Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può disporre di informative privacy, registro dei trattamenti e nomine formalmente corrette, senza essere necessariamente conforme al GDPR. La conformità dipende anche da come vengono effettivamente raccolti, utilizzati, conservati e protetti i dati personali di dipendenti, clienti e fornitori. Una checklist GDPR aziendale consente di verificare gli adempimenti, individuare eventuali carenze documentali e organizzative e stabilire quali interventi richiedano maggiore attenzione.

Il controllo diventa particolarmente opportuno quando la documentazione privacy non viene aggiornata da tempo, cambiano i software gestionali, vengono introdotti nuovi sistemi di videosorveglianza, si esternalizzano servizi oppure emergono dubbi sulla correttezza delle procedure. Anche un’impresa che abbia già effettuato l’adeguamento può avere necessità di una verifica indipendente. Noi dello Studio Legale Calvello esaminiamo questi aspetti considerando gli obblighi effettivamente applicabili, i trattamenti svolti e le responsabilità dell’organizzazione, distinguendo le irregolarità da correggere dalle misure di miglioramento consigliabili.

Checklist GDPR aziendale: quali adempimenti controllare e come individuare le irregolarità

Il punto di partenza di una verifica completa della conformità GDPR è ricostruire le attività aziendali nelle quali vengono trattati dati personali. Non è sufficiente controllare l’esistenza dei documenti: occorre confrontarli con le operazioni realmente effettuate dagli uffici amministrativi, dalle risorse umane, dai reparti commerciali e dai fornitori esterni. Il Regolamento (UE) 2016/679, attraverso il principio di responsabilizzazione previsto dall’art. 5, paragrafo 2, richiede al titolare del trattamento di rispettare i principi applicabili e di essere in grado di comprovarne l’osservanza.

Una checklist degli adempimenti GDPR deve quindi verificare anzitutto l’identificazione del titolare del trattamento, l’attribuzione dei ruoli privacy e la corretta individuazione delle basi giuridiche. Per ogni attività devono risultare chiari lo scopo del trattamento, le categorie di dati utilizzati, i soggetti che possono accedervi, gli eventuali destinatari e i criteri di conservazione. L’azienda deve anche accertare che le informazioni fornite agli interessati corrispondano alle attività effettivamente svolte.

Il registro delle attività di trattamento, quando obbligatorio ai sensi dell’art. 30 GDPR, costituisce uno degli strumenti principali di questa verifica. Deve rappresentare correttamente i trattamenti aziendali e le informazioni richieste dalla normativa. L’esenzione prevista per determinate organizzazioni con meno di 250 dipendenti non opera indistintamente: occorre considerare, tra l’altro, i trattamenti non occasionali, quelli potenzialmente rischiosi per i diritti e le libertà delle persone e quelli riguardanti particolari categorie di dati o dati relativi a condanne penali e reati. La verifica deve quindi riguardare sia l’eventuale obbligo di tenuta sia la corrispondenza del registro alla realtà aziendale. Per gli aspetti relativi alla sua revisione rimandiamo al nostro approfondimento sul registro dei trattamenti e sui casi in cui occorre aggiornarlo.

Un altro controllo riguarda le informative rese ai sensi degli artt. 13 e 14 GDPR. L’azienda deve verificare che siano disponibili nei contesti pertinenti, contengano le informazioni prescritte e descrivano correttamente finalità, basi giuridiche, destinatari e periodi di conservazione. Una informativa predisposta prima dell’introduzione di un nuovo CRM, di una piattaforma cloud o di ulteriori attività di marketing potrebbe non rappresentare più tutti i trattamenti effettuati. Lo stesso vale per le informative destinate ai dipendenti quando vengono modificati gli strumenti utilizzati per l’organizzazione e il controllo dell’attività lavorativa.

