Articolo a cura di: Redazione - Studio Legale Calvello
Prima di cambiare consulente GDPR, un’azienda dovrebbe verificare lo stato effettivo della propria conformità privacy, la documentazione disponibile e gli adempimenti ancora da completare. La sostituzione del professionista, infatti, non risolve automaticamente eventuali irregolarità maturate durante la precedente gestione. Un check-up privacy indipendente prima del cambio consulente permette di distinguere le attività correttamente eseguite dalle carenze documentali e organizzative, individuare le priorità di intervento e preparare il passaggio di consegne. Questa verifica assume particolare rilievo quando il consulente uscente non ha effettuato controlli periodici, ha lasciato documenti non aggiornati oppure l’impresa non dispone di elementi sufficienti per dimostrare il rispetto del Regolamento (UE) 2016/679.
Perché effettuare un check-up GDPR prima di sostituire il consulente privacy
La decisione di cambiare consulente privacy può dipendere da diverse circostanze: assistenza insufficiente, mancato aggiornamento della documentazione, difficoltà nei rapporti con il professionista oppure necessità di affidare la gestione del GDPR a una struttura con competenze giuridiche più adeguate alla complessità aziendale. In altri casi, è la direzione a richiedere una verifica indipendente perché non riesce a comprendere quali attività siano state realmente svolte e quali obblighi rimangano ancora da adempiere.
Il problema principale riguarda la distinzione tra esistenza formale dei documenti e conformità effettiva dei trattamenti di dati personali. Un’impresa può possedere informative, registri e lettere di autorizzazione predisposti dal precedente consulente senza che questi documenti descrivano correttamente l’organizzazione attuale. L’apertura di nuove sedi, l’introduzione di software gestionali, il ricorso a fornitori cloud o la modifica delle procedure HR possono aver cambiato le modalità di trattamento dei dati senza un corrispondente aggiornamento delle misure privacy.
Ai sensi degli articoli 5, paragrafo 2, e 24 del GDPR, il titolare del trattamento deve rispettare i principi applicabili e poter dimostrare l’adozione di misure tecniche e organizzative adeguate. L’affidamento degli adempimenti a un consulente esterno non trasferisce automaticamente su quest’ultimo le responsabilità che la normativa attribuisce al titolare. Per questo motivo, prima di sostituire il consulente GDPR occorre accertare quali obblighi siano stati effettivamente assolti, quali verifiche siano documentate e quali attività richiedano ulteriori interventi.
Un controllo indipendente consente anche di evitare due errori opposti: considerare regolare una gestione soltanto perché esiste un fascicolo privacy oppure rifare integralmente la documentazione senza verificare se parte del lavoro precedente sia ancora utilizzabile. Nel primo caso l’azienda rischia di conservare criticità non individuate; nel secondo può sostenere costi inutili e perdere la continuità delle informazioni raccolte nel tempo.
Il check-up dovrebbe quindi partire dall’esame degli incarichi conferiti, dei documenti consegnati, delle attività di consulenza documentabili e delle modifiche intervenute nell’organizzazione. Particolare attenzione meritano le situazioni nelle quali il precedente professionista non abbia mai effettuato sopralluoghi, interviste ai responsabili delle funzioni aziendali o verifiche successive alla predisposizione iniziale dei documenti. L’assenza di queste attività non costituisce di per sé una violazione, ma può rendere necessario approfondire se la gestione sia stata adeguata ai trattamenti concretamente svolti.
Quando emergono carenze, occorre distinguere le responsabilità organizzative dell’impresa dagli eventuali inadempimenti contrattuali del consulente. La verifica tecnica e giuridica può fornire elementi utili anche per valutare una contestazione professionale, senza presumere che ogni irregolarità GDPR sia automaticamente imputabile al soggetto incaricato dell’assistenza.
Quali documenti e adempimenti controllare durante l’audit privacy preliminare
La verifica della documentazione GDPR prima del cambio consulente deve ricostruire il sistema di gestione dei dati personali dell’azienda, confrontando quanto risulta dagli atti con le attività effettivamente svolte. Non è sufficiente controllare la presenza dei documenti: bisogna accertarne correttezza, aggiornamento e coerenza con i trattamenti, i soggetti coinvolti e i rischi esistenti.
