Per applicare il GDPR in uno studio di commercialisti occorre distinguere le attività effettivamente svolte: gestione del rapporto professionale, consulenza, elaborazione delle paghe, adempimenti antiriciclaggio e conservazione dei documenti non hanno necessariamente lo stesso ruolo o la stessa base giuridica. La qualifica professionale non rende lo studio automaticamente titolare di qualsiasi trattamento, né automaticamente responsabile per tutti i dati ricevuti dal cliente.
Il risultato utile è una descrizione verificabile di chi decide le finalità, quali dati servono, chi può consultarli e quando termina la loro conservazione. Il numero di moduli firmati, da solo, non dimostra la conformità. Questa guida considera la normativa italiana e le fonti ufficiali disponibili al 29 settembre 2026, distinguendo gli obblighi dalle scelte organizzative consigliate.
Qualificare ogni servizio prima di compilare la nomina
Lo studio agisce come titolare quando determina le finalità e i mezzi essenziali del trattamento. È normalmente il caso della gestione del proprio personale e della propria fatturazione. Per un incarico di consulenza, occorre esaminare l’autonomia sostanziale del professionista, le decisioni assunte e gli obblighi che la legge pone direttamente a suo carico. La formula «consulenza fiscale» non basta a descrivere tutti i possibili rapporti.
Quando lo studio tratta dati per conto del cliente, entro finalità determinate da quest’ultimo, può invece operare come responsabile ai sensi dell’articolo 28. Il responsabile conserva un margine di scelta nell’organizzazione tecnica e nelle misure di sicurezza: poter scegliere un programma informatico non lo trasforma, da solo, in titolare. L’analisi della distinzione tra titolare e responsabile deve concentrarsi sul trattamento concreto.
Il Garante, nella risposta del 22 gennaio 2019 sui consulenti del lavoro, distingue la gestione dei dati propri del professionista dall’elaborazione dei dati dei lavoratori affidata dal datore di lavoro. Per questa seconda attività indica normalmente il rapporto titolare-responsabile. Il documento riguarda quello specifico contesto lavoristico: non autorizza a classificare allo stesso modo ogni incarico del commercialista.
Per esempio, uno studio può elaborare mensilmente i cedolini per conto di una società e conservare separatamente i documenti necessari ai propri obblighi antiriciclaggio. Le informazioni possono provenire dallo stesso cliente, ma finalità e responsabilità sono diverse. Una descrizione contrattuale corretta separa questi trattamenti e indica quali istruzioni valgono per ciascuno. Se due soggetti determinano realmente insieme finalità e mezzi, va esaminata la contitolarità; non è una soluzione da scegliere soltanto perché lo studio e il cliente collaborano.
Basi giuridiche e dati particolari
Per ogni attività da titolare lo studio individua una base dell’articolo 6 GDPR. Il contratto può giustificare operazioni necessarie a eseguire un incarico con la persona interessata; non copre automaticamente i dati di dipendenti, soci o familiari che non sono parti del contratto professionale. L’obbligo legale deve essere collegato a una norma realmente applicabile allo studio. La semplice circostanza che il cliente abbia un adempimento fiscale non risolve tutte le basi giuridiche del professionista.
Un interesse legittimo richiede una finalità lecita, necessità e bilanciamento con i diritti delle persone. Il consenso è utilizzabile solo quando ne ricorrono i requisiti, compresa la libertà della scelta. Non serve raccogliere un consenso generico «per la privacy» per rendere lecita qualsiasi operazione. La guida alle basi giuridiche dell’articolo 6 aiuta a motivare le diverse scelte.
I dati sanitari presenti nella documentazione delle spese mediche o nelle pratiche lavoristiche richiedono anche una condizione dell’articolo 9. Per il lavoro, la relativa disciplina e le garanzie applicabili devono essere valutate insieme all’articolo 9, paragrafo 2, lettera b). Non ogni dato economico è una categoria particolare, sebbene possa essere molto riservato. I dati su condanne penali e reati seguono invece l’articolo 10: non vanno assimilati indistintamente ai dati sanitari.
