GDPR per Studi Commercialisti: Come Proteggere i Dati Fiscali dei Clienti

Disclosure: questo articolo contiene link di affiliazione. Se attivi un servizio tramite questi link, NextGenTool.it riceve una commissione, senza alcun costo aggiuntivo per te. I prezzi indicati sono verificati alla data di pubblicazione e le valutazioni restano indipendenti dagli accordi commerciali.

Uno studio commercialista di medie dimensioni tratta più dati personali di una fabbrica con cento dipendenti. Non è una provocazione: è aritmetica, e basta un minuto per verificarla.

Prendiamo uno studio ordinario, cinque persone tra titolare, collaboratori e praticanti, 250 clienti attivi. Settanta di questi clienti sono società con una media di nove dipendenti: 630 lavoratori più 70 legali rappresentanti. Gli altri 180 sono ditte individuali e persone fisiche, con una media di 1,3 familiari a carico dichiarati: altre 414 posizioni. Totale: circa 1.114 persone fisiche i cui dati transitano dai server dello studio. Non abbiamo ancora contato soci di minoranza, fornitori persone fisiche registrati in contabilità, ex clienti ancora in archivio.

Una PMI metalmeccanica con 40 dipendenti tratta i dati di quei 40 dipendenti e poco altro, perché l'anagrafica clienti è quasi interamente B2B. Il rapporto è di circa 28 a 1.

Questo numero è il vero motivo per cui la conformità al GDPR di uno studio professionale non è una versione ridotta di quella di una PMI: è una cosa diversa, con un profilo di rischio diverso e obblighi che nella maggior parte degli studi italiani non sono formalizzati in nessun documento. In una linea di produzione il rischio non si misura solo sulla probabilità del guasto, ma sul numero di pezzi che quel guasto contamina prima di essere rilevato: qui vale lo stesso principio, con l'aggravante che quei dati non sono tuoi. Appartengono, in senso giuridico, ai tuoi clienti — e un incidente nel tuo studio produce automaticamente un incidente in tutti i loro.

Non ripeto qui la spiegazione generale dell'art. 32 del GDPR: l'ho già trattata nella guida alle misure tecniche di sicurezza per le PMI italiane. Qui mi concentro su ciò che è specifico dello studio commercialista.

Titolare o responsabile? La domanda che quasi tutti risolvono male

È l'errore più costoso, perché si propaga su tutti gli altri adempimenti. La risposta corretta non è "titolare" e non è "responsabile": dipende dal segmento di attività, e nello stesso studio convivono entrambi i ruoli.

Il riferimento istituzionale esiste ed è solido. Il Garante per la protezione dei dati personali si è pronunciato il 22 gennaio 2019 (doc. web 9080970) rispondendo a un quesito del Consiglio nazionale dei consulenti del lavoro. Il documento distingue due situazioni: quando il professionista tratta i dati dei propri dipendenti o dei clienti persone fisiche nell'esercizio della sua attività, determina autonomamente finalità e mezzi ed è quindi titolare; quando tratta i dati dei dipendenti del cliente sulla base dell'incarico ricevuto, opera per conto del datore di lavoro e assume il ruolo di responsabile ex art. 28.

Perché questo documento riguarda anche te, se sei commercialista? Perché il Garante, nel motivare la risposta, richiama la legge 11 gennaio 1979 n. 12, che consente di assumere gli adempimenti in materia di lavoro, previdenza e assistenza sociale non solo agli iscritti all'albo dei consulenti del lavoro, ma anche a chi è iscritto agli albi degli avvocati, dei dottori commercialisti, dei ragionieri e periti commerciali. L'analogia non è una forzatura: la norma su cui il Garante ragiona ti nomina espressamente.

Dentro un singolo studio, quindi, sei titolare dei dati dei tuoi dipendenti, dei clienti persone fisiche che ti conferiscono incarico diretto e del tuo fascicolo antiriciclaggio; sei responsabile quando elabori le buste paga dei dipendenti di un'azienda cliente e gestisci i suoi adempimenti previdenziali. Le conseguenze operative sono tre.

