Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda può disporre di informative privacy, registro dei trattamenti, nomine e procedure interne senza essere necessariamente conforme al GDPR. La documentazione potrebbe non rispecchiare più l’organizzazione effettiva, i sistemi informatici utilizzati o le modalità con cui vengono trattati i dati di dipendenti, clienti e fornitori. Il check-up GDPR aziendale serve a verificare proprio questa corrispondenza, individuando eventuali carenze documentali, procedure inadeguate e rischi che richiedono interventi correttivi.
La verifica diventa particolarmente opportuna quando la documentazione privacy non viene aggiornata da tempo, cambiano i fornitori tecnologici, vengono introdotti nuovi software oppure emergono contestazioni e richieste di chiarimenti. Per amministratori, responsabili HR, IT e compliance, conoscere lo stato effettivo degli adempimenti significa poter decidere quali interventi effettuare, con quali priorità e attraverso quali responsabilità organizzative. Nei casi più complessi, una verifica professionale della conformità GDPR consente di esaminare congiuntamente documenti, trattamenti e procedure operative.
Check-up GDPR aziendale: quando è necessario verificare la conformità e quali problemi può far emergere
Il Regolamento (UE) 2016/679 impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate e di essere in grado di dimostrare il rispetto delle disposizioni applicabili. È il principio di responsabilizzazione, o accountability, previsto dall’articolo 5, paragrafo 2, e sviluppato dall’articolo 24 del GDPR. Non è sufficiente conservare un fascicolo privacy predisposto al momento dell’adeguamento iniziale: le misure devono essere riesaminate e aggiornate quando necessario, tenendo conto delle caratteristiche dei trattamenti e dei rischi per le persone interessate.
Il check-up GDPR non costituisce un adempimento autonomo imposto indistintamente a tutte le imprese con una periodicità prestabilita. È una modalità organizzativa di verifica attraverso la quale il titolare può valutare se gli obblighi applicabili siano concretamente rispettati. La sua estensione dipende dalle dimensioni dell’azienda, dalle categorie di dati trattati, dal numero degli interessati, dalle tecnologie impiegate e dall’esposizione ai rischi. Una società commerciale con pochi dipendenti richiederà controlli diversi rispetto a un’impresa che gestisce dati sanitari, utilizza sistemi di monitoraggio del personale o affida numerosi trattamenti a fornitori esterni.
Una situazione ricorrente riguarda le aziende che hanno effettuato un adeguamento GDPR aziendale alcuni anni prima e successivamente hanno modificato processi, organigramma o infrastruttura informatica. Il registro dei trattamenti può continuare a descrivere applicativi non più utilizzati, mentre nuove piattaforme cloud, sistemi CRM o servizi di marketing possono non essere stati adeguatamente valutati. Le informative consegnate agli interessati potrebbero indicare finalità, destinatari o periodi di conservazione non più corrispondenti alla realtà.
Il problema può riguardare anche l’attribuzione delle responsabilità. Un fornitore informatico potrebbe trattare dati personali per conto dell’impresa senza un accordo conforme all’articolo 28 GDPR; un dipendente potrebbe avere accesso a informazioni non necessarie per le proprie mansioni; una procedura di gestione delle violazioni potrebbe esistere soltanto sulla carta, senza individuare chi debba intervenire quando si verifica un incidente. La presenza formale dei documenti non dimostra, da sola, l’effettiva applicazione delle misure previste.
Un controllo diventa particolarmente utile quando la direzione non dispone di informazioni attendibili sullo stato della compliance. Può accadere dopo la sostituzione del responsabile IT, la cessazione del rapporto con un consulente privacy, l’apertura di una nuova sede oppure l’acquisizione di un ramo aziendale. Anche una richiesta documentale proveniente da un importante committente può rendere necessario verificare se l’impresa sia in grado di dimostrare l’adeguatezza della propria organizzazione.