La minimizzazione opera prima dell’archiviazione. Se per un adempimento è sufficiente un importo e la natura della spesa, occorre verificare se sia davvero necessario acquisire anche una relazione clinica completa. Ricevere spontaneamente un documento non obbliga a conservarlo integralmente. Se lo studio è responsabile, chiarisce il problema con il cliente titolare e adegua il flusso alle istruzioni legittime.
Informare clienti, lavoratori e altri interessati
L’informativa deve rappresentare le attività dello studio senza confonderle con quelle del cliente. Deve consentire di comprendere finalità, basi, destinatari, conservazione e diritti. Il nominativo del fornitore cloud non sostituisce una spiegazione delle categorie di destinatari, e la frase «per tutta la durata necessaria» deve essere accompagnata da criteri comprensibili quando non è possibile indicare un termine preciso.
Per dati raccolti direttamente si applica l’articolo 13; per quelli ottenuti da altri soggetti va considerato l’articolo 14, incluse le sue condizioni temporali ed eccezioni. Non tutti i familiari citati nella pratica hanno ricevuto l’informativa consegnata al cliente. La gestione dell’informativa per dati provenienti da terzi merita una verifica specifica, soprattutto per pratiche successorie, societarie o lavoristiche.
Quando lo studio opera come responsabile, l’informazione agli interessati resta un compito del titolare, con l’assistenza prevista dal rapporto. Ciò non impedisce allo studio di essere titolare per la propria gestione dell’incarico. È utile rendere questa distinzione leggibile nella documentazione, evitando informative che dichiarino simultaneamente ruoli incompatibili per la stessa operazione senza spiegarne i confini.
Contratti con clienti e fornitori: descrivere la catena reale
Il trattamento per conto del titolare deve essere disciplinato da un contratto o da un altro atto giuridico vincolante ai sensi del diritto dell’Unione o di uno Stato membro, in forma scritta, anche elettronica. Nella normale relazione professionale si usa un contratto. La nomina del responsabile ai sensi dell’articolo 28 deve precisare oggetto, durata, natura, finalità, dati, interessati e obblighi delle parti; una pagina con il solo nome del fornitore non basta.
Il responsabile tratta su istruzioni documentate, salvo il trattamento imposto dal diritto dell’Unione o di uno Stato membro cui è soggetto. In tale caso informa prima il titolare, a meno che quel diritto lo vieti per rilevanti motivi di interesse pubblico. Le persone autorizzate devono essere vincolate alla riservatezza o soggette a un adeguato obbligo legale. Il rapporto comprende sicurezza, assistenza sui diritti e sugli obblighi pertinenti, informazioni per dimostrare la conformità e controlli.
Se lo studio responsabile utilizza un servizio che tratta a sua volta i dati per conto del cliente, entra in gioco il sub-responsabile. Occorre l’autorizzazione scritta specifica o generale del titolare; nel secondo caso, le modifiche previste vanno comunicate consentendo al titolare di opporsi. Al sub-responsabile devono essere imposti gli stessi obblighi pertinenti tramite contratto o altro atto giuridico conforme all’articolo 28. Il primo responsabile rimane pienamente responsabile verso il titolare dell’adempimento degli obblighi del sub-responsabile.
Non ogni interlocutore esterno entra in questa catena. Un’autorità pubblica destinataria di una dichiarazione, una banca o un professionista con proprie finalità possono avere un ruolo differente. Nemmeno il personale interno va nominato automaticamente responsabile esterno: opera secondo l’autorità e le istruzioni applicabili. Per il servizio cloud si devono invece verificare accessi di assistenza, subfornitori, localizzazione e possibili trasferimenti internazionali; la posizione del server, da sola, non descrive l’intero trattamento.
