Contabilità in cloud condivisa: chi accede e chi risponde dei dati

In una contabilità in cloud condivisa, gli accessi ai dati personali vanno ricondotti alle persone autorizzate e all’assetto effettivo del trattamento. Per stabilire chi risponde delle attività occorre distinguere chi prepara o registra i documenti, chi trasmette le fatture elettroniche, chi cura la conservazione e quali compiti risultano dagli accordi. Se la trasmissione allo SdI è affidata a un intermediario, restano ferme le responsabilità del soggetto che effettua la cessione o la prestazione, come prevede l’articolo 1, comma 3, del D.Lgs. 127/2015.

La credenziale, quindi, descrive una possibilità di accesso, ma non basta a ricostruire l’incarico o l’attività svolta. Anche un file presente nel cloud richiede una verifica distinta: la sua disponibilità non dimostra che sia incluso in un sistema di conservazione con le caratteristiche richieste dall’articolo 44 del Codice dell’amministrazione digitale. La risposta operativa nasce dal confronto tra permessi, attività effettive, accordi e documentazione del servizio.

In sintesi

• Gli accessi ai dati personali devono essere letti nell’assetto che distingue titolare, responsabile e persone autorizzate sotto la loro autorità diretta.
• Per la trasmissione delle fatture elettroniche allo SdI, l’intermediario opera attraverso accordi tra le parti; restano ferme le responsabilità del soggetto che effettua la cessione o la prestazione.
• Caricamento nel cloud, fatturazione elettronica, registrazione contabile e conservazione richiedono verifiche separate.
• Quando la legge prescrive la conservazione, il sistema deve assicurare, per quanto conserva, autenticità, integrità, affidabilità, leggibilità e reperibilità secondo le Linee guida.
• Come controllo organizzativo, impresa e commercialista possono confrontare incarichi, permessi e registrazioni per individuare attività attribuite e incongruenze da chiarire.

Chi può accedere alla contabilità condivisa

Nel fascicolo aziendale possono comparire persone con funzioni diverse: l’amministratore o il personale dell’impresa che inserisce informazioni, il commercialista che riceve dati e documenti per il lavoro contabile, un collaboratore incaricato di attività circoscritte e il fornitore della piattaforma. Per ricostruire gli accessi è utile attribuire a ciascun utente una funzione riconoscibile: consultazione, caricamento, modifica di una registrazione, trasmissione di una fattura, estrazione di un prospetto oppure gestione dell’archivio.

La guida del Garante richiama le persone autorizzate al trattamento sotto l’autorità diretta del titolare o del responsabile e distingue queste figure. Sul piano organizzativo, associare l’accesso a una persona identificabile e a una funzione aiuta a ricostruire le attività. Un elenco dei permessi indica però ciò che l’utente può fare: per attribuire una specifica modifica serve confrontarlo con le evidenze dell’operazione, se disponibili, e con le istruzioni ricevute.

La qualificazione privacy richiede l’esame del rapporto concreto. La guida del Garante precisa che l’atto con cui il titolare designa un responsabile deve essere un contratto o altro atto giuridico conforme al diritto nazionale. Deve disciplinare, tra l’altro, natura, durata e finalità dei trattamenti assegnati, categorie di dati e misure tecniche e organizzative. Per valutare la posizione di impresa, commercialista e fornitore occorre dunque esaminare attività, istruzioni e accordi, senza ricavare la qualifica dalla sola presenza sulla piattaforma.

Fatturazione elettronica e conservazione digitale: responsabilità da distinguere

L’articolo 1, comma 3, del D.Lgs. 127/2015 consente agli operatori economici di avvalersi, attraverso accordi tra le parti, di intermediari per la trasmissione delle fatture elettroniche al Sistema di Interscambio. La disposizione mantiene ferme le responsabilità del soggetto che effettua la cessione del bene o la prestazione del servizio. Nel fascicolo è quindi necessario distinguere il soggetto che effettua l’operazione dall’intermediario incaricato dell’invio.

Questo passaggio risponde a una parte precisa della domanda sulle responsabilità: affidare la trasmissione non elimina quelle richiamate dalla disposizione in capo al soggetto che effettua l’operazione. Per ricostruire gli ulteriori compiti dell’intermediario occorre leggere l’accordo. La regola sulla trasmissione non descrive da sola chi prepara i dati, chi controlla le registrazioni o quale sia l’assetto privacy del rapporto.

La conservazione pone una domanda diversa: quali documenti sono effettivamente inclusi nel sistema e quale servizio la gestisce? L’articolo 44, comma 1-ter, del D.Lgs. 82/2005 stabilisce che, nei casi in cui la legge prescrive obblighi di conservazione, anche a carico di soggetti privati, il sistema assicura per quanto in esso conservato autenticità, integrità, affidabilità, leggibilità e reperibilità secondo le Linee guida.

Un’area cloud usata per scambiare PDF, allegati o esportazioni contabili documenta la disponibilità dei file. Per valutare la conservazione bisogna invece individuare il servizio pertinente e i documenti che vi sono inclusi. La possibilità di aprire una fattura dalla cartella condivisa lascia ancora da verificare questo passaggio.

