Question 1

Il mio commercialista gestisce fatture e IVA, quindi vede nomi e dati dei clienti. Non abbiamo mai firmato nulla di specifico per la privacy. Devo per forza nominarlo responsabile del trattamento o posso evitare?

— Roberto

Accepted Answer

Sì, devi necessariamente nominare il tuo commercialista come responsabile del trattamento tramite un contratto scritto conforme all'articolo 28 del GDPR. Poiché gestisce fatture e IVA trattando dati personali dei tuoi clienti per tuo conto e su tue istruzioni, la legge impone questa formalizzazione obbligatoria. La mancata nomina costituisce una violazione del GDPR che espone sia te che il commercialista a possibili sanzioni amministrative del Garante Privacy. Il contratto deve specificare natura e finalità del trattamento, tipologia di dati, misure di sicurezza e obblighi reciproci. Non esistono scorciatoie o esenzioni in questi casi.

Question 2

Lavoro con lo stesso commercialista da tre anni ma non abbiamo mai formalizzato l'accesso ai dati. Se scopro ora che serve un accordo scritto, ho una scadenza per regolarizzare o rischio sanzioni immediate?

— Daniela

Accepted Answer

Il commercialista che gestisce la tua contabilità è generalmente Titolare autonomo del trattamento dati, non Responsabile, poiché opera con autonomia professionale. Dovresti formalizzare un accordo di contitolarità (Art. 26 GDPR) se decidete insieme le finalità del trattamento. Non esiste una scadenza prefissata per regolarizzare, ma l'assenza di formalizzazione costituisce violazione del GDPR con rischio sanzioni fino al 4% del fatturato. È consigliabile stipulare immediatamente l'accordo scritto: dimostrare la regolarizzazione tempestiva riduce drasticamente eventuali sanzioni in caso di controllo del Garante.

Question 3

Oltre alla consulenza legale, se devo fare un accordo col commercialista o nominarlo responsabile, ci sono altri costi? Registrazioni, adempimenti al Garante o spese per adeguare i sistemi?

Accepted Answer

Se il commercialista accede ai dati dei clienti per svolgere attività di consulenza come contabilità o dichiarazioni fiscali, è quasi sempre obbligatorio nominarlo Responsabile del trattamento secondo l'art. 28 del GDPR, mediante un contratto scritto. Oltre ai costi per la consulenza legale nella redazione del contratto, non sono previste registrazioni o comunicazioni al Garante per la semplice nomina. Potrebbero però emergere spese per adeguare i sistemi di sicurezza (software di invio dati cifrati, piattaforme condivise) e per la formazione specifica sulla privacy del commercialista e dei suoi collaboratori. È inoltre necessario aggiornare il registro interno dei trattamenti, attività che richiede tempo ma non comporta costi diretti.

Question 4

Gestisco una piccola SRL e il commercialista ha sempre avuto accesso a tutto liberamente. Se il Garante dovesse fare un controllo e scopre che non c'è nulla per iscritto, quali sanzioni rischio concretamente?

— Stefania

Accepted Answer

Il commercialista che gestisce la contabilità della tua SRL è solitamente considerato un Incaricato del trattamento, non un Responsabile esterno, poiché opera in stretta collaborazione con te. Tuttavia, il rapporto deve essere formalizzato per iscritto, specificando che tratta i dati solo su tue istruzioni e per l'esecuzione del contratto. La mancata formalizzazione costituisce violazione delle misure di sicurezza minime previste dal GDPR. In caso di controllo, il Garante può irrogare sanzioni amministrative che nei casi concreti variano tra 5.000 e 75.000 euro, a seconda della gravità e delle dimensioni dell'impresa. È quindi essenziale predisporre subito un contratto scritto che regolamenti l'accesso ai dati.

Question 5

Se devo mettere in regola l'accesso del commercialista ai dati, quali documenti devo preparare? Serve solo una lettera di nomina o ci vuole un contratto vero e proprio con clausole specifiche?

