Articolo a cura di: Redazione - Studio Legale Calvello

L’adeguamento GDPR di un’azienda non consiste nel predisporre una serie di moduli da conservare in archivio. Il Regolamento (UE) 2016/679 richiede al titolare del trattamento di adottare misure tecniche e organizzative adeguate e, soprattutto, di essere in grado di dimostrare che i trattamenti di dati personali sono gestiti in modo conforme. Per un’impresa significa conoscere quali dati tratta, per quali finalità, chi vi accede, con quali fornitori vengono condivisi, quanto vengono conservati e quali rischi derivano dai processi concretamente utilizzati.

Un’azienda che si è adeguata anni fa può quindi trovarsi oggi con una compliance non più corrispondente alla propria organizzazione: nuovi dipendenti, software gestionali, servizi cloud, attività di marketing, sistemi di videosorveglianza, fornitori, siti web o procedure interne possono modificare sensibilmente i trattamenti. Il primo problema da affrontare non è allora stabilire quanti documenti mancano, ma verificare se la gestione effettiva dei dati coincide con quella descritta nella documentazione privacy e se le misure adottate sono ancora adeguate ai rischi.

Adeguamento GDPR aziendale: da dove deve partire l’impresa

Il punto di partenza è la ricognizione dei trattamenti realmente svolti. Occorre ricostruire i flussi di dati relativi, tra gli altri, a dipendenti e candidati, clienti, referenti dei fornitori, utenti del sito, attività commerciali e di marketing. Per ciascun trattamento devono essere individuati finalità, categorie di dati e interessati, base giuridica, destinatari, eventuali trasferimenti verso Paesi terzi, tempi di conservazione e misure di sicurezza. Questa mappatura permette di capire dove l’azienda tratta dati personali e di verificare successivamente se ogni processo è disciplinato in modo coerente.

Il registro delle attività di trattamento, quando obbligatorio, rappresenta uno degli strumenti centrali di questa ricognizione. Anche nei casi in cui possa operare l’esenzione prevista dall’art. 30, paragrafo 5, GDPR, occorre valutarne attentamente i presupposti: il numero dei dipendenti, da solo, non consente di concludere che una piccola impresa sia automaticamente esonerata. La natura non occasionale dei trattamenti, il rischio per i diritti e le libertà degli interessati e il trattamento di categorie particolari di dati possono rendere necessario il registro anche nelle organizzazioni con meno di 250 dipendenti.

Alla mappatura deve seguire una verifica della documentazione privacy aziendale. Informative, designazioni e istruzioni agli autorizzati, contratti con i responsabili del trattamento, procedure interne e politiche di conservazione devono essere coerenti con l’attività effettivamente svolta. Quando la documentazione esiste già, non è sufficiente verificarne formalmente la presenza: occorre controllare se descrive ancora l’organizzazione attuale. Un gestionale sostituito, un nuovo servizio cloud o un’attività di marketing introdotta successivamente possono rendere necessario aggiornare la documentazione privacy e riesaminare le valutazioni precedentemente effettuate.

La ricognizione deve comprendere anche i soggetti esterni che trattano dati per conto dell’impresa. Commercialista, consulente del lavoro, provider informatici, software house, piattaforme SaaS, servizi di hosting e altri fornitori non assumono automaticamente lo stesso ruolo privacy. Occorre qualificare correttamente il rapporto e, quando il soggetto opera quale responsabile del trattamento, disciplinarlo secondo l’art. 28 GDPR, verificando anche le garanzie offerte dal fornitore e la catena degli eventuali sub-responsabili.

Quali adempimenti deve verificare un’azienda per essere conforme al GDPR

Una volta ricostruiti i trattamenti, l’adeguamento deve tradursi in misure proporzionate alla struttura dell’impresa e ai rischi effettivamente presenti. Il principio di accountability impone infatti al titolare di poter giustificare le scelte compiute. Non esiste quindi un identico “pacchetto GDPR” valido per qualsiasi azienda: una piccola società di servizi che tratta prevalentemente dati comuni presenta esigenze diverse da una struttura sanitaria, da una software house che gestisce grandi quantità di dati per conto dei clienti o da un’impresa con centinaia di dipendenti.

Tra le verifiche necessarie rientrano la correttezza delle basi giuridiche dei trattamenti, delle informative rese agli interessati e dei tempi di conservazione; l’attribuzione dei ruoli e delle autorizzazioni interne; i rapporti con i responsabili esterni; le procedure per l’esercizio dei diritti e per la gestione di eventuali violazioni dei dati personali. Le misure di sicurezza devono essere determinate sulla base del rischio e comprendere gli aspetti organizzativi oltre a quelli strettamente informatici: gestione degli accessi, credenziali e privilegi, continuità e ripristino dei dati, procedure interne e verifica periodica dell’efficacia delle misure adottate.

Per i trattamenti suscettibili di presentare un rischio elevato per i diritti e le libertà delle persone fisiche deve essere valutata la necessità di una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 GDPR. La DPIA non dovrebbe essere considerata un documento da predisporre soltanto all’avvio del progetto: quando cambiano il trattamento, la tecnologia utilizzata o il relativo livello di rischio, può essere necessario riesaminarla.

