La privacy di uno studio commercialista riguarda l’insieme delle regole e delle misure adottate per proteggere i dati personali dei clienti, dei dipendenti e dei collaboratori, nel rispetto del GDPR. Comprende la gestione sicura di documenti e informazioni fiscali, la definizione delle finalità del trattamento, l’adozione di adeguate misure di sicurezza e la tutela dei diritti degli interessati.
Come scrivere privacy studio commercialista
L’informativa privacy di uno studio commercialista deve spiegare in modo chiaro, completo e comprensibile come vengono trattati i dati personali dei clienti, dei loro rappresentanti, dei dipendenti, dei collaboratori, dei fornitori e di qualsiasi altra persona i cui dati siano acquisiti nell’ambito dell’attività professionale. Deve essere predisposta principalmente in conformità agli articoli 13 e 14 del Regolamento UE 2016/679, noto come GDPR, distinguendo, quando necessario, tra dati raccolti direttamente dall’interessato e dati ottenuti da soggetti terzi.
Innanzitutto deve indicare l’identità e i dati di contatto del titolare del trattamento. Nel caso di uno studio individuale, il titolare sarà normalmente il commercialista persona fisica; nel caso di uno studio associato o di una società tra professionisti, occorre indicare l’ente o la struttura che decide autonomamente finalità e modalità del trattamento. Devono essere riportati la denominazione, l’indirizzo della sede, l’indirizzo di posta elettronica e, se utilizzati, un indirizzo PEC e altri recapiti utili. Se lo studio opera attraverso più sedi o soggetti collegati, l’informativa deve chiarire quale entità svolge il ruolo di titolare.
Deve essere precisato, quando applicabile, se è stato nominato un responsabile della protezione dei dati, cioè il Data Protection Officer o DPO, indicando i suoi dati di contatto. La designazione del DPO non è automaticamente obbligatoria per ogni studio commercialista: dipende dall’organizzazione concreta, dalla natura e dalla quantità dei trattamenti effettuati e dall’eventuale svolgimento di attività che comportino un monitoraggio regolare e sistematico degli interessati su larga scala. Se il DPO non è previsto, l’informativa non deve indicarlo artificialmente, ma deve comunque fornire i normali contatti del titolare per l’esercizio dei diritti.
L’informativa deve descrivere le finalità del trattamento, cioè gli scopi concreti per cui lo studio raccoglie e utilizza i dati. In uno studio commercialista possono rientrare, ad esempio, la gestione dell’incarico professionale, l’elaborazione della contabilità, la predisposizione e trasmissione di dichiarazioni fiscali, l’elaborazione di paghe e contributi, la consulenza tributaria e societaria, la predisposizione di bilanci, la gestione degli adempimenti verso Agenzia delle Entrate, INPS, INAIL, Camere di commercio e altri enti pubblici, nonché la gestione della fatturazione e dei pagamenti.
Possono inoltre essere indicate finalità amministrative e organizzative, come la gestione degli appuntamenti, delle comunicazioni con il cliente, degli accessi ai portali, dell’archiviazione della documentazione, della gestione dei fornitori e della tutela dei diritti dello studio in sede giudiziale o stragiudiziale. Se lo studio invia comunicazioni informative o promozionali relative ai propri servizi, tale finalità deve essere indicata separatamente e non deve essere confusa con le attività necessarie per l’esecuzione dell’incarico professionale. Per il marketing, soprattutto quando si utilizzano email, messaggi o strumenti di profilazione, può essere necessario acquisire uno specifico consenso, salvo i casi particolari previsti dalla normativa.
Per ogni finalità deve essere indicata la relativa base giuridica. Il trattamento necessario per eseguire il contratto o l’incarico professionale può fondarsi sull’articolo 6, paragrafo 1, lettera b), del GDPR. I trattamenti necessari per adempiere obblighi di legge, come quelli fiscali, contabili, antiriciclaggio, lavoristici o previdenziali, possono basarsi sull’articolo 6, paragrafo 1, lettera c). La tutela dei diritti dello studio o del cliente può fondarsi sul legittimo interesse, ai sensi dell’articolo 6, paragrafo 1, lettera f), purché venga effettuata una valutazione di bilanciamento tra tale interesse e i diritti degli interessati. Il consenso deve essere utilizzato soltanto quando costituisce realmente la base giuridica appropriata, ad esempio per alcune attività di marketing o per determinati trattamenti non necessari alla gestione dell’incarico.