Occorre distinguere la verifica preventiva dalla gestione di una violazione già verificatasi. Se l’azienda scopre un trattamento illecito, una perdita di dati o un accesso non autorizzato, il check-up non può sostituire gli interventi immediati richiesti dalla situazione. In presenza di una violazione dei dati personali devono essere valutati tempestivamente gli obblighi previsti dagli articoli 33 e 34 GDPR, comprese le eventuali notifiche al Garante e comunicazioni agli interessati. La revisione documentale potrà accompagnare tali attività, senza ritardarle.
Quali documenti e procedure devono essere controllati durante un check-up GDPR
La verifica deve partire dalla ricostruzione dei trattamenti effettivamente svolti dall’impresa. Prima di esaminare la correttezza dei singoli documenti occorre comprendere quali dati personali vengono raccolti, per quali finalità, attraverso quali strumenti, chi può accedervi e a quali soggetti vengono comunicati. Questo passaggio permette di confrontare l’organizzazione reale con quella descritta nella documentazione privacy, evitando che il controllo si riduca alla semplice presenza o assenza di moduli.
Uno dei primi documenti da esaminare è il registro delle attività di trattamento previsto dall’articolo 30 GDPR, nei casi in cui ne ricorra l’obbligo. Devono essere verificati la descrizione delle finalità, le categorie degli interessati e dei dati personali, i destinatari, gli eventuali trasferimenti verso Paesi terzi, i termini di cancellazione previsti e la descrizione generale delle misure di sicurezza. È necessario accertare che il registro comprenda i trattamenti effettivi, inclusi quelli relativi al personale, alla gestione commerciale, ai fornitori e ai sistemi informatici. Per gli aspetti relativi all’obbligatorietà e all’aggiornamento del documento rimandiamo all’approfondimento sul registro dei trattamenti GDPR.
Le informative privacy devono essere confrontate con le operazioni concretamente effettuate. Il controllo riguarda, tra l’altro, le finalità del trattamento, le relative basi giuridiche, i destinatari dei dati, i tempi di conservazione, gli eventuali trasferimenti internazionali e le modalità di esercizio dei diritti. Un’informativa formalmente completa può risultare inesatta quando l’azienda utilizza dati per finalità ulteriori rispetto a quelle dichiarate o ha modificato i propri fornitori senza aggiornare le informazioni dovute agli interessati.
Un’attenzione specifica deve essere riservata ai rapporti con i soggetti esterni. Quando un fornitore tratta dati personali per conto dell’azienda, occorre verificare la corretta qualificazione del rapporto e, se ricorrono i presupposti, la presenza di un contratto o altro atto giuridico conforme all’articolo 28 GDPR. La verifica non si esaurisce nell’esistenza dell’accordo: bisogna esaminare le istruzioni documentate, le misure di sicurezza, il ricorso a subresponsabili, le condizioni di restituzione o cancellazione dei dati e gli obblighi di collaborazione in caso di incidente. Non tutti i fornitori sono automaticamente responsabili del trattamento, poiché alcuni possono operare come titolari autonomi.
All’interno dell’organizzazione devono essere controllate le autorizzazioni e le istruzioni impartite alle persone che trattano dati sotto l’autorità del titolare o del responsabile. L’articolo 29 e l’articolo 32, paragrafo 4, GDPR richiedono che tali soggetti operino secondo le istruzioni ricevute, salvo specifici obblighi di legge. È quindi opportuno verificare la corrispondenza tra mansioni, privilegi di accesso e trattamenti consentiti, prestando particolare attenzione ai dipendenti che cambiano funzione o cessano il rapporto di lavoro.
Il controllo deve comprendere anche i tempi di conservazione dei dati personali. Non è sufficiente indicare genericamente che le informazioni vengono conservate per il periodo necessario: l’azienda deve poter giustificare i criteri applicati alle diverse categorie di dati, considerando obblighi legali, finalità del trattamento ed eventuali esigenze di tutela dei diritti. Le procedure di cancellazione, anonimizzazione o limitazione della conservazione devono risultare coerenti con tali criteri, anche quando i dati sono presenti in archivi elettronici, sistemi cloud o copie di sicurezza.
