Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda affida al commercialista la contabilità, gli adempimenti fiscali o la gestione amministrativa del personale, gli trasmette frequentemente documenti contenenti dati personali di dipendenti, clienti, fornitori, soci e amministratori. Sorge quindi una questione concreta: il commercialista deve essere nominato responsabile del trattamento ai sensi dell’articolo 28 del GDPR oppure opera come titolare autonomo?

La risposta dipende dalle attività effettivamente svolte e dal grado di autonomia con cui il professionista tratta i dati. Non tutti i commercialisti devono ricevere una nomina a responsabile esterno e, in determinate circostanze, una qualificazione contrattuale sbagliata può creare problemi di conformità. Per l’impresa è necessario verificare il rapporto professionale, individuare correttamente le responsabilità e predisporre gli accordi eventualmente richiesti. Quando il commercialista svolge più servizi, la valutazione può diventare particolarmente delicata.

Il commercialista deve essere nominato responsabile del trattamento GDPR?

Il Regolamento (UE) 2016/679 distingue il titolare del trattamento, che determina le finalità e i mezzi essenziali del trattamento dei dati personali, dal responsabile del trattamento, che tratta tali dati per conto del titolare. Questa distinzione, prevista dagli articoli 4 e 28 del GDPR, deve essere applicata anche ai rapporti tra un’azienda e il proprio commercialista.

Il punto da chiarire è che l’affidamento di un incarico professionale a un soggetto esterno non comporta automaticamente l’obbligo di nominarlo responsabile del trattamento. Occorre verificare quale attività viene svolta, per quali finalità vengono utilizzati i dati personali e chi assume le decisioni essenziali sul loro trattamento.

Un commercialista incaricato di prestare consulenza fiscale, predisporre dichiarazioni tributarie o svolgere attività professionali che richiedono valutazioni autonome può operare come titolare autonomo del trattamento. In queste situazioni il professionista tratta i dati nell’ambito delle proprie responsabilità professionali e degli obblighi normativi applicabili, senza necessariamente agire per conto dell’azienda nel senso richiesto dall’articolo 28.

Diversa può essere la posizione di un soggetto incaricato di svolgere attività meramente esecutive di elaborazione dei dati, secondo le istruzioni dell’impresa e senza determinare autonomamente le finalità del trattamento. In presenza di questi presupposti, il rapporto può richiedere un accordo di nomina a responsabile del trattamento.

La distinzione assume particolare rilievo quando il commercialista offre servizi differenti attraverso un unico incarico. Pensiamo a uno studio che si occupa della consulenza tributaria della società, ma gestisce anche attività amministrative esternalizzate mediante accesso ai sistemi informatici aziendali. Le diverse prestazioni possono richiedere qualificazioni privacy differenti, da accertare esaminando concretamente il rapporto.

Non è sufficiente verificare se il commercialista riceva dati personali, utilizzi un gestionale dell’azienda o abbia sottoscritto un impegno di riservatezza. Questi elementi sono rilevanti per comprendere le modalità operative, ma non determinano da soli la qualificazione giuridica. Anche l’esistenza di istruzioni organizzative o di obblighi contrattuali non esclude necessariamente l’autonomia professionale.

Per questo motivo, prima di predisporre una nomina standardizzata, consigliamo di individuare le prestazioni affidate al commercialista e distinguere quelle nelle quali il professionista agisce autonomamente da quelle eventualmente svolte per conto dell’impresa. Il riferimento è il criterio sostanziale previsto dal GDPR, coerente con gli orientamenti dell’European Data Protection Board sulla distinzione tra titolare e responsabile del trattamento.

Un approfondimento sulle diverse qualificazioni è disponibile nel nostro articolo dedicato alle differenze tra titolare, responsabile e autorizzato al trattamento.

Commercialista titolare autonomo o responsabile esterno: come individuare il ruolo corretto

Per stabilire quale qualificazione attribuire al commercialista, l’azienda deve partire dal contenuto dell’incarico professionale. La denominazione utilizzata nel contratto non è decisiva: un professionista non diventa responsabile del trattamento soltanto perché viene indicato come tale in una lettera di nomina. Allo stesso modo, dichiarare che il commercialista opera come titolare autonomo non è sufficiente se, nella realtà, esegue trattamenti per conto dell’impresa.

Nella consulenza fiscale e tributaria, il commercialista esercita normalmente un’autonomia professionale che deve essere considerata nella qualificazione privacy. La predisposizione di dichiarazioni, l’assistenza nell’interpretazione della normativa tributaria e l’adempimento di obblighi propri della professione possono comportare decisioni sul trattamento dei dati che non dipendono esclusivamente dalle istruzioni del cliente.