L’informativa deve specificare quali categorie di dati vengono trattate. Oltre ai dati identificativi e di contatto, possono essere trattati dati fiscali, economici, patrimoniali, finanziari, bancari, previdenziali, assicurativi, relativi alla posizione lavorativa, alla composizione del nucleo familiare e agli immobili o alle partecipazioni societarie. In relazione alla gestione del personale o agli adempimenti fiscali, possono emergere anche categorie particolari di dati, come informazioni relative alla salute, all’appartenenza sindacale o a situazioni di disabilità. In alcune circostanze possono essere trattati dati relativi a condanne penali e reati, ad esempio nell’ambito degli obblighi antiriciclaggio o di specifici adempimenti professionali. L’informativa deve indicare tali categorie solo se effettivamente trattate e deve spiegare la relativa base giuridica aggiuntiva prevista dagli articoli 9 o 10 del GDPR e dalla normativa nazionale.
Deve inoltre essere chiarito se il conferimento dei dati è obbligatorio o facoltativo. Per esempio, alcuni dati sono indispensabili per stipulare e gestire l’incarico, emettere fatture, effettuare dichiarazioni o adempiere agli obblighi di legge. Il rifiuto di fornire tali informazioni potrebbe impedire allo studio di accettare l’incarico o di svolgere correttamente determinate attività. Altri dati, invece, potrebbero essere facoltativi, come quelli richiesti esclusivamente per ricevere comunicazioni commerciali. L’informativa deve spiegare, per ciascuna situazione rilevante, quali siano le conseguenze del mancato conferimento.
È necessario indicare la provenienza dei dati quando questi non vengono raccolti direttamente dall’interessato. Lo studio potrebbe ricevere informazioni dal datore di lavoro, da un amministratore societario, da altri professionisti, da consulenti del cliente, da banche, da enti pubblici, da società del gruppo o da piattaforme telematiche. In questi casi l’informativa deve specificare, almeno in termini generali, le categorie delle fonti utilizzate e deve essere fornita nei tempi previsti dall’articolo 14 del GDPR, salvo l’applicazione di una delle eccezioni previste dalla normativa.
L’informativa deve spiegare a chi possono essere comunicati i dati. I destinatari possono comprendere dipendenti e collaboratori autorizzati, consulenti del lavoro, avvocati, revisori, società informatiche, fornitori di servizi cloud, società di archiviazione, banche, assicurazioni, corrieri, enti pubblici, autorità fiscali, previdenziali e giudiziarie. Non è necessario inserire sempre l’elenco nominale di ogni destinatario, ma le categorie devono essere descritte con sufficiente precisione. Occorre anche chiarire che i dati saranno comunicati solo nei limiti necessari alla specifica finalità e secondo appropriate garanzie di riservatezza.
Particolare attenzione deve essere riservata ai rapporti con i fornitori esterni. Se una società informatica, un provider cloud, un servizio paghe o un archivista tratta dati per conto dello studio, normalmente dovrà essere nominata responsabile del trattamento mediante un apposito accordo conforme all’articolo 28 del GDPR. L’informativa dovrebbe spiegare, in termini comprensibili, l’esistenza di queste categorie di responsabili. Non tutti i soggetti che ricevono dati sono però responsabili del trattamento: alcuni possono operare come titolari autonomi, soprattutto quando trattano i dati per propri obblighi o finalità.