Conservazione: applicare il termine al documento giusto
L’articolo 2220 del codice civile dispone la conservazione decennale delle scritture dalla data dell’ultima registrazione e disciplina anche i documenti commerciali indicati dalla norma. Il momento iniziale non coincide necessariamente con la cessazione dell’incarico del commercialista. Occorre inoltre individuare il soggetto su cui grava l’obbligo: l’incarico di conservazione affidato allo studio non elimina le responsabilità del cliente tenuto alle scritture.
L’articolo 22 del DPR 600/1973, nel testo vigente alla data di questa guida, richiede la conservazione delle scritture interessate fino alla definizione degli accertamenti del corrispondente periodo d’imposta, anche oltre il termine civilistico. Perciò «tutto si cancella dopo dieci anni» è una regola inesatta. Non va però trasformata nell’opposta conservazione illimitata di ogni documento senza accertamenti o altre ragioni concrete.
Il piano di conservazione separa almeno documentazione contabile, fascicolo antiriciclaggio, corrispondenza professionale e materiale ricevuto senza necessità. Per ciascuna categoria registra l’evento iniziale, la durata, le possibili sospensioni e il responsabile della decisione. La limitazione della conservazione per categorie riguarda anche copie locali, allegati delle e-mail, esportazioni e cartelle condivise.
Un curriculum non assunto non acquisisce automaticamente il termine decennale delle scritture contabili. Analogamente, il mancato ritiro del consenso al marketing non giustifica contatti conservati per sempre: finalità, attualità e necessità devono essere riesaminate. I termini organizzativi scelti dallo studio vanno motivati; non devono essere presentati come durate universali imposte dal Garante in assenza di una fonte specifica.
Antiriciclaggio: finalità autonome e accessi selettivi
Quando lo studio rientra negli obblighi del decreto legislativo 231/2007, il trattamento necessario ad adempiervi ha una base legale da distinguere dall’esecuzione dell’incarico. Non dipende dalla disponibilità del cliente a prestare un consenso. Restano necessari pertinenza, sicurezza e limitazione degli accessi: una finalità prevista dalla legge non autorizza la consultazione indiscriminata del fascicolo da parte di tutti i collaboratori.
L’articolo 31 del decreto legislativo 231/2007 precisa documenti e informazioni da conservare per le finalità antiriciclaggio. Il termine è di dieci anni dalla cessazione del rapporto continuativo o della prestazione professionale, oppure dall’esecuzione dell’operazione occasionale. Questo evento iniziale è diverso dall’ultima registrazione considerata dal codice civile. Un’unica scadenza assegnata all’intero cliente può quindi produrre errori in entrambe le direzioni.
L’articolo 39 vieta, fuori dai casi previsti dal decreto, di comunicare al cliente o a terzi l’avvenuta segnalazione sospetta e le altre informazioni specificamente indicate. La norma contiene eccezioni e richiama i limiti all’esercizio dei diritti previsti dall’articolo 2-undecies del Codice privacy. Non è un’esclusione generale di ogni diritto relativo a qualsiasi dato contabile. Una richiesta di accesso deve essere valutata separando le informazioni interessate dal divieto da quelle che possono essere comunicate, senza rivelare indirettamente ciò che la legge protegge.
Registro, DPO e valutazione dei rischi nello studio
Il registro dell’articolo 30 descrive attività, categorie di dati e interessati, destinatari e gli altri elementi richiesti. Lo studio titolare tiene la parte relativa alle proprie attività; quando è responsabile, documenta le categorie di trattamenti svolti per conto dei titolari secondo il paragrafo 2. Un modello di registro dei trattamenti va adattato a questa doppia posizione, senza inserire i dati personali di ogni singolo cliente nel registro organizzativo.
L’esenzione sotto i 250 addetti è limitata. Per i trattamenti rilevanti viene meno quando il trattamento non è occasionale, può presentare un rischio per diritti e libertà oppure comprende categorie dell’articolo 9 o dati dell’articolo 10. La gestione ordinaria dei clienti e delle paghe non è occasionale. Non occorre dimostrare contemporaneamente tutte queste circostanze per escludere l’esenzione, né si deve descriverla come un lasciapassare per l’intero studio.
