Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda può disporre di informative privacy, registro dei trattamenti, nomine e procedure interne senza essere necessariamente conforme al GDPR. La documentazione potrebbe non rispecchiare più le attività effettivamente svolte, i dipendenti potrebbero utilizzare strumenti informatici non adeguatamente regolamentati e i rapporti con i fornitori potrebbero presentare criticità mai verificate. L’audit privacy aziendale serve a individuare queste situazioni attraverso un controllo documentale e operativo, valutando se le misure adottate siano adeguate ai trattamenti concretamente effettuati.
La verifica assume particolare rilevanza quando l’impresa cresce, modifica la propria organizzazione, introduce nuove tecnologie, riceve reclami oppure deve prepararsi a un controllo del Garante per la protezione dei dati personali. Non esiste un obbligo generalizzato di effettuare un audit annuale identico per tutte le aziende, ma il Regolamento (UE) 2016/679 impone al titolare di adottare misure adeguate e di riesaminarle e aggiornarle quando necessario. Per gli amministratori e i responsabili aziendali, comprendere quando effettuare un audit GDPR e quali verifiche richiedere significa poter intervenire sulle irregolarità prima che producano conseguenze più difficili da gestire.
Quando è necessario effettuare un audit privacy aziendale e quali situazioni richiedono una verifica
L’audit privacy è un’attività di verifica organizzata che consente di accertare se il sistema di protezione dei dati personali adottato dall’impresa corrisponda agli obblighi normativi e, soprattutto, al suo funzionamento effettivo. Non coincide con la semplice presenza di documenti GDPR né con una generica dichiarazione di conformità. Occorre esaminare come vengono raccolti, utilizzati, comunicati, conservati e cancellati i dati personali, quali soggetti vi accedono e quali controlli permettono di individuare eventuali irregolarità.
Gli articoli 5, paragrafo 2, e 24 del GDPR attribuiscono al titolare del trattamento la responsabilità di rispettare i principi applicabili e di essere in grado di comprovarne l’osservanza. L’articolo 24 richiede anche il riesame e l’aggiornamento delle misure tecniche e organizzative quando necessario. L’articolo 32, con riferimento alla sicurezza del trattamento, prevede una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure adottate. Da queste disposizioni deriva la necessità di organizzare controlli proporzionati ai rischi, senza che ciò comporti automaticamente l’obbligo di un audit formale con cadenza annuale per qualsiasi impresa.
La frequenza degli audit GDPR dipende dalla natura dei trattamenti, dalla quantità e tipologia dei dati personali, dalle tecnologie utilizzate, dalle dimensioni organizzative e dai rischi per i diritti e le libertà degli interessati. Un’impresa che tratta dati sanitari su larga scala, utilizza sistemi di monitoraggio sistematico oppure gestisce infrastrutture informatiche complesse presenta esigenze di controllo differenti rispetto a una società che svolge trattamenti limitati e relativamente semplici. La periodicità dovrebbe essere definita attraverso una valutazione documentata, con verifiche più ravvicinate sulle attività maggiormente esposte.
Vi sono circostanze nelle quali un audit privacy straordinario diventa particolarmente opportuno. Pensiamo all’introduzione di un nuovo software gestionale, alla migrazione dei dati verso servizi cloud, all’installazione di sistemi di videosorveglianza, all’avvio di attività di profilazione commerciale oppure all’esternalizzazione di processi che comportano l’accesso ai dati dei clienti o dei dipendenti. In queste situazioni è necessario verificare, prima dell’avvio dei nuovi trattamenti, se siano rispettati gli obblighi applicabili, comprese le valutazioni richieste dagli articoli 25 e 35 del GDPR.
