Articolo a cura di: Redazione - Studio Legale Calvello

In un’azienda manifatturiera la conformità al GDPR non coincide con la presenza di informative, nomine e registro dei trattamenti conservati in una cartella. I trattamenti di dati personali attraversano l’ufficio HR, gli accessi allo stabilimento, la videosorveglianza, i sistemi di rilevazione delle presenze, le caselle di posta elettronica, i dispositivi assegnati ai lavoratori, i rapporti con clienti e fornitori, i gestionali, i servizi cloud e, sempre più spesso, sistemi interconnessi utilizzati nella produzione.

Il problema emerge soprattutto quando la documentazione privacy è stata predisposta anni prima e l’organizzazione è cambiata: sono stati installati nuovi software, introdotte telecamere o sistemi di controllo accessi, affidati servizi a nuovi fornitori, trasferiti dati sul cloud oppure modificate le modalità di gestione del personale. In queste situazioni occorre verificare se quanto formalizzato corrisponda ancora ai trattamenti effettivamente svolti. Per questo l’adeguamento GDPR aziendale dovrebbe essere considerato un processo da mantenere coerente con l’evoluzione dell’impresa, non un adempimento esaurito una volta predisposti i documenti.

Quali adempimenti GDPR deve verificare un’azienda manifatturiera

Il primo controllo riguarda la mappatura dei trattamenti. Un’impresa manifatturiera tratta normalmente dati dei dipendenti e dei candidati, dati identificativi e professionali dei referenti di clienti e fornitori, informazioni raccolte attraverso sistemi di sicurezza e controllo degli accessi e dati generati dall’utilizzo di strumenti informatici aziendali. A seconda dell’organizzazione possono aggiungersi dati relativi alla sorveglianza sanitaria, alla geolocalizzazione di mezzi, alla gestione di trasferte, ai sistemi di assistenza tecnica, al CRM o ad applicazioni che registrano attività riconducibili a persone fisiche.

La verifica deve partire dai trattamenti realmente esistenti e confrontarli con il registro delle attività di trattamento. Il registro deve rappresentare l’organizzazione effettiva: finalità, categorie di interessati e dati, destinatari, eventuali trasferimenti verso Paesi terzi, tempi di cancellazione e misure di sicurezza devono essere riesaminati quando cambiano processi, strumenti o fornitori. Un registro redatto in passato ma non più corrispondente alla realtà aziendale perde gran parte della sua funzione nell’ambito dell’accountability richiesta dal Regolamento (UE) 2016/679.

Lo stesso controllo interessa le informative privacy, le autorizzazioni e le istruzioni impartite alle persone che operano sui dati, le procedure interne e i rapporti con i soggetti esterni. Quando un fornitore tratta dati personali per conto dell’impresa, occorre verificare la corretta qualificazione dei ruoli e, nei casi previsti, la disciplina del rapporto ai sensi dell’art. 28 GDPR. Questo punto interessa frequentemente software house, provider cloud, servizi di assistenza informatica, elaborazione paghe e altri fornitori che possono accedere ai dati aziendali.

Particolare attenzione richiedono i tempi di conservazione. Accumulare dati senza una regola definita può riguardare archivi HR, curriculum, account di ex dipendenti, log informatici, registrazioni degli accessi o immagini di videosorveglianza. I periodi non possono essere stabiliti con un criterio indistinto per tutti i dati: devono essere collegati alle finalità del trattamento, agli obblighi normativi applicabili e alle eventuali esigenze di tutela dei diritti. Abbiamo approfondito questo profilo nella guida dedicata alla conservazione dei dati personali in azienda.

