devo stipulare un contratto di elaborazione con il mio commercialista

Sì, nella maggior parte dei casi è necessario

Un commercialista che elabora dati personali per conto di un'impresa — ad esempio gestione stipendi, dati clienti nelle fatture, o dati del personale — di solito lo fa come responsabile del trattamento. Ciò significa che deve esistere un contratto di responsabile del trattamento tra l'impresa e il commercialista, indipendentemente dal fatto che il commercialista sia un libero professionista o uno studio. L'obbligo non dipende dalla questione se si tratta di un cliente "grande" o "piccolo", ma dal ruolo che il commercialista svolge effettivamente: elaborare dati su incarico di, e secondo le istruzioni di, l'impresa che gestisce i dati dei clienti o del personale.

Esiste un'eccezione che nella pratica viene spesso trascurata: se il commercialista determina autonomamente perché e come vengono elaborati i dati — ad esempio perché per l'Agenzia delle Entrate o un altro compito legale ha una propria responsabilità — allora potrebbe essere egli stesso titolare del trattamento per quella parte, e un contratto di responsabile del trattamento non sarebbe lo strumento corretto. Quale ruolo esattamente si applica dipende da chi effettivamente determina i fini e i mezzi del trattamento; questo varia a seconda della situazione ed è descritto in la spiegazione su responsabile del trattamento o titolare del trattamentoChe cosa deve contenere sostanzialmente un tale contratto è riportato in la panoramica delle parti obbligatorie di un contratto di responsabile del trattamento.

Da cui deriva: articolo 4 e 28 RGPD

L'articolo 4 del RGPD definisce il responsabile del trattamento come colui che elabora dati personali per conto del titolare del trattamento, e l'articolo 28 del RGPD stabilisce che tale trattamento deve essere documentato in un contratto con un insieme fisso di elementi. Le linee guida dell'EDPB approfondiscono ulteriormente quando qualcuno vale come responsabile del trattamento e quando come titolare del trattamento autonomo, il che nel caso di un commercialista — che a volte segue istruzioni e a volte ha un ruolo legale proprio — rende il distinguo determinante.