Un controllo può rendersi necessario anche dopo una fusione societaria, un’acquisizione, l’apertura di nuove sedi o una riorganizzazione delle funzioni aziendali. Le modifiche organizzative possono incidere sull’individuazione dei titolari e dei responsabili del trattamento, sulle autorizzazioni interne, sui flussi di dati e sulle misure di sicurezza. Quando l’azienda continua a utilizzare documenti predisposti prima di tali cambiamenti, aumenta la possibilità che il sistema privacy formalmente descritto non corrisponda più alla realtà. In questi casi può essere utile verificare anche come aggiornare correttamente la documentazione privacy aziendale.
Particolare attenzione merita la verifica successiva a un incidente informatico, a un accesso non autorizzato, a una segnalazione interna oppure a un reclamo presentato da un dipendente o da un cliente. L’audit può individuare le cause organizzative della criticità, accertare se le procedure siano state effettivamente applicate e stabilire quali misure correttive risultino necessarie. Se l’incidente costituisce una violazione dei dati personali, gli eventuali obblighi di valutazione, documentazione e notifica previsti dagli articoli 33 e 34 del GDPR devono essere gestiti tempestivamente, senza attendere la conclusione dell’audit.
La verifica preventiva della conformità GDPR può essere richiesta anche nell’ambito di una due diligence, di una procedura di qualificazione dei fornitori o di un rapporto contrattuale con committenti particolarmente attenti alla sicurezza dei dati. In queste circostanze, la capacità di produrre documentazione attendibile e dimostrare l’effettiva applicazione delle procedure può incidere sulle valutazioni della controparte. Occorre però distinguere tra obblighi normativi, requisiti contrattuali e verifiche richieste volontariamente dai partner commerciali.
Quando l’impresa non ha mai effettuato controlli strutturati, oppure conserva una documentazione predisposta molti anni prima, è opportuno valutare un audit iniziale per ricostruire lo stato effettivo della conformità. La presenza di precedenti consulenze o di un DPO nominato non sostituisce questa valutazione: ciò che conta è verificare se le misure adottate siano ancora appropriate e realmente applicate.
Cosa viene controllato durante un audit GDPR: documenti, trattamenti, sicurezza e procedure aziendali
Un audit GDPR efficace deve partire dalla ricostruzione dei trattamenti effettivamente svolti dall’impresa. Prima di esaminare i singoli documenti, occorre comprendere quali dati personali vengono utilizzati, per quali finalità, attraverso quali sistemi, da quali soggetti e con quali destinatari. Questa ricognizione permette di confrontare l’organizzazione reale con quella rappresentata nella documentazione privacy, individuando omissioni, incongruenze e procedure che esistono soltanto formalmente.
Uno dei primi controlli riguarda il registro delle attività di trattamento previsto dall’articolo 30 del GDPR, quando applicabile. La verifica non si esaurisce nell’accertare che il documento esista: bisogna controllare che le attività registrate corrispondano ai processi aziendali, che le categorie di interessati e destinatari siano correttamente individuate e che siano riportate le informazioni richieste dalla normativa. L’introduzione di nuovi software, l’affidamento di servizi a fornitori esterni o la modifica dei flussi informativi possono rendere necessario un aggiornamento. Per questo aspetto è utile approfondire quando aggiornare il registro dei trattamenti.
L’audit prosegue con l’esame delle informative rese a dipendenti, clienti, fornitori e altri interessati. Occorre verificare che le finalità dichiarate siano effettive, che le basi giuridiche siano correttamente individuate e che le informazioni richieste dagli articoli 13 e 14 del GDPR risultino complete, comprensibili e coerenti con i trattamenti. Una criticità frequente consiste nell’utilizzo di informative standardizzate che non descrivono correttamente le attività dell’impresa oppure richiamano consensi non necessari, mentre omettono altre basi giuridiche pertinenti.