Dipendenti, videosorveglianza, sistemi informatici e fornitori: dove si concentrano le verifiche

Nelle aziende manifatturiere una parte rilevante delle criticità nasce dal rapporto tra organizzazione produttiva e trattamento dei dati dei lavoratori. Badge, controllo degli accessi, sistemi di rilevazione delle presenze, telecamere, posta elettronica, PC, smartphone, log dei sistemi e, in determinate realtà, geolocalizzazione o tecnologie biometriche possono produrre informazioni riferibili ai dipendenti. La loro introduzione non deve essere valutata soltanto sotto il profilo tecnico: occorre individuare finalità e base giuridica, verificare la proporzionalità del trattamento, definire accessi e conservazione dei dati e considerare anche la disciplina lavoristica applicabile agli strumenti dai quali possa derivare un controllo dell’attività dei lavoratori.

La videosorveglianza è un esempio ricorrente. La presenza di esigenze di sicurezza dello stabilimento, protezione dei beni o controllo delle aree produttive non rende automaticamente legittima qualsiasi configurazione dell’impianto. Devono essere considerate posizione e campo di ripresa delle telecamere, soggetti autorizzati alla visione, modalità di accesso alle registrazioni, tempi di conservazione, informativa e misure di sicurezza. Quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche, deve inoltre essere verificata la necessità di una valutazione d’impatto ai sensi dell’art. 35 GDPR.

Un controllo analogo è necessario per gli strumenti informatici. Le policy sull’utilizzo di email, Internet e dispositivi aziendali devono essere coerenti con ciò che i sistemi consentono effettivamente di registrare e con le attività svolte dagli amministratori di sistema o dai fornitori IT. La questione diventa particolarmente delicata quando l’azienda può accedere alla casella di posta di un lavoratore assente o cessato, analizzare log nominativi oppure utilizzare strumenti di cybersecurity capaci di produrre informazioni dettagliate sull’attività dell’utente. Anche la gestione degli account dopo la cessazione del rapporto richiede regole definite, soprattutto quando attraverso quelle credenziali rimangono accessibili informazioni aziendali e dati personali.

La trasformazione digitale della produzione amplia poi il numero dei soggetti che possono entrare nella catena del trattamento. ERP, sistemi gestionali, applicazioni cloud, assistenza remota, piattaforme HR e servizi SaaS possono comportare accessi ai dati da parte di fornitori e subfornitori. L’azienda deve sapere quali dati vengono affidati all’esterno, per quali finalità, dove sono trattati, quali soggetti vi accedono e quali garanzie contrattuali e organizzative sono state predisposte. La semplice sottoscrizione di un contratto standard non sostituisce questa verifica.

È in questo contesto che un DPO per aziende manifatturiere può assumere rilievo, quando ricorrono i presupposti previsti dall’art. 37 GDPR oppure quando l’impresa decide di dotarsi volontariamente di tale funzione. La nomina non è obbligatoria per un’azienda per il solo fatto di appartenere al settore manifatturiero: occorre esaminare concretamente natura, ambito di applicazione, contesto e finalità dei trattamenti effettuati. Allo stesso modo, nominare un DPO non sostituisce gli obblighi che restano in capo al titolare del trattamento, ma inserisce nell’organizzazione una funzione con compiti specifici di informazione, consulenza e sorveglianza previsti dal GDPR.

Audit GDPR e controlli periodici: come verificare se la compliance è ancora adeguata

Una verifica efficace della privacy in un’azienda manifatturiera non dovrebbe limitarsi alla presenza formale dei documenti. Occorre confrontare ciò che risulta dal registro dei trattamenti, dalle informative, dalle nomine e dalle procedure con ciò che accade realmente nei reparti e negli uffici. Un audit privacy può far emergere, per esempio, un nuovo gestionale mai inserito nella mappatura, un fornitore IT che accede ai dati senza che il rapporto sia stato correttamente disciplinato, telecamere installate dopo l’ultimo aggiornamento della documentazione oppure tempi di conservazione applicati dai sistemi diversi da quelli indicati nelle policy.

