GDPR e archiviazione dei documenti dei clienti per commercialisti: come restare conformi nel 2026

Risposta rapida: Uno studio contabile che gestisce i documenti dei clienti tratta dati personali e finanziari, e questo ne fa un titolare del trattamento (e spesso un responsabile del trattamento per conto dei clienti) ai sensi del GDPR. L’articolo 32 richiede «misure tecniche e organizzative adeguate» e cita esplicitamente la cifratura tra queste. Ma la conformità non è mai un singolo strumento: riguarda dove si trovano i file, chi può leggerli, per quanto tempo li conservi, quali subfornitori li toccano e come reagisci a una violazione. Crittografare a riposo i file dei clienti, idealmente con un sistema in cui il fornitore dello spazio di archiviazione stesso non può leggerli, riduce sensibilmente sia il rischio di violazione sia, in molti casi, l’onere di notifica. La crittografia da sola non rende conforme uno studio, ma la sua assenza è uno dei modi più rapidi per essere giudicati negligenti.

Questo articolo è scritto per commercialisti e contabili che vogliono un quadro pratico e onesto dei propri obblighi. È un’informazione generale, non una consulenza legale. Per una valutazione vincolante, rivolgiti al tuo responsabile della protezione dei dati (DPO) o a un avvocato che conosce la tua giurisdizione.

Perché questa domanda toglie il sonno ai commercialisti

Uno studio contabile è una delle concentrazioni di dati sensibili più dense che una piccola impresa possa mai detenere. In una sola cartella cliente puoi trovare buste paga, estratti conto, codici fiscali, contributi per l’assicurazione sanitaria, registri dei dividendi, talvolta dati sanitari per la gestione delle assenze per malattia, e i dati personali di ogni dipendente che il tuo cliente retribuisce. Moltiplica per decine o centinaia di clienti e sei, in termini pratici, un bersaglio di grande valore che gira su un portatile e un drive cloud.

Qui si scontrano tre pressioni. Primo, un obbligo giuridico: il GDPR considera la riservatezza e l’integrità dei dati personali un principio fondamentale, e i tuoi obblighi di segreto professionale vi si aggiungono. Secondo, un obbligo di conservazione che tira nella direzione opposta: le scritture contabili vanno conservate per anni (comunemente dieci anni per i documenti contabili commerciali in Francia ai sensi del Code de commerce, sei anni per molti documenti fiscali), quindi non puoi semplicemente cancellare per uscire dal rischio. Terzo, la realtà della catena di fornitura: nel momento in cui metti il bilancio di un cliente in uno strumento cloud di largo consumo, hai aggiunto un subfornitore alla tua catena di trattamento, che tu l’abbia documentato o no.

La parte scomoda è che la maggior parte degli studi è tecnicamente esposta non per negligenza, ma perché gli strumenti predefiniti fanno della copia leggibile sul server di qualcun altro la strada più facile.

Cosa richiede davvero il GDPR (e cosa no)

Aiuta separare il mito dal testo. Il GDPR non dice «userai AES-256». Fissa uno standard basato sul risultato ed elenca la crittografia come un modo riconosciuto per raggiungerlo.

Articolo 5, paragrafo 1, lettera f), integrità e riservatezza. I dati personali devono essere trattati «in maniera da garantire un’adeguata sicurezza», compresa la protezione da accessi non autorizzati. È un principio, e devi essere in grado di dimostrare di rispettarlo (responsabilizzazione, articolo 5, paragrafo 2).

Articolo 32, sicurezza del trattamento. È quello operativo. Richiede misure adeguate al rischio e fa degli esempi, tra cui «la pseudonimizzazione e la cifratura dei dati personali» e la capacità di ripristinare la disponibilità dopo un incidente. La crittografia è citata esplicitamente. Non è obbligatoria in assoluto, ma se detieni dati finanziari molto sensibili e scegli di non crittografarli, farai fatica a sostenere che le tue misure fossero «adeguate al rischio».

Articoli 33 e 34, notifica delle violazioni. Una violazione dei dati personali deve in genere essere notificata all’autorità di controllo entro 72 ore. Punto cruciale: se i dati violati sono stati resi incomprensibili a chi non è autorizzato ad accedervi (per esempio crittografati in modo robusto con chiavi non compromesse), potresti non dover comunicare affatto la violazione alle persone interessate, ai sensi dell’articolo 34, paragrafo 3, lettera a). È la ragione più concreta e più tangibile per cui la crittografia conta per uno studio: può trasformare una catastrofe da notificare in un non evento. Vale la pena capire nel dettaglio il meccanismo di questa differenza, e in un articolo dedicato spiego esattamente cosa cambia tra una fuga di dati da un cloud classico e una fuga di dati crittografati in locale.