Come responsabile devi essere formalmente designato dal cliente con un contratto o altro atto giuridico ex art. 28. Il Garante è esplicito: l'atto va costruito sui compiti concretamente affidati, non copiato da un modello imposto unilateralmente. Se hai 70 aziende clienti e nessuna ti ha mai designato, hai trovato la priorità del mese — e la non conformità è anche loro.

Hai comunque un margine di autonomia, e quindi di responsabilità, sulle misure di sicurezza dei dati che gestisci nei tuoi archivi. Il Garante lo scrive chiaramente. Non puoi difenderti dicendo che il cliente non ti aveva dato istruzioni su cifratura o backup.

Al termine del rapporto i dati vanno cancellati o anonimizzati e consegnati al titolare, secondo quanto previsto nel contratto. Quante volte, chiudendo un rapporto, il tuo studio ha davvero eliminato cartelle, file paghe, allegati email e copie sui portatili dei collaboratori?

Cosa c'è davvero nei tuoi archivi

Non si protegge ciò che non è stato censito. Nel gestionale, nelle cartelle di rete e nelle caselle di posta di uno studio tipico si trovano:

• dati identificativi e fiscali di clienti, soci, amministratori, titolari effettivi;
• dati reddituali e patrimoniali: dichiarazioni, immobili, movimenti finanziari, situazioni debitorie;
• dati dei dipendenti dei clienti: retribuzioni, cedolini, assenze, provvedimenti disciplinari, TFR;
• categorie particolari ex art. 9 GDPR: adesioni sindacali dalle trattenute, dati sulla salute da certificati e permessi ex legge 104, e in alcune posizioni antiriciclaggio dati su condanne penali e reati;
• il fascicolo antiriciclaggio, più copie di documenti, IBAN, deleghe e credenziali di accesso ai portali per conto dei clienti.

È il motivo per cui il registro dei trattamenti, per uno studio, non è un adempimento formale ma la prima misura di sicurezza reale.

Conservazione fiscale e minimizzazione GDPR: il conflitto che si risolve con una tabella

Il principio di limitazione della conservazione (art. 5, par. 1, lett. e) impone di non tenere i dati oltre il necessario; le norme fiscali e antiriciclaggio impongono di conservare per anni. Molti studi concludono, sbagliando, che "tanto per legge devo tenere tutto dieci anni". L'errore è tecnico: l'obbligo di legge non è un'eccezione al GDPR, è una base giuridica dentro il GDPR (art. 6, par. 1, lett. c), quindi la conservazione prolungata è legittima solo per i dati e le finalità coperte da quell'obbligo, non per tutto il resto.

Nel tuo studio corrono almeno quattro orologi diversi:

Scritture contabili e fatture. L'art. 2220 del codice civile impone dieci anni dalla data dell'ultima registrazione, e lo stesso periodo per fatture e corrispondenza ricevuta e spedita. L'art. 22, secondo comma, del D.P.R. 600/1973 estende l'obbligo fino alla definizione degli accertamenti relativi al corrispondente periodo d'imposta, anche oltre il termine civilistico: in caso di contenzioso si superano i dieci anni.

Fascicolo antiriciclaggio. L'art. 31, comma 3, del D.Lgs. 231/2007 prevede dieci anni, ma decorrenti dalla cessazione del rapporto continuativo, della prestazione professionale o dall'esecuzione dell'operazione occasionale. È un orologio diverso e parte più tardi. Sulle modalità il CNDCEC ha emanato le Regole Tecniche ex art. 11, comma 2, con la Deliberazione n. 9 del 16 gennaio 2025.

Dati trattati come responsabile. Qui non decidi tu: la durata la stabilisce il titolare nell'atto di designazione, e alla fine del rapporto scatta l'obbligo di restituzione o cancellazione.

Tutto il resto. Ed è il problema vero: email con allegati contabili, foto di documenti su WhatsApp, cartelle condivise, file esportati sul desktop di un collaboratore, backup non censiti, copie su portatili dismessi. Nessuna norma fiscale ti obbliga a conservare quei duplicati, e per loro la minimizzazione si applica in pieno.

