di sincronizzazione. Così anche se il tuo fornitore cloud viene violato, riceve una richiesta di un’autorità o è semplicemente negligente, quello che trapela è testo cifrato illeggibile e non i veri contratti del tuo cliente. È la differenza tra un incidente imbarazzante ma innocuo e una violazione di dati da notificare. La posta in gioco concreta è spiegata con chiarezza in questo confronto su cosa trapela con un cloud classico e cosa con la crittografia locale in caso di violazione: uno scenario fa uscire documenti leggibili, l’altro fa uscire rumore.

C’è un lessico importante che i fornitori confondono di proposito. «Crittografato a riposo» spesso significa solo che il fornitore crittografa i tuoi dati con chiavi che tiene lui, il che protegge da un disco rubato nel suo data center ma non dal fornitore stesso, da un dipendente scorretto o da una richiesta di un’autorità. «Zero-knowledge», o una vera crittografia end-to-end, significa che il fornitore per struttura non può leggere i tuoi dati, perché non ha mai la chiave. Per i dati dei clienti, vuoi il secondo tipo. Se leggi una sola spiegazione, che sia questa analisi di zero-knowledge, end-to-end e crittografia a riposo, perché la maggior parte degli strumenti «sicuri» sta, senza dirlo, nella categoria più debole.

3. Blinda gli account con un gestore di password e la 2FA

La crittografia sul dispositivo non serve a nulla se un attaccante entra semplicemente nei tuoi account. Le due abitudini che contano: un gestore di password, così che ogni account abbia una password unica e robusta, e l’autenticazione a due fattori su tutto ciò che contiene o dà accesso ai dati dei clienti, soprattutto la tua email, perché la tua email è il meccanismo di reimpostazione di tutto il resto. È poco affascinante, ed è il miglior ritorno su dieci minuti di impegno che otterrai mai. Una password trapelata da qualche sito che non c’entra niente non dovrebbe mai poter aprire la cartella di progetto del tuo cliente.

4. Abbi un piano di uscita per i dati

I dati che non conservi più non possono trapelare. Quando un incarico finisce, cancella i file del cliente o restituiscili, e rimuovi i suoi accessi da qualsiasi sistema condiviso. La conservazione non è solo una questione di ordine: secondo i principi di minimizzazione e di limitazione della conservazione del GDPR, non dovresti tenere i dati personali più a lungo del necessario. Come responsabile del trattamento, anche il contratto con il cliente dovrebbe dire cosa succede ai suoi dati alla fine. Un’abitudine semplice, una cartella per cliente che puoi crittografare, archiviare e poi cancellare in modo pulito, rende tutto indolore. Tenere ogni cliente ben separato fin dal primo giorno è molto più facile che districare più tardi i file di cinque clienti da un unico grande caos sul desktop.

Le opzioni realistiche a confronto

Dove dovrebbero vivere davvero i file di lavoro dei clienti? Ecco un confronto onesto delle configurazioni più comuni a cui ricorre un freelance.

Configurazione	Protegge un portatile rubato	Protegge da una violazione del cloud	Il fornitore può leggere i file	Costo minimo	Realistica per chi lavora da solo
Cartelle semplici + Dropbox/Drive	No	No	Sì	Piano gratuito	Facilissima, ma la più debole
Solo crittografia del disco	Sì (da spenta)	No	N/D (niente sincronizzazione)	Gratuita	Facile, ma nessuna sicurezza nel cloud
Cloud diffuso «crittografato a riposo»	In parte	No	Sì	Variabile	Facile, falso senso di sicurezza
App con crittografia lato client / zero-knowledge	Sì	Sì	No	Spesso gratuita in locale	Facile una volta configurata
Server ospitato da te	Dipende	Dipende dalla tua configurazione	Dipende	Costo del server + il tuo tempo	Diventi tu il reparto IT

La riga che la gente sottovaluta è «cloud diffuso crittografato a riposo». Sembra sicuro e si presenta come sicuro, ma le chiavi le tiene il fornitore, quindi fallisce esattamente lo scenario che temi di più. La riga dell’hosting in proprio è la trappola opposta: può essere eccellente, ma gestire il tuo server significa aver riassunto in silenzio il reparto IT che cercavi di evitare, con aggiornamenti, backup e disponibilità compresi. Per la maggior parte dei consulenti che lavorano da soli, un’app con crittografia lato client e sincronizzazione facoltativa è il giusto equilibrio tra protezione forte e basso carico operativo.