Deve essere indicato se i dati personali vengono trasferiti verso Paesi situati al di fuori dello Spazio economico europeo. Ciò può avvenire, ad esempio, quando lo studio utilizza servizi cloud, piattaforme di videoconferenza, strumenti di posta elettronica o software gestiti da fornitori internazionali. L’informativa deve precisare il Paese o la categoria di Paesi coinvolti, il meccanismo giuridico utilizzato per il trasferimento, come una decisione di adeguatezza o le clausole contrattuali standard, e il modo in cui l’interessato può ottenere ulteriori informazioni o una copia delle garanzie applicate.
Un elemento fondamentale è l’indicazione del periodo di conservazione dei dati. Non è sufficiente dichiarare genericamente che i dati saranno conservati “per il tempo necessario”. Lo studio dovrebbe indicare, quando possibile, periodi determinati o criteri oggettivi per stabilirli. I tempi possono dipendere dalla durata dell’incarico, dagli obblighi civilistici e fiscali, dalla normativa antiriciclaggio, dalla prescrizione dei diritti e dalla necessità di difendersi in giudizio. Alcuni documenti contabili e fiscali dovranno essere conservati per i periodi previsti dalla legge, mentre i dati raccolti per finalità promozionali dovranno essere conservati per un periodo più limitato e comunque coerente con la finalità perseguita.
L’informativa deve illustrare i diritti riconosciuti agli interessati. Devono essere menzionati il diritto di ottenere conferma dell’esistenza o meno di un trattamento, l’accesso ai dati personali, la rettifica dei dati inesatti, l’integrazione di quelli incompleti, la cancellazione nei casi previsti, la limitazione del trattamento, la portabilità dei dati quando applicabile e l’opposizione ai trattamenti fondati sul legittimo interesse o effettuati per finalità di marketing. Quando il trattamento si basa sul consenso, deve essere precisato che il consenso può essere revocato in qualsiasi momento, senza pregiudicare la liceità del trattamento svolto prima della revoca.
Devono essere indicate le modalità con cui gli interessati possono esercitare i propri diritti, ad esempio tramite email, PEC o raccomandata indirizzata al titolare. È opportuno chiarire che lo studio potrà chiedere informazioni aggiuntive per verificare l’identità del richiedente e che risponderà, di regola, entro un mese dalla richiesta, salvo i casi di particolare complessità previsti dal GDPR. L’informativa deve inoltre ricordare il diritto di proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo competente nello Stato dell’Unione europea in cui l’interessato risiede o lavora.
Se lo studio utilizza processi decisionali automatizzati, compresa la profilazione, l’informativa deve indicarlo e spiegare la logica utilizzata, la rilevanza e le conseguenze previste per l’interessato. In genere uno studio commercialista non svolge decisioni automatizzate rilevanti sui propri clienti, ma questa circostanza dovrebbe essere chiaramente esplicitata, se pertinente. L’uso di semplici strumenti gestionali o software che automatizzano operazioni amministrative non equivale necessariamente a una decisione automatizzata ai sensi del GDPR.
L’informativa dovrebbe anche descrivere, in modo generale, le principali misure adottate per proteggere i dati. Non è necessario rivelare dettagli tecnici che potrebbero compromettere la sicurezza, ma è opportuno spiegare che lo studio applica misure organizzative e tecniche adeguate, come sistemi di autenticazione, gestione degli accessi, backup, antivirus, cifratura quando appropriata, formazione del personale, procedure per la gestione degli incidenti e regole per la trasmissione sicura dei documenti. Lo studio dovrebbe prestare particolare attenzione alla documentazione fiscale e contabile, che spesso contiene informazioni economiche molto dettagliate.
Infine, l’informativa deve indicare la data di aggiornamento e deve essere effettivamente coerente con i trattamenti svolti. Non può limitarsi a un modello generico copiato da internet: deve riflettere i software utilizzati, i fornitori effettivi, le categorie di clienti, i servizi offerti, i flussi di dati, i tempi di conservazione e l’eventuale presenza di attività di marketing o trasferimenti internazionali. È spesso opportuno predisporre informative diverse o sezioni specifiche per i clienti, i dipendenti e collaboratori, i fornitori, gli utenti del sito web e le persone che inviano candidature, perché finalità, basi giuridiche e tempi di conservazione possono essere differenti.
