Excel e GDPR: i rischi dei dati clienti nei fogli condivisi

Nello studio tutti lo fanno: il file con l'anagrafica clienti viene allegato a una mail, salvato sul desktop del collega, copiato su una chiavetta "solo per stasera". Funziona, finché qualcuno non si chiede: Excel e GDPR vanno d'accordo? La risposta breve è che Excel non è vietato, ma il modo in cui lo usiamo spesso rende quasi impossibile rispettare le regole sulla protezione dei dati personali.

In questo articolo vediamo, in parole semplici, cosa chiede il GDPR a uno studio professionale che gestisce dati dei clienti in un foglio di calcolo, quali sono i rischi concreti dei file condivisi via email e come ridurli senza stravolgere il modo di lavorare.

Excel e GDPR: il problema non è il software, è la gestione

Il Regolamento europeo 2016/679 (GDPR) non parla di Excel, né di alcun programma specifico. Chiede però a chi tratta dati personali, cioè il titolare del trattamento, di garantire alcuni principi e di saper dimostrare di averlo fatto.

Uno studio commercialista, legale, di consulenza del lavoro o tecnico tratta ogni giorno dati sensibili per definizione: codici fiscali, IBAN, buste paga, dati sanitari dei dipendenti dei clienti, situazioni patrimoniali. Se questi dati vivono in fogli Excel sparsi, la domanda non è "Excel è a norma?", ma "riesco a controllare chi vede cosa, dove sono le copie e cosa succede se ne perdo una?".

Cosa dice il GDPR, in parole semplici

Senza entrare nel linguaggio giuridico, ecco i punti che toccano direttamente chi lavora con un file Excel come archivio clienti.

• Minimizzazione (art. 5): raccogli e condividi solo i dati che servono davvero. Un foglio con 40 colonne inviato a un collaboratore che ne usa 3 è l'opposto.
• Integrità e riservatezza (art. 5): i dati vanno protetti da accessi non autorizzati, perdite e modifiche accidentali.
• Limitazione della conservazione (art. 5): i dati non si tengono per sempre. Ma come cancelli un cliente da dieci copie dello stesso file?
• Responsabilizzazione (art. 5 e 24): non basta fare le cose bene, bisogna poterlo dimostrare.
• Sicurezza del trattamento (art. 32): misure tecniche e organizzative adeguate al rischio, tra cui la capacità di ripristinare i dati in caso di incidente.
• Violazione dei dati (art. 33 e 34): se dati personali finiscono nelle mani sbagliate, il titolare deve valutare l'incidente e, se c'è un rischio per le persone, notificarlo al Garante entro 72 ore e in alcuni casi avvisare gli interessati.

Quest'ultimo punto spesso sorprende: una mail con l'allegato sbagliato inviata al destinatario sbagliato è, a tutti gli effetti, una possibile violazione dei dati personali.

I rischi concreti dei fogli Excel condivisi via email

1. Copie che si moltiplicano senza controllo

Ogni invio crea una nuova copia: nella casella di chi manda, in quella di chi riceve, nei backup del server di posta, nella cartella Download di un portatile. Dopo qualche mese nessuno sa più quante versioni esistono né dove. Diventa impossibile rispettare la limitazione della conservazione o rispondere con certezza a un cliente che chiede la cancellazione dei suoi dati.

2. Tutto o niente: nessun controllo degli accessi

Un file Excel si apre o non si apre. Chi lo riceve vede tutte le righe e tutte le colonne, compresi dati che non gli servono. La password sul file aiuta poco: di solito viaggia nella stessa mail o è la stessa da anni.

3. Errori di invio

Il completamento automatico dell'indirizzo, l'allegato scelto in fretta, il "rispondi a tutti". Sono gli incidenti più banali e più frequenti, e con un archivio clienti in allegato le conseguenze diventano serie.

4. Dispositivi personali e chiavette

Il file portato a casa per finire il lavoro, salvato su un PC condiviso con la famiglia o su una chiavetta che si perde in treno. Nessuna di queste copie è sotto il controllo dello studio.

