La domanda che viene prima di tutte le altre
Uno studio commercialista tratta dati personali di centinaia di aziende, dei loro dipendenti e dei loro collaboratori. Prima di qualsiasi documento, la domanda da risolvere è in che veste li tratta, perché da lì discende tutto il resto.
Per le attività professionali che svolgete in forza di obblighi vostri — la tenuta della contabilità, le dichiarazioni, gli adempimenti che la legge mette in capo a voi — siete di norma titolari autonomi: decidete finalità e mezzi, e rispondete a regole deontologiche proprie. Non siete l’esecutore di istruzioni del cliente.
Per altre attività, svolte su istruzione del cliente e per conto suo, potete essere responsabili. L’elaborazione delle buste paga per conto di un’azienda è il caso tipico.
Le due vesti convivono nello stesso studio, per attività diverse, ed è normale. Quello che non è normale — e che troviamo spesso — è che nessuno abbia mai fatto la distinzione per iscritto, con la conseguenza che le nomine circolanti sono formalmente sbagliate e non proteggono nessuno.
L’archivio più delicato che possedete
Non è la contabilità: sono le credenziali dei clienti. Accessi ai portali, deleghe, cassetti fiscali, raccolti negli anni e custoditi — nella maggior parte degli studi che visitiamo — in un foglio condiviso, spesso senza cifratura e accessibile a chiunque lavori lì.
È il punto in cui uno studio è più esposto di quasi ogni altra organizzazione, perché un attaccante che entra non ottiene i vostri dati: ottiene l’accesso a quelli dei vostri clienti, e la responsabilità di quell’accesso è vostra.
Tre misure spostano quasi tutto il rischio e nessuna è costosa: un gestore di credenziali con accessi individuali e traccia di chi apre cosa, il secondo fattore su posta e portali, e una revisione periodica di chi accede a cosa — perché la maggior parte delle esposizioni nasce da accessi lasciati aperti, non da attacchi sofisticati.
Le buste paga contengono dati sulla salute
È un aspetto che sfugge quasi sempre. Nei cedolini e nelle pratiche del personale compaiono assenze per malattia, infortuni, permessi legati a condizioni di salute o a disabilità. Sono categorie particolari di dati, e questo alza il livello richiesto: misure proporzionate al rischio, accessi limitati a chi deve davvero vederli, e soglie più basse per la valutazione di una violazione.
La conseguenza pratica non è burocratica: significa che l’utente condiviso del gestionale paghe, che troviamo in molti studi, non è sostenibile. Serve sapere chi ha consultato cosa.
Documenti e configurazioni sono la stessa cosa
Gran parte di quello che il Regolamento chiede non si risolve scrivendo: si risolve configurando. Le misure tecniche adeguate, per usare le sue parole, sono cose concrete — chi accede a cosa, il secondo fattore, i backup che si ripristinano davvero, i portatili cifrati, gli accessi revocati quando qualcuno lascia lo studio.
È il motivo per cui trattare la conformità come una pratica da far fare al consulente e l’informatica come una faccenda dei tecnici produce due lavori che non si parlano: un registro dei trattamenti scritto benissimo sopra un’infrastruttura che nessuno ha guardato. Da noi le due cose stanno insieme, ed è anche la logica su cui è nata GAPOFF.
Il resto
Vedi anche il GDPR operativo per il metodo generale, IT, AI e sicurezza per commercialisti, e AI per commercialisti, dove il tema si incrocia con l’uso degli strumenti di intelligenza artificiale sui documenti dei clienti.
Il primo passo
Una fotografia scritta: quali dati trattate e in che veste, dove stanno, chi vi accede e quali misure ci sono già. Gratuitamente e senza impegno.