Articolo a cura di: Redazione - Studio Legale Calvello

Per un’azienda rispettare il GDPR non significa limitarsi ad avere informative, registro dei trattamenti e nomine formalmente predisposte. Le indicazioni del Garante per la protezione dei dati personali, i provvedimenti dell’Autorità e le linee guida europee incidono sul modo in cui molti obblighi devono essere concretamente applicati nell’organizzazione. Per questo una documentazione privacy predisposta alcuni anni prima può non essere più sufficiente se, nel frattempo, sono cambiati trattamenti, tecnologie, fornitori, modalità di lavoro oppure sono intervenute indicazioni rilevanti delle autorità di controllo.

Il problema per l’impresa è soprattutto operativo: capire quali indicazioni riguardano realmente la propria attività, verificare se procedure e documenti siano ancora adeguati e intervenire sulle aree che presentano criticità. Non ogni nuovo provvedimento del Garante impone automaticamente di modificare l’intero sistema privacy aziendale, ma ignorare l’evoluzione interpretativa e applicativa della disciplina può lasciare l’impresa con procedure formalmente esistenti e, nella pratica, non più coerenti con i trattamenti effettivamente svolti.

Linee guida e provvedimenti del Garante: perché interessano direttamente l’impresa

Il punto di partenza resta il Regolamento (UE) 2016/679, insieme al Codice Privacy e alle altre disposizioni applicabili. Il GDPR, però, è costruito in larga misura secondo un modello di responsabilizzazione del titolare del trattamento: l’azienda deve individuare le misure appropriate rispetto alla natura dei trattamenti, al contesto, alle finalità e ai rischi e deve essere in grado di dimostrare le valutazioni e le scelte compiute. Le indicazioni provenienti dal Garante e, sul piano europeo, dal Comitato europeo per la protezione dei dati assumono quindi un rilievo concreto nell’interpretazione e nell’applicazione di molti obblighi.

Occorre evitare un equivoco frequente. Non tutti gli atti pubblicati dal Garante hanno la stessa natura e gli stessi effetti giuridici. Accanto ai provvedimenti adottati nell’esercizio dei poteri attribuiti all’Autorità esistono linee guida, FAQ, documenti di indirizzo, pareri e altri strumenti interpretativi. Per l’azienda non è quindi corretto trattare qualsiasi indicazione come se fosse una nuova disposizione di legge, ma è altrettanto rischioso considerarla irrilevante soltanto perché non modifica formalmente il testo del GDPR.

Le indicazioni delle autorità consentono infatti di comprendere come principi generali quali accountability, minimizzazione, limitazione della conservazione, sicurezza e protezione dei dati fin dalla progettazione debbano essere tradotti in comportamenti organizzativi verificabili. Questo può riguardare, a seconda dell’attività dell’impresa, la gestione della posta elettronica dei dipendenti, i sistemi di videosorveglianza, il marketing, i cookie e gli strumenti di tracciamento, i rapporti con fornitori e responsabili del trattamento, la conservazione dei dati, l’utilizzo di servizi cloud o le procedure per gestire l’esercizio dei diritti.

Lo stesso vale quando emergono tecnologie o modalità di trattamento nuove. L’impresa può introdurre un software, un sistema di intelligenza artificiale, una piattaforma SaaS o uno strumento di monitoraggio senza percepire immediatamente tutte le conseguenze privacy. In questi casi il problema non consiste nel raccogliere indistintamente tutte le pubblicazioni del Garante, ma nell’individuare quelle pertinenti ai trattamenti effettivamente svolti e verificare se richiedano una modifica delle procedure aziendali.

Questa verifica si collega direttamente all’adeguamento GDPR aziendale: la conformità non dovrebbe essere considerata un’attività conclusa una volta predisposti i documenti iniziali, perché il sistema deve seguire l’evoluzione dell’organizzazione e dei trattamenti.

Come verificare se l’azienda è ancora conforme alle indicazioni del Garante

Una verifica utile non parte dai documenti isolatamente considerati, ma dai trattamenti realmente effettuati. Dobbiamo anzitutto comprendere quali dati entrano nell’organizzazione, per quali finalità vengono utilizzati, chi vi accede, attraverso quali sistemi vengono trattati, a quali soggetti esterni sono comunicati e per quanto tempo vengono conservati. Solo dopo questa ricognizione è possibile confrontare l’assetto esistente con il GDPR, con la normativa nazionale e con le indicazioni pertinenti delle autorità.