Accepted Answer

Sì, devi nominarlo responsabile del trattamento con un contratto formale secondo l'articolo 28 del GDPR. Non è sufficiente una semplice lettera di nomina: serve un vero e proprio contratto (Data Processing Agreement) che disciplini natura e finalità del trattamento, tipologie di dati trattati, obblighi di sicurezza, divieto di sub-nomina senza consenso, assistenza al titolare e modalità di restituzione o cancellazione dei dati al termine del rapporto. Il documento deve citare esplicitamente il GDPR e contenere tutte le garanzie previste dalla normativa per tutelare i dati dei tuoi clienti.

Question 6

Oltre al commercialista ho anche un consulente del lavoro che gestisce buste paga e contratti dei dipendenti. Per lui valgono le stesse regole o è una situazione diversa dal punto di vista della privacy?

— Giulia

Accepted Answer

Il consulente del lavoro che gestisce buste paga e contratti dei dipendenti si trova in una situazione **diversa rispetto al commercialista**. Mentre il commercialista opera generalmente come titolare autonomo per obblighi di legge propri, il consulente del lavoro agisce **per tuo conto** seguendo le tue istruzioni nella gestione dei dati dei dipendenti. Per questo motivo, **devi nominarlo formalmente Responsabile del Trattamento** secondo l'articolo 28 del GDPR, stipulando un contratto scritto che definisca finalità, categorie di dati trattati, misure di sicurezza e modalità operative. Questa distinzione è stata confermata dal Garante per la Privacy, che ha chiarito come i consulenti del lavoro che trattano dati dei dipendenti dei clienti debbano essere nominati Responsabili del Trattamento.

Question 7

Il mio commercialista mi ha chiesto di firmare un accordo con clausole molto rigide e responsabilità tutte a mio carico. Posso contestare alcune parti o devo accettare tutto così com'è?

Accepted Answer

Il commercialista che accede ai dati dei tuoi clienti per svolgere servizi professionali deve essere nominato Responsabile del Trattamento secondo l'art. 28 del GDPR, formalizzando obblighi specifici di sicurezza, riservatezza e limitazione delle finalità. Riguardo alle clausole contrattuali rigide, puoi e devi contestarle: un contratto di servizi professionali non può presentare uno squilibrio significativo dei diritti, né escludere la responsabilità del professionista per inadempimento o negligenza, pena la nullità delle clausole vessatorie. La responsabilità professionale del commercialista è disciplinata dagli artt. 1176 e 2236 del Codice Civile, che prevedono l'obbligo di diligenza e perizia. Eventuali clausole che trasferiscono a te tutte le responsabilità, anche per errori imputabili al professionista, sono contrarie alla buona fede contrattuale e alla normativa sulla protezione dei dati.

Question 8

Ho scoperto che il mio ex commercialista, con cui ho interrotto il rapporto, ha ancora accesso ai file condivisi con dati dei clienti. Come posso tutelarmi e cosa devo fare subito per bloccare l'accesso?

— Francesca

Accepted Answer

Devi subito revocare tecnicamente l'accesso dell'ex commercialista ai file condivisi tramite la console amministrativa della piattaforma che utilizzi, bloccando il suo account e chiudendo tutte le sessioni attive. Documenta l'operazione con screenshot datati per dimostrare la tua diligenza nella protezione dei dati dei clienti. Se il rapporto professionale è cessato, decade automaticamente anche l'eventuale nomina a responsabile del trattamento, ma il suo accesso non autorizzato configura una violazione della sicurezza dei dati. Considera l'invio di una diffida formale via PEC per intimargli la cancellazione di eventuali copie e la cessazione di ogni utilizzo dei dati. Se necessiti di assistenza specifica per questi adempimenti, sulla piattaforma Iuspert trovi avvocati esperti in protezione dati e diritto digitale.