Chi lavora come freelance o consulente con una partita IVA in regime forfettario deve occuparsi non soltanto di fatture, imposte e contributi, ma anche della corretta gestione dei dati personali dei propri clienti, fornitori e contatti. Il tema del rapporto tra forfettario e GDPR è quindi particolarmente importante per chi raccoglie nominativi, indirizzi e-mail, numeri di telefono, documenti, dati necessari per la fatturazione, informazioni relative ai clienti o qualsiasi altro dato riconducibile a una persona fisica.
Il GDPR, cioè il Regolamento UE 2016/679 sulla protezione dei dati personali, non prevede infatti un’esenzione per chi opera in regime forfettario. La disciplina privacy si applica anche alle piccole attività e ai professionisti individuali quando effettuano trattamenti di dati personali. L’European Data Protection Board chiarisce che le organizzazioni stabilite nello Spazio economico europeo, indipendentemente dalle loro dimensioni o dal settore, devono rispettare il GDPR, con obblighi modulati anche in funzione della natura, del contesto e del rischio dei trattamenti.
Questo significa che regime fiscale e normativa privacy sono due piani distinti. Il regime forfettario riguarda il modo in cui viene determinato e tassato il reddito dell’attività; il GDPR disciplina invece il modo in cui vengono raccolti, utilizzati, conservati e protetti i dati personali.
Forfettario e GDPR: il regime fiscale non cambia gli obblighi privacy
Essere in regime forfettario non significa avere meno obblighi in materia di protezione dei dati.
Un consulente che riceve una richiesta da un potenziale cliente tramite il proprio sito web sta già effettuando un trattamento di dati personali se raccoglie, per esempio, nome, cognome, indirizzo e-mail e numero di telefono. Lo stesso accade quando conserva le e-mail dei clienti, gestisce appuntamenti, archivia contratti o utilizza un software per la fatturazione.
Il GDPR considera dato personale qualsiasi informazione relativa a una persona fisica identificata o identificabile. Tra gli esempi rientrano nome, cognome, numero di telefono, indirizzo e-mail, dati di localizzazione, fotografie e informazioni relative agli acquisti. Anche la gestione manuale di documenti cartacei può rientrare nella disciplina quando i dati sono organizzati sistematicamente.
Di conseguenza, il fatto di avere una struttura molto piccola, magari costituita dal solo titolare della partita IVA, non elimina la necessità di adottare una gestione corretta dei dati.
Forfettario e GDPR: chi è il titolare del trattamento
Per capire quali siano gli adempimenti necessari bisogna innanzitutto individuare il proprio ruolo privacy.
Il freelance che decide autonomamente perché e come utilizzare i dati dei propri clienti è generalmente il titolare del trattamento per le attività che rientrano nella propria organizzazione. Il titolare è infatti il soggetto che determina le finalità e i mezzi del trattamento.
La situazione può cambiare quando il professionista tratta dati per conto di un altro soggetto. In quel caso può assumere il ruolo di responsabile del trattamento, se ricorrono i presupposti previsti dall’articolo 28 del GDPR.
La distinzione è importante perché comporta responsabilità e adempimenti differenti. L’EDPB sottolinea proprio la differenza tra titolare e responsabile e specifica che i trattamenti effettuati da un responsabile per conto del titolare devono essere disciplinati da un contratto o da un altro atto giuridico.
Un esempio concreto per un consulente
Immaginiamo un consulente marketing in regime forfettario.
Quando gestisce i dati dei propri clienti per fatturare, comunicare e organizzare il rapporto professionale, opera normalmente nell’ambito della propria organizzazione e delle proprie finalità.
Se invece il cliente gli affida un database di propri clienti affinché il consulente effettui una specifica attività di trattamento per conto dell’azienda, può entrare in gioco il rapporto titolare-responsabile e quindi la necessità di disciplinare il trattamento attraverso un apposito atto ai sensi dell’articolo 28.
La qualificazione non dipende semplicemente dal nome scritto sul contratto, ma dalla realtà delle attività svolte e dal ruolo effettivamente esercitato.
Forfettario e GDPR: l’informativa privacy è uno degli adempimenti fondamentali
Uno degli strumenti più importanti per un freelance è l’informativa privacy.
Quando i dati personali vengono raccolti direttamente dall’interessato, l’articolo 13 del GDPR prevede che vengano fornite informazioni sul titolare, sulle finalità del trattamento, sulla base giuridica, sugli eventuali destinatari e, nei casi previsti, sul periodo di conservazione e sui diritti dell’interessato.