La checklist deve comprendere le nomine e le istruzioni impartite alle persone autorizzate al trattamento, oltre agli accordi con i responsabili esterni previsti dall’art. 28 GDPR. Commercialisti, fornitori di software, società che gestiscono servizi informatici e altri soggetti esterni non assumono automaticamente lo stesso ruolo privacy: occorre qualificare correttamente ciascun rapporto in base alle attività effettivamente svolte. Quando un fornitore tratta dati personali per conto dell’impresa, il relativo accordo deve disciplinare gli elementi richiesti dalla normativa, comprese le misure di sicurezza, l’eventuale ricorso a sub-responsabili e le modalità di assistenza al titolare.

Il controllo documentale deve infine riguardare le procedure per l’esercizio dei diritti degli interessati, la gestione delle violazioni dei dati personali, i tempi di conservazione, le misure di sicurezza e la formazione del personale. La presenza di moduli e policy non dimostra, da sola, che le procedure siano conosciute e applicate. Per questo una checklist GDPR completa deve associare a ciascun adempimento una verifica delle evidenze disponibili, delle responsabilità operative e delle eventuali azioni correttive.

Controllo operativo GDPR: sicurezza dei dati, DPIA, dipendenti, fornitori e sistemi informatici

Dopo aver verificato la documentazione, occorre esaminare come l’azienda tratta concretamente i dati personali. L’art. 24 GDPR richiede al titolare di adottare misure tecniche e organizzative adeguate, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone. L’art. 32 disciplina specificamente la sicurezza del trattamento. La verifica GDPR aziendale deve quindi valutare l’adeguatezza delle misure adottate rispetto ai rischi effettivi, senza presumere che ogni impresa debba utilizzare gli stessi strumenti.

Per i sistemi informatici è necessario verificare la gestione delle credenziali, l’attribuzione e la revoca dei permessi, la protezione degli account, i sistemi di backup, le procedure di ripristino e le modalità di accesso remoto. Occorre accertare, ad esempio, se un dipendente che cambia mansione conservi autorizzazioni non più necessarie oppure se un collaboratore cessato possa ancora accedere a caselle email, archivi condivisi o piattaforme aziendali. Sono situazioni nelle quali una carenza organizzativa può incidere direttamente sulla riservatezza e sulla sicurezza dei dati.

Un controllo specifico riguarda la valutazione d’impatto sulla protezione dei dati (DPIA). Ai sensi dell’art. 35 GDPR, essa è richiesta quando un tipo di trattamento, considerate le sue caratteristiche, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. La checklist deve consentire di individuare i trattamenti per i quali è necessario effettuare tale valutazione e verificare l’eventuale aggiornamento delle DPIA già predisposte. Non ogni attività aziendale richiede una DPIA, ma la decisione di non effettuarla deve poggiare su una valutazione coerente con le caratteristiche del trattamento.

Particolare attenzione merita la gestione dei dati dei dipendenti. L’ufficio HR tratta informazioni anagrafiche, retributive e, in determinate circostanze, dati appartenenti a categorie particolari. La verifica deve riguardare l’accessibilità delle informazioni, la conservazione dei documenti, le comunicazioni a soggetti esterni e l’utilizzo di strumenti aziendali. Quando sono presenti sistemi di videosorveglianza, geolocalizzazione o strumenti dai quali possa derivare un controllo a distanza dell’attività lavorativa, occorre considerare anche l’art. 4 dello Statuto dei lavoratori, nei casi in cui trova applicazione. La sola predisposizione dell’informativa privacy non sostituisce gli ulteriori presupposti eventualmente richiesti dalla disciplina lavoristica. Per le verifiche specifiche relative al personale è disponibile il nostro approfondimento sulla privacy e sul GDPR nella gestione delle risorse umane.

La stessa attenzione deve essere riservata ai fornitori di servizi cloud e ai software gestionali. L’impresa deve conoscere quali dati vengono affidati all’esterno, dove vengono trattati, quali soggetti possono accedervi e se sono previsti trasferimenti verso Paesi terzi. In quest’ultimo caso occorre verificare la sussistenza delle condizioni previste dal Capo V del GDPR. L’utilizzo di un servizio informatico diffuso sul mercato non costituisce, di per sé, prova della conformità del trattamento effettuato dall’azienda cliente.