Una parte del check-up riguarda le misure tecniche e organizzative previste dall’articolo 32 GDPR. In collaborazione con i responsabili IT occorre verificare, secondo il rischio concreto, la gestione degli accessi, le credenziali, le autorizzazioni, la protezione dei dispositivi, i backup, il ripristino dei dati e le procedure di risposta agli incidenti. L’esistenza di sistemi di sicurezza informatica non dimostra automaticamente la conformità privacy: devono essere valutati anche la liceità dei trattamenti, la limitazione delle finalità, la minimizzazione dei dati e la capacità di rispettare i diritti degli interessati.
Per i trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche occorre verificare se sia necessaria una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 GDPR. Se una DPIA è già stata effettuata, bisogna accertare che descriva correttamente il trattamento attuale, i rischi e le misure previste, valutando la necessità di riesaminarla quando cambiano i rischi associati alle operazioni.
Infine, devono essere esaminate le procedure operative: gestione delle richieste degli interessati, segnalazione interna delle violazioni, valutazione degli incidenti, formazione del personale e controlli periodici. Quando l’azienda ha nominato un DPO, la verifica deve considerare anche il suo coinvolgimento nelle questioni relative alla protezione dei dati, secondo gli articoli 38 e 39 GDPR, senza confondere i compiti di consulenza e sorveglianza del DPO con la responsabilità del titolare. L’esame congiunto di documenti e procedure consente di individuare quali carenze richiedano un semplice aggiornamento e quali, invece, rendano necessaria una revisione delle modalità con cui l’impresa tratta i dati personali.
Come individuare le non conformità GDPR e stabilire quali interventi effettuare
Una volta esaminati documenti e procedure, il check-up GDPR deve stabilire se le eventuali carenze riscontrate costituiscano violazioni di obblighi normativi, misure organizzative insufficienti oppure aspetti migliorabili della gestione aziendale. La distinzione è necessaria perché non tutte le irregolarità hanno la stessa gravità e non ogni documento da aggiornare comporta automaticamente una violazione sanzionabile. La valutazione deve considerare la natura dei dati trattati, le operazioni effettivamente svolte, il numero delle persone interessate e le conseguenze che una carenza potrebbe produrre sui loro diritti e libertà.
Per esempio, un registro dei trattamenti che non riporta un nuovo applicativo aziendale richiede una verifica della completezza delle informazioni previste dall’articolo 30 GDPR. Diversa è la situazione nella quale l’impresa utilizza un sistema di monitoraggio dei dipendenti senza avere esaminato la base giuridica del trattamento, gli obblighi informativi e le disposizioni applicabili in materia di controlli a distanza, compreso l’articolo 4 della legge n. 300/1970. In quest’ultimo caso potrebbe essere necessario intervenire sulle modalità operative del trattamento, non soltanto aggiornare la documentazione.
La verifica deve quindi tradursi in un piano di adeguamento GDPR fondato sulle non conformità effettivamente riscontrate. Le criticità che incidono sulla liceità dei trattamenti, sulla sicurezza dei dati o sull’esercizio dei diritti degli interessati richiedono una valutazione prioritaria. Altre carenze possono essere affrontate attraverso la revisione delle informative, l’aggiornamento delle istruzioni interne, la formalizzazione dei rapporti con i fornitori o la riorganizzazione delle procedure di conservazione e cancellazione dei dati.
Particolare attenzione merita la gestione delle violazioni dei dati personali. Durante il controllo occorre accertare che l’azienda disponga di una procedura concretamente utilizzabile per riconoscere un incidente, raccogliere le informazioni necessarie, valutarne il rischio e assumere tempestivamente le decisioni previste dal GDPR. L’articolo 33 stabilisce che, quando ne ricorrono i presupposti, il titolare notifichi la violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. L’articolo 34 disciplina invece la comunicazione agli interessati quando la violazione è suscettibile di presentare un rischio elevato per i loro diritti e libertà.