Come si traduce in una settimana normale

La teoria costa poco. Ecco il flusso di lavoro tradotto in cose che faresti davvero.

Quando inizia un progetto, crea uno spazio dedicato per ogni cliente, così che le sue note e i suoi file non si mescolino mai con quelli degli altri né con le tue cose personali. Metti lì tutto ciò che riguarda quel cliente: il brief, i contratti, i documenti di lavoro, gli screenshot, gli appunti. Poiché l’intero spazio è crittografato sul tuo disco, non devi prendere una decisione di sicurezza file per file: l’impostazione predefinita è sicura.

Mentre lavori, collega le cose tra loro invece di cercarle tra le cartelle. Una nota di riunione richiama il PDF da cui nasce; una consegna rimanda ai dati di origine. Non è solo ordine: significa che sei mesi dopo potrai davvero ricostruire perché hai preso una decisione, il che è una forma di protezione professionale a sé. Se vuoi vedere come ripaga collegare note e documenti in questo modo, questa guida su organizzare insieme note e file con un grafo lo spiega passo per passo.

Quando devi mandare un file a un cliente, evita di far girare allegati sensibili via email, perché l’email non è riservata. Preferisci un link in cui la chiave di decrittografia non raggiunge mai il server, così che chi ospita il file non possa leggere ciò che hai condiviso. E quando l’incarico si chiude, archivia quello spazio del cliente, consegna ciò che devi e cancella la tua copia di lavoro secondo i tempi concordati.

Niente di tutto questo richiede un reparto IT. Richiede di scegliere strumenti il cui comportamento sicuro è quello predefinito, così che la sicurezza sia la strada più facile e non una disciplina da mantenere a fatica.

Dove si colloca Filarr, onestamente

Filarr è un’opzione per il secondo controllo qui sopra: uno spazio di lavoro crittografato local-first in cui le tue note e i tuoi file vivono insieme sulla tua macchina. Ogni file è crittografato con AES-256-GCM sotto la chiave master del tuo account, con un valore casuale nuovo per ogni file, e quella chiave è a sua volta incapsulata da una chiave derivata dalla tua password (PBKDF2-SHA512 a 600.000 iterazioni). Funziona completamente offline senza alcun account obbligatorio, e la sincronizzazione cloud è facoltativa: quando sincronizzi, i file vengono caricati già crittografati e il server conserva solo blob opachi che non può leggere. Il recupero passa da una frase BIP-39 di 24 parole, quindi dimenticare la password non significa perdere i dati. Più spazi di lavoro ti permettono di tenere ogni cliente ben separato. È gratuito per sempre per l’uso locale, con la sincronizzazione gratuita fino a 5 GB e piani a pagamento da 4 € al mese, e il codice sorgente del client desktop è pubblico con la BSL 1.1 («source available», non open source nel senso dell’OSI). Se vuoi l’architettura completa, il team ha spiegato come la sincronizzazione cloud facoltativa resta zero-knowledge.

Ora i limiti onesti, perché non dovresti scegliere uno strumento in base al marketing. Filarr è un progetto giovane (2026), l’app mobile è ancora in corso, e il suo ecosistema di plugin è molto più piccolo di quello di qualcosa come Obsidian. Soprattutto, ed è la parte che nessuno strumento dovrebbe farti dimenticare: la crittografia è un controllo, non la conformità. Filarr crittografa i tuoi file. Non firma un accordo sul trattamento dei dati al posto tuo, non ti rende conforme al GDPR da solo e non è una consulenza legale. La tua conformità dipende da tutto il tuo modo di lavorare, dai tuoi contratti, dalle tue abitudini di conservazione, da come gestisci le richieste dei clienti, non da una singola app. Tratta la crittografia come la base solida che è, e costruisci sopra il resto delle tue pratiche.