Il primo esame riguarda il registro delle attività di trattamento previsto dall’articolo 30 del GDPR, quando applicabile. Occorre verificare che rappresenti correttamente i processi aziendali, le categorie di interessati e di dati, le finalità, i destinatari, gli eventuali trasferimenti verso Paesi terzi e le informazioni richieste dalla disposizione. Un registro predisposto anni prima potrebbe non comprendere nuovi strumenti informatici, attività di marketing, sistemi di videosorveglianza o trattamenti introdotti nella gestione del personale. Per approfondire gli aggiornamenti necessari è possibile consultare il nostro contributo sul registro dei trattamenti e sulle circostanze che ne richiedono la revisione.
Devono poi essere esaminate le informative rivolte a dipendenti, candidati, clienti, fornitori e altri interessati, verificando la corrispondenza tra finalità dichiarate, basi giuridiche effettivamente applicabili, destinatari e periodi di conservazione. La stessa attenzione va riservata alle autorizzazioni e alle istruzioni impartite al personale, nonché ai contratti con i responsabili del trattamento ai sensi dell’articolo 28 del GDPR. L’utilizzo di gestionali esterni, servizi cloud, piattaforme di marketing o fornitori che trattano dati per conto dell’impresa rende necessario verificare la corretta qualificazione dei rapporti e la presenza degli accordi richiesti.
Un ulteriore controllo riguarda l’analisi dei rischi e le eventuali valutazioni d’impatto sulla protezione dei dati, previste dall’articolo 35 del GDPR quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. La DPIA non è obbligatoria indistintamente per tutte le aziende: occorre valutare le caratteristiche dei trattamenti e verificare se il precedente consulente abbia correttamente individuato quelli per i quali era necessaria. L’eventuale assenza della valutazione deve essere esaminata alla luce delle attività concretamente svolte.
L’audit deve inoltre considerare le misure di sicurezza di cui all’articolo 32 del GDPR, con particolare riferimento alla gestione degli accessi, alle autorizzazioni, ai sistemi di autenticazione, ai backup, ai rapporti con i fornitori informatici e alle procedure di risposta agli incidenti. Il controllo giuridico richiede il confronto con le funzioni IT e, quando necessario, verifiche tecniche specialistiche: una dichiarazione generica del consulente sulla sicurezza dei dati non dimostra, da sola, l’adeguatezza delle misure adottate.
Per le aziende con dipendenti, meritano attenzione le procedure relative alla posta elettronica, agli strumenti aziendali, alla videosorveglianza e alla gestione delle informazioni del personale. La conformità al GDPR deve essere valutata insieme alle disposizioni applicabili in materia di lavoro, compreso l’articolo 4 dello Statuto dei lavoratori nei casi pertinenti. Un precedente adeguamento privacy potrebbe infatti aver trascurato le condizioni richieste per l’impiego di strumenti dai quali derivi la possibilità di controllo a distanza dell’attività lavorativa.
È opportuno verificare anche la gestione delle richieste degli interessati, i criteri di conservazione e cancellazione dei dati, la formazione del personale e le procedure relative alle violazioni dei dati personali. Se l’azienda ha già subito un incidente informatico, il controllo deve comprendere la documentazione delle valutazioni effettuate e delle eventuali notifiche o comunicazioni. L’articolo 33 del GDPR prevede, nei casi in cui ricorrano i presupposti, la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione. La sostituzione del consulente non sospende tali obblighi.
Quando nell’organizzazione è presente un Responsabile della protezione dei dati (DPO/RPD), il check-up deve chiarire se il cambio riguardi soltanto il consulente operativo oppure anche il soggetto designato ai sensi degli articoli 37-39 del GDPR. Le due funzioni non coincidono necessariamente. Occorre quindi esaminare separatamente l’incarico del DPO, le attività di sorveglianza e consulenza documentate, i rapporti con la direzione e l’eventuale necessità di aggiornare la comunicazione dei dati di contatto al Garante. La distinzione è approfondita nel nostro articolo dedicato alle differenze tra DPO esterno e consulente privacy.