Il rimedio ha la forma di un piano di controllo: una matrice di conservazione che per ogni categoria di dato indica finalità, base giuridica, termine, dove risiede il dato e chi può cancellarlo. Una tabella, non un trattato. Senza, non puoi rispondere onestamente a una richiesta di cancellazione, perché non sai dove sono le copie.

Un dettaglio che vale la pena notare: l'art. 32 del D.Lgs. 231/2007 richiede sistemi di conservazione che consentano l'individuazione esplicita dei soggetti legittimati ad alimentare il sistema e ad accedere ai dati. È una richiesta di controllo degli accessi scritta nella normativa antiriciclaggio, non in quella privacy. Le due discipline convergono sullo stesso requisito tecnico: chi lo implementa bene lo fa una volta sola.

I due provvedimenti del Garante che riguardano il tuo studio anche se non parlano di studi

Conviene essere diretti: non risultano ad oggi provvedimenti del Garante specificamente rivolti a studi commercialisti. Chi cita sanzioni milionarie comminate a uno studio contabile italiano, con ogni probabilità, sta citando qualcosa che non esiste. Ma i pattern di rischio già sanzionati in altri settori si applicano in modo diretto, e due casi descrivono esattamente ciò che accade dentro uno studio.

Il caso degli accessi abusivi in ambito bancario (26 marzo 2026, doc. web 10234984). Un dipendente ha effettuato accessi ai dati di oltre 3.500 clienti in due anni. Il punto rilevante non è l'abuso in sé: i suoi permessi erano formalmente corretti. Il Garante ha rilevato che sarebbero servite misure idonee a rilevare accessi anomali "ancorché formalmente compatibili con i profili autorizzativi".

Traduci nella tua realtà. Un praticante ha accesso al gestionale: formalmente è autorizzato, gli serve per lavorare. Ma può aprire la pratica di un cliente che non segue, consultare la dichiarazione di un imprenditore locale che conosce, esportare l'elenco completo delle posizioni. È lo stesso identico pattern. Il fatto che il permesso esista non rende l'accesso necessario, e non avere strumenti per accorgersene è una carenza organizzativa.

Il caso delle credenziali conservate in chiaro (85.000 euro di sanzione, doc. web 10252460). Riguarda una realtà con più persone che condividono l'accesso a un sistema informativo: si applica uno a uno a uno studio con più collaboratori sullo stesso software di contabilità, sullo stesso portale Entratel, sullo stesso cassetto fiscale.

Nessuno dei due provvedimenti nomina i commercialisti. Entrambi descrivono situazioni che, negli studi, sono la norma.

Checklist minima dello studio: dieci punti verificabili

1. Registro delle attività di trattamento. Obbligatorio, senza margine di dubbio. Le FAQ del Garante chiariscono che l'esonero dell'art. 30, par. 5 per le realtà sotto i 250 dipendenti decade quando i trattamenti non sono occasionali, presentano rischi per i diritti degli interessati o riguardano categorie particolari di dati: uno studio rientra in tutte e tre le condizioni. Sono ammesse forme semplificate.

2. Il registro va tenuto in doppia veste. Uno per i trattamenti da titolare (art. 30, par. 1), uno per quelli da responsabile per conto dei clienti (art. 30, par. 2). Contenuti diversi, documenti diversi.

3. Designazioni ex art. 28 ricevute dai clienti. Conta quante aziende clienti ti hanno formalmente designato responsabile. Se il numero è zero, il lavoro parte da qui.

4. Nomine dei collaboratori interni. Non confondere i piani: dipendenti e collaboratori che operano sotto la tua autorità non sono responsabili ex art. 28, sono soggetti designati ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies del Codice Privacy, con istruzioni scritte. È un atto di designazione, non un contratto.