Esempio privacy studio commercialista
INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI
ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679
1. Titolare del trattamento
Il Titolare del trattamento dei dati personali è:
[Denominazione dello Studio]
con sede in [indirizzo completo]
Codice fiscale/P. IVA [●]
Tel. [●]
E-mail: [●]
PEC: [●]
Il Titolare può essere contattato per qualsiasi informazione relativa al trattamento dei dati personali e all’esercizio dei diritti previsti dalla normativa vigente.
Il Responsabile della protezione dei dati personali, ove nominato, è contattabile ai seguenti recapiti:
[Nome e cognome o denominazione]
E-mail: [●]
PEC: [●]
2. Categorie di dati personali trattati
Nell’ambito dell’attività professionale possono essere trattati i seguenti dati personali:
- dati anagrafici e identificativi;
- dati di contatto, quali indirizzo, numero telefonico, indirizzo e-mail e PEC;
- dati fiscali, previdenziali, assicurativi e contabili;
- dati relativi alla situazione economica, patrimoniale e finanziaria;
- dati relativi ai rapporti di lavoro e alla posizione professionale;
- dati contenuti in documenti contabili, fiscali, societari e amministrativi;
- dati relativi a familiari, dipendenti, collaboratori, soci, amministratori, clienti, fornitori e altri soggetti collegati all’interessato;
- dati di navigazione e informazioni tecniche relative all’utilizzo dei servizi digitali dello Studio;
- eventuali categorie particolari di dati personali ai sensi dell’articolo 9 del Regolamento (UE) 2016/679, ove contenuti nella documentazione ricevuta o necessari per l’esecuzione dell’incarico;
- dati relativi a procedimenti giudiziari e reati, nei casi consentiti dalla legge e necessari per l’esecuzione dell’incarico.
Lo Studio invita l’interessato a non trasmettere dati personali non necessari rispetto alle finalità del trattamento.
3. Finalità del trattamento
I dati personali sono trattati per le seguenti finalità:
a) instaurazione, gestione ed esecuzione del rapporto professionale e contrattuale;
b) svolgimento di attività di consulenza contabile, fiscale, societaria, amministrativa, del lavoro e in materia di adempimenti previsti dalla legge;
c) predisposizione, elaborazione, trasmissione e conservazione di dichiarazioni, comunicazioni, modelli, registri, scritture contabili, denunce e altri documenti previsti dalla normativa;
d) gestione degli obblighi contabili, fiscali, previdenziali, assicurativi, civilistici e antiriciclaggio;
e) gestione degli incarichi conferiti da persone fisiche, imprese, società, enti e professionisti;
f) gestione dei rapporti con enti pubblici, amministrazioni finanziarie, enti previdenziali, camere di commercio, autorità, banche, assicurazioni, consulenti e altri soggetti coinvolti nell’esecuzione dell’incarico;
g) adempimento degli obblighi derivanti da leggi, regolamenti, normativa nazionale ed europea, provvedimenti delle autorità e richieste degli organi di vigilanza e controllo;
h) gestione amministrativa, contabile e finanziaria del rapporto, compresa la fatturazione e la gestione dei pagamenti;
i) tutela dei diritti del Titolare, accertamento, esercizio o difesa di un diritto in sede giudiziale, stragiudiziale o amministrativa;
j) prevenzione e gestione di frodi, illeciti, accessi non autorizzati e incidenti di sicurezza;
k) invio di comunicazioni operative e relative all’incarico tramite posta ordinaria, e-mail, PEC, telefono o altri strumenti di comunicazione;
l) invio di newsletter, comunicazioni informative, aggiornamenti normativi e comunicazioni relative ai servizi dello Studio, previo consenso dell’interessato ove richiesto;
m) gestione delle richieste formulate dall’interessato e delle attività di assistenza e supporto.
