GDPR per aziende: chi risponde, cosa rischi, da dove cominciare
Consulenza legale sulla protezione dei dati per aziende, enti e startup. Scritta per essere usata, non archiviata.
Il GDPR (Regolamento UE 2016/679) si applica a qualunque azienda tratti dati personali, compresi quelli di dipendenti, clienti e fornitori. Il titolare del trattamento deve rispettare i principi del regolamento ed essere in grado di dimostrarlo (art. 5, par. 2). In pratica servono un registro dei trattamenti, contratti adeguati con i fornitori che trattano dati per conto tuo, misure di sicurezza proporzionate al rischio e una procedura per le violazioni, che vanno notificate al Garante entro 72 ore da quando se ne viene a conoscenza, salvo che sia improbabile un rischio per le persone.
Il problema
Il GDPR riguarda tutte le aziende, anche quelle che pensano di non trattare dati “importanti”: basta un gestionale con i dati dei dipendenti, un CRM o un sito con un modulo di contatto. Molte hanno fatto l’adeguamento nel 2018 e da allora non l’hanno più toccato. Nel frattempo sono cambiati i fornitori, è arrivato il cloud, qualcuno ha cominciato a usare l’intelligenza artificiale, e i documenti descrivono un’azienda che non esiste più. Il problema emerge quando arriva una richiesta di accesso, un reclamo, un’ispezione o una violazione di dati. A quel punto non basta avere le carte: bisogna dimostrare che quelle carte corrispondono a quello che succede davvero.
Il taglio giuridico
Per il GDPR il responsabile è il titolare, cioè l’azienda, e le sanzioni amministrative arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore (art. 83). A queste si aggiunge il risarcimento a chi ha subito un danno (art. 82). Poi ci sono i fornitori: chi tratta dati per tuo conto deve essere vincolato da un contratto con i contenuti dell’art. 28, e se il fornitore sbaglia la domanda che ti faranno è come l’hai scelto e controllato. Infine le ispezioni: il Garante può chiedere documenti e fare accessi, spesso con la Guardia di Finanza, e quello che trova lo valuta alla luce dell’obbligo di poter dimostrare la conformità (art. 5, par. 2).
Come lavoro
Comincio parlando con chi conosce i sistemi, di solito il tuo referente IT o il fornitore che li gestisce, perché i trattamenti veri stanno lì e non nei modelli scaricati da internet. Da quella conversazione ricostruisco cosa fa davvero l’azienda con i dati, metto in fila le priorità in base al rischio e scrivo i documenti che mancano: registro, informative, contratti con i fornitori, procedura per le violazioni. Quando serve, faccio formazione alle persone che quei dati li toccano ogni giorno. Il risultato è un sistema che il tuo team riesce a tenere aggiornato anche dopo che io sono uscita dalla porta.
Riferimenti normativi
- Regolamento (UE) 2016/679 (GDPR)
- Art. 5, par. 2 GDPR: responsabilizzazione (accountability)
- Art. 28 GDPR: responsabile del trattamento
- Art. 30 GDPR: registro delle attività di trattamento
- Art. 32 GDPR: sicurezza del trattamento
- Artt. 33 e 34 GDPR: notifica al Garante e comunicazione agli interessati
- Art. 37 GDPR: designazione del responsabile della protezione dei dati
- Artt. 82 e 83 GDPR: risarcimento del danno e sanzioni amministrative
Domande frequenti
DPO obbligatorio per quali aziende?
L'art. 37 del GDPR lo rende obbligatorio in tre casi: autorità e organismi pubblici; aziende la cui attività principale consiste in trattamenti che richiedono un monitoraggio regolare e sistematico delle persone su larga scala; aziende la cui attività principale è trattare su larga scala dati particolari (per esempio sanitari) o dati relativi a condanne penali. Fuori da questi casi è una scelta, che a volte conviene comunque.
DPO esterno o interno?
Il GDPR ammette entrambe le strade: il DPO può essere un dipendente oppure un professionista esterno con un contratto di servizi (art. 37, par. 6). Quello che conta è che sia indipendente e senza conflitti di interesse: chi decide come si trattano i dati non può essere anche chi lo controlla (art. 38).
La formazione GDPR è obbligatoria?
Il GDPR non parla di un "corso obbligatorio", ma chiede che chiunque tratti dati sotto la tua autorità sia istruito a farlo (artt. 29 e 32, par. 4). Se non riesci a dimostrare di averlo fatto, in caso di controllo o di violazione hai un problema. Una formazione documentata è il modo più semplice per dimostrarlo.
Cosa fare in caso di attacco ransomware?
Coinvolgi subito chi gestisce i sistemi e annota tutto da subito. Se sono coinvolti dati personali, hai 72 ore da quando ne vieni a conoscenza per notificare la violazione al Garante (art. 33), salvo che sia improbabile un rischio per le persone; se il rischio è elevato, vanno avvisati anche gli interessati (art. 34). Se sei un soggetto NIS2 ci sono anche le notifiche al CSIRT Italia, presso l'ACN, con termini più stretti.