Il GDPR per studi professionali viene spesso vissuto come un fastidio: un pacco di moduli firmati in fretta nel 2018 e mai più aperti. È l’approccio sbagliato. Commercialisti, avvocati e consulenti del lavoro trattano ogni giorno dati fiscali, giudiziari, sanitari e retributivi dei clienti e dei loro dipendenti: dati che, se gestiti male, espongono lo studio a sanzioni, contenziosi e danni reputazionali. Il Regolamento UE 2016/679 non è burocrazia: è governo dei dati. Vediamo gli adempimenti che contano davvero.
Prima di tutto: chiarire i ruoli
L’errore più diffuso negli studi è non sapere in che veste si trattano i dati. Lo studio è sempre titolare del trattamento per i dati dei propri dipendenti, collaboratori e clienti diretti. Ma quando il consulente del lavoro elabora le buste paga per un’azienda cliente, tratta i dati dei dipendenti di quella azienda per conto del cliente: in questo caso opera di regola come responsabile del trattamento ai sensi dell’art. 28 del Regolamento, e serve un atto di nomina scritto. L’avvocato che difende in giudizio, invece, agisce tipicamente come titolare autonomo, perché determina in modo indipendente mezzi e finalità nell’ambito del mandato professionale. Confondere questi ruoli significa costruire tutta la documentazione privacy su fondamenta sbagliate.
Il registro dei trattamenti: la mappa dello studio
L’art. 30 del GDPR richiede il registro delle attività di trattamento. Molti studi si rifugiano nella presunta esenzione per le organizzazioni con meno di 250 dipendenti, ma la deroga non si applica quando il trattamento non è occasionale o riguarda categorie particolari di dati: condizioni che in uno studio professionale ricorrono praticamente sempre. Il registro va quindi tenuto, e conviene farlo bene: è la fotografia di quali dati entrano nello studio, dove vengono conservati, chi vi accede e quando vengono cancellati. Uno strumento di controllo, non un modulo da esibire.
Email, PEC e fascicoli: il rischio quotidiano
La maggior parte degli incidenti negli studi professionali non nasce da attacchi sofisticati, ma dalla gestione quotidiana: l’allegato con i cedolini inviato al destinatario sbagliato, la PEC inoltrata con tutto lo storico della pratica, il fascicolo condiviso su un cloud personale, le credenziali dell’applicativo fiscale usate da tutto lo studio. Ogni email sbagliata con dati personali è una potenziale violazione da valutare ai sensi degli artt. 33 e 34 del Regolamento. Servono regole semplici e scritte: doppio controllo dei destinatari quando si inviano dati sensibili, cifratura o protezione degli allegati critici, account nominativi, politiche di conservazione dei fascicoli chiusi.
Gli adempimenti che contano davvero
In ottica risk-based, questi sono i presidi su cui concentrare tempo e attenzione:
- ruoli chiari: mappatura di quando lo studio è titolare, responsabile o titolare autonomo, con le nomine ex art. 28 firmate nei due sensi (dai clienti e verso i propri fornitori);
- registro dei trattamenti ex art. 30 aggiornato e aderente alla realtà operativa;
- informative ai clienti e ai dipendenti effettivamente leggibili, non fotocopie di modelli generici;
- misure di sicurezza proporzionate: backup verificati, autenticazione a più fattori, gestione degli accessi ai gestionali;
- procedura di gestione dei data breach, con responsabilità e tempi definiti prima che l’incidente accada;
- formazione periodica di chi lavora sui dati, perché l’anello debole è quasi sempre umano.
Tutto il resto – la modulistica ridondante, le firme raccolte per abitudine – vale poco se questi sei presidi non funzionano.
Da dove iniziare
Un’ultima considerazione sul segreto professionale: molti professionisti ritengono che il segreto assorba anche la protezione dei dati. Non è così. Segreto professionale e GDPR operano su piani diversi e complementari: il primo tutela la riservatezza del rapporto fiduciario, il secondo disciplina come i dati vengono raccolti, conservati, condivisi con i fornitori e protetti sul piano tecnico. Rispettare il primo non esaurisce il secondo.
Il punto di partenza realistico è una verifica onesta dello stato attuale: cosa esiste, cosa è aggiornato, cosa è solo carta. Da lì si costruisce un piano di adeguamento proporzionato alla dimensione dello studio, senza sovrastrutture. PL Consulting affianca studi professionali in tutta Italia con un approccio concreto e risk-based: scopri il servizio di consulenza GDPR e contattaci per una prima valutazione della situazione del tuo studio.
Nota: questo articolo ha finalità informative generali e non sostituisce una valutazione professionale sul caso specifico. Articolo aggiornato a luglio 2026.