5. Nessuna traccia di chi ha fatto cosa

Se un dato viene modificato o cancellato per errore, in un file Excel condiviso è difficile ricostruire chi, quando e perché. Senza traccia, dimostrare la propria diligenza (la famosa responsabilizzazione) diventa molto complicato.

Se ti riconosci in più di uno di questi punti, probabilmente il tuo Excel sta già facendo il lavoro di un gestionale. Ne abbiamo parlato in 7 segnali che è ora di cambiare.

Le buone pratiche minime per uno studio professionale

Prima di cambiare strumento, ci sono abitudini che riducono subito il rischio.

1. Smetti di allegare l'archivio clienti alle email. Se un collega deve consultarlo, deve accedere a una fonte unica, non ricevere una copia.
2. Separa i dati per necessità. Chi gestisce le scadenze non ha bisogno degli IBAN; chi fa la fatturazione non ha bisogno dei dati sanitari.
3. Fai backup regolari e verifica di saperli ripristinare. Un backup mai provato è una speranza, non una misura di sicurezza.
4. Definisci chi può vedere e modificare cosa, e mettilo per iscritto: è parte della documentazione che il GDPR si aspetta.
5. Prepara una procedura per gli incidenti: chi va avvisato, come si valuta il rischio, come si rispetta il termine delle 72 ore.

Il limite è evidente: con file Excel sparsi, i punti 1, 2 e 4 dipendono quasi interamente dalla buona volontà delle persone. Ed è proprio lì che lo strumento fa la differenza.

Da Excel a gestionale online: come cambia la protezione dei dati

Un gestionale online con utenti e permessi trasforma molte buone pratiche da "regole da ricordare" a "comportamento predefinito". Non sostituisce gli obblighi del titolare, ma li rende molto più facili da rispettare e da documentare.

Ecco cosa cambia in pratica:

• Una sola versione dei dati. Nessuno ha bisogno di inviare il file: tutti lavorano sullo stesso archivio, aggiornato. Le copie incontrollate spariscono.
• Controllo degli accessi. Ogni utente ha il proprio account e vede solo ciò che gli serve. Quando un collaboratore lascia lo studio, si disattiva il suo accesso invece di sperare che cancelli i file.
• Backup gestiti. I dati stanno in cloud con backup, quindi un PC rubato o un disco guasto non significa perdere l'archivio.
• Cancellazioni reali. Se un cliente chiede di essere rimosso, lo rimuovi in un punto solo.
• Lavoro in contemporanea. Niente più "chi ha il file aperto?" e versioni con nomi come clienti_def_ultimo2.xlsx.

Come Nitor aiuta gli studi che usano Excel

Nitor parte proprio dal file Excel che lo studio usa già come gestionale e lo trasforma in un gestionale online, ospitato e mantenuto da Nitor. La struttura che conosci resta riconoscibile, ma i dati smettono di viaggiare per email.

In concreto ottieni dati in cloud con backup, un'unica versione sempre aggiornata, utenti e permessi per decidere chi vede e modifica cosa, e la possibilità di lavorare in più persone contemporaneamente. Se l'esigenza cresce, puoi aggiungere estensioni senza ripartire da zero.

Nitor non ti rende "conforme al GDPR" con un clic: nessuno strumento può farlo, perché la conformità riguarda anche processi, informative e nomine. Ma elimina alla radice alcuni dei rischi più comuni dei fogli condivisi. Se stai valutando altre strade, trovi un confronto in Alternative a Excel per gestire la piccola azienda.

In sintesi

• Il GDPR non vieta Excel, ma chiede di proteggere i dati, limitarne la diffusione e dimostrare di averlo fatto.
• I fogli condivisi via email moltiplicano le copie, non permettono di controllare gli accessi e rendono probabili gli errori di invio, che possono essere violazioni da notificare entro 72 ore.
• Buone abitudini aiutano, ma con file sparsi dipendono tutte dalla memoria delle persone.
• Un gestionale online con una sola versione dei dati, utenti, permessi e backup rende la protezione dei dati il comportamento di default.

Se l'archivio clienti del tuo studio vive ancora in un foglio Excel, è il momento giusto per portarlo in un posto più sicuro.