Deve essere verificato anche se ricorrono i presupposti per la designazione del responsabile della protezione dei dati. Il DPO non è obbligatorio per tutte le imprese: l’art. 37 GDPR individua specifiche ipotesi, tra cui quelle nelle quali le attività principali consistano in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala oppure nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati. Fuori dai casi di obbligatorietà, l’impresa può comunque valutare una designazione volontaria, considerando struttura, attività e complessità dei trattamenti.

Un ulteriore profilo riguarda la capacità dell’organizzazione di applicare concretamente le regole definite. La formazione del personale e l’assegnazione di istruzioni coerenti con le mansioni sono parte della gestione della protezione dei dati. Una procedura formalmente corretta perde gran parte della propria utilità se chi gestisce quotidianamente clienti, dipendenti, posta elettronica, documenti o sistemi informatici non sa come comportarsi in presenza di una richiesta di accesso ai dati, di un invio al destinatario sbagliato, della perdita di un dispositivo o di un possibile data breach.

Per questo un audit privacy o check-up GDPR non dovrebbe limitarsi a controllare l’esistenza dei documenti. La verifica deve mettere in relazione documentazione, processi aziendali, sistemi informatici, fornitori e prassi operative, individuando eventuali scostamenti e stabilendo quali interventi siano necessari in base al rischio e alle caratteristiche dell’organizzazione. L’adeguamento diventa così un processo da riesaminare quando l’impresa cambia, anziché un adempimento eseguito una volta e considerato definitivamente concluso.

Quando l’adeguamento GDPR è carente: responsabilità, controlli e interventi da programmare

Le criticità più frequenti emergono quando la documentazione e l’organizzazione reale dell’impresa seguono percorsi diversi. Può accadere, ad esempio, che il registro dei trattamenti non contempli un nuovo software, che le informative descrivano finalità non più attuali, che alcuni fornitori trattino dati senza un corretto inquadramento contrattuale oppure che dipendenti e collaboratori dispongano di autorizzazioni più ampie di quelle necessarie. In altri casi l’azienda possiede una documentazione apparentemente completa, ma non ha definito procedure operative per gestire richieste degli interessati, incidenti di sicurezza, cancellazione dei dati o cessazione dei rapporti di lavoro.

Queste situazioni devono essere valutate alla luce del principio di responsabilizzazione previsto dall’art. 5, paragrafo 2, e dall’art. 24 GDPR. Il titolare non deve soltanto rispettare i principi applicabili al trattamento, ma deve essere in grado di comprovarne il rispetto. Per questo l’esistenza di informative, registri, nomine e contratti non dimostra, da sola, che l’azienda sia conforme al GDPR: occorre verificare se tali documenti corrispondono ai trattamenti effettivi e se le misure organizzative e tecniche vengono concretamente applicate.

La verifica assume particolare rilievo quando intervengono cambiamenti nell’organizzazione. L’introduzione di un CRM, il passaggio a un nuovo gestionale, l’utilizzo di servizi cloud, l’apertura di un e-commerce, una nuova attività di marketing, l’installazione di sistemi di videosorveglianza o l’affidamento di dati a un nuovo fornitore possono richiedere valutazioni ulteriori. Lo stesso vale per operazioni societarie più complesse: in presenza di fusioni, acquisizioni o trasferimenti di attività occorre esaminare anche come vengono gestiti i dati personali in caso di fusione, acquisizione o cessione d’azienda.

Un audit GDPR consente di individuare gli scostamenti e di attribuire loro una priorità. Non tutte le carenze presentano infatti lo stesso livello di rischio e non ogni irregolarità determina automaticamente una sanzione. Occorre considerare natura, portata, contesto e finalità dei trattamenti, categorie di dati coinvolte, numero degli interessati, misure già adottate e conseguenze potenziali. Una criticità relativa a un trattamento occasionale di dati comuni richiede una valutazione diversa rispetto a carenze che riguardano dati sanitari, monitoraggio sistematico, grandi quantità di interessati o accessi non adeguatamente controllati.

Se l’azienda riceve una richiesta di informazioni o viene interessata da un’attività di controllo del Garante per la protezione dei dati personali, diventa particolarmente importante poter ricostruire le decisioni assunte e documentare le misure adottate. Il GDPR prevede un sistema sanzionatorio articolato, nel quale la valutazione della violazione e della sanzione tiene conto delle circostanze previste dall’art. 83. Per questo non è corretto considerare ogni difetto documentale come destinato necessariamente a produrre una sanzione, ma è altrettanto rischioso affidarsi alla sola presenza formale di documenti predisposti in passato.

Quando dal check-up emergono carenze, l’intervento dovrebbe quindi essere programmato secondo priorità concrete: correggere i trattamenti che presentano le criticità maggiori, aggiornare la documentazione, disciplinare correttamente i rapporti con i fornitori, rivedere autorizzazioni e tempi di conservazione, adottare o aggiornare le procedure interne e verificare le misure di sicurezza. Se l’impresa dispone già di un sistema privacy strutturato, può essere sufficiente intervenire sulle aree non più coerenti; quando invece l’adeguamento non è mai stato realmente effettuato, può essere necessario ricostruire l’intero assetto partendo dalla mappatura dei trattamenti.