L’esame della documentazione deve infine essere rapportato alla struttura dell’impresa. Una società con più sedi, diversi reparti o numerosi fornitori esterni presenta esigenze di verifica differenti rispetto a una piccola organizzazione con trattamenti limitati. Il risultato atteso dall’audit preliminare è una ricostruzione attendibile dello stato di conformità, delle evidenze disponibili e delle criticità da approfondire, sulla quale impostare le successive decisioni relative al nuovo incarico professionale.
Come gestire il cambio consulente GDPR senza interrompere gli adempimenti e quali responsabilità verificare
Una volta individuate le eventuali carenze documentali e organizzative, il passaggio al nuovo consulente deve essere gestito tenendo conto degli obblighi ancora in corso, delle attività da completare e delle condizioni contrattuali applicabili al rapporto precedente. La sostituzione del consulente privacy non sospende gli obblighi del titolare del trattamento e non determina automaticamente il trasferimento delle responsabilità relative alle attività svolte prima del subentro. Per questa ragione, è opportuno definire una procedura di transizione che consenta all’azienda di mantenere il controllo dei documenti, delle scadenze e delle questioni ancora aperte.
Il primo passaggio riguarda l’esame del contratto con il professionista uscente. Occorre verificare la durata dell’incarico, le condizioni di recesso, gli eventuali termini di preavviso, le prestazioni concordate e gli obblighi relativi alla restituzione della documentazione. Se l’azienda ritiene che il consulente non abbia adempiuto correttamente alle proprie obbligazioni, è necessario distinguere la semplice insoddisfazione per il servizio ricevuto da un possibile inadempimento contrattuale. Quest’ultimo richiede una valutazione delle prestazioni dovute, delle attività effettivamente eseguite e della loro rilevanza rispetto agli obblighi assunti.
Particolare attenzione merita la consegna della documentazione GDPR al nuovo consulente. L’impresa dovrebbe poter disporre delle versioni aggiornate dei registri dei trattamenti, delle informative, degli accordi con i responsabili esterni, delle procedure interne e delle valutazioni dei rischi. Quando pertinenti, devono essere recuperati anche i rapporti di audit, le evidenze della formazione, le valutazioni d’impatto e la documentazione relativa a precedenti incidenti di sicurezza. Il diritto a ottenere specifici elaborati o materiali di lavoro deve essere valutato considerando il contratto, la natura dei documenti e gli obblighi applicabili, senza presumere che qualsiasi documento interno del consulente debba necessariamente essere consegnato.
La mancanza di un passaggio di consegne ordinato può creare difficoltà soprattutto quando il professionista uscente gestiva direttamente scadenze, richieste degli interessati, rapporti con fornitori o attività di aggiornamento. Il nuovo incaricato potrebbe non conoscere l’esistenza di una richiesta di accesso ancora senza risposta, di un contratto con un responsabile del trattamento da regolarizzare oppure di una misura correttiva già individuata ma mai attuata. Per evitare queste situazioni, è opportuno predisporre un quadro delle attività pendenti, indicando per ciascuna la documentazione disponibile, il referente aziendale e gli eventuali termini da rispettare.
Se il consulente uscente aveva accesso a sistemi informatici, archivi documentali o dati personali per conto dell’azienda, occorre verificare anche le autorizzazioni e le credenziali ancora attive. La cessazione dell’incarico può richiedere la revoca degli accessi, la restituzione dei materiali e la gestione delle copie di dati eventualmente detenute, secondo il ruolo effettivamente ricoperto dal professionista e gli accordi applicabili. Quando il consulente opera anche come responsabile del trattamento, assumono rilievo le disposizioni contrattuali previste dall’articolo 28 del GDPR, comprese quelle relative alla restituzione o cancellazione dei dati al termine della prestazione, salvi gli obblighi di conservazione previsti dalla legge.