Un’altra area riguarda l’organizzazione delle responsabilità. Vengono esaminati i rapporti tra titolare, eventuali contitolari, responsabili del trattamento e personale autorizzato, verificando l’esistenza e l’adeguatezza delle istruzioni operative. Nei rapporti con fornitori che trattano dati per conto dell’impresa, il controllo comprende i contratti previsti dall’articolo 28 del GDPR, le garanzie offerte dai responsabili e le modalità con cui il titolare esercita la propria attività di verifica. Non è sufficiente che il fornitore dichiari genericamente di rispettare il GDPR: devono essere valutati il servizio concretamente prestato, le misure applicabili e gli eventuali sub-responsabili.
La verifica delle misure tecniche e organizzative richiede un confronto con i responsabili IT e con chi gestisce concretamente i sistemi aziendali. L’audit può riguardare la gestione delle credenziali, i privilegi di accesso, la protezione dei dispositivi, i sistemi di backup, le procedure di ripristino, la registrazione degli accessi ove pertinente e la gestione degli incidenti informatici. Non ogni impresa è tenuta ad adottare identiche soluzioni tecnologiche: l’articolo 32 del GDPR richiede misure adeguate al rischio, tenendo conto anche dello stato dell’arte, dei costi di attuazione e delle caratteristiche dei trattamenti. Le verifiche tecniche specialistiche, quando necessarie, devono essere svolte con il coinvolgimento di professionisti dotati delle competenze appropriate.
Un’attenzione specifica deve essere riservata ai trattamenti dei dati dei dipendenti. L’audit privacy dell’ufficio HR può comprendere la gestione dei fascicoli personali, delle informazioni sanitarie, delle presenze, dei sistemi di videosorveglianza, degli account di posta elettronica e dei dispositivi aziendali. In questo ambito la verifica deve considerare anche le disposizioni nazionali applicabili, compreso l’articolo 4 dello Statuto dei lavoratori per gli strumenti dai quali possa derivare un controllo a distanza dell’attività lavorativa. La sola predisposizione di un’informativa privacy non rende automaticamente lecito un sistema di controllo del personale.
Per le imprese che utilizzano CRM, piattaforme di marketing, siti web, e-commerce o servizi cloud, il controllo comprende le modalità di raccolta dei dati, l’utilizzo dei cookie e degli altri strumenti di tracciamento, la gestione dei consensi quando richiesti, la profilazione e gli eventuali trasferimenti internazionali. La verifica deve tenere conto delle configurazioni effettive dei sistemi: un contratto formalmente corretto può non essere sufficiente quando le impostazioni operative consentono trattamenti non previsti o accessi eccessivamente estesi.
Rientrano nell’audit anche i tempi di conservazione e le procedure di cancellazione dei dati personali. L’impresa deve poter giustificare i periodi adottati in relazione alle finalità, agli obblighi di legge e alle eventuali esigenze di tutela dei propri diritti. Occorre verificare se tali criteri siano applicati anche agli archivi informatici, alle copie di sicurezza e ai documenti cartacei, tenendo conto delle differenti caratteristiche dei sistemi. Sul tema si possono consultare le indicazioni relative alla conservazione dei dati personali e ai relativi tempi.
Quando i trattamenti possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche, l’audit deve verificare se sia stata effettuata la valutazione d’impatto sulla protezione dei dati (DPIA) richiesta dall’articolo 35 del GDPR e se questa debba essere riesaminata alla luce di cambiamenti nel rischio. Il controllo riguarda anche l’effettiva attuazione delle misure individuate nella valutazione. Una DPIA predisposta e successivamente ignorata nelle decisioni operative può lasciare irrisolte le criticità che avrebbe dovuto affrontare.
Se l’azienda ha nominato un Responsabile della protezione dei dati (DPO o RPD), occorre esaminare anche il funzionamento concreto di questa figura, verificando che sia adeguatamente coinvolta nelle questioni riguardanti la protezione dei dati e disponga delle risorse necessarie. L’articolo 39 del GDPR attribuisce al DPO, tra gli altri compiti, la sorveglianza dell’osservanza della normativa, comprese le attività di sensibilizzazione, formazione e audit connessi. La responsabilità della conformità rimane comunque in capo al titolare o al responsabile del trattamento, secondo i rispettivi obblighi. Per approfondire il ruolo di questa funzione si può consultare l’articolo dedicato agli audit privacy effettuati dal DPO.
