Privacy nello studio commercialista: cosa cambia con la ISO 27701:2025

Oggi digitalizzazione dello studio del commercialista e privacy sono due concetti sempre più collegati tra loro. Con la progressiva migrazione dei processi professionali verso piattaforme digitali, software gestionali in cloud e strumenti di comunicazione elettronica, la quantità e la sensibilità dei dati personali trattati dagli studi è,  infatti, cresciuta in modo tantissimo.

Ed è in questo scenario che il Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili (CNDCEC) ha pubblicato, nel marzo 2026, il documentoCon il termine “documento” s’intende qualsiasi oggetto portatore di significato a prescindere dal supporto sul quale è registrato. leggi tutto... “La gestione della privacy negli studi professionali alla luce della normativa ISO/IEC 27701:2025“, elaborato dalla Commissione di Studio Privacy studi professionali.

Perché questo documento è importante? Perché chiarisce come lo standard internazionale UNI CEI EN ISO/IEC 27701:2025 offra agli studi professionali un modello metodologico strutturato per costruire un sistema di gestione della privacy integrato, proporzionato ai rischi e coerente con le prescrizioni del Regolamento UE 2016/679 (GDPR).

Se state pensando a un adempimento burocratico in più, non è questo il caso. Come vedremo in questo articolo, il documento aiuta a tradurre i principi previsti dal Regolamento in ruoli, procedure, controlli e responsabilità verificabili. Scopriamo come.

Perché digitalizzazione e privacy devono essere gestite insieme?

Prima di vedere il documento, partiamo dal contesto. La digitalizzazioneSi definisce "digitalizzazione" il processo che converte dati analogici in dati digitali. In ambito aziendale la digitalizzazione leggi tutto... ha reso indubbiamente più efficienti molte attività dello studio: fatture, dichiarazioni, cedolini e documenti contabili possono essere gestiti e condivisi online, il che riduce sensibilmente le operazioni manuali.

Gli stessi strumenti, allo stesso tempo, moltiplicano, però, i luoghi nei quali i dati vengono raccolti, conservati, trasmessi e consultati.  Con la progressiva digitalizzazione dei processi, tutte queste informazioni si trovano praticamente ovunque: piattaforme cloud, software gestionali, caselle di posta elettronica certificata e portali telematici, rendendo la sua protezione più complessa e, al tempo stesso, più urgente.

Ecco perché la protezione delle informazioni non può quindi essere affidata soltanto a informative e modelli predisposti una volta per tutte. E ci sono criticità che riguardano in particolare tre aspetti.

Vediamo quali sono.

Più strumenti significano più flussi di dati

Ogni nuovo software o servizio digitale, di fatto, può introdurre un nuovo trattamento della privacy. Ciò comporta che lo studio deve sapere quali dati vengono raccolti, per quale finalità, chi può consultarli, dove vengono conservati e per quanto tempo.

Se viene adottata una piattaforma per condividere documenti con i clienti, per esempio, occorre stabilire i profili di accesso, i sistemi di autenticazione e le regole per la conservazione e la cancellazione dei file.

I fornitori entrano nella gestione dei dati

Software house, provider cloud, societàSi definisce "società" (in economia) l'organizzazione di mezzi e persone che hanno come obiettivo lo svolgimento di un'attività ec leggi tutto... di archiviazione e servizi di assistenza possono trattare dati per conto dello studio. Quando il fornitore opera come Responsabile del trattamento, il rapporto deve essere disciplinato da un contratto o da un altro atto giuridico conforme all’articolo 28 del GDPR. Si deve inoltre verificare le misure di sicurezza, l’eventuale ricorso a subfornitori e le procedure previste in caso di incidente.

Attenzione: scegliere un software adatto significa tenere sì, in considerazione funzionalità e prezzo, ma anche le garanzie offerte sulla gestione delle informazioni.

Errori e incidenti non sono solo problemi informatici

Una violazione dei dati personali può essere provocata da un attacco informatico, ma anche dall’invio di un documento alla persona sbagliata, dalla perdita di un dispositivo o da credenziali condivise.

La gestione della privacy deve perciò coinvolgere sia la tecnologia sia le persone. Accessi profilati, autenticazione a più fattori, backup e canali protetti devono essere accompagnati da procedure conosciute da chi lavora nello studio.

Un incidente che comprometta la riservatezza dei dati dei clienti può esporre lo studio a sanzioni del Garante, ad azioni risarcitorie e a danni reputazionali difficilmente recuperabili.

Il CNDCEC considera infatti la corretta gestione dei dati oltre che un obbligo giuridico, anche un parametro di qualità e affidabilità dell’attività professionale.

Cosa cambia con la ISO/IEC 27701:2025

Cosa cambia, quindi con la ISO/IEC 27701? Innanzitutto, definisce i requisiti per creare, applicare, mantenere e migliorare un Privacy Information Management System, indicato con l’acronimo PIMS.

Per comprendere il suo ruolo è però importante distinguere lo standard ISO dal GDPR:

• il GDPR è una norma obbligatoria che stabilisce principi, diritti e responsabilità;
• la ISO 27701 è uno standard volontario che indica come organizzare processi e controlli;
• il GDPR impone di adottare misure proporzionate al rischio;
• la ISO aiuta a documentare, verificare e migliorare nel tempo tali misure.