Un profilo distinto riguarda l’eventuale sostituzione del DPO. Se il professionista uscente ricopre anche l’incarico di Responsabile della protezione dei dati, devono essere esaminate le condizioni della sua designazione e della cessazione dell’incarico, tenendo conto delle garanzie previste dall’articolo 38 del GDPR. In particolare, il DPO non può essere rimosso o penalizzato dal titolare o dal responsabile del trattamento per l’adempimento dei propri compiti. La sostituzione deve quindi essere valutata senza confondere una legittima riorganizzazione del servizio con iniziative collegate all’esercizio indipendente delle funzioni di controllo e consulenza. Gli adempimenti specifici sono trattati nel nostro approfondimento su revoca e sostituzione del DPO.
Quando il check-up rivela violazioni o omissioni precedenti, la priorità deve essere attribuita alla valutazione del rischio e agli interventi necessari per affrontare le criticità attuali. Un registro non aggiornato, un’informativa incompleta o un accordo contrattuale mancante richiedono verifiche differenti rispetto a un trattamento privo di adeguata base giuridica o a una violazione di dati personali ancora da gestire. Non tutte le irregolarità comportano le medesime conseguenze, né ogni difetto documentale determina automaticamente una sanzione. Occorre valutare la natura della violazione, le disposizioni applicabili, le circostanze concrete e le misure già adottate.
Resta distinta la possibile responsabilità professionale del precedente consulente. Qualora emergano prestazioni omesse o eseguite in modo inesatto, l’azienda può valutare, con assistenza legale, se sussistano i presupposti per una contestazione contrattuale o una richiesta risarcitoria. La presenza di un’irregolarità GDPR non basta, da sola, a dimostrare un inadempimento imputabile al consulente o un danno risarcibile: occorre ricostruire il contenuto dell’incarico, la condotta del professionista, gli obblighi rimasti in capo all’impresa e l’eventuale nesso causale con il pregiudizio lamentato.
Per la direzione aziendale, il risultato più utile del check-up consiste nella possibilità di affidare il nuovo incarico sulla base di una situazione documentata. Il professionista subentrante può così definire le attività di regolarizzazione, distinguere gli interventi urgenti dagli aggiornamenti programmabili e concordare un sistema di verifiche periodiche proporzionato alle caratteristiche dell’impresa. Il percorso può comprendere anche la revisione delle responsabilità interne e dei rapporti con le funzioni HR, IT e amministrative, evitando che la gestione della privacy rimanga affidata esclusivamente alla produzione di documenti.
Esempio pratico: azienda che cambia consulente GDPR e scopre documentazione privacy non aggiornata
Consideriamo il caso ipotetico di una società di servizi con più reparti, personale dipendente e fornitori informatici esterni, che decide di sostituire il proprio consulente GDPR dopo un periodo di assistenza prevalentemente documentale. La direzione dispone di un fascicolo privacy predisposto alcuni anni prima, ma non riesce a verificare se siano stati recepiti i cambiamenti intervenuti nell’organizzazione, tra cui l’introduzione di un nuovo gestionale cloud e la modifica delle procedure di accesso ai dati dei clienti.
Prima di conferire il nuovo incarico, viene effettuato un check-up della documentazione esistente, confrontando il registro dei trattamenti, le informative e gli accordi con i fornitori con le attività effettivamente svolte. La verifica individua alcune informazioni da aggiornare e la necessità di approfondire il ruolo contrattuale del fornitore del gestionale. Vengono inoltre esaminate le misure di accesso ai dati e le procedure interne, coinvolgendo il responsabile IT e i referenti amministrativi.
L’aspetto più delicato riguarda la distinzione tra documentazione semplicemente superata e possibili omissioni relative a obblighi già applicabili durante il precedente incarico. La società deve infatti decidere quali attività correttive avviare immediatamente e quali questioni approfondire prima di formulare eventuali contestazioni al consulente uscente. Sulla base delle verifiche viene predisposto un programma di aggiornamento documentale e organizzativo, accompagnato da un passaggio di consegne che consenta al nuovo professionista di assumere l’incarico conoscendo le criticità ancora aperte.
L’esempio mostra perché il cambio del consulente GDPR dovrebbe essere preceduto da una valutazione indipendente della situazione aziendale: senza una ricostruzione delle attività svolte e degli adempimenti pendenti, il nuovo rapporto professionale rischia di iniziare senza informazioni sufficienti per programmare correttamente gli interventi.