La verifica comprende infine le procedure di gestione delle richieste degli interessati, delle violazioni dei dati personali e delle segnalazioni interne che coinvolgono informazioni riservate. Se l’impresa dispone di un canale whistleblowing, devono essere esaminati gli aspetti privacy pertinenti alla raccolta, all’accesso, alla conservazione e alla protezione delle segnalazioni, senza confondere l’audit GDPR con la revisione complessiva del sistema whistleblowing o del Modello 231.
Il risultato di questa attività deve permettere di distinguere le carenze puramente documentali dalle irregolarità che incidono concretamente sulla liceità dei trattamenti, sulla sicurezza dei dati o sui diritti degli interessati. Questa distinzione è necessaria per stabilire quali interventi richiedano un’azione immediata e quali possano essere programmati nell’ambito del normale aggiornamento organizzativo.
Non conformità GDPR, responsabilità aziendali e interventi correttivi dopo l’audit privacy
Quando un audit privacy aziendale individua una criticità, il problema non consiste soltanto nello stabilire quale documento modificare. Occorre comprendere se l’irregolarità riguardi un adempimento formale, una procedura organizzativa non applicata oppure un trattamento di dati personali privo dei necessari presupposti di liceità o di adeguate misure di sicurezza. La distinzione incide sulla priorità degli interventi, sulle responsabilità dell’impresa e sull’eventuale necessità di adottare misure immediate.
Le non conformità GDPR possono avere caratteristiche molto diverse. Un registro dei trattamenti che non riporta un’attività recentemente introdotta richiede una verifica e, ove necessario, un aggiornamento. Una piattaforma informatica che consente a dipendenti non autorizzati di consultare dati sanitari presenta invece una criticità che può richiedere interventi tempestivi sui privilegi di accesso, sulle misure di sicurezza e sull’organizzazione del trattamento. Se emergono accessi non autorizzati già avvenuti, occorre anche valutare se si sia verificata una violazione dei dati personali ai sensi dell’articolo 4, punto 12, del GDPR.
La valutazione deve considerare la natura dei dati coinvolti, il numero degli interessati, le modalità del trattamento, le conseguenze potenziali e le misure già presenti. Un audit correttamente impostato permette quindi di attribuire alle criticità una priorità di intervento proporzionata al rischio. Non tutte le irregolarità richiedono la sospensione di un’attività aziendale, ma neppure è corretto rinviare indistintamente ogni intervento al successivo aggiornamento periodico della documentazione.
Un aspetto particolarmente delicato riguarda la responsabilità del titolare del trattamento. Gli articoli 5, paragrafo 2, e 24 del GDPR impongono all’impresa di poter dimostrare l’adozione di misure appropriate. L’affidamento degli adempimenti a un consulente esterno oppure la nomina di un DPO non trasferiscono automaticamente a tali professionisti la responsabilità che la normativa attribuisce al titolare. Per questa ragione, gli amministratori devono assicurarsi che le criticità segnalate siano esaminate, che le decisioni conseguenti siano assunte dai soggetti competenti e che gli interventi siano effettivamente realizzati.
La presenza di un audit non costituisce, da sola, una garanzia contro le sanzioni del Garante Privacy. La sua utilità consiste nella possibilità di individuare e documentare le carenze, programmare le misure correttive e verificare successivamente se abbiano prodotto i risultati attesi. L’articolo 83 del GDPR prevede che, nella determinazione delle eventuali sanzioni amministrative pecuniarie, siano considerate le circostanze del caso concreto, comprese la natura e la gravità della violazione, le misure adottate per attenuarne il danno e il grado di responsabilità del titolare o del responsabile del trattamento.