Per un consulente, l’informativa può essere necessaria, per esempio, quando raccoglie dati attraverso un modulo di contatto, quando acquisisce dati durante la richiesta di un preventivo o quando gestisce un rapporto contrattuale.
L’informativa non dovrebbe essere un documento generico copiato da Internet e lasciato invariato. Deve essere coerente con i trattamenti realmente effettuati.
Se, per esempio, il freelance non utilizza i dati dei clienti per finalità di marketing, non avrebbe senso presentare un’informativa costruita come quella di un grande e-commerce che effettua profilazione e campagne pubblicitarie.
La semplicità può essere un vantaggio, purché sia accompagnata dalla correttezza delle informazioni.
Forfettario e GDPR: quale base giuridica utilizzare
Un altro aspetto fondamentale è individuare la base giuridica del trattamento.
Il consenso non è l’unica base giuridica prevista dal GDPR e, in molti casi, non è nemmeno quella più appropriata.
Per esempio, alcuni trattamenti possono essere necessari per eseguire un contratto o per adempiere a un obbligo legale. L’EDPB evidenzia che il titolare deve individuare la base giuridica appropriata prima di effettuare il trattamento.
Questo è particolarmente importante per un professionista in regime forfettario perché non dovrebbe inserire automaticamente una casella “acconsento al trattamento dei dati” in ogni documento.
Se il cliente comunica i propri dati perché necessari alla gestione dell’incarico professionale, il trattamento può avere una base giuridica diversa dal consenso.
Il consenso assume invece un ruolo particolarmente importante quando il trattamento viene effettuato per finalità che richiedono una manifestazione di volontà dell’interessato, come può accadere in determinate attività di marketing o profilazione.
Forfettario e GDPR: il registro dei trattamenti è sempre obbligatorio?
Il registro delle attività di trattamento è uno degli argomenti che genera più dubbi tra i piccoli professionisti.
L’articolo 30 del GDPR disciplina il registro e prevede una deroga per le organizzazioni con meno di 250 dipendenti, ma la deroga non è assoluta. Il Garante Privacy ricorda che il registro rappresenta uno degli adempimenti principali previsti dall’articolo 30, mentre l’EDPB chiarisce che la deroga riguarda, in particolare, attività occasionali che non comportano determinate categorie di rischio.
Per questo non è corretto affermare semplicemente che “un freelance non deve mai avere il registro dei trattamenti”.
Un professionista che tratta dati personali in maniera continuativa nell’ambito della propria attività dovrebbe valutare concretamente la propria situazione.
In molti casi, predisporre comunque un registro dei trattamenti semplice e proporzionato può essere una scelta utile anche dal punto di vista organizzativo. Permette infatti di capire quali dati vengono raccolti, perché vengono utilizzati, dove vengono conservati, chi può accedervi e per quanto tempo devono essere mantenuti.
Cosa può contenere un registro semplice
Per un piccolo consulente, il registro potrebbe descrivere trattamenti come gestione dei clienti, gestione dei potenziali clienti, fatturazione, comunicazioni professionali, gestione del sito web e newsletter, indicando per ciascuno finalità, categorie di dati, destinatari, tempi di conservazione e principali misure di sicurezza.
L’EDPB indica proprio queste informazioni tra gli elementi da considerare nella predisposizione del registro.
Forfettario e GDPR: come proteggere i dati dei clienti
Il GDPR non impone una lista identica di strumenti tecnologici a tutti i professionisti. L’articolo 32 richiede misure tecniche e organizzative adeguate al rischio.
Il Garante chiarisce infatti che non esiste, dopo l’entrata in applicazione del GDPR, un elenco generalizzato di misure “minime” valido indistintamente per tutti: le misure devono essere valutate caso per caso in relazione ai rischi specifici.
Per un freelance, tuttavia, esistono alcune buone pratiche essenziali.
Utilizzare password robuste e uniche, attivare l’autenticazione a più fattori quando disponibile, mantenere aggiornati sistema operativo e programmi, proteggere computer e smartphone, effettuare backup e limitare l’accesso ai dati sono misure ragionevoli per molte piccole attività.
Anche la gestione della posta elettronica è importante. Inviare accidentalmente un documento contenente dati personali al destinatario sbagliato può costituire un incidente di sicurezza.
La sicurezza non riguarda quindi soltanto gli hacker: riguarda anche errori umani, smarrimenti, accessi non autorizzati e invii errati.
Forfettario e GDPR: attenzione ai software e ai fornitori esterni
Un freelance utilizza spesso numerosi servizi digitali: piattaforme per la fatturazione elettronica, cloud, servizi di posta elettronica, software per videoconferenze, CRM, newsletter, strumenti di gestione dei progetti e servizi di archiviazione.