È proprio in questa fase che possono emergere differenze rilevanti tra ciò che risulta dalla documentazione e ciò che avviene concretamente. Un registro dei trattamenti può essere formalmente presente ma non comprendere un nuovo software HR; un contratto con un fornitore può non descrivere adeguatamente i trattamenti affidati; una policy interna può essere rimasta invariata mentre sono cambiate le modalità di utilizzo della posta elettronica o degli strumenti aziendali. Per questo l’aggiornamento della documentazione privacy aziendale deve seguire l’organizzazione effettiva e non ridursi alla revisione periodica di modelli standard.

Il principio di accountability richiede inoltre che le misure adottate siano effettive e dimostrabili. Nella pratica possono assumere rilievo la mappatura dei trattamenti, l’attribuzione chiara delle responsabilità interne, le istruzioni al personale, la formazione, la selezione e il controllo dei fornitori, i contratti previsti dall’art. 28 GDPR, le procedure per l’esercizio dei diritti, la gestione dei data breach e, quando necessario, la valutazione d’impatto. Anche gli audit periodici possono essere utilizzati per verificare se le misure formalmente previste siano realmente applicate.

Un’attenzione specifica va riservata ai cambiamenti aziendali. L’adozione di nuove piattaforme, l’esternalizzazione di servizi, l’apertura di un e-commerce, una campagna di marketing basata su nuove forme di profilazione, l’installazione di sistemi di controllo o videosorveglianza, una riorganizzazione del personale o l’ingresso in un gruppo societario possono modificare trattamenti che fino a quel momento erano stati correttamente censiti. In questi casi è opportuno verificare anche il registro delle attività di trattamento e stabilire quali altri documenti o procedure debbano essere aggiornati.

La presenza di un DPO, quando obbligatoria ai sensi dell’art. 37 GDPR o quando l’organizzazione abbia comunque deciso di nominarlo, aggiunge una funzione di sorveglianza e consulenza, ma non trasferisce sul responsabile della protezione dei dati la responsabilità generale della conformità. Le decisioni sui trattamenti e sulle misure da adottare restano riconducibili al titolare. Nelle imprese prive di una struttura privacy interna, una verifica professionale periodica può invece consentire di individuare le indicazioni del Garante pertinenti, valutarne l’impatto sui processi esistenti e stabilire quali interventi siano effettivamente necessari, evitando sia l’inerzia sia aggiornamenti indiscriminati privi di utilità concreta.

Quando le indicazioni del Garante richiedono un intervento concreto sulla privacy aziendale

Il momento più delicato è stabilire se una nuova indicazione dell’Autorità comporti effettivamente un intervento sull’organizzazione. La risposta non può essere automatica. Occorre verificare quali trattamenti sono interessati, come vengono svolti e se le misure già adottate dall’impresa risultano coerenti con il quadro applicabile. Una società che non effettua attività di profilazione, per esempio, non ha la stessa esposizione di un’impresa che utilizza sistematicamente dati dei clienti per segmentazione e marketing; allo stesso modo, le indicazioni relative agli strumenti utilizzati dai lavoratori assumono un peso diverso in un’organizzazione nella quale posta elettronica, dispositivi e piattaforme digitali costituiscono strumenti ordinari di lavoro.

La verifica deve concentrarsi soprattutto sui punti nei quali una prassi aziendale può essersi consolidata senza essere stata riesaminata sotto il profilo privacy. Accade con frequenza quando viene introdotto un nuovo fornitore informatico, vengono aumentati i tempi di conservazione dei dati per esigenze interne, cambiano le modalità di accesso agli account dei dipendenti, vengono attivati nuovi sistemi di tracciamento sul sito oppure un software acquisisce progressivamente funzioni ulteriori rispetto a quelle considerate al momento dell’acquisto. In situazioni simili, il trattamento reale può essersi allontanato da quello descritto nella documentazione.