Una procedura che si limita a indicare genericamente di avvisare il responsabile informatico potrebbe risultare insufficiente. È opportuno verificare chi riceve le segnalazioni interne, chi raccoglie gli elementi per valutare l’incidente, come viene coinvolto il DPO quando nominato e chi assume le decisioni di competenza del titolare. Devono essere considerate anche le comunicazioni dei fornitori che operano come responsabili del trattamento, tenuti dall’articolo 33, paragrafo 2, GDPR a informare il titolare senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione.
Il check-up deve esaminare anche le modalità con cui vengono gestite le richieste degli interessati. Un’impresa potrebbe disporre di informative corrette ma non avere un’organizzazione capace di rispondere tempestivamente a una richiesta di accesso, rettifica o cancellazione. L’articolo 12 GDPR prevede, in via generale, che il titolare fornisca informazioni sull’azione intrapresa senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, fatte salve le condizioni previste per un’eventuale proroga. Occorre quindi controllare che le richieste siano riconosciute, assegnate ai soggetti competenti e gestite entro i termini applicabili.
Quando emergono trattamenti particolarmente delicati, come l’utilizzo di dati sanitari, sistemi di videosorveglianza, geolocalizzazione o strumenti di analisi del comportamento dei lavoratori, la verifica deve approfondire la necessità di specifiche garanzie. Non è corretto presumere che ogni trattamento richieda una DPIA, ma nemmeno escluderla soltanto perché il sistema è già operativo da anni. La valutazione deve essere effettuata alla luce dell’articolo 35 GDPR, dei criteri applicabili e delle caratteristiche concrete del trattamento.
Il rapporto finale del check-up GDPR dovrebbe permettere alla direzione di distinguere gli adempimenti già correttamente gestiti, le non conformità da correggere e le misure ulteriori da valutare. Per ogni intervento è utile individuare la funzione aziendale competente, le attività necessarie e le relative priorità. Quando l’impresa dispone di un DPO, il suo coinvolgimento nelle attività di sorveglianza e consulenza deve rispettare l’indipendenza prevista dal GDPR; la responsabilità delle decisioni e della conformità dei trattamenti rimane in capo al titolare.
Questa impostazione consente di utilizzare il controllo anche per verificare l’effettiva applicazione delle misure adottate. La semplice predisposizione di una nuova informativa o di una procedura non dimostra che il personale abbia ricevuto istruzioni adeguate o che i sistemi informatici siano stati configurati coerentemente. Per questo motivo può essere necessario prevedere verifiche successive, soprattutto quando le irregolarità richiedono modifiche organizzative o tecnologiche. Le aziende che hanno riscontrato documenti obsoleti possono approfondire anche come aggiornare correttamente la documentazione privacy aziendale, distinguendo la revisione dei singoli atti dal controllo complessivo dei trattamenti.
Esempio pratico: check-up GDPR in un’azienda con documentazione privacy non aggiornata
Consideriamo, a titolo esemplificativo, una società di servizi con circa quaranta dipendenti che abbia predisposto la documentazione GDPR alcuni anni prima e successivamente introdotto un nuovo gestionale cloud, un sistema CRM e ulteriori strumenti per la gestione del personale. La direzione dispone delle informative, del registro dei trattamenti e delle istruzioni interne, ma non sa se tali documenti descrivano ancora correttamente le attività aziendali.
Un check-up GDPR condotto su questa situazione partirebbe dal confronto tra i trattamenti effettivi e quelli documentati. Potrebbero emergere un registro non aggiornato, accordi con fornitori da verificare, informative non coerenti con i nuovi strumenti e autorizzazioni di accesso da rivedere. L’aspetto più delicato sarebbe accertare se i nuovi sistemi comportino ulteriori finalità di trattamento, comunicazioni a soggetti esterni o trasferimenti internazionali di dati, valutando anche l’adeguatezza delle misure di sicurezza.
La riorganizzazione dovrebbe procedere secondo le priorità emerse dalla verifica: chiarimento dei ruoli privacy, aggiornamento dei documenti necessari, revisione delle procedure operative e attribuzione delle responsabilità interne. Il controllo successivo permetterebbe di accertare se gli interventi siano stati effettivamente attuati. Si tratta di un esempio ipotetico, utile a comprendere perché la verifica della conformità GDPR richieda l’esame dell’organizzazione concreta e non soltanto dei documenti conservati dall’azienda.
