In che modo uno studio di commercialisti mappa i trattamenti svolti per conto dei clienti?

Uno studio di commercialisti mappa i trattamenti distinguendo le attività della propria organizzazione da quelle svolte su istruzioni del cliente. Non conta chi acquista il software, conserva un fascicolo o accede al portale, ma chi determina finalità e mezzi essenziali del singolo trattamento. Nella stessa pratica possono convivere ruoli diversi, da documentare senza formule generiche.

La mappa deve seguire il lavoro reale: acquisizione dell'incarico, raccolta documenti, registrazioni contabili, cedolini, invii telematici, deleghe, archiviazione, assistenza e cancellazione. Solo dopo il censimento si costruiscono registro, informative, nomine, istruzioni ai collaboratori e rapporti con i fornitori. TrattamentiInRegola costruisce registro dei trattamenti, nomine e informative passo passo, con documenti pronti per le verifiche.

Titolare o responsabile? Dipende dal singolo servizio

Il GDPR definisce titolare chi determina finalità e mezzi del trattamento e responsabile chi tratta dati per conto del titolare. Per lo studio la domanda non è di chi sono i dati, ma per quale obiettivo sono usati, chi stabilisce le regole essenziali e da chi arrivano le istruzioni. La risposta va data attività per attività, non all'intero rapporto professionale.

Lo studio è normalmente titolare autonomo quando tratta dati per propri obblighi professionali, fiscali, civilistici, organizzativi o difensivi. Può invece essere responsabile ai sensi dell'articolo 28 del GDPR quando riceve dati e istruzioni dall'azienda cliente per un servizio che resta nella sfera organizzativa del cliente.

Il possesso del gestionale non risolve la questione. Lo studio può usare un proprio programma paghe, decidere misure tecniche ordinarie e organizzare il lavoro interno, ma trattare le anagrafiche dei dipendenti su istruzioni del datore di lavoro. Viceversa, il cliente che carica documenti nel portale dello studio non diventa titolare di tutti i trattamenti dello studio per la gestione dell'incarico.

Una verifica pratica prima di compilare il registro

Per ogni flusso è utile annotare:

• la finalità concreta, per esempio contabilità, gestione del personale o difesa in un contenzioso;
• chi decide dati da raccogliere e tempi di conservazione;
• chi impartisce istruzioni sul servizio e può modificarne la portata;
• quali persone dello studio accedono ai dati e con quali credenziali;
• quali fornitori ricevono dati, inclusi cloud, software house, conservatori digitali e piattaforme di assistenza.

L'analisi evita due errori: qualificare lo studio come responsabile per ogni documento ricevuto dal cliente, oppure come titolare autonomo per ogni lavorazione. Entrambi rendono incoerenti informative, incarichi e registro.

Anagrafica, fatturazione e contenzioso: lo studio è titolare

Per anagrafica del cliente, contatti dei referenti, lettera d'incarico, fatturazione, pagamenti e agenda, lo studio persegue finalità proprie legate alla relazione professionale ed è di regola titolare. Lo stesso vale per fornitori, dipendenti, praticanti e candidati.

Anche la conservazione necessaria per obblighi di legge, rendicontazione dell'attività o tutela di un diritto dello studio richiede una voce distinta. Non basta una categoria generica di clienti: il registro deve indicare attività, interessati, dati, destinatari, tempi di conservazione e misure organizzative.

In caso di contestazioni su compensi, responsabilità professionale, accertamenti o contenziosi, lo studio può trattare i dati necessari per gestire la propria posizione. Deve però applicare minimizzazione e separazione degli accessi: il fascicolo non va reso disponibile a chi non segue la pratica. Le informative devono distinguere le finalità proprie dello studio dai trattamenti per conto del cliente. Perché le informative dell'articolo 13 sbagliano sempre sugli stessi sette punti e come si correggono?

Elaborazione delle paghe: dati dei dipendenti di qualcun altro

Nelle paghe il cliente azienda, quale datore di lavoro, stabilisce finalità essenziali e scelte organizzative sul personale. Se lo studio riceve presenze, variazioni contrattuali, dati retributivi e istruzioni per cedolini, adempimenti contributivi e comunicazioni collegate, tratta normalmente i dati per conto del cliente. La nomina a responsabile deve descrivere oggetto, durata, natura del servizio, categorie di dati e interessati, istruzioni documentate.

La nomina deve disciplinare almeno riservatezza delle persone autorizzate, misure di sicurezza, eventuali sub responsabili, supporto al titolare per richieste degli interessati e incidenti, restituzione o cancellazione dei dati al termine del servizio. Il cliente dovrebbe consegnarla o sottoscriverla all'avvio dell'incarico, coordinandola con il mandato professionale.

Se la nomina non arriva, lo studio non dovrebbe inserire una frase generica in un preventivo né ignorare il vuoto documentale. Deve inviare una richiesta tracciabile, proporre un testo coerente con il servizio e conservare i solleciti. Nel frattempo deve definire istruzioni e accessi interni, evitando trattamenti ulteriori non necessari. Se le istruzioni sono assenti o contrastanti, il rapporto va chiarito prima di estendere lavorazioni o condivisioni.

I dati particolari entrano spesso senza preavviso

Le paghe possono portare dati che richiedono attenzione rafforzata. Un certificato o una comunicazione di malattia può rivelare dati relativi alla salute; trattenute, deleghe o comunicazioni sindacali possono rivelare l'appartenenza sindacale. Possono arrivare anche documenti su infortuni, maternità, permessi o provvedimenti giudiziari, con basi giuridiche e cautele diverse.

