Quali informazioni raccogliere per mappare i dati trattati da uno studio professionale?

A cura diDott. Alessio FerrettiDottore Commercialista · Pubblicato il 23/10/2026

Per mappare i dati trattati da uno studio professionale, raccogli informazioni processo per processo: quale attività viene svolta, quali persone sono coinvolte, quali dati vengono usati, in quale archivio o strumento circolano, chi vi accede, quali soggetti esterni intervengono e quale criterio interno orienta la conservazione. Il risultato utile non è un semplice elenco di cartelle o documenti, ma una scheda che collega ogni dato a un’attività concreta dello studio.

Il passaggio decisivo è separare attività che appaiono simili ma cambiano per finalità pratica, accessi, strumenti, destinatari o tempi di utilizzo. Per esempio, la raccolta di informazioni per avviare un incarico, l’esecuzione dell’incarico, la gestione amministrativa dello studio e la risposta a una richiesta ricevuta non vanno automaticamente riunite nella stessa riga. Se cambia almeno uno di questi elementi, è buona pratica aprire una riga distinta: così la mappatura rende visibili le informazioni da chiarire prima di aggiornare informative, incarichi o altri documenti privacy.

Partire dalle attività quotidiane dello studio

La mappatura diventa concreta quando parte dalle attività che generano o usano informazioni personali, non dai modelli già archiviati. Conviene elencare le fasi effettive del lavoro: primo contatto, acquisizione dell’incarico, esecuzione della prestazione, comunicazioni con il cliente, emissione dei documenti amministrativi, gestione degli accessi ai locali o agli strumenti, rapporto con fornitori e collaboratori.

Per ciascuna attività, la prima informazione da annotare è il suo scopo operativo. Non serve adottare formule astratte: è più utile scrivere che cosa accade realmente. Una descrizione come “gestione della pratica affidata” è troppo ampia se comprende persone, archivi e strumenti differenti. Una descrizione come “ricezione dei dati necessari per predisporre il lavoro richiesto”, invece, permette di individuare i file ricevuti, chi li consulta e dove vengono conservati.

La seconda informazione è la categoria di persone interessate dall’attività. Possono essere clienti, referenti del cliente, collaboratori dello studio, candidati, fornitori o altri soggetti presenti nella documentazione ricevuta. Lo stesso nominativo può comparire in più attività, ma questo non rende le attività equivalenti: ciò che conta è il contesto nel quale lo studio utilizza quell’informazione.

Le informazioni da raccogliere in ogni riga della mappa

Una scheda di lavoro efficace può contenere campi semplici, compilati con termini che il personale riconosce. Per ciascun trattamento o fase distinta, raccogli almeno le seguenti informazioni.

• Attività e risultato atteso: che cosa fa lo studio e quale passaggio del servizio supporta.
• Persone coinvolte: chi fornisce i dati, chi vi è indicato e chi li utilizza nello studio.
• Dati effettivamente usati: recapiti, dati identificativi, informazioni contenute nelle pratiche, comunicazioni, documenti amministrativi o altre categorie presenti nel flusso concreto.
• Canale di ingresso e uscita: colloquio, posta elettronica, piattaforma, supporto cartaceo, consegna diretta o altro strumento effettivamente impiegato.
• Archivio o applicativo: cartella condivisa, gestionale, casella di posta, archivio cartaceo, dispositivo o altro ambiente nel quale il dato rimane disponibile.
• Accessi interni: quali funzioni o persone lavorano su quel flusso e quale attività svolgono sui dati.
• Soggetti esterni: fornitori, piattaforme o altri interlocutori che ricevono dati, li ospitano oppure intervengono sullo strumento utilizzato.
• Criterio di conservazione: quale evento o esigenza operativa viene oggi usato per tenere, riesaminare o eliminare quel materiale.
• Documentazione collegata: informative, lettere di incarico, autorizzazioni interne, nomine, istruzioni operative o altri documenti già disponibili da confrontare con la prassi.

Questa raccolta consente anche di distinguere un’informazione presente solo in un documento ricevuto da un dato inserito e riutilizzato in un sistema dello studio. La differenza non è formale: cambia il flusso da descrivere, le persone che possono intervenire e i controlli organizzativi da prendere in esame.

