Come adeguarsi al GDPR: guida pratica per le aziende

Per adeguarsi al GDPR un’azienda deve mappare i dati personali che tratta, definire chi decide e chi esegue i trattamenti, documentare tutto in un registro, aggiornare informative e contratti e dimostrare di aver adottato misure di sicurezza adeguate. Il Regolamento (UE) 2016/679 si applica a ogni impresa, di qualsiasi dimensione.

Aggiornamento. Questo articolo nasce nel 2018, nei mesi dell’entrata in vigore del Regolamento e del decreto di adeguamento italiano (D.Lgs. 101/2018). I principi restano validi, ma linee guida del Garante, regole sui cookie e prassi sono cambiate: verifica sempre il quadro vigente prima di intervenire.

Da dove partire: il progetto di adeguamento

L’adeguamento non è un modulo da firmare, è un progetto. Il primo passo è capire quanto valgono i dati per l’azienda e quanto costerebbe perderli o diffonderli per errore: è questo che giustifica tempo e budget.

Un buon progetto parte da una fotografia dello stato attuale:

• quali dati personali vengono raccolti (clienti, fornitori, dipendenti, candidati, visitatori del sito);
• con quali strumenti vengono gestiti (gestionali, cloud, posta elettronica, telecamere);
• chi vi accede e con quali autorizzazioni;
• quali misure di sicurezza e quali controlli interni esistono già.

Se l’impresa fa parte di un gruppo, è la capogruppo a coordinare il piano per le società controllate. Va deciso presto se condurre il lavoro con risorse interne o con un consulente esterno.

I ruoli: titolare e responsabile del trattamento

Il titolare del trattamento è la persona fisica o giuridica che decide perché e come trattare i dati, con quali strumenti e con quali misure di sicurezza. Il ruolo c’è sempre, in ogni azienda. Se il titolare è la società e non una persona fisica, un cambio di amministratore non obbliga a riscrivere tutta la documentazione.

Il titolare deve definire le regole, essere in grado di dimostrare che i rischi sono ridotti e assicurarsi che chi lavora con i dati sia formato.

Il responsabile del trattamento è invece un soggetto, interno o esterno, che tratta i dati per conto del titolare. Nominarlo è una scelta utile soprattutto per organizzazioni strutturate o quando si affidano attività a fornitori. Le decisioni su finalità e mezzi restano comunque al titolare.

Il caso dell’hosting del sito

Chi ospita il sito web conserva spesso dati personali (form di contatto, iscrizioni, ordini). Per questo motivo il fornitore di hosting è di norma un responsabile del trattamento. Serve un accordo scritto che indichi:

• quali operazioni può svolgere sui dati;
• quali misure di sicurezza deve garantire;
• cosa succede ai dati a fine contratto.

Attenzione: se il fornitore sbaglia, davanti all’Autorità risponde comunque anche il titolare.

Il registro dei trattamenti

Il registro (articolo 30 GDPR) è lo strumento con cui l’azienda dimostra di conoscere i propri trattamenti. La norma esenta le organizzazioni sotto i 250 dipendenti solo in casi limitati: se il trattamento è occasionale, non presenta rischi per i diritti delle persone e non riguarda categorie particolari di dati o dati giudiziari. Poiché quasi ogni impresa gestisce con continuità i dati di personale e clienti, il registro è in genere consigliato, se non dovuto.

Deve essere scritto (anche in formato elettronico) ed essere messo a disposizione del Garante su richiesta. Per ogni trattamento riporta:

• identità e contatti del titolare, dell’eventuale rappresentante e del DPO, se presente;
• finalità del trattamento;
• categorie di interessati e di dati;
• categorie di destinatari, compresi quelli in paesi extra UE;
• eventuali trasferimenti verso paesi terzi o organizzazioni internazionali;
• termini previsti per la cancellazione;
• descrizione delle misure di sicurezza tecniche e organizzative.

Informative privacy e cookie

L’informativa deve usare un linguaggio chiaro e trasparente e spiegare almeno:

• come e perché i dati vengono trattati;
• se conferirli è obbligatorio o facoltativo e cosa succede in caso di rifiuto;
• a chi possono essere comunicati;
• quali diritti hanno gli interessati;
• chi è il titolare (e l’eventuale responsabile).

Sul sito, l’utente deve poter accettare o rifiutare i cookie di tracciamento; per quelli strettamente tecnici il consenso non è richiesto. Su questo punto le regole di dettaglio sono state precisate negli anni successivi dal Garante, quindi un controllo periodico del banner e degli strumenti installati è indispensabile.

Sanzioni: cosa si rischia

Le violazioni più gravi possono costare fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo. Al di là dell’importo, pesano il danno reputazionale e il rischio di perdere clienti che chiedono garanzie sul trattamento dei loro dati.

Checklist rapida

1. Censire dati, strumenti e persone coinvolte.
2. Definire titolare, responsabili e autorizzati.
3. Redigere e mantenere aggiornato il registro.
4. Aggiornare informative, consensi e cookie banner.
5. Sottoscrivere i contratti con i fornitori che trattano dati.
6. Formare il personale e documentare la formazione.
7. Prevedere una procedura per gestire eventuali violazioni dei dati.

Come può aiutarti Safety & Quality

Affianchiamo le aziende della Toscana nell’analisi dei trattamenti, nella redazione di registro, informative e nomine e nella formazione del personale. Scopri il servizio GDPR e privacy, valuta anche la certificazione ISO 27001 per la sicurezza delle informazioni oppure contattaci per un primo confronto.