Articolo 28, responsabili del trattamento. Se conservi i file dei clienti presso un fornitore cloud, quel fornitore è il tuo responsabile del trattamento (e tu lo sei per i tuoi clienti). Ti serve un accordo sul trattamento dei dati, e devi ricorrere a responsabili che presentino «garanzie sufficienti».

Capo V, trasferimenti internazionali. Se il tuo fornitore di archiviazione tratta o conserva dati fuori dall’UE (o su un’infrastruttura controllata da un’azienda extra UE), erediti un problema di trasferimento che le clausole contrattuali tipo risolvono solo in parte. È qui che «usiamo un grande cloud americano» diventa, in silenzio, una questione di conformità.

L’autorità di controllo francese, la CNIL, rafforza tutto questo nelle sue linee guida: raccomanda la crittografia per i dati sensibili e riservati, sia a riposo sia in transito, e la considera un’aspettativa di base più che un lusso.

La vera scelta: chi può leggere il file

La maggior parte dei dibattiti sull’archiviazione si perde nelle funzionalità. La domanda che decide davvero il tuo rischio è più semplice: quando i tuoi dati si trovano sul server di qualcun altro, quel server può leggerli? Tutto il resto discende dalla risposta.

Modello di archiviazione	Il fornitore può leggere i tuoi file?	Una violazione espone dati dei clienti leggibili?	Rischio di trasferimento extra UE	Adatto a una conservazione di 10 anni
Cloud classico (Google Drive, Dropbox, Notion)	Sì (crittografato a riposo, ma le chiavi le ha il fornitore)	Sì	Spesso sì	Sì, ma leggibile
Disco locale, senza crittografia	N/D (nessun cloud)	Sì, se il portatile viene rubato	No	Sì, ma fragile
Solo crittografia completa del disco (BitLocker, FileVault)	N/D	Protegge solo un dispositivo rubato spento	No	Parziale
Cloud zero-knowledge (il fornitore non può decrittografare)	No	No (trapelano solo blob illeggibili)	Ridotto (i blob sono opachi)	Sì
Local-first + crittografia per file	Nessun cloud, se non lo attivi tu	No	Lo controlli tu	Sì

Un punto che trae in inganno: la «crittografia a riposo» su un cloud di largo consumo è reale, ma le chiavi le detiene il fornitore, quindi protegge da un disco rubato nel suo datacenter, non dal fornitore stesso, da un dipendente infedele, dalla richiesta di un’autorità o da una violazione del suo livello di accesso. È la differenza tra crittografia e crittografia zero-knowledge, in cui l’host non può davvero leggere i tuoi dati. Le due vengono confuse di continuo nei testi di marketing, ed è proprio la distinzione che interesserà a un revisore.

Un’altra lacuna frequente: la crittografia completa del disco come BitLocker o FileVault protegge un portatile spento e rubato. Non fa nulla una volta che la macchina è sbloccata e in funzione, e nulla per la copia che hai sincronizzato su un drive condiviso. È necessaria ma non sufficiente.

Cosa significa concretamente per il tuo studio

Ecco una checklist pratica che puoi applicare senza un team di sicurezza.

1. Mappa dove si trovano davvero i documenti dei clienti. Non dove dice la policy: dove sono. Allegati email, un Dropbox personale, un drive condiviso, il portatile del tirocinante. Non puoi proteggere ciò che non hai localizzato.
2. Crittografa a livello di file, non solo del disco. La crittografia a livello di file o lato client protegge i dati in uso e in transito, non solo un dispositivo spento. Se vuoi il ragionamento alla base, una guida pratica per crittografare documenti e note spiega i modelli di minaccia in parole semplici.
3. Preferisci un modello in cui l’host dello spazio di archiviazione non può leggere i file. Se il tuo fornitore non può decrittografare, una violazione dal suo lato fa trapelare rumore, e il tuo obbligo di comunicazione ai clienti previsto dall’articolo 34 potrebbe venire meno.
4. Documenta i tuoi responsabili del trattamento e verifica dove si trovano fisicamente i dati. Una riga per strumento: cosa conserva, dove, con quale accordo. È la tua traccia documentale per l’articolo 28 e il Capo V.
5. Controlla gli accessi e imponi un’autenticazione forte. Profili separati per utente, niente credenziali condivise, una vera password dietro la crittografia.
6. Abbi un piano di recupero che non sia «speriamo bene». Gli obblighi di conservazione significano che devi poter ripristinare i dati per anni. Testa i backup e sappi come funziona il recupero delle chiavi prima di averne bisogno.
7. Metti per iscritto la tua procedura in caso di violazione. Chi valuta, chi notifica, entro 72 ore. La crittografia riduce le probabilità di doverla mai applicare, ma ti serve comunque nero su bianco.
8. Allinea la conservazione alla legge, poi elimina. Conserva le scritture contabili per il periodo richiesto dalla legge, e abbi un processo difendibile per cancellare i dati personali quando nessun obbligo ne giustifica più la conservazione.

