In sintesi: l’articolo 226-13 del Codice penale punisce qualsiasi rivelazione di informazioni a carattere segreto da parte di un depositario professionale. Le scritture contabili di un cliente rientrano in questa categoria. Nell’era del cloud, questa constatazione impone di verificare dove si trovino realmente i vostri documenti, chi vi possa accedere e quanto costerebbe al vostro studio in caso di fuga di dati o di requisizione straniera.
Martedì mezzogiorno. Una cliente vi chiede di inviare il bilancio dell’anno scorso al suo nuovo investitore. Aprite Pennylane, esportate il documento, lo incollate in un’email e lo inviate. Nel frattempo, il file transita attraverso il vostro computer, la vostra casella email Google Workspace, i server di Google e la casella email del destinatario. Prima ancora di esaminare la qualità della crittografia, ponetevi la vera domanda: quanti soggetti terzi hanno appena avuto tra le mani un documento contabile segreto?
L’articolo 226-13 non ammette sfumature
L’articolo 226-13 del Codice penale ha una particolarità: si applica automaticamente non appena si è depositari di un’informazione segreta, sia per stato o professione, sia in ragione di una funzione o di una missione. Per un commercialista, questa qualità è costituita dalla semplice iscrizione all’Ordine. Non è necessario firmare un NDA, né menzionare espressamente il segreto nella lettera di incarico. Il segreto è vincolato alla professione.
« La rivelazione di un’informazione a carattere segreto da parte di una persona che ne sia depositaria per stato o per professione, o in ragione di una funzione o di una missione temporanea, è punita con un anno di reclusione e 15 000 euro di multa. »
Articolo 226-13 del Codice penale
Il Codice deontologico dell’Ordine dei dottori commercialisti, negli articoli 145 e seguenti, aggiunge ulteriori prescrizioni. Il segreto professionale è definito «assoluto» e si estende a tutto il personale dello studio, ai tirocinanti e persino ai fornitori esterni. Il solo fatto di aver affidato dei documenti a un subappaltatore non supervisionato può costituire una violazione deontologica.
Perché il cloud cambia le regole del gioco
Prima del 2010, la questione del segreto contabile era semplice. I documenti erano cartacei, riposti in un raccoglitore, dentro un armadio chiuso. Oggi si trovano su un Drive condiviso, in Pennylane, in Tiime, in Dext, in un’email, in un WeTransfer e nella copia locale del collaboratore che lavora in smart working. Il perimetro del segreto non è cambiato. Il perimetro tecnico su cui si applica, invece, è esploso.
Eppure, ogni volta che un documento esce dal perimetro che controllate direttamente, entra in quello di un subappaltatore. Il GDPR disciplina questo rapporto tramite contratti — i Data Processing Agreements (DPA) — ma tali contratti non creano la sovranità; la organizzano al posto vostro. Se il fornitore SaaS è americano, il vostro DPA non può proteggervi da una richiesta basata sul CLOUD Act. Se il fornitore è stato acquisito, il vostro DPA viene rinegoziato senza di voi. Se il fornitore ha un bug che espone i vostri dati, sarete informati dopo gli altri.
Cosa dicono davvero gli strumenti che utilizzate
Pennylane è un attore francese, ora valutato oltre due miliardi di euro, che ha raccolto centosettantacinque milioni di euro all’inizio del 2026. La sua giurisdizione è francese. Si tratta di una vera differenza rispetto a un TaxDome o un SmartVault. Tuttavia, Pennylane rimane un SaaS ospitato: i vostri documenti risiedono sui loro server, sotto il loro controllo operativo, e la conformità della loro sicurezza dipende dalla loro architettura. È gestibile, a condizione di verificare il DPA e di comprendere che vi trovate in una situazione di subappalto.
Dext, che appartiene al gruppo IRIS, è di origine britannica — quindi, post-Brexit, al di fuori dell’Unione europea per quanto riguarda le questioni di trasferimento dati. Tiime è francese, più piccolo, focalizzato sul segmento degli indipendenti e dei freelance. Cegid, EBP e Sage sono soluzioni storiche ma rimangono stack pesanti, poco adatti ai piccoli studi che desiderano un portale clienti.
Sul versante americano, TaxDome e SmartVault sono punti di riferimento utilizzati da decine di migliaia di studi nel mondo anglosassone. La loro architettura è solida e il loro ecosistema è potente. Tuttavia, la loro giurisdizione di costituzione espone meccanicamente i documenti dei vostri clienti al CLOUD Act. Per uno studio francese, non è un dettaglio.
Conservazione per dieci anni: cosa dice l’articolo R. 123-200 del Codice di commercio
Al segreto contabile si aggiunge l’obbligo di conservazione. L’articolo R. 123-200 del Codice di commercio, integrato dall’articolo L. 102 B del Libro delle procedure fiscali, impone la conservazione dei documenti giustificativi per dieci anni a partire dalla chiusura dell’esercizio. Questo obbligo non è una formalità: viene regolarmente controllato e il suo mancato rispetto espone a un accertamento fiscale e a sanzioni.