Percorso diagnostico per evitare righe generiche

Un percorso diagnostico aiuta a trasformare l’elenco iniziale in una mappa utilizzabile. L’obiettivo è trovare lo scarto tra attività dichiarata, strumenti realmente usati e documentazione disponibile, senza presumere che una procedura scritta descriva automaticamente il lavoro quotidiano.

1. Segui il dato dall’ingresso all’archivio. Parti da un’attività concreta e annota come l’informazione arriva, dove viene salvata, chi la consulta e che cosa accade quando l’attività si chiude. Se lo stesso file passa dalla posta elettronica a una cartella condivisa e poi a un gestionale, registra i passaggi invece di indicare soltanto “archivio digitale”.
2. Confronta accesso dichiarato e accesso necessario. Per ogni archivio, individua le persone o le funzioni che operano sul dato e il motivo pratico dell’accesso. Quando un accesso risulta difficile da spiegare rispetto all’attività, segnalo come punto da chiarire: la mappa deve mostrare il dubbio, non nasconderlo in una voce generica.
3. Ricostruisci i soggetti esterni per servizio. Non basta annotare il nome di un fornitore. Descrivi quale servizio presta, quale strumento riguarda, se riceve informazioni o può accedervi e quale documento disponibile disciplina il rapporto. Questa riga è utile anche quando il fornitore è stato scelto in tempi diversi rispetto alla documentazione privacy esistente.
4. Indica la decisione aperta. Chiudi ogni riga con un esito operativo: confermare la descrizione, recuperare una procedura, chiarire un accesso, collegare un documento oppure separare un’attività che era stata accorpata. In questo modo la mappatura diventa un piano di lavoro e non un inventario statico.

Un errore ricorrente consiste nel chiamare “clienti” tutti i soggetti presenti in una pratica. Una riga più precisa distingue invece la persona che affida l’incarico dalle eventuali persone indicate nella documentazione gestita per quell’incarico. Un altro errore è attribuire a un solo archivio ciò che è distribuito tra posta, cartelle, applicativi e fascicoli cartacei. Il controllo interno utile consiste nel seguire un campione di attività dall’avvio alla chiusura e correggere la scheda quando il percorso effettivo è diverso da quello descritto.

Quando il problema riguarda soprattutto la coerenza fra documenti già presenti e operatività quotidiana, può essere utile approfondire gli errori in informative, nomine e autorizzazioni interne. L’approfondimento non sostituisce la ricostruzione dei flussi: serve a leggere meglio gli scarti che emergono dalla mappa.

Come usare la mappa per decidere le priorità

Dopo la raccolta, conviene ordinare le righe in tre gruppi: attività già descritte in modo coerente; attività per le quali esistono informazioni ma manca il collegamento con i documenti disponibili; attività nelle quali non si riesce ancora a ricostruire chi accede ai dati, dove vengono gestiti o quale soggetto esterno interviene. Il terzo gruppo merita priorità perché impedisce di capire quale intervento documentale o organizzativo sia realmente pertinente.

Non è necessario attendere una ricostruzione perfetta per avviare il confronto. È invece utile portare una prima mappa che evidenzi i punti incerti: ad esempio un archivio senza responsabile operativo individuato, un servizio esterno non associato a una documentazione reperita o un flusso che utilizza strumenti diversi da quelli indicati nelle procedure. La decisione successiva deriva dal tipo di scarto emerso, non dal numero di documenti raccolti.

Quando informative, nomine, autorizzazioni interne o criteri di conservazione non sembrano corrispondere alle attività ricostruite, è il momento opportuno per coinvolgere lo studio. Alessio Ferretti STP, studio di commercialisti, può raccogliere le informazioni sui trattamenti, confrontarle con la documentazione privacy disponibile e organizzare le priorità operative nel perimetro del pacchetto protezione dati GDPR. Il confronto aiuta a decidere quali lacune documentali affrontare per prime e quando sia opportuno coordinarsi con ulteriori professionisti.

Preparare una richiesta utile allo studio

Per orientare il primo confronto, descrivi la situazione che ha fatto emergere il bisogno, l’urgenza pratica e l’elenco dei documenti già disponibili, senza allegare dati personali o riservati. Sono utili anche una breve indicazione delle attività da mappare, degli strumenti utilizzati e del punto che non riesci a ricostruire, come un fornitore, un archivio o un accesso interno. Le modalità di trasmissione di eventuale documentazione saranno concordate dopo il contatto.

Per una prima valutazione senza impegno, richiedi una consulenza.