Clienti, dipendenti, fornitori, pazienti: qualsiasi azienda tratta dati personali ogni giorno, spesso senza accorgersene. Il Regolamento europeo sulla protezione dei dati (GDPR) si applica dal 25 maggio 2018 e chiede al titolare non solo di rispettare le regole, ma di essere in grado di dimostrarlo. Per molte piccole imprese il punto è proprio questo: sapere cosa serve davvero e averlo in ordine, senza riempire l’ufficio di carte inutili.
Cosa chiede il GDPR a un’azienda?
Al centro ci sono i principi dell’articolo 5: trattare i dati in modo lecito, corretto e trasparente, solo per finalità precise, limitandoli a quelli necessari, tenendoli esatti, conservandoli per il tempo che serve e proteggendoli. Il titolare deve rispettarli «ed essere in grado di comprovarlo»: è la responsabilizzazione, o accountability.
In pratica questo si traduce in alcuni adempimenti concreti:
- informative chiare per le persone di cui tratti i dati (artt. 13 e 14);
- privacy by design e by default: misure tecniche e organizzative pensate fin dall’inizio, e trattamento dei soli dati necessari per impostazione predefinita (art. 25);
- istruzioni per chi tratta i dati in azienda (art. 29);
- contratti con i fornitori che trattano dati per tuo conto (art. 28);
- registro dei trattamenti, quando è dovuto (art. 30);
- una procedura per le violazioni dei dati, da notificare al Garante entro 72 ore quando c’è un rischio per le persone (art. 33).
Persone autorizzate e responsabili: chi è chi?
Nei documenti privacy le figure hanno nomi diversi a seconda della fonte: chi in azienda tratta i dati su istruzione del titolare, per esempio, il GDPR lo chiama persona autorizzata e molti documenti lo chiamano incaricato. La sostanza è la stessa. Ecco chi è chi.
| Figura | Chi è | Cosa serve |
|---|---|---|
| Titolare | L’azienda che decide perché e come trattare i dati | Rispettare i principi e dimostrarlo |
| Persone autorizzate (incaricati) | Dipendenti e collaboratori che trattano dati sotto l’autorità del titolare | Istruzioni del titolare (art. 29 GDPR) |
| Designati | Persone fisiche a cui il titolare attribuisce compiti specifici | Designazione espressa (art. 2-quaterdecies Codice privacy) |
| Responsabile del trattamento | Soggetto esterno che tratta dati per conto del titolare | Contratto o atto giuridico ex art. 28 GDPR |
| DPO | Figura di controllo e consulenza, obbligatoria solo in alcuni casi | Nomina e comunicazione al Garante (art. 37) |
Il responsabile del trattamento, quindi, di solito non è un dipendente: è il fornitore che gestisce le buste paga, il gestionale in cloud, l’assistenza informatica. Con ognuno serve un accordo che contenga almeno le istruzioni documentate, la riservatezza, le misure di sicurezza, le regole sui sub-responsabili e la restituzione o cancellazione dei dati alla fine del servizio.
Il registro dei trattamenti serve anche a me?
Quasi sempre sì. Il GDPR esenta le imprese sotto i 250 dipendenti, ma l’esenzione cade se il trattamento non è occasionale, può presentare un rischio o riguarda dati sanitari o giudiziari (art. 30, par. 5). Per il Garante devono tenerlo, tra gli altri, esercizi commerciali, pubblici esercizi e artigiani con almeno un dipendente, chi tratta dati sanitari dei clienti (parrucchieri, estetisti, ottici, odontotecnici) e i liberi professionisti con dipendenti o con dati sanitari o giudiziari. Il registro è scritto, anche in formato elettronico, riporta la data di istituzione e di ultimo aggiornamento e va tenuto aggiornato.
Quando serve il DPO?
Il responsabile della protezione dei dati (DPO o RPD) è obbligatorio in tre casi: enti pubblici, aziende la cui attività principale consiste nel monitoraggio regolare e sistematico delle persone su larga scala, aziende che trattano su larga scala dati sanitari o giudiziari (art. 37). Il Garante cita come obbligati, tra gli altri, banche, assicurazioni, call center, ospedali privati e laboratori di analisi; esclude invece liberi professionisti individuali, imprese familiari e PMI che trattano solo i dati di fornitori e dipendenti. Lo approfondiamo nell’articolo su quando il DPO è obbligatorio.
Cosa si rischia?
Le sanzioni del GDPR arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per gli obblighi organizzativi del titolare e del responsabile, e fino a 20 milioni o al 4% per la violazione dei principi, delle basi giuridiche e dei diritti delle persone (art. 83). Sono massimali, non tariffe: ma dicono quanto il legislatore consideri seria la materia.
Il pacchetto «All in One» di Esselle Servizi
Per mettere in sicurezza la tua azienda e restare in linea con il GDPR abbiamo costruito un percorso completo:
- sopralluogo tecnico in azienda;
- valutazione delle procedure di protection by design e protection by default;
- relazione sui trattamenti in essere e sulla loro gestione, come documentazione di accountability, comprensiva del registro dei trattamenti;
- lettere di nomina: l’atto per i responsabili esterni del trattamento (art. 28) e le lettere per le persone autorizzate (incaricati), con le istruzioni per chi tratta i dati in azienda;
- stesura delle informative privacy;
- riunione informativa con il personale sulle nuove procedure di gestione della privacy.
Il supporto è completo: dalla consulenza e analisi dei rischi alla nomina del DPO, quando serve, fino alla formazione di chi tratta i dati. Per le telecamere seguiamo la pratica con l’Ispettorato del lavoro.
Il tuo referente è Silvio Musso, che dal 2018 lavora a tempo pieno su privacy e videosorveglianza: se hai dubbi su GDPR & Co. è la persona giusta.
Vuoi partire? Prenota un sopralluogo gratuito o chiamaci allo 011 0205748.