Un ulteriore elemento riguarda gli obblighi antiriciclaggio. Quando il commercialista è tenuto a effettuare l’adeguata verifica della clientela e a conservare le informazioni previste dalla normativa, tratta determinati dati per adempiere a obblighi giuridici propri. Per tali attività non può essere considerato semplicemente un soggetto che esegue istruzioni dell’impresa cliente.

La situazione richiede un’analisi più articolata quando vengono affidate allo studio attività di elaborazione contabile, gestione amministrativa o trattamento sistematico dei dati del personale. Occorre comprendere se il professionista eserciti un’autonoma attività intellettuale oppure svolga operazioni per conto dell’azienda, secondo finalità e mezzi essenziali determinati da quest’ultima.

Ad esempio, un servizio di mera elaborazione di informazioni inserite dall’impresa, eseguito secondo istruzioni documentate e senza autonomia sulle finalità, può configurare un trattamento svolto in qualità di responsabile. Non è invece corretto presumere che ogni attività relativa alle buste paga comporti automaticamente questa qualificazione: bisogna considerare la natura dell’incarico e l’autonomia professionale concretamente esercitata.

Quando il rapporto comprende prestazioni di natura diversa, il commercialista può assumere ruoli differenti rispetto a distinti trattamenti. L’accordo professionale dovrebbe consentire di comprendere quali attività siano svolte autonomamente e quali, eventualmente, per conto dell’azienda. Una simile distinzione evita di applicare indiscriminatamente le medesime clausole a operazioni soggette a regimi differenti.

Se il commercialista opera come responsabile del trattamento, l’articolo 28 del GDPR richiede un contratto o altro atto giuridico vincolante che disciplini, tra gli altri aspetti, oggetto e durata del trattamento, natura e finalità delle operazioni, categorie di interessati e dati personali, obblighi e diritti del titolare. Devono essere regolate anche le istruzioni documentate, la riservatezza, le misure di sicurezza, il ricorso a eventuali sub-responsabili e la collaborazione necessaria per consentire all’azienda di adempiere ai propri obblighi.

Se invece il commercialista opera come titolare autonomo, non si applica automaticamente l’obbligo di stipulare un accordo ai sensi dell’articolo 28. Rimane necessario verificare la liceità della comunicazione dei dati, gli obblighi informativi, le misure di sicurezza e le rispettive responsabilità. L’autonomia del professionista non esonera l’impresa dal valutare correttamente le modalità con cui trasmette le informazioni personali.

Un errore ricorrente consiste nel far sottoscrivere al commercialista un modello di nomina identico a quello utilizzato per qualsiasi fornitore esterno. Questa impostazione può attribuire obblighi incompatibili con l’attività professionale, prevedere istruzioni che l’azienda non è legittimata a impartire oppure omettere aspetti effettivamente necessari nei trattamenti svolti per conto del cliente.

Per comprendere quali clausole debbano essere presenti quando la nomina è effettivamente necessaria, abbiamo approfondito il tema nel nostro articolo sul contratto ex articolo 28 GDPR e sulle clausole obbligatorie.

La verifica deve quindi riguardare sia il contenuto dell’incarico sia il modo in cui viene concretamente eseguito. Questo è particolarmente importante quando il commercialista utilizza collaboratori, software gestionali o servizi esterni per trattare informazioni appartenenti all’azienda cliente, perché la corretta individuazione dei ruoli costituisce il presupposto per stabilire quali obblighi contrattuali e organizzativi siano effettivamente applicabili.

Quali obblighi e responsabilità ha l’azienda nei rapporti con il commercialista?

Una volta individuato il ruolo del commercialista, l’impresa deve verificare se il rapporto professionale sia disciplinato in modo coerente con il GDPR. La mancata nomina a responsabile del trattamento costituisce un’irregolarità quando il professionista svolge effettivamente trattamenti per conto dell’azienda ai sensi dell’articolo 28. Se invece opera come titolare autonomo, l’assenza di tale nomina non rappresenta, di per sé, una violazione.

Il primo controllo riguarda il contratto di incarico. Quando ricorrono i presupposti per la qualificazione come responsabile, l’accordo deve disciplinare concretamente le operazioni affidate al commercialista, le categorie di dati trattati, le istruzioni dell’impresa e le misure di sicurezza. Una generica clausola di riservatezza non sostituisce le disposizioni richieste dall’articolo 28. Anche una nomina formalmente sottoscritta può risultare insufficiente quando non descrive le attività effettivamente svolte oppure non contiene gli elementi obbligatori.