Domande frequenti sul check-up privacy prima di cambiare consulente GDPR
È obbligatorio effettuare un audit privacy prima di cambiare consulente GDPR?
Il GDPR non prevede un obbligo generalizzato di effettuare uno specifico audit in occasione della sostituzione del consulente. Il titolare del trattamento deve però adottare misure adeguate e poter dimostrare il rispetto della normativa. Una verifica preliminare è particolarmente opportuna quando la documentazione risulta incompleta, non vengono effettuati controlli periodici oppure l’azienda non dispone di informazioni attendibili sulle attività svolte dal precedente professionista.
Il precedente consulente privacy deve consegnare tutta la documentazione GDPR?
La documentazione aziendale necessaria alla gestione degli adempimenti deve rimanere nella disponibilità del titolare del trattamento. Per stabilire quali ulteriori elaborati, rapporti o materiali debbano essere consegnati dal consulente uscente occorre esaminare il contratto, la natura dei documenti e gli obblighi applicabili. È opportuno richiedere formalmente la consegna dei materiali necessari alla continuità del servizio, verificando eventuali mancanze prima della cessazione definitiva del rapporto.
Se il precedente consulente GDPR ha commesso errori, chi risponde delle violazioni?
Il titolare del trattamento conserva le responsabilità previste dal GDPR anche quando si avvale di un consulente esterno. Ciò non esclude che il professionista possa rispondere di eventuali inadempimenti contrattuali o di altre condotte giuridicamente rilevanti. Per valutare una possibile responsabilità del consulente occorre verificare le prestazioni concordate, gli obblighi effettivamente assunti, gli errori contestati e l’eventuale danno causalmente riconducibile alla sua condotta.
Quanto costa un check-up GDPR prima di affidare l’incarico a un nuovo consulente?
Il costo dipende dall’estensione della verifica e dalla complessità dell’organizzazione. Incidono il numero dei trattamenti, le sedi aziendali, i fornitori coinvolti, la qualità della documentazione disponibile e la necessità di esaminare aspetti particolari, come videosorveglianza, dati dei dipendenti, trasferimenti internazionali o precedenti violazioni. Prima di formulare un preventivo è opportuno definire se l’incarico riguardi soltanto la revisione documentale oppure anche interviste, verifiche operative e predisposizione di un piano di adeguamento.
È possibile cambiare consulente GDPR senza rifare tutta la documentazione privacy?
Sì. La sostituzione del consulente non impone automaticamente di predisporre nuovamente ogni documento. Registri, informative, accordi e procedure esistenti possono essere mantenuti quando risultano corretti, aggiornati e adeguati ai trattamenti effettivamente svolti. Il check-up serve proprio a individuare ciò che può essere conservato, ciò che richiede modifiche e gli eventuali adempimenti mancanti, evitando interventi inutilmente duplicati.
Check-up privacy aziendale prima del cambio consulente GDPR: richiedi una valutazione allo Studio Legale Calvello
Se la vostra azienda sta valutando di cambiare consulente GDPR, oppure nutre dubbi sulla correttezza della documentazione predisposta dal precedente professionista, una verifica giuridica indipendente può aiutare a individuare le criticità esistenti prima del nuovo affidamento. La valutazione deve considerare i trattamenti concretamente svolti, gli obblighi applicabili, le attività già documentate e gli eventuali rischi derivanti da omissioni o adempimenti incompleti.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza giuridica alle imprese nella verifica della conformità GDPR, nell’esame della documentazione privacy e nella valutazione delle problematiche connesse alla sostituzione del consulente. Possiamo esaminare le esigenze dell’organizzazione, individuare gli aspetti che richiedono approfondimenti e valutare le modalità di intervento più appropriate, anche in presenza di criticità nella precedente gestione.
Per sottoporre la situazione della vostra azienda allo Studio, richiedete una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato, descrivendo le ragioni del possibile cambio consulente e le principali problematiche riscontrate. Esamineremo la richiesta per valutare il successivo approfondimento professionale.