5. Praticanti e collaboratori esterni. Due strade, secondo il Garante: se operano sotto la tua diretta autorità e sulle tue istruzioni rientrano nell'art. 29; se a loro è demandata l'esecuzione di specifiche attività per conto del titolare diventano sub-responsabili ex art. 28, par. 4, e l'incarico va autorizzato dal titolare, anche in via generale. Tradotto: se giri il lavoro paghe a uno studio esterno, il tuo cliente deve averlo autorizzato.

6. DPO: quando serve davvero. Le FAQ del Garante sul Responsabile della protezione dei dati in ambito privato indicano che la designazione non è obbligatoria per i liberi professionisti operanti in forma individuale o comunque non su larga scala. Per studi associati e STP con volumi elevati la valutazione va rifatta caso per caso: la nozione di larga scala non ha soglia numerica.

7. Informativa ai clienti e agli interessati indiretti. L'informativa al cliente è il pezzo facile. Quello difficile riguarda i dati di terzi che ricevi dal cliente — i suoi dipendenti, i suoi fornitori persone fisiche: lì la deve rendere il titolare, e il tuo atto di designazione dovrebbe dirlo.

8. Gestione degli accessi ai gestionali. Profili differenziati per portafoglio clienti, non un profilo unico "studio". Log attivi e consultabili, revisione periodica dei permessi, revoca immediata alla cessazione di un collaboratore o di un praticante. In una linea di produzione nessuno consegna a tutti gli operatori la chiave del quadro elettrico generale.

9. Formazione del personale, documentata. Serve una traccia: chi ha partecipato, quando, su cosa. In caso di ispezione, la formazione non documentata non è mai avvenuta.

10. Procedura di data breach. Ed è il punto in cui il ruolo doppio morde davvero.

Sul decimo punto conviene fermarsi. Come titolare notifichi al Garante entro 72 ore (art. 33, par. 1); come responsabile informi il titolare senza ingiustificato ritardo (art. 33, par. 2), e sarà lui a notificare.

Ora immagina un ransomware che cifra il server dello studio: in un colpo solo hai una violazione come titolare e settanta come responsabile, una per ogni azienda cliente, ciascuna da avvisare singolarmente. Se non hai già pronto l'elenco dei clienti-titolari con i contatti per le emergenze, quelle settanta comunicazioni le farai a mano, di notte, mentre gestisci il ripristino. Prepararlo costa mezza giornata.

Le credenziali condivise: il difetto strutturale

C'è una configurazione che ricorre ovunque negli studi: una password condivisa per il gestionale, annotata in un file o su un foglio in segreteria, cambiata l'ultima volta quando è andato via il collaboratore di due assunzioni fa.

Il difetto non è la pigrizia delle persone, è strutturale. Quando cinque persone devono accedere a decine di portali diversi — Entratel, cassetti fiscali, INPS, camere di commercio, home banking con delega, portali dei fornitori software — la condivisione delle credenziali è la soluzione che il sistema produce spontaneamente in assenza di uno strumento adeguato.

Le conseguenze sono tre. Nessuna tracciabilità: se tutti usano lo stesso account il log non dice nulla, e il caso bancario visto sopra mostra quanto pesi questa cecità. Offboarding impossibile: l'unica revoca efficace è cambiare tutte le password condivise, il che quasi nessuno fa. Esposizione moltiplicata: una credenziale che circola su cinque dispositivi ha cinque volte le probabilità di finire in un data leak.

Un password manager con vault condivisi disaccoppia l'accesso dalla conoscenza della password: la persona usa la credenziale senza vederla, e quando esce dallo studio le si revoca l'accesso al vault in un clic.

Per uno studio, NordPass è l'opzione con il miglior rapporto tra funzionalità e attrito operativo: vault condivisi organizzabili per gruppi (paghe, contabilità, portali PA), assegnazione e revoca centralizzate, registro delle attività, autenticatore TOTP integrato, architettura zero-knowledge con crittografia XChaCha20 e possibilità di scegliere data center nell'Unione Europea — che per uno studio che tratta dati di terzi non è un dettaglio marginale.