La nomina di un DPO non discende automaticamente dall’iscrizione all’albo o dal semplice numero dei clienti. L’articolo 37 considera, tra l’altro, attività principali che richiedono monitoraggio regolare e sistematico su larga scala oppure trattamento su larga scala di categorie particolari o dati penali. La valutazione dell’obbligo e dei compiti del DPO deve documentare questi elementi. Un incarico volontario richiede comunque indipendenza e assenza di conflitti.
La valutazione dei rischi riguarda anche errori di invio, accessi fra clienti diversi e perdita di disponibilità durante una scadenza. La DPIA dell’articolo 35 è richiesta quando il trattamento può presentare un rischio elevato, considerando natura, contesto, finalità e tecnologie e le liste applicabili del Garante. Non è obbligatoria per ogni nuovo programma soltanto perché è nuovo. Un servizio che combina molte fonti per valutare sistematicamente persone richiede un esame diverso da una semplice sostituzione tecnica del sistema contabile.
Sicurezza e violazioni: decidere in base al proprio ruolo
Fra le misure organizzative consigliate vi sono account individuali, autenticazione forte per gli accessi esposti, separazione dei fascicoli, controllo dei destinatari e prove di ripristino dei backup. L’articolo 32 impone misure adeguate al rischio; non prescrive una configurazione identica per ogni studio. Chi autorizza un pagamento dovrebbe poter verificare un cambio di IBAN attraverso un canale già noto, perché una richiesta apparentemente proveniente dal cliente può essere fraudolenta.
In caso di violazione di dati personali, lo studio titolare notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per diritti e libertà. Il ritardo va motivato e le informazioni possono essere integrate secondo l’articolo 33. Ogni violazione di dati personali deve essere documentata, anche quando non viene notificata. L’eventuale comunicazione agli interessati dipende invece dal rischio elevato e dalle eccezioni dell’articolo 34.
Lo studio responsabile informa il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. Non attende di completare autonomamente la decisione del cliente sulla notifica al Garante. Una stessa intrusione può coinvolgere attività svolte nei due ruoli: il procedimento interno deve riconoscerle entrambe. La procedura di notifica delle violazioni aiuta a mantenere distinti rilevazione, documentazione e comunicazioni.
Cambio del professionista e gestione delle richieste
Alla fine dell’incarico, i dati trattati come responsabile sono restituiti o cancellati a scelta del titolare; anche le copie esistenti vanno cancellate, salvo obblighi di conservazione previsti dal diritto dell’Unione o nazionale applicabile. Le copie di sicurezza richiedono modalità controllate e tempi tecnici documentati, non una conservazione indefinita per comodità. Le informazioni che lo studio deve conservare per una propria finalità legale vanno individuate separatamente, con accessi e usi coerenti.
Il trasferimento al nuovo commercialista richiede di verificare il destinatario, l’autorizzazione pertinente, il contenuto e un canale adeguato. Il diritto di accesso dell’interessato non coincide con la consegna di tutto l’archivio aziendale. Per le richieste GDPR il titolare comunica le misure senza ingiustificato ritardo e, normalmente, entro un mese; l’eventuale proroga motivata va comunicata entro il primo mese. Se non dà seguito, informa senza ritardo e comunque entro lo stesso termine massimo sui motivi e sulle possibilità di reclamo e ricorso.
Il documento CNDCEC del marzo 2026 sulla gestione della privacy negli studi offre un riferimento organizzativo, anche attraverso standard volontari. Non introduce un obbligo generalizzato di certificazione ISO. Per scegliere un software GDPR adatto alle PMI, conviene verificare che colleghi attività, documenti, responsabili e scadenze effettive, senza aspettarsi che stabilisca automaticamente i ruoli giuridici.
Nei rapporti con studi legali e banche italiane, infine, il trasferimento di documenti va ricondotto alla richiesta concreta. Professioni e destinatari diversi possono avere obblighi di riservatezza e conservazione differenti: la sola partecipazione alla stessa pratica non rende libera ogni circolazione dei dati.