Ebbene, dieci anni sono più della durata media di vita di un SaaS. Sono più della durata di un ciclo di acquisizione e rebranding. Se il vostro fornitore chiude o cambia rotta, dovete essere in grado di recuperare tutti i documenti conservati in una forma utilizzabile e verificabile. La portabilità reale, non quella dichiarata. È tecnicamente fattibile sulla maggior parte dei SaaS, ma il costo operativo di una migrazione decennale di documenti viene raramente preventivato.
La fatturazione elettronica 2026 non risolve il problema, lo sposta
Il passaggio alla fatturazione elettronica obbligatoria tra imprese, previsto a partire da settembre 2026 per le grandi aziende e dal 2027 per le micro e piccole imprese, strutturerà i flussi di fatturazione attorno a piattaforme certificate. È un bene per la tracciabilità di questa specifica categoria di documenti. Tuttavia, non copre le altre: coordinate bancarie (RIB), contratti con i clienti, statuti giuridici, prove di residenza, attestazioni URSSAF, estratti conto. Tutti questi documenti continueranno a essere raccolti attraverso altri canali, ed è proprio su questi che emergono i maggiori problemi di sovranità.
Criteri per una catena di raccolta affidabile
Prima di prendere in considerazione Client Vault o qualsiasi altro strumento, ecco i criteri da applicare. Hosting presso un operatore francese o europeo, giurisdizione dell’editore in Francia o nell’UE. Spazio separato per cliente — non una cartella globale accessibile a tutto il team. Tracciabilità opponibile di accessi, depositi, convalide ed eliminazioni. Richiesta di documenti strutturata invece che via e-mail libera. Conformità al RGPD (GDPR) in termini di periodi di conservazione, diritto alla cancellazione e portabilità. Indipendenza da un unico fornitore: se lo strumento scompare, lo studio recupera i propri dati in un formato utilizzabile.
Questa griglia permette di valutare Pennylane, TaxDome, SmartVault o qualsiasi altra soluzione. Pennylane soddisfa il requisito della sovranità editoriale, ma rimane un SaaS in hosting. TaxDome perde la sovranità editoriale. Anche SmartVault. Uno stack WordPress con un caveau sovrano soddisfa tutti e sei i criteri, a condizione di scegliere correttamente l’host.
Cosa offre Client Vault per uno studio commercialista
Client Vault, come plugin WordPress, crea uno spazio privato per ogni cliente del vostro studio. Quando richiedete un bilancio, un codice IBAN o un contratto, il cliente deposita il documento in questo spazio. Ogni deposito viene convalidato e sottoposto a marcatura temporale. Lo storico rimane consultabile e opponibile. Quando trasmettete un documento a un collega o a un revisore dei conti, lo scaricate dal vostro caveau e lo inviate tramite il canale che preferite, mantenendone però una traccia centrale.
Il vantaggio dell’architettura WordPress è che si integra nel tuo stack esistente anziché sostituirlo. Mantieni Pennylane per la contabilità, mantieni Dext per l’OCR, aggiungi Client Vault per la raccolta sicura dei documenti non legati ai flussi. Gli hook di WordPress consentono di collegare il tuo archivio al tuo CRM, alla tua messaggistica, alle tue automazioni. È una convivenza piuttosto che una concorrenza.
Per le agenzie WordPress che equipaggiano gli studi professionali: è esattamente il tipo di implementazione in cui apporti un valore visibile. Scelta dell’hosting francese, configurazione del certificato SSL, integrazione con Pennylane tramite webhook, formazione dei collaboratori, assistenza annuale. Uno studio di cinque persone rappresenta un’implementazione riproducibile che puoi pacchettizzare.
Limiti onesti
Client Vault non è un software di contabilità. Non sostituisce Pennylane, né Tiime, né Cegid. Non ha lo scopo di farlo. Completa il tuo stack dal lato della raccolta documenti e del portale cliente. Inoltre, non gestisce la fatturazione elettronica ai sensi delle piattaforme certificate per il 2026: per questo, utilizzerai la tua soluzione di fatturazione e la piattaforma ufficiale.
Infine, la sovranità impone una mediazione tecnica. Se non hai un’agenzia WordPress di fiducia, o se non sei a tuo agio con la manutenzione di un sito WP, il beneficio è meno netto. Per uno studio che desidera il minimo sforzo tecnico e che accetta la dipendenza dal SaaS, un Pennylane standard rimane più semplice. La via della sovranità richiede un impegno.
Conosciamoci
Se sei un commercialista, un consulente fiscale o un’agenzia WordPress che lavora per studi professionali e ti interessa la sovranità nella raccolta dei documenti, parliamone in videochiamata. Venti o trenta minuti per comprendere la tua situazione, analizzare il tuo stack attuale e vedere come articolare un percorso WordPress sovrano con gli strumenti che già utilizzi.