L’intervento può quindi richiedere attività diverse. In alcuni casi sarà sufficiente modificare una procedura o aggiornare un’informativa; in altri dovranno essere riesaminati il registro delle attività di trattamento, i tempi di conservazione, le autorizzazioni interne o i rapporti con i responsabili del trattamento. Quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, occorre verificare anche se ricorrano i presupposti per una valutazione d’impatto ai sensi dell’art. 35 GDPR. La soluzione dipende dal trattamento concreto e non dalla semplice esistenza di una nuova linea guida o di un nuovo provvedimento.

Particolare attenzione richiedono i fornitori che trattano dati personali per conto dell’impresa. Il fatto che un servizio sia molto diffuso sul mercato non esonera il titolare dalle proprie verifiche. Occorre comprendere quali dati vengono affidati al fornitore, dove vengono trattati, quali soggetti possono accedervi, quali misure sono previste e se il rapporto debba essere disciplinato ai sensi dell’art. 28 GDPR. Le indicazioni delle autorità possono incidere anche sulla valutazione di servizi già utilizzati da tempo, soprattutto quando cambiano infrastrutture, condizioni contrattuali o modalità di trattamento.

Lo stesso metodo vale per i tempi di conservazione. Non è corretto ricercare un unico termine valido per qualsiasi dato aziendale: occorre distinguere finalità, basi giuridiche, obblighi normativi ed eventuali esigenze di tutela dei diritti. Abbiamo approfondito questi aspetti nell’articolo dedicato alla conservazione dei dati personali e ai relativi tempi. Una verifica periodica permette di individuare archivi, database e sistemi nei quali i dati continuano a essere conservati senza che il periodo originariamente stabilito sia stato effettivamente applicato.

La questione diventa ancora più concreta quando l’azienda riceve una richiesta di informazioni, un reclamo o viene interessata da un’attività del Garante. In quel momento non è sufficiente predisporre rapidamente documenti che avrebbero dovuto descrivere procedure già operative. L’accountability richiede che l’impresa sia in grado di ricostruire le valutazioni compiute e dimostrare l’effettiva applicazione delle misure adottate. Una documentazione coerente con l’attività reale dell’impresa assume quindi un valore diverso da una raccolta di modelli formalmente corretti ma non applicati.

Se emergono carenze, l’intervento deve essere proporzionato al problema. Non ogni irregolarità determina automaticamente una sanzione e non ogni aggiornamento proveniente dal Garante richiede una revisione complessiva del sistema privacy. È invece necessario stabilire quali obblighi siano applicabili, quali criticità abbiano effettiva rilevanza e in quale ordine intervenire. Questo consente anche di concentrare le risorse sulle aree nelle quali il trattamento dei dati presenta maggiori rischi o nelle quali l’impresa deve essere in grado di documentare con precisione le proprie scelte.

Un caso pratico: procedure privacy esistenti ma non più coerenti con l’organizzazione aziendale

Consideriamo il caso realistico e anonimizzato di un’azienda che dispone da anni della propria documentazione GDPR e ritiene quindi di essere sostanzialmente in regola. Nel tempo, però, ha introdotto nuovi servizi cloud, modificato alcuni processi HR e affidato ulteriori attività a fornitori esterni, senza riesaminare complessivamente la configurazione privacy. Il problema emerge quando la direzione decide di verificare se le procedure utilizzate siano ancora coerenti con la normativa e con le indicazioni dell’Autorità.

L’attività non consiste nel sostituire automaticamente tutti i documenti. Vengono confrontati i trattamenti effettivamente svolti con quelli descritti nel registro e nelle procedure aziendali, verificando anche informative, ruoli interni, rapporti con i fornitori, tempi di conservazione e misure organizzative. L’aspetto che richiede maggiore attenzione è ricostruire come alcuni strumenti informatici siano realmente utilizzati dai diversi uffici, perché le funzionalità operative risultano più ampie rispetto a quelle considerate quando la documentazione era stata predisposta.

La gestione procede quindi aggiornando le parti non più corrispondenti alla realtà, definendo le verifiche necessarie sui fornitori e riallineando le procedure interne ai trattamenti effettivi. Un controllo di questo tipo mostra perché la conformità alle indicazioni del Garante non possa essere affrontata semplicemente accumulando circolari, policy e modelli: ciò che conta è poter collegare gli obblighi applicabili alle attività concretamente svolte dall’impresa e documentare le scelte organizzative adottate.