FAQ: domande frequenti sul check-up GDPR aziendale
Il check-up GDPR è obbligatorio per tutte le aziende?
Il GDPR non prevede un obbligo generalizzato di effettuare un check-up con una periodicità prestabilita. Gli articoli 5 e 24 richiedono però al titolare di dimostrare la conformità dei trattamenti e di riesaminare e aggiornare, quando necessario, le misure tecniche e organizzative adottate. Un controllo periodico costituisce quindi uno strumento utile per adempiere a tali responsabilità. La frequenza e l’estensione delle verifiche devono essere proporzionate ai trattamenti effettuati e ai relativi rischi.
Un’azienda che possiede già tutti i documenti privacy deve comunque effettuare una verifica?
La presenza dei documenti non dimostra necessariamente che i trattamenti siano conformi. Il check-up serve a verificare se informative, registro, accordi con i fornitori e procedure interne corrispondano alle attività effettivamente svolte. La verifica è particolarmente opportuna dopo modifiche organizzative, introduzione di nuovi software, cambiamenti nei rapporti con i fornitori o aggiornamenti delle modalità di trattamento dei dati personali.
Chi può effettuare il controllo della conformità GDPR aziendale?
La verifica può essere organizzata internamente oppure affidata a professionisti esterni con competenze giuridiche, organizzative e, quando necessario, informatiche. Se è stato nominato un DPO, occorre considerare i suoi compiti di sorveglianza dell’osservanza del GDPR e di consulenza, previsti dall’articolo 39. Il ricorso a un professionista esterno non trasferisce automaticamente la responsabilità della conformità, che rimane in capo al titolare del trattamento.
Quanto costa un check-up GDPR per un’azienda?
Il costo dipende dall’estensione delle verifiche, dal numero e dalla complessità dei trattamenti, dalle sedi coinvolte e dalle caratteristiche dell’organizzazione. Incidono anche la quantità di documentazione da esaminare, la presenza di trattamenti particolarmente delicati e l’eventuale necessità di verifiche tecniche. Un preventivo dovrebbe distinguere l’attività di controllo dalla successiva predisposizione o revisione dei documenti e dall’attuazione delle misure correttive.
Cosa succede se durante il check-up vengono individuate violazioni del GDPR?
Occorre valutare la natura delle irregolarità e adottare le misure necessarie per interrompere o correggere eventuali trattamenti non conformi. Se emerge una violazione dei dati personali, devono essere esaminati senza ritardo gli obblighi previsti dagli articoli 33 e 34 GDPR. Le altre carenze possono richiedere aggiornamenti documentali, modifiche delle procedure o interventi sulle misure di sicurezza. L’individuazione di una non conformità non comporta automaticamente una sanzione, ma rende necessario valutare gli obblighi applicabili e le conseguenze del caso concreto.
Check-up GDPR aziendale: richiedi una valutazione allo Studio Legale Calvello
Una documentazione privacy incompleta, procedure non aggiornate o trattamenti introdotti senza un’adeguata verifica possono esporre l’impresa a contestazioni e responsabilità. Per stabilire quali interventi siano necessari occorre esaminare i trattamenti effettivi, gli obblighi applicabili e l’organizzazione aziendale, distinguendo le irregolarità documentali dalle criticità che incidono concretamente sulla protezione dei dati personali.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli adempimenti privacy, nella verifica della documentazione GDPR e nell’individuazione delle misure correttive appropriate. Esaminiamo le esigenze dell’azienda considerando le responsabilità del titolare, i rapporti con i fornitori e le procedure concretamente adottate.
Se la tua azienda deve verificare la propria conformità GDPR, aggiornare documenti e procedure oppure affrontare irregolarità già individuate, richiedi una valutazione attraverso il modulo dedicato alla consulenza GDPR e privacy aziendale. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono approfondimento e le possibili modalità di assistenza.