Non vendere tutto questo ai tuoi clienti come più di quello che è. La crittografia rafforza la sicurezza del trattamento; da sola non rende il tuo studio «conforme al GDPR», perché la conformità dipende anche dalla base giuridica, dalla conservazione, dalla trasparenza e dalle tue misure organizzative.

Dove Filarr può aiutare (e dove no)

Per trasparenza: sviluppo io Filarr, quindi considera questa sezione come contesto, non come un discorso di vendita. Filarr è uno spazio di lavoro local-first e crittografato per note e file. Si adatta al caso d’uso contabile su alcuni punti specifici:

• Ogni file è crittografato singolarmente con AES-256-GCM, con la chiave del tuo account e un valore casuale nuovo per ogni file; quella chiave è avvolta da una chiave derivata dalla tua password. Se vuoi le ragioni del progetto, la gerarchia di chiavi KEK e FEK spiega i due livelli.
• La password viene rafforzata con PBKDF2-SHA512 a 600.000 iterazioni (ben oltre le 210.000 raccomandate dall’OWASP per PBKDF2-SHA512), con una frase di recupero BIP-39 di 24 parole, così non basta una password dimenticata per perdere dieci anni di documenti.
• Funziona al 100% offline. La sincronizzazione cloud è facoltativa, e quando la attivi i file vengono caricati già crittografati: il server conserva blob opachi che non può leggere, cioè il modello zero-knowledge applicato alla sincronizzazione. L’unico limite noto riguarda l’accesso. Dal 16 ottobre 2026, i nuovi account e quelli che hanno effettuato di nuovo l’accesso non inviano più la password al server: al suo posto parte una chiave derivata, calcolata sul tuo dispositivo. Durante una transizione di circa due mesi, però, un account che non ha ancora rifatto l’accesso o una vecchia versione dell’app invia ancora la password dell’account al server al momento dell’accesso, e in quel caso un server compromesso potrebbe intercettarla. La sincronizzazione ospitata gira su Cloudflare R2, nella regione Europa occidentale di Cloudflare, e Cloudflare è un’azienda statunitense: elencala quindi tra i tuoi responsabili del trattamento come qualsiasi altro. Puoi anche usare il tuo storage compatibile S3.
• Gestisce più di 50 formati di file, così PDF scansionati, fogli di calcolo e immagini stanno accanto alle tue note.

Cosa Filarr non fa, onestamente: non è una certificazione GDPR, non sostituisce un accordo sul trattamento dei dati e non è una consulenza legale. È più giovane di Obsidian o Notion, la sua app mobile è una giovane app Android, senza alcuna app per iPhone, e il suo ecosistema è più piccolo. Riduce il rischio per la riservatezza dei tuoi documenti. Non gestisce la tua base giuridica, il tuo calendario di conservazione né i tuoi obblighi di trasparenza verso i clienti. Quelli restano compito tuo, qualunque strumento usi.

Domande frequenti

Il GDPR mi obbliga per legge a crittografare i file dei clienti? Non in termini assoluti. L’articolo 32 richiede misure «adeguate al rischio» e cita la cifratura come esempio riconosciuto. Data la sensibilità dei dati contabili, scegliere di non crittografare è difficile da difendere come adeguato, e la CNIL raccomanda la crittografia per i dati riservati.

Se il mio cloud crittografato subisce una violazione, devo comunque avvisare i miei clienti? Spesso no. L’articolo 34, paragrafo 3, lettera a), stabilisce che la comunicazione agli interessati non è richiesta se i dati sono stati resi incomprensibili a chi non è autorizzato ad accedervi, per esempio crittografati in modo robusto con chiavi non compromesse. Potresti comunque dover notificare la violazione all’autorità di controllo entro 72 ore, quindi documenta l’incidente e la tua valutazione.

Conservare i documenti dei clienti su Google Drive o Dropbox è un problema per il GDPR? Non automaticamente, ma devi avere un accordo sul trattamento dei dati, verificare dove sono conservati i dati (norme sui trasferimenti del Capo V) e sapere che il fornitore detiene le chiavi di decrittografia. Per dati finanziari molto sensibili, un modello in cui l’host non può leggere i file è una posizione più solida.

Per quanto tempo devo conservare i documenti contabili dei clienti, e la crittografia cambia qualcosa? I periodi di conservazione sono fissati dalla legge: comunemente dieci anni per le scritture contabili commerciali in Francia e sei anni per molti documenti fiscali. La crittografia non cambia per quanto tempo conservi i dati; li protegge durante quel lungo periodo di conservazione. Verifica i periodi esatti per la tua giurisdizione.

Basta la crittografia completa del disco, come BitLocker? Aiuta, ma da sola non basta. La crittografia completa del disco protegge un dispositivo rubato spento. Non protegge una macchina in funzione, una copia sincronizzata su un drive condiviso o i file inviati per email. La crittografia a livello di file o lato client colma queste lacune.