FAQ sulle linee guida del Garante Privacy per le aziende

Le linee guida del Garante Privacy sono sempre obbligatorie per le aziende?

Non tutti gli atti e i documenti pubblicati dal Garante hanno la stessa natura giuridica. Occorre distinguere tra provvedimenti adottati nell’esercizio dei poteri dell’Autorità, linee guida, FAQ, documenti di indirizzo, pareri e altri atti interpretativi. Per l’impresa è quindi necessario verificare quale atto viene in considerazione, quale sia il suo contenuto e se riguardi effettivamente i trattamenti svolti. Le indicazioni dell’Autorità assumono comunque particolare rilievo per comprendere come principi e obblighi del GDPR vengano applicati a situazioni concrete.

Ogni quanto un’azienda dovrebbe verificare gli aggiornamenti del Garante?

Il GDPR non stabilisce un intervallo generale entro il quale tutte le imprese debbano effettuare una revisione completa della propria compliance. È preferibile adottare un sistema di verifica periodica e intervenire anche quando cambiano elementi rilevanti dell’organizzazione: nuovi software, fornitori, trattamenti, attività di marketing, sistemi di controllo, modalità di gestione dei dipendenti o trasferimenti di dati. L’aggiornamento dovrebbe quindi seguire sia l’evoluzione normativa e interpretativa sia i cambiamenti effettivi dell’impresa.

Cosa rischia un’azienda che non segue un’indicazione del Garante?

Non è corretto affermare che il mancato recepimento di qualsiasi indicazione del Garante determini automaticamente una sanzione. Occorre verificare se la condotta dell’impresa integri una violazione del GDPR, del Codice Privacy o di altre disposizioni applicabili e considerare la natura dell’atto dell’Autorità interessato. In caso di controllo o contestazione possono assumere rilievo anche le valutazioni effettuate dall’azienda, le misure concretamente adottate e la capacità di dimostrare il percorso seguito in applicazione del principio di accountability.

Chi deve occuparsi in azienda degli aggiornamenti del Garante Privacy?

La responsabilità della conformità dei trattamenti resta in capo al titolare del trattamento. Le attività operative possono coinvolgere funzioni differenti, tra cui direzione, compliance, HR, IT e consulenti esterni. Quando è stato nominato un DPO, l’art. 39 GDPR gli attribuisce, tra gli altri, compiti di informazione, consulenza e sorveglianza sull’osservanza del Regolamento. Il DPO non sostituisce però il titolare nelle decisioni relative alle finalità, ai mezzi del trattamento e alle misure organizzative da adottare.

Come capire se la documentazione privacy aziendale deve essere aggiornata?

Il controllo deve mettere a confronto la documentazione con ciò che accade realmente nell’organizzazione. Se sono cambiati trattamenti, software, fornitori, categorie di dati, destinatari, tempi di conservazione, procedure interne o modalità di utilizzo dei dati dei dipendenti e dei clienti, può essere necessario intervenire. La presenza di documenti predisposti in passato non dimostra, da sola, che il sistema sia ancora adeguato. Per un approfondimento specifico abbiamo esaminato anche quali documenti privacy possono essere necessari in azienda e come la documentazione debba essere collegata ai trattamenti effettivamente svolti.

Verificare l’applicazione delle indicazioni del Garante nella propria azienda

Quando sorgono dubbi sulla conformità delle procedure aziendali alle indicazioni del Garante, la verifica deve partire dai trattamenti effettivamente svolti. Settore, organizzazione, tecnologie utilizzate, dati trattati, fornitori e procedure interne possono modificare sensibilmente gli obblighi e gli interventi necessari. Lo stesso vale quando l’esigenza nasce da un provvedimento recente, da una richiesta dell’Autorità o dalla necessità di riesaminare una compliance predisposta anni prima.

Noi assistiamo le imprese nell’analisi della disciplina privacy applicabile, nella verifica della documentazione e delle procedure e nella gestione delle criticità che possono emergere nei rapporti con il Garante. Per sottoporci la situazione dell’impresa è possibile richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato, descrivendo il problema e gli eventuali adempimenti già effettuati.