Tu hai parlato di azienda. Se per registrare la partita IVA e per tutta la burocrazia legata all'attività ci si è rivolti ad un professionista, perché non farlo per avere informazioni corrette su come debbano essere trattati i dati personali che vengono forniti all'azienda?
Il GDPR disciplina tutto il tema del trattamento dei dati personali (comunicare chi è il titolare del trattamento dei dati, per quanto tempo vengono trattati, ecc).
Non mi sembra un tema banale che possa essere affidato al "cugggino" di turno. Poi vedi tu.