4. Base giuridica del trattamento
Il trattamento dei dati personali si fonda sulle seguenti basi giuridiche:
- esecuzione di un contratto o di misure precontrattuali adottate su richiesta dell’interessato;
- adempimento di obblighi legali ai quali è soggetto il Titolare;
- perseguimento del legittimo interesse del Titolare o di terzi, nel rispetto dei diritti e delle libertà fondamentali dell’interessato;
- accertamento, esercizio o difesa di un diritto;
- consenso dell’interessato, nei casi in cui sia richiesto dalla normativa vigente.
Il conferimento del consenso per finalità promozionali e informative è facoltativo e il mancato rilascio non impedisce l’instaurazione o la gestione del rapporto professionale.
5. Natura del conferimento dei dati
Il conferimento dei dati personali necessari per l’instaurazione e l’esecuzione del rapporto professionale, nonché per l’adempimento degli obblighi di legge, è obbligatorio.
Il mancato conferimento, totale o parziale, dei dati necessari può rendere impossibile allo Studio l’esecuzione dell’incarico, l’adempimento degli obblighi normativi o la prestazione dei servizi richiesti.
Il conferimento dei dati per finalità promozionali, informative o commerciali è facoltativo.
6. Modalità del trattamento
Il trattamento dei dati personali è effettuato mediante strumenti cartacei, informatici e telematici, secondo principi di correttezza, liceità, trasparenza, minimizzazione, esattezza, limitazione delle finalità e conservazione.
I dati sono trattati da soggetti autorizzati e adeguatamente istruiti dal Titolare e sono protetti mediante misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio.
7. Destinatari dei dati personali
I dati personali possono essere comunicati, nei limiti delle finalità indicate, alle seguenti categorie di destinatari:
- dipendenti, collaboratori e professionisti autorizzati dello Studio;
- consulenti e collaboratori esterni;
- consulenti del lavoro, avvocati, revisori, commercialisti, notai e altri professionisti;
- società e fornitori di servizi informatici, cloud, archiviazione, assistenza tecnica e sicurezza;
- soggetti incaricati della gestione amministrativa e contabile;
- istituti bancari e intermediari finanziari;
- società di recupero crediti, assicurazioni e società di postalizzazione;
- amministrazioni pubbliche, enti previdenziali e assistenziali, agenzie fiscali, camere di commercio e autorità competenti;
- organismi di vigilanza, controllo e regolamentazione;
- autorità giudiziarie, forze dell’ordine e pubbliche autorità;
- soggetti ai quali la comunicazione sia necessaria per l’esecuzione dell’incarico o per adempiere a obblighi di legge.
I soggetti che trattano dati per conto del Titolare sono nominati, ove necessario, responsabili del trattamento ai sensi dell’articolo 28 del Regolamento (UE) 2016/679.
I dati personali non sono oggetto di diffusione.
8. Trasferimento dei dati verso Paesi terzi
I dati personali sono trattati, di norma, all’interno dell’Unione Europea o dello Spazio Economico Europeo.
Qualora, per esigenze tecniche o operative, i dati siano trasferiti verso Paesi situati al di fuori dello Spazio Economico Europeo, il trasferimento avverrà nel rispetto delle disposizioni del Capo V del Regolamento (UE) 2016/679, sulla base di una decisione di adeguatezza della Commissione Europea, di clausole contrattuali standard o di altro idoneo strumento previsto dalla normativa vigente.
9. Periodo di conservazione
I dati personali sono conservati per il periodo necessario al perseguimento delle finalità per le quali sono stati raccolti.
In particolare:
- i dati relativi al rapporto professionale sono conservati per tutta la durata dell’incarico e, successivamente, per il periodo necessario all’adempimento degli obblighi di legge e alla tutela dei diritti del Titolare;
- i dati contabili, fiscali e amministrativi sono conservati per il periodo previsto dalla normativa applicabile;
- i dati necessari ai fini antiriciclaggio sono conservati per il periodo previsto dalla normativa vigente;
- i dati relativi a contenziosi sono conservati fino alla definizione degli stessi e per il successivo periodo necessario alla tutela dei diritti;
- i dati trattati per finalità promozionali sono conservati fino alla revoca del consenso o alla richiesta di cancellazione, salvo ulteriore conservazione necessaria per adempiere a obblighi di legge;
- i dati contenuti nelle comunicazioni e nella documentazione professionale sono conservati secondo i termini applicabili alla natura dell’incarico e agli obblighi professionali e normativi.
