Commercialisti - GDPR privacy

1)      Elencare le categorie di interessati e i dati personali raccolti e conservati ( dipendenti , clienti ,fornitori ,…)

d)      Verifica della messa in regola dei fornitori del software utilizzato per la gestione dei dati

e)      Nominare i responsabili esterni ( consulente del lavoro , studio legale , cloud )

f)       Impegno scritto  dell’impresa di pulizia alla riservatezza

g)      Verifica messa norma eventuale sito web con informative e consensi

j)        Preparare documentazione per data breach

k)      Preparare verifica adeguate misure di sicurezza tecniche ed organizzative ( pseudonimizzazione, cifratura, riservatezza, integrità, disponibilità, resilienza, ripristino procedura di test )

l)        Attrezzarsi per la formazione

m)    Videosorveglianza

n)      Trasferimento dati al di fuori della UE ( es. cloud )

Nell’attività quotidiana dello studio professionale, il dottore commercialista si trova a gestire dati particolarmente “sensibili”, ossia informazioni che, secondo l’approccio interpretativo del GDPR, meritano una protezione più elevata, in quanto dalla loro diffusione illecita potrebbero derivare danni ingenti ai clienti e ai loro diritti. A tal fine, alcuni dati vengono appositamente individuati come “particolari”. Due dei dati più delicati che potrebbero essere trattati dal professionista, secondo il regolamento europeo sulla privacy, riguardano i dati personali relativi alla salute e i dati relativi ai minori. L’attività “tipica” di uno studio di dottori commercialisti comporta il trattamento quasi quotidiano di dati particolarmente “sensibili”, ossia di informazioni che, secondo l’approccio interpretativo del GDPR, meritano una protezione più elevata in quanto la loro diffusione illecita potrebbe comportare dei danni ingenti ai clienti e ai loro diritti. Si pensi, tanto per fare qualche esempio, a dati relativi a spese mediche (e relative visite effettuate, o patologie correlabili), a versamenti a favore di comunità religiose, a informazioni correlate a infortuni o a dati che possano evidenziare spiacevoli vicende giudiziarie o, addirittura, condanne. Nel testo del Regolamento alcuni dati vengono, a tal fine, appositamente individuati come “particolari”. Sono dati che devono essere protetti esattamente come gli altri, sia chiaro, ma che, per la loro natura, richiedono una maggiore attenzione e, in alcuni casi, un rafforzamento di tale protezione.

Nel Considerando n. 15 è precisato che la protezione delle persone fisiche si deve applicare sia al trattamento “automatizzato” sia al trattamento “manuale” dei dati personali (se i dati personali sono contenuti o destinati a essere contenuti in un archivio). Non dovrebbero, allora, rientrare nell’ambito di applicazione del Regolamento i fascicoli o le serie di fascicoli non strutturati secondo criteri specifici, così come le rispettive copertine.

Per verificare l’esistenza del presupposto di obbligatorietà della nomina del RPD parliamo dei  concetti di: larga scala, regolare e sistematico monitoraggio e attività principali .

Gli studi professionali trattano dati personali degli interessati (i clienti intesi come persone fisiche) su larga scala? In assenza di una chiara, univoca ed inequivocabile definizione di “larga scala” riporto il considerando 91 che a riguardo vi ricomprende i “trattamenti su larga scala, che mirano al trattamento di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato”. E ancora, è stabilito che: “Il trattamento di dati personali non dovrebbe essere considerato un trattamento su larga scala qualora riguardi dati personali di pazienti o clienti da parte di un singolo medico, operatore sanitario o avvocato”. Il secondo inciso porta agevolmente a ritenere che laddove il trattamento riguardi dati personali di interessati effettuato NON dal singolo professionista bensì da un’organizzazione in qualsiasi modo diversamente strutturata (Studio associato, Associazione fra professionisti, CED, ecc.) l’obbligo di nomina del RPD è assolutamente presente.