Un caso pratico: l’azienda aveva i documenti GDPR, ma i trattamenti erano cambiati

Consideriamo, a titolo di esempio, una società che aveva predisposto alcuni anni prima registro dei trattamenti, informative e nomine interne. Nel tempo l’organizzazione aveva però introdotto un nuovo gestionale in cloud, modificato il sito web, ampliato le attività commerciali e affidato alcuni servizi a nuovi fornitori. La documentazione privacy era rimasta sostanzialmente invariata e non rappresentava più con precisione i flussi di dati effettivi.

La verifica è partita dalla ricostruzione dei trattamenti e dal confronto tra quanto avveniva concretamente nei diversi reparti e quanto risultava dai documenti. Sono stati quindi esaminati ruoli privacy, informative, registro, rapporti con i fornitori, tempi di conservazione e procedure interne. L’aspetto che ha richiesto maggiore attenzione è stato ricostruire i flussi verso i servizi esterni e verificare il corretto inquadramento dei soggetti che accedevano ai dati per conto dell’azienda. Su questa base è stato possibile individuare le parti della documentazione da aggiornare e le procedure organizzative da riallineare all’attività effettivamente svolta, senza trattare l’adeguamento come una semplice sostituzione di modelli.

FAQ sull’adeguamento GDPR aziendale

Ogni azienda è obbligata ad adeguarsi al GDPR?

Il GDPR si applica alle imprese che effettuano trattamenti di dati personali rientranti nel suo ambito di applicazione. Gli adempimenti concretamente necessari dipendono però dai trattamenti svolti, dalle dimensioni e dall’organizzazione dell’impresa, dalle categorie di dati utilizzate e dai rischi per gli interessati. Non tutte le aziende devono quindi adottare esattamente le stesse misure o predisporre gli stessi documenti.

Un adeguamento GDPR effettuato alcuni anni fa è ancora valido?

Non esiste una scadenza generale oltre la quale l’adeguamento diventa automaticamente invalido. Occorre però verificare che documentazione, procedure e misure adottate continuino a rappresentare i trattamenti effettivamente svolti. Nuovi software, fornitori, servizi cloud, modalità di marketing, categorie di interessati o cambiamenti organizzativi possono rendere necessario un aggiornamento. Il tema è approfondito anche nell’articolo dedicato a come aggiornare correttamente la documentazione privacy aziendale.

Il DPO è necessario per essere conformi al GDPR?

No. La nomina del responsabile della protezione dei dati è obbligatoria nelle ipotesi previste dall’art. 37 GDPR e non costituisce un adempimento generalizzato per tutte le imprese. La necessità di nominare un DPO deve quindi essere valutata in relazione alle caratteristiche dell’organizzazione e dei trattamenti. Anche quando la designazione non è obbligatoria, l’azienda può scegliere volontariamente di nominare un DPO, purché ne rispetti ruolo, posizione e requisiti previsti dal Regolamento.

Come può un’azienda capire se il proprio adeguamento GDPR è ancora corretto?

È necessario confrontare i trattamenti effettivamente svolti con registro, informative, autorizzazioni, contratti con i responsabili, procedure e misure di sicurezza. Un audit privacy o check-up GDPR consente di verificare gli eventuali scostamenti e di individuare gli interventi da programmare secondo priorità. Il controllo dovrebbe riguardare anche le prassi concretamente seguite dal personale e i rapporti con i fornitori che trattano dati personali.

Cosa deve fare un’azienda che scopre di non essere adeguata al GDPR?

Occorre innanzitutto comprendere quali siano le carenze e quali trattamenti ne siano interessati. Non tutte le irregolarità richiedono lo stesso intervento. Può essere necessario aggiornare singoli documenti oppure, nelle situazioni più complesse, ricostruire la mappatura dei trattamenti, riesaminare ruoli e fornitori, verificare le misure di sicurezza e riorganizzare le procedure interne. La priorità degli interventi deve essere stabilita considerando i rischi concretamente associati ai trattamenti dell’impresa.

La vostra azienda deve verificare o aggiornare l’adeguamento GDPR?

Se la documentazione privacy è stata predisposta anni fa, non è mai stata completata oppure l’organizzazione aziendale è cambiata, può essere opportuno verificare se l’assetto esistente corrisponde ancora ai trattamenti realmente svolti. Lo stesso vale quando l’impresa introduce nuovi software o servizi cloud, modifica i rapporti con i fornitori, amplia l’organico o avvia nuove modalità di utilizzo dei dati personali.

Noi assistiamo le aziende nella verifica e nell’organizzazione della compliance GDPR, esaminando la situazione concreta per individuare gli adempimenti applicabili, le eventuali criticità e gli interventi necessari. Per richiedere una valutazione dell’adeguamento GDPR della vostra impresa, potete inviare la richiesta attraverso la pagina dedicata alla consulenza in materia di GDPR e privacy aziendale. Esamineremo le informazioni trasmesse per valutare la situazione e le esigenze dell’azienda.