Sui costi, listino verificato ad agosto 2026: il piano Business parte da 5,99 euro per utente al mese IVA esclusa con addebito mensile e scende a 3,59 euro con impegno biennale, minimo cinque utenti. NordPass applica periodicamente promozioni a tempo, quindi il prezzo effettivo alla sottoscrizione va verificato.

Il conto per uno studio da cinque persone, piano biennale: 5 × 3,59 = 17,95 euro al mese, cioè 215,40 euro l'anno IVA esclusa (262,79 IVA inclusa, ma per un titolare di partita IVA conta il primo numero). La sanzione del caso credenziali in chiaro è stata di 85.000 euro: circa 390 volte tanto. Non è un argomento sulla paura, è un rapporto costi-benefici come qualsiasi altro investimento in prevenzione.

Per il confronto tecnico con l'alternativa principale trovi il confronto tra NordPass e 1Password per le PMI italiane; per l'implementazione operativa in un team, la guida a NordPass per team italiani.

Accessi da remoto: il capitolo che non ripeto qui

L'altro punto debole degli studi è l'accesso ai gestionali da fuori: da casa, dallo smartphone, dalla sede del cliente, spesso su reti Wi-Fi non controllate. È un problema distinto da quello delle credenziali e richiede strumenti diversi: l'ho trattato per la professione, con prezzi e configurazioni, nell'articolo su NordLayer per gli studi commercialisti.

Cosa rischi davvero

Le sanzioni amministrative del GDPR vengono citate spesso a sproposito (le soglie dell'art. 83 sono più sotto, nelle FAQ). Per uno studio pesano di più altri tre profili.

Il risarcimento del danno (art. 82). Chi subisce un danno materiale o immateriale ha diritto al risarcimento, con una responsabilità che può coinvolgere sia il titolare sia il responsabile. Un data breach su dati retributivi di centinaia di lavoratori è un contenzioso potenzialmente collettivo.

L'audit del cliente (art. 28, par. 3, lett. h). Il titolare ha diritto di verificare il responsabile. Man mano che le aziende clienti si strutturano — e la direttiva NIS2 sulle PMI italiane sta accelerando il processo lungo tutta la catena di fornitura — le richieste di evidenze ai fornitori aumentano. Prima o poi un cliente ti chiederà registro dei trattamenti e policy sugli accessi.

La reputazione. È l'asset su cui uno studio costruisce il portafoglio, e un incidente che espone le dichiarazioni dei redditi dei clienti in una città di provincia non si misura in euro di sanzione.

Cybersecurity per la tua professione

• NIS2 per le PMI italiane: obblighi 2026 — il quadro che sta arrivando ai tuoi clienti, e quindi a te come fornitore.
• GDPR: misure tecniche di sicurezza per le PMI italiane — l'art. 32 e i provvedimenti del Garante citati qui.
• NordLayer per studi commercialisti — accessi remoti sicuri ai gestionali.
• NordPass vs 1Password per le PMI italiane — confronto tecnico tra i due password manager.
• NordPass per team italiani — guida operativa all'implementazione.
• Kaspersky per le PMI italiane — protezione endpoint, il livello che manca in molti studi.
• Kaspersky Small Office Security Premium — dimensionato su realtà da 5-25 postazioni.

Domande frequenti

Il commercialista deve essere nominato responsabile del trattamento dal cliente o è titolare autonomo?

Entrambe le cose, a seconda dell'attività. Seguendo il criterio del Garante nella risposta al quesito del 22 gennaio 2019 (doc. web 9080970), il professionista è titolare quando tratta i dati dei propri dipendenti e dei clienti persone fisiche che gli conferiscono incarico diretto; è responsabile ex art. 28 quando tratta i dati dei dipendenti di un'azienda cliente sulla base dell'incarico ricevuto. Lo stesso studio ha quindi bisogno sia di documentazione da titolare, sia di designazioni ricevute dai clienti. Il criterio è sostanziale: conta l'attività concretamente svolta, non l'etichetta scritta nel contratto.

Uno studio commercialista con un solo dipendente deve tenere il registro dei trattamenti?