Il fatto che il software sia fornito da una grande azienda non significa che il professionista possa ignorare la privacy.
Occorre verificare quali dati vengono caricati, per quali finalità vengono trattati e quale ruolo assume il fornitore.
Quando un soggetto tratta dati personali per conto del titolare, l’articolo 28 GDPR prevede specifici requisiti e la disciplina del rapporto attraverso un contratto o altro atto giuridico.
Questo aspetto diventa particolarmente importante quando il freelance utilizza servizi cloud per conservare documenti contenenti informazioni sui clienti.
Non è quindi sufficiente chiedersi “il servizio è famoso?”. È necessario chiedersi anche “quali dati sto affidando a questo servizio e con quale ruolo li tratta?”.
Forfettario e GDPR: sito web, cookie e moduli di contatto
Per molti freelance il sito web rappresenta uno degli strumenti principali per acquisire nuovi clienti. Anche in questo caso il rapporto tra forfettario e GDPR richiede attenzione.
Se il sito contiene un semplice modulo di contatto, il professionista deve valutare la corretta informativa relativa ai dati raccolti.
Se invece il sito utilizza cookie di profilazione, strumenti pubblicitari, sistemi di analytics o altre tecnologie di tracciamento, la gestione diventa più articolata.
Il Garante Privacy ha adottato specifiche Linee guida sui cookie e altri strumenti di tracciamento, chiarendo gli aspetti relativi a informativa, consenso e gestione dei diversi strumenti.
Non tutti i cookie richiedono necessariamente il consenso: la disciplina distingue, tra l’altro, gli strumenti tecnici da quelli utilizzati per finalità ulteriori, come la profilazione. Il professionista deve quindi verificare concretamente quali strumenti sono presenti sul proprio sito.
Un errore frequente nei piccoli siti professionali
Uno degli errori più comuni consiste nell’installare sul sito numerosi strumenti di marketing e analytics e limitarsi a inserire una generica frase sulla privacy nel footer.
Il problema è che privacy policy e cookie management devono riflettere ciò che il sito fa realmente.
Se vengono utilizzati strumenti di terze parti, è necessario considerarne le caratteristiche e le modalità di trattamento.
Forfettario e GDPR: quanto tempo conservare i dati
Il GDPR introduce anche il principio della limitazione della conservazione.
Non significa che tutti i dati debbano essere cancellati immediatamente dopo la conclusione di un incarico. Esistono infatti esigenze contrattuali, fiscali, contabili e legali che possono giustificare la conservazione di determinate informazioni per periodi specifici.
Il punto fondamentale è evitare di conservare indiscriminatamente tutto per sempre.
Un freelance dovrebbe quindi chiedersi periodicamente quali dati conserva, perché li conserva e se esiste ancora una ragione per mantenerli.
Per esempio, un vecchio contatto commerciale che non ha mai instaurato un rapporto con il professionista può avere esigenze di conservazione differenti rispetto ai dati contenuti nella documentazione relativa a un cliente con cui è stato concluso un contratto.
La gestione dei tempi di conservazione dovrebbe quindi essere collegata alla finalità del trattamento e agli obblighi applicabili.
Forfettario e GDPR: i diritti dei clienti e come gestire le richieste
Le persone i cui dati vengono trattati possono esercitare diversi diritti, tra cui accesso, rettifica, cancellazione, limitazione del trattamento e, nei casi previsti, portabilità e opposizione.
Un piccolo professionista dovrebbe quindi essere in grado di riconoscere una richiesta di questo tipo e gestirla correttamente.
L’EDPB mette a disposizione una guida specifica per le piccole imprese e ricorda che le persone possono, tra le altre cose, chiedere la cancellazione dei propri dati quando ne ricorrono i presupposti.
Questo non significa che il professionista debba cancellare automaticamente ogni dato richiesto dal cliente. Alcuni dati possono infatti dover essere conservati per obblighi di legge.
Anche in questo caso è quindi fondamentale valutare il singolo trattamento.
Forfettario e GDPR: cosa fare in caso di data breach
Un altro aspetto che non dovrebbe essere ignorato è la gestione del data breach, cioè una violazione dei dati personali.
La violazione può consistere, per esempio, nella perdita di un computer contenente dati dei clienti, nell’accesso non autorizzato a un account, nell’invio di un documento al destinatario sbagliato o nella compromissione di un sistema informatico.
Il Garante definisce data breach una violazione di sicurezza che può comportare distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali.