Questo controllo è particolarmente utile quando l’azienda ha effettuato l’adeguamento GDPR diversi anni prima e nel frattempo sono cambiati personale, processi produttivi, infrastruttura informatica o fornitori. In questi casi può essere necessario procedere all’aggiornamento della documentazione privacy aziendale, evitando però di intervenire sui singoli documenti senza verificare prima i trattamenti sottostanti. Modificare un’informativa senza controllare registro, procedure, contratti con i responsabili esterni e configurazioni tecniche rischia infatti di lasciare irrisolto il problema organizzativo.

Un altro punto riguarda le misure tecniche e organizzative previste dall’art. 32 GDPR. La loro adeguatezza deve essere valutata considerando il rischio concreto e le caratteristiche dei trattamenti. Gestione delle credenziali, autorizzazioni di accesso, backup, protezione degli endpoint, procedure per la cessazione degli account, accessi amministrativi e modalità di intervento dei fornitori esterni sono aspetti che richiedono il coordinamento tra chi segue la privacy e chi gestisce i sistemi informativi. La valutazione giuridica non sostituisce quella tecnica, così come una buona infrastruttura di cybersecurity non rende superflua la corretta organizzazione dei ruoli e delle procedure previste dal GDPR.

La verifica deve comprendere anche la capacità dell’impresa di reagire a un incidente. Un ransomware, il furto di un notebook, l’invio di un documento al destinatario sbagliato o l’accesso non autorizzato a un archivio possono integrare una violazione dei dati personali. Non ogni incidente comporta automaticamente una notifica al Garante, ma ogni evento rilevante deve essere valutato secondo i criteri degli artt. 33 e 34 GDPR, considerando il rischio per i diritti e le libertà delle persone interessate. Quando ricorrono i presupposti per la notifica all’autorità di controllo, il GDPR prevede il termine di 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione, ove possibile.

L’audit consente quindi di verificare anche l’esistenza di una procedura interna per il data breach, l’individuazione dei soggetti che devono essere coinvolti e le modalità con cui vengono documentate le violazioni. La stessa logica preventiva riguarda i rapporti con il Garante Privacy: qualora l’impresa riceva una richiesta di informazioni o sia interessata da un’attività di controllo, la documentazione deve poter ricostruire le valutazioni effettuate e le misure concretamente adottate. L’accountability richiede infatti che il titolare sia in grado di dimostrare il rispetto dei principi applicabili al trattamento, non soltanto di dichiarare formalmente la propria conformità.

Un caso pratico: documentazione GDPR esistente ma non più coerente con lo stabilimento

Consideriamo il caso realistico e anonimizzato di un’azienda manifatturiera che aveva predisposto la propria documentazione privacy diversi anni prima. Nel tempo erano stati introdotti un nuovo sistema di rilevazione delle presenze, ulteriori telecamere nelle aree dello stabilimento, un gestionale in cloud e nuovi servizi informatici affidati a fornitori esterni. Il registro dei trattamenti e alcune informative continuavano però a descrivere l’organizzazione precedente.

La verifica è stata impostata partendo dai trattamenti effettivamente svolti, mettendo a confronto processi, strumenti utilizzati e soggetti che potevano accedere ai dati con quanto risultava dalla documentazione. L’aspetto che ha richiesto maggiore attenzione è stato il coordinamento tra gestione dei dati dei lavoratori, sistemi di videosorveglianza e rapporti con i fornitori informatici, perché ciascuno di questi ambiti pone questioni differenti e non può essere regolarizzato mediante un aggiornamento puramente formale dei modelli.

L’attività è stata quindi orientata alla riorganizzazione della mappatura dei trattamenti e alla verifica coordinata del sistema documentale privacy dell’azienda, dei ruoli dei soggetti coinvolti, delle informative, dei rapporti con i responsabili esterni e delle procedure interne pertinenti. Il caso mostra perché, soprattutto nelle imprese manifatturiere che modificano nel tempo tecnologie e organizzazione produttiva, la verifica GDPR deve partire dalla situazione reale dell’azienda e soltanto dopo tradursi nell’aggiornamento della relativa documentazione.