In caso di migrazione, come verifica professionale è utile confrontare l’elenco dei documenti disponibili nel precedente ambiente con quello dei documenti trasferiti e con la documentazione della conservazione. L’esportazione contabile, la copia dei file e il servizio di conservazione devono essere esaminati ciascuno per la propria funzione.

Ruoli e controlli con il commercialista

Nella contabilità condivisa, il ruolo operativo del commercialista va ricostruito dall’incarico e dalle attività effettivamente affidate. Come metodo organizzativo, impresa e studio possono precisare chi fornisce i documenti, chi inserisce o modifica le registrazioni, chi svolge i controlli e chi chiarisce le incongruenze. Il fornitore della piattaforma va considerato per le funzioni del servizio utilizzato, distinguendole dalle attività contabili affidate allo studio.

Un controllo concreto consiste nel seguire lo stesso documento dal caricamento alla registrazione: identificativo della fattura, operazione, periodo e registrazione collegata devono consentire un confronto riconoscibile. Il commercialista può esaminare se i dati della registrazione corrispondano al documento disponibile e segnalare le differenze da chiarire con l’impresa. Il file presente nella cartella è il punto di partenza del confronto, non la prova che il controllo sia già stato eseguito.

Se emerge un’incongruenza, il passaggio risolutivo è distinguere il dato originario dalla modifica successiva: quale documento è stato usato, quale informazione è cambiata, chi poteva intervenire e quali evidenze dell’intervento sono disponibili. I permessi individuano gli utenti abilitati; l’attribuzione dell’azione richiede ulteriori riscontri. Questo evita di assegnare una modifica a una persona soltanto perché disponeva dell’accesso.

Per esempio, in un’ipotesi illustrativa, una fattura è visibile nell’area condivisa ma la registrazione contabile non è individuabile. L’esito iniziale è una registrazione da verificare: prima di definirla omessa, impresa e commercialista confrontano periodo, identificativo e ambiente contabile consultato. Se il collegamento resta assente, occorre chiarire a chi fosse affidata l’attività e quale intervento sia necessario. Il software supporta il confronto; la valutazione dell’incongruenza richiede l’esame dei documenti e dell’incarico.

Flusso documentale per ricostruire accessi e responsabilità

1. Partire dal documento e dal periodo. Individuare operazione, documento e registrazione interessati. L’esito è un oggetto preciso della verifica, distinto dalla generica disponibilità della cartella cloud.
2. Collegare utente, permesso e incarico. Confrontare utenti attivi, funzioni abilitate e attività affidate. Separare ciò che l’utente poteva fare dalle evidenze di ciò che ha effettivamente fatto.
3. Ricostruire la trasmissione elettronica. Individuare l’accordo con l’intermediario e i riscontri dell’invio disponibili, mantenendo distinto il soggetto che ha effettuato la cessione o la prestazione.
4. Verificare registrazione e conservazione. Confrontare il documento con la registrazione contabile e, separatamente, individuare servizio e documentazione relativi alla conservazione. Annotare i collegamenti riscontrati e quelli ancora da chiarire.

Il risultato è una ricostruzione circoscritta: per ciascun passaggio si distingue l’attività attribuita, l’evidenza disponibile e l’eventuale incongruenza. Un permesso più ampio dell’attività affidata richiede una valutazione organizzativa; un documento senza registrazione individuabile richiede un controllo contabile; un file senza riscontri sulla conservazione richiede di approfondire quel servizio. Sono verifiche diverse, da indirizzare ai soggetti coinvolti.

Quando coinvolgere il commercialista

È opportuno coinvolgere lo studio quando l’impresa non riesce a stabilire chi abbia trasmesso una fattura, quali utenti possano modificare le registrazioni, chi debba controllarle o quale servizio gestisca la conservazione. Lo stesso vale quando contratto, permessi e attività effettive descrivono assetti diversi.

Alessio Ferretti STP, studio di commercialisti, può esaminare e gestire professionalmente il caso concreto, confrontando documenti, incarichi, flussi di fatturazione elettronica e registrazioni contabili, nel perimetro da concordare. Questa ricostruzione serve a individuare i punti da chiarire e gli interventi organizzativi da valutare.

Fonti e riferimenti

• D.Lgs. 5 agosto 2015, n. 127, art. 1, testo vigente al 27 ottobre 2026.
• D.Lgs. 7 marzo 2005, n. 82, art. 44, testo vigente al 27 ottobre 2026.
• Garante privacy, Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali, edizione 2023, sezione sui ruoli nel trattamento.

Per sottoporre il caso, descrivi la situazione e l’urgenza, indicando l’operazione o il periodo interessato e l’elenco dei documenti disponibili, come incarico allo studio, accordo di trasmissione, contratto della piattaforma e prospetto dei permessi. Contatta Alessio Ferretti STP tramite il form per una prima valutazione senza impegno; concorda dopo il contatto le modalità di trasmissione di eventuali documenti personali o riservati.

Quando coinvolgere lo studio. Le modalita di trasmissione degli eventuali documenti possono essere concordate dopo il contatto.