La certificazione, quindi, non è necessaria per rispettare il GDPR, ma lo studio può utilizzare il modello ISO anche soltanto come riferimento metodologico, adattandolo alla propria struttura e al volume dei trattamenti effettuati.

Cos’è il Privacy Information Management System?

Lo standard ISO/IEC 27701:2025 introduce il concetto di Privacy Information Management System come modello metodologico di riferimento per strutturare la gestione della privacy all’interno di un’organizzazione.

Il PIMS è quindi un framework applicabile, con la necessaria proporzionalità, anche agli studi professionali di dimensioni contenute.

In concreto aiuta a:

• mappare i trattamenti;
• definire chi può accedere ai dati;
• verificare software e fornitori;
• stabilire i tempi di conservazione;
• gestire le richieste degli interessati;
• prevenire e affrontare i data breach;
• monitorare l’efficaciaIn ambito economico, i termini "efficacia" ed "efficienza" rappresentano due concetti fondamentali della gestione aziendale. Con i leggi tutto... delle misure adottate.

Si tratta, quindi, di un sistema che integra la privacy nelle attività ordinarie dello studio non di unico documento né tantomeno di un software.

Il rischio va valutato dal punto di vista delle persone

Tutto quanto stiamo dicendo va considerato oltre le possibili conseguenze per lo studio, come sanzioni, interruzioni del lavoro o danni reputazionali. Devono essere considerate soprattutto le conseguenze per le persone cui i dati si riferiscono. La diffusione di informazioni economiche, sanitarie o giudiziarie può, per esempio, provocare perdite finanziarie, discriminazioni o furti di identità.

Il documento del CNDCEC sottolinea proprio il passaggio dal rischio per l’organizzazione al rischio per i diritti e le libertà degli interessati. Le misure devono quindi essere riesaminate quando cambiano trattamenti, tecnologie e contesto operativo.

Quando lo studio è Titolare o Responsabile del trattamento

Uno dei passaggi più delicati consiste nell’individuare correttamente il ruolo assunto dallo studio. Lo stesso commercialista può essere Titolare del trattamento per alcune attività e Responsabile per altre. La distinzione dipende dal grado di autonomia con cui decide le finalità e le modalità del trattamento.

Vediamo in dettaglio.

Titolare del trattamento

Lo studio opera come Titolare del trattamento quando decide perché e come devono essere trattati i dati. È quindi pienamente responsabile, tra le altre cose, della scelta delle basi giuridiche, delle informative, delle misure di sicurezza, dei tempi di conservazione e dell’eventuale designazione di Responsabili esterni.

Responsabile del trattamento

Lo studio opera come Responsabile del trattamento quando tratta dati per conto del cliente e segue le sue istruzioni documentate, senza decidere autonomamente le finalità. Il documento del CNDCEC cita come esempio l’elaborazione dei dati e dei cedolini paga svolta per conto dell’aziendaSi definisce "azienda" l'istituto nel quale si sviluppa l'attività economica, ovvero un istituto economico con una propria cultura leggi tutto... cliente. Il rapporto deve essere regolato da un contratto o da un altro atto conforme all’articolo 28 del GDPR.

Non è quindi corretto assegnare automaticamente un ruolo al commercialista sulla base del solo servizio offerto, ma è necessario esaminare l’attività svolta effettivamente e il margine di autonomia professionale.

Autorizzati e DPO

Dipendenti, collaboratori e praticanti che accedono ai dati operano sotto l’autorità del Titolare o del Responsabile e devono ricevere istruzioni adeguate. Bisogna invece nominare un Data Protection Officer (DPO) solo quando ricorrono le condizioni previste dal GDPR. Tale figura, lo ricordiamo, svolge funzioni di consulenza e vigilanza, ma non sostituisce il Titolare nelle sue responsabilità.

Quali attività deve svolgere lo studio per proteggere la privacy

Per organizzare la privacy serve prima di tutto partire da una ricognizione completa: quali dati vengono trattati, attraverso quali strumenti, per conto di chi e da quali persone?

Mappare i trattamenti

Il primo passaggio è censire le attività che comportano l’utilizzo di dati personali, come: gestione dei clienti; dichiarazioni fiscali; elaborazione delle paghe; gestione del personale; pratiche societarie; sito web e moduli di contatto; archiviazione e condivisione dei documenti.

Per ciascuna attività devono essere individuati almeno la finalità, la base giuridica, le categorie di dati, i soggetti autorizzati, i fornitori coinvolti, i tempi di conservazione e le misure di sicurezza.

Queste informazioni alimentano il Registro delle attività di trattamento, quando previsto, e permettono allo studio di avere una visione effettiva dei propri flussi informativi.

Aggiornare documenti e incarichi

Lo studio deve verificare che siano coerenti con le attività effettivamente svolte:

• le informative;
• il Registro delle attività di trattamento;
• le autorizzazioni per dipendenti e collaboratori;
• i contratti con i Responsabili esterni;
• le policy di conservazione e cancellazione;
• le procedure per l’esercizio dei diritti.