FAQ sugli adempimenti GDPR nelle aziende manifatturiere

Un’azienda manifatturiera deve aggiornare periodicamente la documentazione GDPR?

Il GDPR non stabilisce una scadenza generale annuale per l’aggiornamento di tutta la documentazione. Il punto è verificare che documenti e procedure continuino a rappresentare i trattamenti effettivamente svolti. L’aggiornamento diventa necessario quando intervengono cambiamenti rilevanti, come nuovi software, fornitori, sistemi di videosorveglianza o controllo accessi, modifiche nella gestione dei dipendenti, nuovi flussi di dati o differenti tempi di conservazione.

La nomina del DPO è obbligatoria per tutte le aziende manifatturiere?

No. L’appartenenza al settore manifatturiero non determina, da sola, l’obbligo di nominare un DPO. Occorre verificare i presupposti previsti dall’art. 37 GDPR considerando le attività concretamente svolte e le caratteristiche dei trattamenti. Per questo la valutazione deve essere effettuata sulla singola organizzazione, tenendo conto anche della scala e della sistematicità delle attività di monitoraggio eventualmente effettuate.

È sufficiente avere registro dei trattamenti, informative e nomine per essere conformi al GDPR?

No. La documentazione è una componente della compliance, ma deve corrispondere alle modalità con cui i dati vengono realmente trattati. Devono essere verificati anche ruoli e autorizzazioni, rapporti con i fornitori, misure tecniche e organizzative, tempi di conservazione, procedure per l’esercizio dei diritti e gestione delle eventuali violazioni dei dati. Un fascicolo formalmente completo può quindi richiedere interventi se non riflette più l’organizzazione effettiva.

Quando un nuovo impianto o software richiede una verifica privacy?

La verifica dovrebbe essere effettuata prima dell’introduzione del nuovo trattamento, soprattutto quando la tecnologia comporta raccolta, monitoraggio, analisi o comunicazione di dati personali. Occorre stabilire quali dati saranno utilizzati, per quale finalità, da chi saranno accessibili, per quanto tempo verranno conservati e se intervengano fornitori esterni. Nei casi in cui il trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche deve essere valutata anche la necessità di una DPIA.

Cosa dovrebbe fare un’azienda che scopre carenze nella propria gestione privacy?

È opportuno ricostruire prima la situazione effettiva e individuare quali trattamenti e adempimenti richiedano un intervento. La priorità dipende dalla natura delle carenze, dai dati coinvolti e dai rischi connessi ai trattamenti. Una verifica strutturata consente di distinguere gli aggiornamenti documentali dalle questioni che richiedono interventi organizzativi, contrattuali o tecnici, evitando di limitarsi alla sostituzione di modelli e informative.

Verificare gli adempimenti GDPR della propria azienda manifatturiera

Quando un’azienda manifatturiera è cresciuta, ha modificato i propri sistemi informatici, introdotto nuove modalità di controllo degli accessi o della produzione, cambiato fornitori oppure utilizza documentazione privacy predisposta anni prima, può essere necessario verificare se l’organizzazione attuale sia ancora correttamente rappresentata e gestita sotto il profilo GDPR.

Noi assistiamo le imprese nella verifica della compliance, nell’aggiornamento della documentazione e delle procedure, nella gestione dei rapporti con dipendenti e fornitori e nell’esame delle problematiche privacy che richiedono una valutazione giuridica specifica. L’intervento deve essere calibrato sui trattamenti realmente effettuati dall’impresa, perché obblighi e misure da adottare possono variare in funzione dell’organizzazione, delle tecnologie utilizzate e dei rischi concretamente presenti.

Se la vostra azienda manifatturiera deve verificare il proprio assetto GDPR o presenta criticità già individuate, potete richiedere una valutazione in merito al GDPR e alla privacy aziendale descrivendo la situazione attraverso il modulo dedicato. Lo Studio esaminerà la richiesta per individuare la natura del problema e il possibile ambito dell’assistenza professionale.