GDPR e Raccolta Documenti: 5 Obblighi Legali Che Non Puoi Ignorare
Se raccogli documenti dai clienti, stai trattando dati personali.
Il GDPR non è una suggerimento. È la legge.
Ecco i 5 obblighi non-negoziabili per studi professionali e contabili.
Obbligo 1: Crittografia
La Legge: I dati devono essere criptati in transito (mentre viaggiano) e at rest (quando sono salvati).
Cosa Significa:
- HTTPS obbligatorio (il portal deve avere il lucchetto 🔒)
- Crittografia end-to-end
- Backup criptati
Come Verificare:
- Il URL del portal inizia con
https://? - Chiedi al provider: "I dati sono criptati at rest?"
Obbligo 2: Accesso Limitato
La Legge: Solo chi ne ha bisogno accede ai dati.
Cosa Significa:
- Il cliente Rossi non vede i dati del cliente Verdi
- Solo il commercialista assegnato accede (non tutti i dipendenti)
- Stagisti e ospiti hanno accesso limitato o nessun accesso
Come Verificare:
- Nel portal puoi assegnare permessi per singolo utente?
- Puoi limitare cosa vede ogni membro del team?
Obbligo 3: Audit Trail
La Legge: Devi tracciare chi accede a cosa, quando, e da dove.
Cosa Significa:
- Log di accesso (chi ha scaricato il file X il 10 maggio ore 15:30?)
- Traccia di modifiche (chi ha rimosso un documento? Quando?)
- IP address registrato
Come Verificare:
- Nel portal c'è una sezione "Audit Trail" o "Activity Log"?
- Puoi esportare i log se il fisco te lo chiede?
Obbligo 4: Diritto all'Oblio
La Legge: Se un cliente chiede di eliminare i dati, devi cancellare (eccetto quelli che la legge ti obbliga a conservare).
Cosa Significa:
- Se il cliente Rossi chiede "Elimina tutti i miei dati", puoi farlo — tranne fatture, che devi tenere 10 anni per legge
- Il sistema deve permettere una eliminazione selettiva
Come Verificare:
- Il provider ha una procedura di data deletion documentata?
- Il dato viene veramente cancellato o solo nascosto?
Obbligo 5: Privacy Policy & Consenso
La Legge: Devi dire al cliente COSA raccogli, COME lo usi, CHI lo vede.
Cosa Significa:
- Privacy policy pubblicata e accettata dal cliente prima di caricare
- Il cliente deve poter rifiutare il consenso
- Specifica il fine: "I tuoi documenti saranno usati per la dichiarazione fiscale, non per scopi di marketing"
Come Verificare:
- Nel portal il cliente vede una privacy policy prima di caricare?
- Deve cliccare "Accetto" per procedere?
Checklist: Sei GDPR-Compliant?
- Portal ha HTTPS (lucchetto 🔒)
- Dati criptati in transito e at rest
- Permessi granulari (chi vede cosa?)
- Audit trail disponibile
- Procedure di eliminazione (diritto all'oblio)
- Privacy policy accettata dai clienti
- Backup regolari (almeno giornalieri)
- DPO (Data Protection Officer) nominato (per studi grandi)
0-3 Sì: Allarme. Non sei compliant. 4-6 Sì: Migliorabile. Risolvi le aree critiche. 7-8 Sì: Eccellente. Sei al sicuro.
Se usi email o cloud storage per raccogliere documenti, non sei GDPR-compliant. Scopri come passare a una soluzione sicura: Gestione Documentale per Professionisti.