Per siti web, e-commerce e attività commerciali, il controllo comprende informative, gestione dei cookie e degli altri strumenti di tracciamento, raccolta dei consensi quando necessari, trattamento dei dati dei clienti e utilizzo di piattaforme di marketing. Le basi giuridiche devono essere individuate in relazione alle specifiche finalità: non tutti i trattamenti richiedono il consenso, mentre il consenso, quando necessario, deve possedere i requisiti previsti dal GDPR. Devono essere verificate anche le modalità con cui l’impresa gestisce le richieste di accesso, rettifica, cancellazione e gli altri diritti esercitabili dagli interessati.

La checklist deve comprendere, infine, le procedure di gestione dei data breach. L’azienda deve essere in grado di riconoscere una violazione dei dati personali, documentarla, valutarne i rischi e stabilire se ricorrano i presupposti per la notifica al Garante o per la comunicazione agli interessati. Il termine di 72 ore previsto dall’art. 33 GDPR riguarda, nei casi in cui la notifica è dovuta, il periodo decorrente dal momento in cui il titolare viene a conoscenza della violazione, salvo le condizioni e le precisazioni previste dalla disposizione. La verifica preventiva delle procedure permette di individuare responsabilità e canali di comunicazione prima che si presenti un incidente. Per la gestione operativa delle violazioni rimandiamo all’articolo dedicato al data breach in azienda e alle attività da svolgere nelle prime 72 ore.

Obblighi, responsabilità e rischi: come gestire le non conformità emerse dalla checklist GDPR

Una volta completato il controllo della documentazione e delle procedure operative, l’azienda deve valutare le irregolarità riscontrate e stabilire come intervenire. Non tutte le carenze hanno la stessa rilevanza giuridica: un’informativa che necessita di un aggiornamento, l’assenza di un accordo obbligatorio con un responsabile del trattamento e l’accesso indiscriminato a dati personali particolarmente delicati presentano problemi differenti. La checklist GDPR per aziende deve quindi consentire di distinguere gli adempimenti non rispettati, le misure organizzative insufficienti e gli interventi migliorativi che, pur non essendo espressamente obbligatori in ogni situazione, possono risultare opportuni rispetto ai rischi concretamente individuati.

La prima attività consiste nell’attribuire a ciascuna non conformità una priorità di intervento. Occorre considerare la natura dei dati trattati, il numero e le categorie degli interessati coinvolti, le possibili conseguenze di un utilizzo improprio delle informazioni e l’effettiva esposizione al rischio. Se, ad esempio, l’azienda conserva dati personali senza criteri di cancellazione oppure consente a personale non autorizzato di consultare informazioni riservate, la verifica non può limitarsi alla modifica di una policy. È necessario individuare la causa organizzativa o tecnica della carenza e adottare misure proporzionate, verificandone successivamente l’applicazione.

Un aspetto da controllare riguarda la nomina del Responsabile della protezione dei dati (DPO o RPD). Gli artt. 37, 38 e 39 GDPR disciplinano i casi di designazione obbligatoria, la posizione e i compiti di questa figura. La nomina non è richiesta indistintamente a tutte le imprese: dipende dalle condizioni previste dalla normativa, comprese le caratteristiche delle attività principali e dei trattamenti effettuati. Quando il DPO è stato nominato, la checklist deve verificare che disponga delle condizioni necessarie per svolgere i propri compiti, sia tempestivamente coinvolto nelle questioni relative alla protezione dei dati e non si trovi in situazioni di conflitto di interessi. Per approfondire i presupposti della designazione è disponibile il nostro articolo su quando un’azienda è obbligata a nominare il DPO.