Per questo motivo, non basta possedere modelli formalmente corretti: i documenti devono descrivere ciò che accade realmente e devono essere aggiornati quando cambiano strumenti o servizi.

Valutare software e fornitori

Prima di adottare una nuova soluzione digitale, occorre controllare:

• dove vengono conservati i dati;
• come sono gestiti gli accessi;
• se è disponibile l’autenticazione a più fattori;
• quali sistemi di backup sono previsti;
• quali subfornitori vengono utilizzati;
• come vengono recuperati o cancellati i dati alla fine del rapporto;
• quali procedure sono previste in caso di violazione.

Questa valutazione deve essere effettuata prima dell’attivazione del servizio e aggiornata quando cambiano le condizioni contrattuali o tecnologiche.

Applicare la Privacy by Design

La Privacy by Design richiede di considerare la protezione dei dati fin dalla progettazione di un’attività o dall’introduzione di un nuovo strumento. Prima di attivare una piattaforma per la condivisione dei documenti, per esempio, lo studio dovrebbe stabilire: chi può accedere ai file, per quanto tempo, con quali sistemi di autenticazione e secondo quali regole di cancellazione.

Lo stesso vale per moduli online, sistemi di videoconferenza e strumenti di intelligenza artificiale. Prima dell’utilizzo bisogna comprendere quali informazioni ricevono, dove le conservano e se possono impiegarle per finalità ulteriori.

Gestire richieste e data breach

Lo studio deve disporre di una procedura per rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, opposizione o portabilità. Il riscontro deve essere fornito senza ingiustificato ritardo e, di norma, entro un mese. Nei casi particolarmente complessi il termine può essere esteso, ma l’interessato deve essere informato entro il primo mese.

Serve inoltre una procedura per le violazioni dei dati, che indichi chi avvisare, come contenere l’incidente, come valutarne la gravità e chi decide l’eventuale notifica.

Quando non è improbabile un rischio per i diritti e le libertà delle persone, il Titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza.

Formare chi lavora nello studio

Altro aspetto molto trascurato è la formazione che spesso si relega a un corso svolto al momento dell’assunzione. Dipendenti, collaboratori e praticanti devono, invece, essere costantemente aggiornati sulle procedure dello studio, devono imparare a utilizzare correttamente i software e sapere come comportarsi in caso di richiesta o incidente.

Il percorso formativo va personalizzato in base ai ruoli: chi gestisce i clienti avrà esigenze diverse rispetto a chi amministra i sistemi o si occupa del personale. Il CNDCEC raccomanda un approccio strutturato e continuo, accompagnato dalla conservazione di attestati e registri delle attività svolte.

Roadmap per adeguare la gestione della privacy

Le diverse fasi per adeguare la gestione della privacy dello studio si possono svolgere anche contemporaneamente. Le tempistiche, infatti, non sono fissate dalla ISO e possono essere stabilite in base alle dimensioni e ai rischi dello studio.

Come applicare la roadmap nello studio

Come applicare la roadmap nello studio? Prendiamo il caso di uno studio associato che gestisce contabilitàSi definisce "contabilità" quella parte della ragioneria che si occupa della registrazione e del controllo dei fatti economici e f leggi tutto... e paghe per diverse aziende clienti. La mappatura può iniziare con un incontro interno in cui ciascun professionista elenca i trattamenti di propria competenza, come l’elaborazione dei cedolini, l’invio delle dichiarazioni fiscali, la gestione delle pratiche successorie e l’archiviazione digitale dei documenti.

Una ricognizione simile permette di individuare i fornitori coinvolti, verificare in quali casi debbano essere designati Responsabili del trattamento ai sensi dell’articolo 28 del GDPR e valutare se alcuni trattamenti richiedano misure ulteriori o una valutazione d’impatto, la DPIA.

La mappatura, a ogni modo, è un’attività da tenere sempre presente: l’introduzione di un nuovo gestionale, l’avvio di un servizio, il cambio di un fornitore o la crescita dello staff possono modificare i rischi e richiedere un riesame delle misure tecniche, delle procedure e della documentazione.

Privacy e digitalizzazione: una scelta organizzativa

Come abbiamo visto, la privacy nello studio commercialista non può essere affidata soltanto a un consulente, al responsabile informatico o a una raccolta di modelli standard, ma è necessario entri in ogni decisione quotidiana. Vale a dire: quale software scegliere, quali dati raccogliere, chi può accedervi, come condividere un documento e per quanto tempo conservarlo.

Chiarire ruoli, responsabilità e procedure può ridurre gli errori, facilitare il lavoro delle persone e rendere più efficienti i processi.

Partire con una fotografia realistica dello studio aiuta fin da subito a capire qual è la situazione di partenza e come gestirla al meglio.

Domande frequenti sulla privacy degli studi professionali

Fonti articolo

CNDCEC – La gestione della privacy negli studi professionali alla luce della normativa ISO/IEC 27701:2025
CNDCEC – Guida Operativa all’Intelligenza Artificiale