Sì. L'esonero dell'art. 30, par. 5 per le organizzazioni sotto i 250 dipendenti non si applica quando i trattamenti non sono occasionali, presentano rischi per i diritti degli interessati o riguardano categorie particolari di dati: un'attività professionale continuativa soddisfa la prima condizione da sola. Le FAQ del Garante indicano espressamente tra i soggetti obbligati i liberi professionisti con almeno un dipendente e/o che trattino dati sanitari o relativi a condanne penali e reati. Sono però ammesse misure di semplificazione, circoscrivendo il registro alle sole attività che fanno scattare l'obbligo.

Un commercialista che lavora da solo deve nominare un DPO?

Di norma no. Le FAQ del Garante sul Responsabile della protezione dei dati in ambito privato indicano tra i casi di non obbligatorietà proprio i trattamenti effettuati da liberi professionisti operanti in forma individuale o comunque non su larga scala. La valutazione cambia per studi associati e STP con struttura ampia: lì il criterio dell'art. 37, par. 1, lett. c va verificato caso per caso, perché la nozione di larga scala non ha una soglia numerica.

Per quanti anni deve conservare i dati dei clienti uno studio commercialista?

Non esiste un termine unico, ed è l'errore più diffuso. Scritture contabili e fatture: dieci anni dall'ultima registrazione ex art. 2220 c.c., ma l'art. 22, secondo comma, del D.P.R. 600/1973 estende l'obbligo fino alla definizione degli accertamenti relativi al periodo d'imposta, quindi in caso di contenzioso anche oltre. Fascicolo antiriciclaggio: dieci anni dalla cessazione del rapporto continuativo o della prestazione professionale, ex art. 31, comma 3, del D.Lgs. 231/2007. Dati trattati come responsabile: seguono le istruzioni del titolare e a fine rapporto vanno cancellati o restituiti. Le copie non coperte da un obbligo di legge — email, chat, cartelle condivise, backup non censiti — restano soggette alla minimizzazione.

Il praticante di studio può accedere a tutte le pratiche dei clienti?

Formalmente può, se il profilo glielo consente. Ma il provvedimento del Garante del 26 marzo 2026 sugli accessi abusivi in ambito bancario (doc. web 10234984) mostra il limite del ragionamento: pur essendo gli accessi formalmente compatibili con i profili autorizzativi, il titolare è stato ritenuto carente per non aver predisposto misure idonee a rilevare accessi anomali. Il criterio corretto è la necessità dell'accesso rispetto al compito assegnato, non l'esistenza del permesso. Concretamente: profili limitati al portafoglio effettivamente seguito, log attivi e revisionati, revoca immediata alla fine del tirocinio.

Cosa deve fare uno studio commercialista in caso di attacco ransomware ai dati dei clienti?

Due obblighi in parallelo. Per i dati di cui è titolare, notifica al Garante entro 72 ore dalla conoscenza della violazione, salvo sia improbabile un rischio per i diritti degli interessati (art. 33, par. 1). Per i dati trattati come responsabile, informa ciascun cliente-titolare senza ingiustificato ritardo (art. 33, par. 2), perché la notifica al Garante spetta a loro. Con decine di aziende clienti significa decine di comunicazioni separate: l'elenco dei clienti-titolari con i contatti per le emergenze va preparato prima, non durante l'incidente.

Quali sanzioni rischia uno studio commercialista che non rispetta il GDPR?

Sul piano amministrativo valgono le soglie dell'art. 83: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per le violazioni degli obblighi di titolare e responsabile, incluse le misure di sicurezza dell'art. 32; fino a 20 milioni o al 4% per le violazioni dei principi fondamentali e dei diritti degli interessati. Nella pratica pesano di più il risarcimento del danno ex art. 82, il diritto del cliente di verificare il proprio responsabile ex art. 28, par. 3, lett. h, e il danno reputazionale — l'unico rischio davvero non assicurabile.

Admeto Verde, Founder NextGenTool.it, "Ingegnere Industriale, 15 anni di esperienza in PMI strutturate", motto: "Il digital che funziona ha le stesse regole di una catena di produzione: misuri, ottimizzi, ripeti."