Non sarebbe quindi corretto sostenere che effettuare un audit GDPR escluda il rischio di sanzioni, così come non ogni irregolarità riscontrata comporta automaticamente l’applicazione di una sanzione amministrativa. La valutazione dipende dalle disposizioni violate, dai fatti accertati e dalle circostanze rilevanti. Se l’impresa ha già ricevuto una richiesta di informazioni o una contestazione, la verifica interna deve essere coordinata con la gestione del procedimento, evitando che attività correttive successive vengano impropriamente rappresentate come prova di una conformità già esistente.
In presenza di un’ispezione o di una richiesta del Garante, assume particolare importanza la possibilità di ricostruire le decisioni aziendali e dimostrare quali controlli siano stati effettivamente svolti. Il report dell’audit, le evidenze documentali, le decisioni adottate e le verifiche successive possono contribuire a questa ricostruzione, purché siano attendibili e coerenti con i fatti. Quando è già in corso un accertamento, è opportuno valutare anche le specifiche esigenze di assistenza durante un’ispezione del Garante Privacy in azienda.
Il report finale dell’audit privacy dovrebbe individuare le attività verificate, le evidenze esaminate, le non conformità riscontrate, i rischi associati e le misure correttive proposte. Per ciascun intervento è opportuno individuare un responsabile aziendale, una tempistica compatibile con la gravità del problema e una modalità di verifica dell’avvenuta attuazione. La relazione deve distinguere ciò che è stato direttamente accertato da quanto risulta soltanto dichiarato dai referenti intervistati o non è stato possibile verificare.
Il piano correttivo può comportare la revisione dei contratti con i responsabili del trattamento, la modifica delle autorizzazioni interne, l’aggiornamento delle informative, la ridefinizione dei tempi di conservazione oppure l’introduzione di controlli tecnici. In altri casi può rendersi necessario modificare il trattamento stesso, limitare determinati accessi o riesaminare la base giuridica utilizzata. Quando l’audit individua una violazione già verificatasi, la gestione degli obblighi eventualmente applicabili deve procedere secondo le relative scadenze normative, indipendentemente dalla programmazione degli altri interventi.
Il controllo non può considerarsi completato con la sola consegna della relazione. Una successiva verifica delle azioni correttive GDPR permette di accertare se le modifiche siano state realmente introdotte e se abbiano risolto le criticità individuate. Questo passaggio assume particolare rilievo nelle imprese articolate, dove le decisioni della direzione devono essere attuate da più uffici, responsabili IT, referenti HR e fornitori esterni. Un intervento dichiarato concluso, ma non applicato nei sistemi o nelle procedure quotidiane, lascia sostanzialmente irrisolto il problema originario.
Esempio pratico: audit GDPR in un’azienda con documentazione privacy non aggiornata
Consideriamo il caso esemplificativo di una società di servizi con circa ottanta dipendenti che, dopo alcuni anni di crescita, decide di effettuare un audit privacy aziendale. L’impresa dispone già di informative, registro dei trattamenti e contratti con alcuni fornitori, ma nel frattempo ha introdotto un nuovo gestionale HR, trasferito parte degli archivi su una piattaforma cloud e modificato le modalità di accesso ai dati dei clienti. La documentazione originaria non è stata riesaminata in modo sistematico.
Durante la verifica documentale e operativa emergono alcune incongruenze: il registro non descrive tutti i trattamenti effettivamente svolti, le istruzioni al personale non corrispondono ai nuovi livelli di accesso e alcuni rapporti con fornitori tecnologici richiedono un approfondimento rispetto all’articolo 28 del GDPR. L’aspetto che necessita di maggiore attenzione riguarda la possibilità che più dipendenti accedano a informazioni personali non necessarie per le rispettive mansioni.