Particolare attenzione deve essere riservata ai dati dei dipendenti. Il commercialista può ricevere informazioni retributive, coordinate bancarie, dati relativi ad assenze, situazioni familiari e, quando necessario per gli adempimenti affidati, informazioni appartenenti a categorie particolari di dati personali. L’azienda deve verificare che la comunicazione di queste informazioni sia giustificata dalle finalità perseguite e che il professionista riceva soltanto i dati necessari per lo svolgimento dell’incarico.

Il trasferimento delle informazioni deve avvenire attraverso modalità adeguate al rischio. L’utilizzo della posta elettronica ordinaria, di piattaforme documentali o di software gestionali richiede una valutazione delle misure di protezione adottate, soprattutto quando vengono trasmessi documenti contenenti informazioni riservate sul personale. L’impresa dovrebbe definire chi può inviare i documenti, quali destinatari sono autorizzati a riceverli e come vengono gestiti gli accessi ai sistemi condivisi.

Un ulteriore problema riguarda l’utilizzo di collaboratori e fornitori da parte del commercialista. Se il professionista opera come responsabile del trattamento e ricorre ad altri soggetti che trattano dati per suo conto, devono essere rispettate le condizioni previste dall’articolo 28 per il coinvolgimento dei sub-responsabili. Occorre quindi verificare le autorizzazioni, gli obblighi contrattuali e le garanzie applicabili. Quando invece il commercialista opera come titolare autonomo, i rapporti con i propri fornitori devono essere valutati secondo la sua effettiva posizione giuridica, senza attribuire automaticamente all’azienda cliente il potere di autorizzarli.

La corretta qualificazione incide anche sulla gestione delle eventuali violazioni dei dati personali. Se il commercialista opera come responsabile del trattamento e viene a conoscenza di una violazione relativa ai dati trattati per conto dell’impresa, deve informare il titolare senza ingiustificato ritardo. Spetta poi all’azienda valutare, in base agli articoli 33 e 34 del GDPR, se ricorrano i presupposti per notificare la violazione al Garante Privacy e, nei casi previsti, comunicarla agli interessati. Quando il professionista agisce come titolare autonomo, gli obblighi relativi alle violazioni dei trattamenti di propria competenza ricadono invece su di lui.

La questione diventa particolarmente delicata quando l’impresa scopre che il commercialista tratta da anni dati personali senza un accordo conforme al GDPR. Prima di predisporre una nomina retroattiva, occorre accertare se il rapporto richiedesse effettivamente l’applicazione dell’articolo 28, individuare le eventuali carenze documentali e regolarizzare le attività future. Una sottoscrizione successiva non elimina automaticamente le irregolarità eventualmente verificatesi nel periodo precedente.

Durante una verifica del Garante Privacy, l’azienda può essere chiamata a dimostrare come abbia individuato i soggetti coinvolti nei trattamenti, quali garanzie abbia valutato e quali accordi abbia predisposto. L’assenza di un contratto obbligatorio, la sua incompletezza o una qualificazione non coerente con la realtà operativa possono assumere rilievo nell’accertamento della conformità. Le eventuali conseguenze devono essere valutate considerando la natura della violazione, le responsabilità effettive e i criteri previsti dall’articolo 83 del GDPR, senza presumere che ogni errore documentale determini automaticamente una sanzione.

Per questo motivo, quando emergono dubbi sulla posizione del commercialista, riteniamo opportuno esaminare congiuntamente il contratto professionale, le attività affidate, le modalità di accesso ai dati e la documentazione privacy esistente. La verifica può essere integrata nell’audit privacy aziendale, evitando di intervenire esclusivamente sulla lettera di nomina senza considerare l’organizzazione effettiva dei trattamenti.

Esempio pratico: un’azienda scopre che il commercialista non ha una nomina privacy

Consideriamo il caso ipotetico di una società che affida da diversi anni al proprio commercialista la consulenza fiscale, la predisposizione delle dichiarazioni e alcune attività di elaborazione amministrativa. Durante una verifica interna della documentazione GDPR, il responsabile amministrativo rileva che non è mai stato sottoscritto un accordo ai sensi dell’articolo 28, nonostante il professionista riceva periodicamente informazioni relative a clienti, fornitori e dipendenti.

Il primo intervento consiste nell’esaminare il contratto professionale e distinguere le attività di consulenza fiscale, svolte con autonomia professionale, dalle eventuali operazioni di elaborazione dei dati effettuate per conto della società. L’aspetto che richiede maggiore attenzione è proprio la presenza di servizi differenti all’interno dello stesso incarico: non sarebbe corretto qualificare automaticamente l’intero rapporto come trattamento svolto per conto dell’azienda.