Domande frequenti
L’articolo 226-13 del Codice Penale francese si applica ai commercialisti?
Sì. L’iscrizione all’Ordine conferisce automaticamente la qualifica di depositario di informazioni soggette a segreto professionale. Il Codice deontologico dell’Ordine, agli articoli 145 e seguenti, definisce il segreto professionale come assoluto ed estende tale obbligo a tutti i membri dello studio e ai fornitori esterni autorizzati.
Archiviare documenti dei clienti su Google Drive viola il segreto professionale contabile?
Non automaticamente, ma è un’area a rischio. Google Drive è un sub-incaricato ai sensi del RGPD: devi disporre di un DPA, verificare l’analisi dei trasferimenti fuori dall’UE e garantire la compartimentazione e la tracciabilità. In pratica, un Drive condiviso non strutturato non offre queste garanzie.
Pennylane è conforme all’articolo 226-13?
Pennylane è un attore francese che propone un DPA e un’architettura sicura. Ciò non esonera lo studio dal qualificare la propria relazione di sub-incaricato e dal rispettare i propri obblighi. Pennylane è compatibile con un approccio conforme, ma la conformità rimane una responsabilità condivisa.
TaxDome o SmartVault sono accettabili per uno studio professionale francese?
La loro giurisdizione di costituzione negli Stati Uniti li espone al CLOUD Act. Ciò impone allo studio un’analisi d’impatto specifica, misure tecniche aggiuntive e una maggiore vigilanza sull’evoluzione dei DPA. La conformità non è impossibile, ma è più complessa da gestire rispetto a quella con un attore francese o europeo.
Quale pena rischia uno studio che rivela informazioni per negligenza?
L’articolo 226-13 del Codice penale prevede un anno di reclusione e quindicimila euro di multa. La sanzione penale è rara nella pratica, ma l’ammenda amministrativa della CNIL e la sanzione disciplinare dell’Ordine sono, invece, più frequenti. A ciò si aggiunge il danno reputazionale.
Per quanto tempo è necessario conservare i documenti contabili?
L’articolo R. 123-200 del Codice di commercio e l’articolo L. 102 B del Libro delle procedure fiscali impongono dieci anni a decorrere dalla chiusura dell’esercizio. Tale durata si applica ai giustificativi, ai libri contabili e ai documenti gestionali.
Cosa dice il RGPD sui documenti contabili dei clienti?
Il RGPD impone la sicurezza del trattamento (articolo 32), la tracciabilità, l’inquadramento contrattuale dei responsabili del trattamento (articolo 28) e la limitazione dei tempi di conservazione (articolo 5). Per i documenti contabili, prevale la durata legale fiscale, ma gli altri principi si applicano integralmente.
{ “@context”: “https://schema.org”, “@type”: “Article”, “headline”: “Art. 226-13 et secret comptable : ce que la dématérialisation change”, “author”: {“@type”: “Person”, “name”: “Dragan Stamenkovic”}, “datePublished”: “2026-05-10”, “dateModified”: “2026-05-10”, “publisher”: {“@type”: “Organization”, “name”: “Client Vault”}, “mainEntityOfPage”: “https://clientvault.pro/blog/art-226-13-secret-comptable-numerique” }{ “@context”: “https://schema.org”, “@type”: “FAQPage”, “mainEntity”: [ {“@type”: “Question”, “name”: “L’article 226-13 s’applique-t-il aux experts-comptables ?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Oui. L’inscription à l’Ordre confère la qualité de dépositaire d’informations secrètes.”}}, {“@type”: “Question”, “name”: “Stocker des pièces clients sur Google Drive viole-t-il le secret comptable ?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Pas mécaniquement mais c’est une zone à risque qui demande DPA, analyse de transferts et cloisonnement.”}}, {“@type”: “Question”, “name”: “Pennylane est-il conforme à l’article 226-13 ?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Pennylane est français et propose un DPA. La conformité reste partagée entre éditeur et cabinet.”}}, {“@type”: “Question”, “name”: “TaxDome ou SmartVault sont-ils acceptables pour un cabinet français ?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Leur juridiction américaine les expose au CLOUD Act, ce qui impose une analyse d’impact spécifique.”}}, {“@type”: “Question”, “name”: “Quelle peine encourt un cabinet qui révèle par négligence ?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Un an d’emprisonnement et 15 000 euros d’amende au titre de l’article 226-13. Sanctions CNIL et ordinales également possibles.”}}, {“@type”: “Question”, “name”: “Combien de temps faut-il conserver les pièces comptables ?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Dix ans à compter de la clôture de l’exercice (article R. 123-200 Code de commerce, article L. 102 B LPF).”}}, {“@type”: “Question”, “name”: “Que dit le RGPD sur les pièces comptables clients ?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Sécurité du traitement (art. 32), encadrement des sous-traitants (art. 28), limitation des durées (art. 5).”}} ] }