Decorso il periodo di conservazione, i dati saranno cancellati, distrutti o resi anonimi, salvo ulteriori esigenze di conservazione previste dalla legge.
10. Trattamento di categorie particolari di dati personali
Qualora, nello svolgimento dell’incarico, lo Studio venga a conoscenza di categorie particolari di dati personali, tali dati saranno trattati esclusivamente nei casi previsti dall’articolo 9 del Regolamento (UE) 2016/679 e dalla normativa applicabile.
Il trattamento potrà essere necessario, a titolo esemplificativo, per:
- adempiere obblighi e esercitare diritti in materia di lavoro, previdenza e sicurezza sociale;
- assolvere obblighi contabili, fiscali e previdenziali;
- accertare, esercitare o difendere un diritto;
- perseguire finalità di interesse pubblico previste dalla legge;
- eseguire l’incarico professionale conferito dall’interessato.
11. Processi decisionali automatizzati
Il Titolare non effettua trattamenti basati esclusivamente su processi decisionali automatizzati, compresa la profilazione, che producano effetti giuridici sull’interessato o che incidano significativamente sulla sua persona.
12. Diritti dell’interessato
L’interessato può esercitare, nei casi previsti dalla normativa vigente, i seguenti diritti:
- ottenere la conferma che sia o meno in corso un trattamento di dati personali;
- ottenere l’accesso ai dati personali e alle informazioni previste dall’articolo 15 del Regolamento (UE) 2016/679;
- ottenere la rettifica dei dati inesatti o l’integrazione dei dati incompleti;
- ottenere la cancellazione dei dati, nei casi previsti dall’articolo 17 del Regolamento;
- ottenere la limitazione del trattamento, nei casi previsti dall’articolo 18 del Regolamento;
- opporsi al trattamento dei dati personali, nei casi previsti dall’articolo 21 del Regolamento;
- ricevere i dati personali in formato strutturato, di uso comune e leggibile da dispositivo automatico e trasmetterli a un altro titolare, ove applicabile;
- revocare il consenso precedentemente prestato, senza pregiudicare la liceità del trattamento effettuato prima della revoca;
- proporre reclamo al Garante per la protezione dei dati personali o ad altra autorità di controllo competente.
L’esercizio dei diritti può essere effettuato inviando una richiesta al Titolare del trattamento ai seguenti recapiti:
[Denominazione dello Studio]
[indirizzo]
E-mail: [●]
PEC: [●]Il Titolare fornirà riscontro alla richiesta entro i termini previsti dalla normativa vigente. Qualora necessario, potrà essere richiesta all’interessato un’ulteriore informazione utile a verificarne l’identità.
13. Dati personali acquisiti da terzi
Qualora i dati personali non siano raccolti direttamente presso l’interessato, gli stessi possono essere acquisiti da:
- clienti, datori di lavoro, società, enti e organizzazioni;
- amministratori, soci, dipendenti, collaboratori e rappresentanti;
- consulenti e altri professionisti;
- pubbliche amministrazioni, enti previdenziali e assistenziali, agenzie fiscali e camere di commercio;
- banche, assicurazioni e altri soggetti coinvolti nella gestione dell’incarico;
- banche dati, registri pubblici e fonti accessibili al pubblico;
- soggetti autorizzati dall’interessato o previsti dalla legge.
14. Aggiornamenti dell’informativa
La presente informativa può essere aggiornata o modificata per adeguarla a variazioni normative, organizzative o tecniche. La versione aggiornata è disponibile presso lo Studio o attraverso i canali di comunicazione utilizzati dal Titolare.
Data di aggiornamento: [●]
15. Presa visione dell’informativa
L’interessato dichiara di aver ricevuto e preso visione della presente informativa sul trattamento dei dati personali.
Luogo e data: [●]
Firma: ____