Non ogni incidente comporta automaticamente una notifica al Garante. La valutazione deve considerare il rischio per i diritti e le libertà delle persone.
Quando la notifica è dovuta, il titolare deve effettuarla senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui viene a conoscenza della violazione.
Per un freelance è quindi utile avere almeno una procedura interna molto semplice: capire chi deve essere informato, quali dati sono coinvolti, quando è avvenuto l’incidente e quali misure sono state adottate.
Forfettario e GDPR: serve un DPO per un freelance?
Un altro falso mito riguarda il DPO, cioè il Responsabile della protezione dei dati.
Essere titolari di una partita IVA in regime forfettario non significa dover nominare automaticamente un DPO.
L’EDPB indica che la nomina è obbligatoria in specifiche situazioni, tra cui le organizzazioni pubbliche e determinati trattamenti che comportano monitoraggio regolare e sistematico su larga scala oppure trattamento su larga scala di categorie particolari di dati.
Un consulente che gestisce normalmente i dati dei propri clienti nell’ambito di una piccola attività professionale non deve quindi presumere di essere automaticamente soggetto all’obbligo di nomina.
Anche in questo caso conta la natura effettiva dei trattamenti, non il regime fiscale.
Forfettario e GDPR: un esempio pratico per un freelance
Immaginiamo una freelance in regime forfettario che svolge consulenza e possiede un piccolo sito web.
Riceve richieste tramite un modulo di contatto, conserva le e-mail dei clienti, utilizza un software di fatturazione elettronica, archivia i contratti in cloud e invia occasionalmente comunicazioni commerciali.
Il suo primo passo dovrebbe essere quello di mappare i trattamenti.
Dovrebbe capire quali dati raccoglie, per quali finalità, quali basi giuridiche utilizza, quali soggetti possono accedervi e quanto tempo intende conservarli.
Successivamente dovrebbe predisporre le informative necessarie, verificare i fornitori utilizzati, adottare misure di sicurezza adeguate e controllare il funzionamento del sito, soprattutto per quanto riguarda cookie e strumenti di tracciamento.
Se utilizza servizi esterni che trattano dati per suo conto, dovrebbe inoltre verificare se è necessario disciplinare il rapporto secondo l’articolo 28 del GDPR.
Non si tratta necessariamente di creare una struttura burocratica complessa. L’obiettivo è avere una gestione proporzionata alla reale attività svolta.
Forfettario e GDPR: gli adempimenti minimi da non trascurare
Per un freelance o consulente, la conformità al GDPR dovrebbe partire dalla conoscenza dei propri trattamenti.
Non esiste un “pacchetto universale” valido per ogni partita IVA, perché gli obblighi dipendono da dati trattati, finalità, strumenti utilizzati e rischi.
In termini pratici, un professionista dovrebbe almeno verificare attentamente la propria informativa privacy, individuare le basi giuridiche, organizzare la gestione dei dati, valutare la necessità del registro dei trattamenti, proteggere adeguatamente computer e account, controllare i fornitori tecnologici e predisporre una procedura per eventuali data breach.
Se possiede un sito web, dovrà inoltre verificare separatamente la disciplina relativa a cookie e strumenti di tracciamento.
Forfettario e GDPR: conclusioni
Il rapporto tra forfettario e GDPR dimostra bene come la gestione di una partita IVA non possa essere ridotta esclusivamente a tasse e fatture.
Il regime forfettario riguarda la fiscalità dell’attività, mentre il GDPR riguarda la protezione delle persone i cui dati vengono trattati. Le due discipline convivono e devono essere gestite separatamente.
Per un freelance, il GDPR non deve necessariamente trasformarsi in una montagna di documenti. L’approccio corretto è invece quello della proporzionalità e dell’accountability: capire quali dati vengono trattati, perché vengono utilizzati, chi può accedervi, quanto devono essere conservati e quali rischi possono derivare da una loro perdita o divulgazione.
Un piccolo consulente che raccoglie soltanto i dati necessari per gestire i propri clienti avrà esigenze molto diverse rispetto a un professionista che effettua profilazione, marketing, monitoraggio sistematico o tratta grandi quantità di dati particolari.
La regola fondamentale è quindi semplice: il regime forfettario non riduce gli obblighi GDPR, ma la gestione della privacy può e deve essere costruita in modo proporzionato alla reale dimensione e complessità dell’attività.
Hai dubbi sul Regime Forfettario?
Puoi richiedere una consulenza fiscale con un esperto del nostro Team che ti potrà aiutare a pianificare in modo strategico ed a sfruttare al meglio i vantaggi del Regime Forfettario 2025.