Il controllo deve comprendere anche la capacità dell’impresa di dimostrare le attività effettivamente svolte per rispettare il GDPR. Verbali di formazione, verifiche sui fornitori, aggiornamenti del registro, valutazioni dei rischi e documentazione degli interventi correttivi possono costituire elementi utili per ricostruire il sistema di gestione della privacy. La loro rilevanza dipende dagli obblighi applicabili e dalle caratteristiche dell’organizzazione. L’accountability non coincide con l’accumulo di documenti: richiede che le scelte del titolare siano giustificate, coerenti con i trattamenti e concretamente attuate.

Le conseguenze delle violazioni devono essere valutate considerando il regime previsto dagli artt. 82 e 83 GDPR. Le sanzioni amministrative pecuniarie possono raggiungere, a seconda delle disposizioni violate, i massimali previsti dal Regolamento, ma la loro applicazione e quantificazione dipendono dalle circostanze del caso concreto e dai criteri normativi. Possono inoltre sorgere responsabilità risarcitorie quando ricorrono i presupposti previsti dall’art. 82. Non è corretto presumere che ogni carenza documentale determini automaticamente una sanzione o che la sola presenza di documentazione formalmente completa escluda ogni responsabilità.

Quando l’azienda riceve una richiesta di informazioni o viene sottoposta a un controllo del Garante per la protezione dei dati personali, assume particolare rilievo la possibilità di ricostruire i trattamenti effettuati, le decisioni assunte e le misure adottate. Una verifica preventiva degli adempimenti GDPR può aiutare a individuare le criticità prima di un’attività ispettiva, mentre le irregolarità già emerse richiedono interventi specifici e documentabili. Per gli aspetti relativi all’attività dell’Autorità rimandiamo all’approfondimento sull’ispezione del Garante Privacy in azienda e sulle modalità di assistenza legale.

Il risultato del controllo dovrebbe tradursi in un piano di adeguamento che individui le attività da correggere, i soggetti incaricati, le priorità e le modalità di verifica successiva. Per le organizzazioni più articolate può essere necessario coinvolgere la direzione, l’ufficio HR, i responsabili IT, i referenti dei processi aziendali e il DPO, ove designato. Noi riteniamo opportuno che la valutazione giuridica sia collegata alle effettive possibilità operative dell’impresa, evitando interventi puramente formali che non modificano il trattamento dei dati.

Esempio pratico: verifica degli adempimenti GDPR in un’azienda con documentazione non aggiornata

Consideriamo il caso esemplificativo di una società di servizi che abbia predisposto la documentazione privacy alcuni anni prima e successivamente introdotto un nuovo gestionale, un sistema cloud per la condivisione dei documenti e ulteriori strumenti per la gestione del personale. La direzione ritiene di essere in regola perché conserva informative, nomine e registro dei trattamenti, ma non ha mai verificato se tali documenti descrivano ancora correttamente l’organizzazione.

Una verifica strutturata mediante checklist GDPR potrebbe far emergere che il registro non comprende alcuni trattamenti introdotti successivamente, che gli accordi con determinati fornitori devono essere riesaminati e che le autorizzazioni di accesso ai documenti non corrispondono più alle mansioni effettive dei dipendenti. La criticità principale sarebbe la distanza tra le procedure formalizzate e le attività concretamente svolte, soprattutto quando più uffici utilizzano gli stessi sistemi informatici.

In una situazione di questo tipo, l’intervento professionale dovrebbe partire dalla ricostruzione dei flussi di dati e dall’esame dei rapporti contrattuali con i fornitori, per poi individuare gli aggiornamenti documentali e le modifiche organizzative necessarie. Particolare attenzione andrebbe riservata alla gestione dei permessi di accesso e alla verifica delle misure di sicurezza. Il lavoro potrebbe essere organizzato attraverso un piano di adeguamento con responsabilità definite e controlli successivi, così da consentire alla direzione di conoscere le carenze riscontrate e le attività ancora da completare.

FAQ sulla checklist GDPR: le domande più frequenti delle aziende

Ogni quanto un’azienda deve effettuare un controllo degli adempimenti GDPR?