L’intervento viene organizzato distinguendo le criticità da affrontare immediatamente dagli aggiornamenti documentali programmabili. Si procede alla verifica dei privilegi di accesso, alla ricognizione dei flussi di dati, all’esame dei contratti pertinenti e alla definizione di un piano correttivo con responsabilità e scadenze. Le modifiche vengono successivamente sottoposte a controllo per accertarne l’effettiva applicazione. L’esempio mostra perché un audit GDPR non debba limitarsi alla revisione dei documenti: la conformità richiede che le procedure dichiarate trovino corrispondenza nell’organizzazione e nelle attività quotidiane dell’impresa.
Domande frequenti sull’audit privacy aziendale
Un audit privacy aziendale è obbligatorio per tutte le imprese?
Il GDPR non impone indistintamente a tutte le aziende un audit formale con periodicità prestabilita. Gli articoli 24 e 32 richiedono però il riesame delle misure organizzative e tecniche quando necessario e la regolare verifica dell’efficacia delle misure di sicurezza. La necessità, la frequenza e l’estensione dei controlli dipendono dai trattamenti effettuati, dai rischi e dagli eventuali obblighi specifici applicabili all’impresa.
Un’azienda che ha già un DPO deve incaricare un altro professionista per effettuare l’audit?
Non necessariamente. L’articolo 39 del GDPR comprende tra i compiti del DPO la sorveglianza dell’osservanza della normativa, anche attraverso attività di audit. Una verifica indipendente può comunque essere opportuna quando occorre valutare l’efficacia complessiva del sistema privacy, approfondire criticità particolari oppure esaminare attività nelle quali potrebbero emergere conflitti di interessi. La scelta dipende dall’organizzazione aziendale e dalle competenze necessarie.
Quanto costa un audit GDPR per un’azienda?
Il costo dipende dal numero e dalla complessità dei trattamenti, dalle sedi coinvolte, dalla documentazione disponibile, dai sistemi informatici utilizzati e dall’estensione delle verifiche operative. Un controllo documentale circoscritto richiede attività differenti rispetto a un audit che comprende interviste ai responsabili aziendali, esame dei fornitori, verifiche tecniche e predisposizione di un piano correttivo. Prima di richiedere un preventivo è opportuno definire l’oggetto dell’incarico e le attività effettivamente comprese.
Cosa succede se durante l’audit vengono scoperte violazioni del GDPR?
Occorre valutare la natura delle irregolarità, i rischi per gli interessati e gli obblighi eventualmente applicabili. Alcune criticità possono essere affrontate attraverso aggiornamenti documentali o organizzativi; altre richiedono interventi immediati. Se emerge una violazione dei dati personali, devono essere esaminati anche gli obblighi di documentazione, notifica al Garante e comunicazione agli interessati previsti dagli articoli 33 e 34 del GDPR, secondo i rispettivi presupposti.
Quanto tempo occorre per completare un audit privacy aziendale?
La durata varia in relazione alla struttura dell’impresa, alla disponibilità della documentazione e al numero dei processi da verificare. Un audit limitato ad alcuni trattamenti può richiedere tempi relativamente contenuti, mentre una verifica estesa a più sedi, reparti e fornitori necessita di una pianificazione articolata. È opportuno distinguere il tempo necessario per completare l’audit da quello richiesto per attuare e verificare le successive misure correttive.
Audit privacy aziendale: richiedi una valutazione allo Studio Legale Calvello
Se la vostra azienda non effettua controlli GDPR da tempo, ha introdotto nuovi trattamenti, presenta documentazione non aggiornata oppure deve affrontare una verifica sulla conformità privacy, possiamo esaminare la situazione e valutare quali attività di audit siano appropriate rispetto all’organizzazione, ai trattamenti effettuati e ai rischi concretamente presenti.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza giuridica alle imprese nella verifica degli adempimenti privacy, nell’individuazione delle criticità e nella definizione degli interventi necessari, anche in coordinamento con i responsabili aziendali e i professionisti tecnici coinvolti.
Per sottoporre il vostro caso allo Studio, richiedete una valutazione in materia di audit privacy e conformità GDPR aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze dell’impresa e le possibili modalità di assistenza professionale.