Una volta ricostruite le attività e individuati i rispettivi ruoli, la società può aggiornare la documentazione contrattuale per i trattamenti che richiedono un accordo ai sensi dell’articolo 28, verificare le modalità di trasmissione delle informazioni e definire le responsabilità operative. Per le attività svolte dal commercialista come titolare autonomo, deve invece verificare la liceità della comunicazione dei dati e gli altri obblighi applicabili. L’intervento consente di affrontare la carenza documentale sulla base della reale organizzazione del rapporto, senza ricorrere a nomine indiscriminate.

Domande frequenti sulla nomina GDPR del commercialista

1. Il commercialista deve sempre firmare la nomina a responsabile del trattamento?

No. La nomina ai sensi dell’articolo 28 del GDPR è necessaria quando il commercialista tratta dati personali per conto dell’azienda, secondo le caratteristiche proprie del rapporto tra titolare e responsabile. Se invece svolge attività professionali come titolare autonomo, non deve essere nominato responsabile per quei trattamenti. La qualificazione dipende dalle attività concretamente affidate e non dalla semplice presenza di dati personali nei documenti trasmessi.

2. La lettera di incarico professionale può sostituire la nomina GDPR?

Sì, ma soltanto se contiene tutti gli elementi obbligatori previsti dall’articolo 28 e costituisce un accordo giuridicamente vincolante tra le parti. Non è indispensabile predisporre un documento separato denominato “nomina privacy”. Una normale lettera di incarico che descrive esclusivamente le prestazioni professionali e il compenso, però, non è sufficiente quando manca la disciplina dei trattamenti effettuati per conto dell’azienda.

3. Cosa deve fare l’azienda se il commercialista rifiuta di firmare la nomina privacy?

Occorre innanzitutto verificare le ragioni del rifiuto. Il professionista potrebbe operare legittimamente come titolare autonomo e ritenere quindi non applicabile l’articolo 28. Se invece le attività affidate configurano effettivamente un trattamento per conto dell’impresa, l’azienda deve assicurarsi che il rapporto sia disciplinato da un accordo conforme prima di proseguire i trattamenti in tale veste. In mancanza, sarà necessario rivedere l’organizzazione del servizio o valutare un diverso fornitore.

4. Se l’azienda cambia commercialista deve aggiornare la documentazione GDPR?

Il cambio del professionista richiede una verifica delle attività affidate al nuovo commercialista e dei relativi ruoli privacy. Quando il nuovo incaricato opera come responsabile del trattamento, deve essere predisposto il relativo accordo. Occorre anche gestire la restituzione, la cancellazione o l’eventuale conservazione dei dati presso il precedente professionista, tenendo conto degli obblighi normativi applicabili e delle rispettive responsabilità. Il registro dei trattamenti e le informative devono essere aggiornati quando il cambiamento incide sulle informazioni che vi devono essere riportate.

5. Quanto costa verificare la posizione GDPR del commercialista e predisporre l’eventuale nomina?

Il costo dipende dalla complessità dell’incarico, dal numero di trattamenti coinvolti e dalla documentazione già disponibile. Una verifica relativa a un singolo rapporto professionale è diversa dall’analisi di un servizio amministrativo esternalizzato che coinvolge più fornitori, software e categorie di dati. Prima di predisporre un accordo è opportuno accertare se la nomina sia realmente necessaria, evitando costi per documenti non pertinenti o giuridicamente inadeguati.

Commercialista e GDPR: richiedi una valutazione legale sulla nomina e sulle responsabilità dell’azienda

Se la vostra azienda affida al commercialista dati personali di dipendenti, clienti o fornitori e non è chiaro se debba essere nominato responsabile del trattamento, possiamo esaminare il rapporto professionale e verificare la corretta qualificazione ai sensi del GDPR.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione dei rapporti con i soggetti esterni che trattano dati personali, nella predisposizione e revisione degli accordi previsti dall’articolo 28 e nella gestione delle eventuali criticità della documentazione privacy aziendale.

Se avete già sottoscritto una nomina, il commercialista si rifiuta di firmarla oppure avete scoperto che il rapporto non è stato correttamente disciplinato, possiamo valutare quali adempimenti siano effettivamente necessari e come intervenire sulla situazione esistente.

Per richiedere una valutazione del rapporto GDPR con il vostro commercialista, inviate la vostra richiesta attraverso il modulo dedicato alla consulenza privacy e GDPR per aziende. Esamineremo le informazioni trasmesse e vi ricontatteremo per valutare le possibili modalità di assistenza.