La mappatura non deve diventare una diagnosi dei dipendenti, ma rilevare che il servizio può comportare categorie particolari di dati e prevedere misure proporzionate: accesso limitato agli addetti paghe, cartelle separate, credenziali personali, istruzioni scritte, canali controllati e divieto di caselle personali o archivi informali. Il datore di lavoro resta tenuto a informare correttamente i dipendenti sui propri trattamenti.

Pratiche telematiche, deleghe e cassetto fiscale

Le pratiche telematiche richiedono una lettura puntuale. Lo studio può predisporre e trasmettere dichiarazioni, comunicazioni e modelli tramite i servizi dell'Agenzia delle entrate o altri canali istituzionali, ma l'accesso ai dati del contribuente deve basarsi su delega o abilitazione valida secondo le regole dell'ente. La delega non sostituisce l'analisi GDPR, ma prova il perimetro operativo ed evita accessi non giustificati.

Nel censimento vanno distinti acquisizione della delega, consultazione del cassetto fiscale, preparazione della pratica, invio, ricezione delle ricevute e conservazione delle evidenze. Per ciascuno servono ruoli chiari: chi abilita un collaboratore, chi verifica la permanenza dell'incarico, chi revoca gli accessi quando cambia il team o termina il rapporto.

La tracciabilità non è una cartella condivisa piena di password. Ogni collaboratore dovrebbe usare credenziali personali quando il sistema lo consente, autorizzazioni coerenti al portafoglio pratiche e registrazione degli accessi disponibile secondo le funzionalità del servizio. Password comuni, token in reception e deleghe non riesaminate impediscono di ricostruire chi abbia consultato o inviato una pratica.

Il registro dei trattamenti svolti per conto dei clienti

Il registro del responsabile previsto dall'articolo 30, paragrafo 2, del GDPR non va confuso con quello del titolare. Uno studio che ricopre entrambi i ruoli può avere registrazioni distinte o una struttura che separi nettamente i trattamenti propri da quelli per conto delle aziende clienti. Il formato conta meno della capacità di dimostrare che ogni voce corrisponde a un processo operativo.

Per i trattamenti per conto dei clienti, una voce può riguardare paghe e adempimenti connessi, indicando categorie di titolari clienti, interessati quali dipendenti e collaboratori, dati trattati, destinatari autorizzati, eventuali trasferimenti, misure tecniche e organizzative e riferimenti alla nomina. Se contabilità, bilanci, dichiarativi e pratiche telematiche hanno flussi, basi documentali e accessi diversi, è utile separarli.

Il registro non deve copiare un modello e restare immobile in una cartella. Va aggiornato con un nuovo gestionale, cloud, fornitore paghe, esternalizzazione di una fase o nuove sedi. La guida Come si compila il registro dei trattamenti dell'articolo 30 scheda per scheda senza copiare modelli? aiuta a trasformare le lavorazioni in schede verificabili.

Ogni voce del registro va collegata ai documenti che la sostengono: nomina del cliente, istruzioni operative, autorizzazioni dei collaboratori, contratto con la software house, elenco dei sub responsabili e procedura per incidenti e richieste degli interessati. Così diventa un indice di controllo, non un adempimento isolato.

Che cosa chiedere ai gestionali usati ogni giorno

Il gestionale contabile o paghe è spesso un fornitore che tratta dati per conto dello studio e può ricorrere ad altri fornitori. Prima di firmare condizioni standard, lo studio deve chiedere documenti contrattuali e informazioni tecniche per valutare il rapporto ai sensi dell'articolo 28. Dire che i dati sono al sicuro nel cloud non descrive misure né responsabilità.

Le domande essenziali a software house, provider cloud e assistenza sono:

• dove sono server, backup e ambienti di assistenza, e se sono previsti trasferimenti fuori dallo Spazio economico europeo;
• quali sub responsabili intervengono e come viene comunicata una sostituzione o aggiunta;
• per quanto tempo restano dati, backup e copie tecniche dopo la chiusura del contratto, e secondo quali procedure di cancellazione o restituzione;
• quali log di accesso, modifica, esportazione e assistenza sono prodotti, chi li consulta e per quanto tempo sono disponibili;
• come sono gestiti autenticazione, autorizzazioni, aggiornamenti, vulnerabilità, incidenti e assistenza remota;
• quali strumenti consentono di estrarre i dati e chiudere ordinatamente il rapporto con il fornitore.

Le risposte servono anche a definire misure interne: abilitazioni per reparto, revisione periodica degli utenti, verifica delle esportazioni, procedure di apertura ticket e istruzioni per non inviare archivi completi quando basta un esempio anonimizzato. Il costo dell'adeguamento comprende ricognizione, configurazione e manutenzione dei processi: Quanto costa mettersi in regola con il GDPR in uno studio e quali voci pesano?

Una mappa che regge alla verifica

Lo studio è titolare per i trattamenti necessari alla propria attività professionale e può essere responsabile per attività come le paghe eseguite su istruzioni dell'azienda cliente. La distinzione va provata con mappa dei flussi, nomine, deleghe, autorizzazioni, registro aggiornato e verifiche sui fornitori, senza affidarsi al nome del servizio o del software.

Una documentazione coerente semplifica il lavoro, la formazione dei collaboratori e le risposte a cliente, interessato o Autorità. Per impostare il percorso sul caso concreto dello studio, è possibile scrivere dal modulo di contatto e confrontarsi con Jimenez Julien.