1)      Ho predisposto la modulistica per procedere, durante il primo incontro con il Cliente, alla raccolta dei dati fornendo al medesimo una informativa completa, con un linguaggio semplice e chiaro?   ( informativa e consenso )

2)      Ho organizzato le mie attività in modo da raccogliere e trattare solo ed esclusivamente i dati che mi sono necessari o utili in vista del miglior espletamento del mandato professionale ricevuto? ( minimizzazione dei dati )

3)      Ho organizzato la conservazione dei documenti relativi alle varie pratiche in modo da averne sempre, al momento giusto, la disponibilità ed in modo che i dati siano accessibili al solo personale autorizzato? ( adozione misure organizzative )

4)      Ho nominato e adeguatamente istruito i miei collaboratori ed altresì ho formalizzato i rapporti con i professionisti ai quali mi rivolgo per la gestione e lo sviluppo delle attività dello studio? ( nomine responsabili, referenti, autorizzati )

5)      I miei pc sono protetti dalle minacce esterne? Dispongo, in caso di bisogno, del nominativo di un tecnico-informatico di fiducia al quale chiedere la soluzione di specifici problemi? ( adozione misure tecniche )

6)      Pc portatili e altri strumenti informatici rimovibili sono utilizzati nelle attività al di fuori dello studio in modo da minimizzare i rischi di perdita accidentale, sottrazione fraudolenta e similari? ( Trasporto dei dati esclusivamente necessari con protezione da password )

7)      Provvedo ad eseguire un salvataggio integrale (back up) di tutti i dati su pc perlomeno 1 volta alla settimana? ( regole relative alla perdita dei dati )

8)      Ho definito un tempo di conservazione dei dati personali in linea con le finalità dei trattamenti? ( conservazione dei dati per il tempo necessario)

9)      Quando devo rottamare pc, notebooks e altri strumenti elettronici utilizzati per le attività dello studio, mi assicuro che la dismissione avvenga nel rispetto della esigenza di protezione dei dati? ( distruzione dei dati non necessari )

10)   Mi sono preoccupato della sicurezza fisica dello studio, nel senso di adottare misure o cautele atte ragionevolmente a prevenire accessi indesiderati e azioni concretantesi nella lesione della riservatezza, della disponibilità, della integrità delle banche dati?  ( adozione misure organizzative )

Le disposizioni contenute nel paragrafo 5 del provvedimento dell'Agenzia delle Entrate del 10 giugno 2009 sottolineano che gli utenti hanno l'obbligo di adottare le misure organizzative, fisiche e logistiche previste dal Codice al fine di assicurare la riservatezza e la sicurezza dei dati.  Le disposizioni in materia di osservanza sulle disposizioni in materia di trattamento di dati personali sono inoltre contenute:

L'Agenzia delle Entrate può inoltre disporre controlli sull'osservanza delle norme del Codice da parte degli UST (nella provincia di Cuneo ho notizia di un solo controllo effettuato qualche anno fa).

L'obbligo di riservatezza rammenta che gli UST si configurano quali autonomi titolari del trattamento dei dati personali, ai sensi dell'articolo 4, comma 1, lettera f del Codice. Le avvertenze sulla privacy riportate nel modello Redditi 2017 testualmente riportano quanto segue.

La presente informativa viene data in via generale per tutti i titolari del trattamento sopra indicati.
Il D.L. 9 febbraio 2012 n. 5 ha abolito la redazione e l'aggiornamento del Documento Programmatico sulla Sicurezza previsto tra le misure da adottare ai sensi dell'allegato B al Codice, ma lo studio è obbligato ad osservare tutte le altre norme in materia di trattamento di dati personali ed a fornire la prova di averle osservate.  Premesso quanto sopra, si riepilogano sinteticamente di seguito gli obblighi che si reputa facciano carico ad uno studio di commercialista che non si occupi di consulenza in materia di lavoro e che rediga - tra l'altro - dichiarazioni dei redditi di persone fisiche.

In aggiunta a quanto sopra si rammenta che in materia di Antiriciclaggio è necessario designare per iscritto gli incaricati dell'identificazione del cliente, i quali debbono forzatamente consultare i documenti di identità dei Clienti che si reputa - ed è mia opinione personale - che non costituiscano in alcun modo dato sensibile, pur evidenziando che la sentenza della Cassazione Civile sez. 2 n. 13663 del 19/04/2016 pubblicata il 05 luglio 2016 conferma che l'immagine di una persona costituisce dato personale.