Lista di controllo pratica

• Attiva oggi la crittografia dell’intero disco (FileVault, BitLocker o LUKS). Dieci minuti, costo zero.
• Tieni i file di lavoro dei clienti in un’app con crittografia lato client, non in cartelle semplici su un cloud diffuso.
• Impara la differenza tra «crittografato a riposo» (le chiavi le tiene il fornitore) e zero-knowledge (le hai solo tu), e preferisci il secondo per i dati dei clienti.
• Usa un gestore di password e la 2FA su ogni account, soprattutto l’email.
• Separa ogni cliente nel suo spazio fin dal primo giorno.
• Non mandare mai allegati sensibili via email; condividi con link in cui la chiave resta a te.
• Firma un accordo sul trattamento dei dati con i clienti quando tratti dati personali per loro conto, e concorda cosa succede ai dati alla fine.
• Cancella o restituisci i dati dei clienti quando l’incarico finisce; non accumularli.
• Ricorda che la crittografia riduce il rischio in modo drastico ma non è, da sola, conformità né consulenza legale.

Domande frequenti

Ho davvero degli obblighi GDPR come freelance che lavora da solo?

Molto probabilmente sì, se tratti dati personali per conto dei clienti. Essere piccoli non esonera. Quando un cliente ti affida dati personali da trattare per lui, in genere sei un responsabile del trattamento, il che significa un accordo sul trattamento dei dati ai sensi dell’articolo 28 e misure di sicurezza adeguate ai sensi dell’articolo 32, di cui la cifratura è un esempio citato. La portata esatta dipende dal tuo lavoro e dalla tua giurisdizione, quindi prendilo come uno spunto per informarti nel dettaglio, non come una consulenza legale.

La crittografia dell’intero disco non basta da sola?

No. È essenziale e protegge un portatile perso o rubato quando la macchina è spenta, ma una volta che accedi i dati sono decrittografati, e non fa nulla per i file che sincronizzi nel cloud o copi altrove. Ti serve sopra una crittografia lato client, a livello di file, per proteggere i dati mentre viaggiano e si sincronizzano.

Il mio fornitore cloud dice che i miei dati sono crittografati. Sono coperto?

Controlla chi tiene le chiavi. «Crittografato a riposo» di solito significa che il fornitore crittografa i tuoi dati con chiavi che controlla lui, il che non ti protegge dal fornitore stesso, da un insider scorretto o da una violazione in cui trapelano anche le chiavi. Per i dati dei clienti vuoi la crittografia zero-knowledge o una vera crittografia end-to-end, in cui il fornitore per struttura non può leggere i tuoi file.

Come mando in sicurezza un file sensibile a un cliente?

Evita gli allegati email per tutto ciò che è riservato, perché l’email non è un canale privato. Usa un metodo di condivisione in cui la chiave di decrittografia resta fuori dalla portata del server, così che chi ospita il file veda sempre e solo dati crittografati. Insieme a una password robusta e unica da entrambe le parti, questo mantiene il file leggibile solo da te e dal tuo cliente.

Dovrei ospitare tutto da me per avere il pieno controllo?

Solo se vuoi davvero gestire e mantenere un server, con aggiornamenti, backup, disponibilità e tutto il resto. Per la maggior parte dei consulenti che lavorano da soli, l’hosting in proprio ricrea in silenzio il reparto IT che cercavano di evitare. Un’app con crittografia lato client e una sincronizzazione zero-knowledge facoltativa ti dà la maggior parte dei vantaggi della proprietà con una frazione del carico operativo.