Protezione dei dati per fiduciarie: nuova LPD, salari e dati dei clienti
A cura di Advisorn · aggiornato il 26 ottobre 2026
In breve
Una fiduciaria è titolare del trattamento per i dati dei propri clienti e collaboratori, ma è di regola responsabile del trattamento quando tiene i salari o la contabilità per un cliente (art. 9 LPD). Per questi mandati serve un contratto di trattamento con ogni cliente, misure di sicurezza adeguate a dati finanziari e salariali e l'obbligo di avvisare subito il cliente in caso di violazione (art. 24 cpv. 3 LPD).
I dati tipici
- dati dei clienti e delle loro persone di contatto;
- salari, dati AVS, imposta alla fonte e assicurazioni sociali dei collaboratori dei clienti;
- dichiarazioni d'imposta, estratti bancari e contabilità;
- certificati medici e assenze per malattia, per le assicurazioni;
- i dati del proprio personale.
Dati degni di particolare protezione
Nei salari si nascondono dati degni di particolare protezione: l'imposta di culto rivela l'appartenenza religiosa, le assenze per malattia e le indennità rivelano dati sulla salute (art. 5 lett. c LPD). Vanno protetti come tali.
Due ruoli diversi
Per i propri clienti, i propri collaboratori e il marketing la fiduciaria decide da sé: è titolare del trattamento, con tutti gli obblighi. Quando elabora i salari o tiene la contabilità secondo le istruzioni del cliente, tratta i dati per conto del cliente: è responsabile del trattamento, e il cliente deve avere un contratto con lei (art. 9 LPD).
Per la consulenza fiscale o la revisione, dove la fiduciaria decide come lavorare, il ruolo può essere quello di titolare autonomo: conviene chiarirlo mandato per mandato.
Che cosa mettere nel contratto con il cliente
- oggetto e durata del trattamento, categorie di dati e di persone;
- istruzioni, segreto e misure di sicurezza;
- l'elenco dei sub-fornitori, come il software di contabilità o dei salari in cloud;
- l'aiuto nelle richieste delle persone e nelle violazioni;
- la restituzione o cancellazione dei dati alla fine del mandato, fatti salvi i termini di conservazione.
Segreto professionale
I revisori tenuti al segreto in virtù del Codice delle obbligazioni sono soggetti al segreto professionale (art. 321 CP). Per gli altri mandati il segreto nasce dal contratto: va scritto anche per i collaboratori e per i sub-fornitori.
Domande collegate
- Serve un contratto con i fornitori che trattano dati per noi?
- Che cosa sono i contitolari del trattamento?
- Quali misure di sicurezza dei dati chiede la nuova LPD?
- Per quanto tempo si possono conservare i dati personali?
- Un'e-mail con dati personali è finita alla persona sbagliata: è una violazione?
- Si possono usare Microsoft 365 o Google Workspace con la nuova LPD?
Modelli utili
- Modello di contratto con il responsabile del trattamento (art. 9 LPD, art. 28 GDPR)
- Modello di informativa privacy per clienti e partner contrattuali
- Modello di misure tecniche e organizzative di sicurezza (TOM)
- Modello di politica di conservazione dei dati con i termini
- Modello di procedura in caso di violazione dei dati (data breach)
- Modello di impegno alla riservatezza e istruzioni per i collaboratori
Gli altri settori
Informazioni generali, non una consulenza sul vostro caso: per il vostro caso conta il testo della legge, e per un settore con regole proprie anche quelle.