Il GDPR non stabilisce una periodicità annuale obbligatoria e generalizzata per gli audit privacy. L’art. 24 richiede però di riesaminare e aggiornare le misure adottate quando necessario. La frequenza dei controlli dipende dai trattamenti effettuati, dai rischi e dalle caratteristiche dell’organizzazione. Una verifica è particolarmente opportuna dopo modifiche ai processi aziendali, introduzione di nuovi software, cambiamenti nei rapporti con i fornitori o incidenti relativi ai dati personali.

Una PMI deve rispettare tutti gli adempimenti previsti dalla checklist GDPR?

Una piccola o media impresa deve rispettare gli obblighi applicabili ai trattamenti che effettua, ma non tutti gli adempimenti sono necessariamente richiesti in ogni situazione. La nomina del DPO, la valutazione d’impatto e alcune attività documentali dipendono da specifici presupposti normativi. Le dimensioni ridotte dell’azienda non comportano un’esenzione generale dal GDPR. La checklist deve quindi essere adattata ai trattamenti effettivi e ai rischi connessi.

Chi è responsabile delle irregolarità GDPR individuate durante il controllo?

Il titolare del trattamento è responsabile del rispetto degli obblighi che gli competono ai sensi del GDPR. Anche i responsabili del trattamento hanno obblighi propri e possono incorrere nelle responsabilità previste dalla normativa. La presenza di un consulente privacy o di un DPO non trasferisce automaticamente a questi soggetti le responsabilità del titolare. All’interno dell’impresa occorre individuare chi debba attuare le misure correttive, mantenendo distinta l’attribuzione delle attività operative dalle responsabilità giuridiche.

Quanto costa una verifica completa della conformità GDPR aziendale?

Il costo dipende dal numero e dalla complessità dei trattamenti, dalle dimensioni dell’organizzazione, dalla quantità di documentazione da esaminare e dall’eventuale necessità di verifiche presso più sedi o fornitori. Occorre distinguere il semplice controllo documentale da un audit che comprenda interviste, esame delle procedure operative, valutazione dei rischi e predisposizione di un piano correttivo. Un preventivo professionale dovrebbe precisare le attività comprese e gli eventuali interventi di adeguamento esclusi dall’incarico.

È possibile effettuare la checklist GDPR internamente oppure serve un professionista esterno?

Un’azienda può organizzare controlli interni attraverso personale adeguatamente competente. Il GDPR non impone di affidare ogni verifica a un consulente esterno. L’assistenza professionale può essere particolarmente utile quando emergono dubbi sull’interpretazione degli obblighi, trattamenti ad alto rischio, carenze organizzative o possibili contestazioni. Una valutazione indipendente permette anche di esaminare procedure predisposte internamente o da precedenti consulenti, individuando eventuali aspetti che richiedono un approfondimento giuridico.

Checklist GDPR aziendale: richiedi una valutazione degli adempimenti e delle eventuali irregolarità

Una checklist GDPR consente di individuare i controlli necessari, ma la valutazione della conformità richiede di esaminare le caratteristiche concrete dell’impresa, i trattamenti effettuati e le misure già adottate. Documentazione incompleta, procedure non aggiornate, rapporti con fornitori non correttamente disciplinati e criticità nella sicurezza dei dati possono richiedere interventi differenti, da definire in relazione agli obblighi applicabili e ai rischi effettivamente riscontrati.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nella verifica degli adempimenti privacy, nell’esame della documentazione GDPR e nella valutazione delle misure correttive necessarie. Possiamo esaminare anche situazioni nelle quali l’adeguamento sia stato effettuato in passato, ma non sia più chiaro se la documentazione e le procedure corrispondano all’attuale organizzazione aziendale.

Se la vostra impresa necessita di un controllo della conformità GDPR o ha individuato possibili irregolarità, richiedete una valutazione degli adempimenti privacy aziendali attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono approfondimento e valutare le possibili modalità di assistenza.