Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che ha predisposto la documentazione privacy alcuni anni fa, senza più verificarla, potrebbe oggi utilizzare informative superate, registri dei trattamenti incompleti, contratti con fornitori non adeguati e procedure che non corrispondono alle attività effettivamente svolte. Il problema emerge spesso quando vengono introdotti nuovi software, cambiano i rapporti con dipendenti e clienti oppure un committente richiede prove della conformità al GDPR. La documentazione privacy non ha una scadenza generale, ma deve rimanere coerente con i trattamenti effettivi e con gli obblighi applicabili. Quando gli aggiornamenti mancano da anni, occorre verificare quali adempimenti siano ancora adeguati, individuare le eventuali irregolarità e stabilire gli interventi necessari. Una revisione professionale può essere particolarmente opportuna quando l’impresa tratta dati delicati, ha modificato la propria organizzazione o teme contestazioni.

Privacy aziendale ferma da anni: come riconoscere una documentazione ormai inadeguata

Una situazione frequente riguarda le imprese che hanno effettuato l’adeguamento al Regolamento (UE) 2016/679 nel 2018, affidandosi a un consulente esterno, e successivamente hanno conservato gli stessi documenti senza sottoporli a verifiche sostanziali. Nel frattempo possono essere cambiati i programmi gestionali, i fornitori informatici, le modalità di raccolta dei dati, l’organizzazione del personale e persino le finalità dei trattamenti. Il fatto che l’azienda possieda un fascicolo GDPR non significa che sia attualmente conforme alla normativa.

Il primo controllo consiste nel confrontare la documentazione disponibile con ciò che avviene concretamente nell’impresa. Un registro dei trattamenti predisposto quando l’azienda aveva pochi dipendenti potrebbe non descrivere più le attività dell’ufficio HR, l’utilizzo di piattaforme cloud, la gestione dei clienti attraverso un CRM o le nuove iniziative commerciali. Le informative potrebbero indicare fornitori non più utilizzati, finalità incomplete o periodi di conservazione non corrispondenti alle procedure effettive. Anche le istruzioni impartite al personale possono risultare superate rispetto agli strumenti di lavoro oggi disponibili.

Particolare attenzione merita la documentazione proveniente da precedenti consulenti. Quando l’incarico professionale è terminato o la gestione della privacy è stata affidata informalmente all’amministrazione, può mancare una figura incaricata di verificare gli aggiornamenti. Questo non determina automaticamente una violazione, ma rende necessario accertare chi abbia seguito gli adempimenti, quali controlli siano stati effettuati e quali attività siano rimaste prive di supervisione. Per le imprese che intendono ricostruire la situazione documentale è utile distinguere la revisione della documentazione privacy aziendale dalla verifica più ampia dell’effettiva conformità dei trattamenti.

La questione assume particolare rilievo quando sono intervenuti cambiamenti organizzativi importanti. L’apertura di nuove sedi, l’acquisizione di altre società, l’esternalizzazione di servizi, l’introduzione di sistemi di videosorveglianza o l’impiego di strumenti di intelligenza artificiale possono richiedere valutazioni ulteriori. Non tutti questi cambiamenti impongono automaticamente di rifare l’intero adeguamento GDPR: occorre individuare i trattamenti interessati, verificare quali documenti debbano essere modificati e accertare se le misure organizzative esistenti siano ancora adeguate.

Quali documenti e procedure GDPR devono essere verificati per primi

La revisione dovrebbe partire dalla ricostruzione dei trattamenti di dati personali effettivamente svolti. Il registro delle attività di trattamento previsto dall’articolo 30 GDPR, quando obbligatorio, costituisce un riferimento per individuare finalità, categorie di interessati, destinatari, trasferimenti internazionali e tempi di conservazione. Deve rappresentare l’organizzazione reale e non limitarsi a riprodurre un modello compilato anni prima. La verifica deve considerare anche i casi in cui l’obbligo di tenuta del registro sussiste per imprese con meno di 250 dipendenti, secondo le condizioni previste dal Regolamento. Per le modalità di revisione si può consultare l’approfondimento sul registro dei trattamenti e sul suo aggiornamento.

Occorre poi esaminare le informative destinate a dipendenti, candidati, clienti e fornitori, verificando la corrispondenza tra quanto dichiarato e le operazioni concretamente effettuate. L’analisi riguarda anche le basi giuridiche dei trattamenti, i termini di conservazione e le modalità di gestione dei diritti degli interessati. Un’informativa formalmente completa può risultare inadeguata quando descrive finalità diverse da quelle effettive oppure omette nuovi utilizzi dei dati. Analogamente, un consenso raccolto in passato non deve essere automaticamente considerato utilizzabile per finalità commerciali successivamente introdotte.

Un altro controllo riguarda i rapporti con i fornitori che trattano dati personali per conto dell’impresa. I contratti previsti dall’articolo 28 GDPR devono disciplinare correttamente i trattamenti affidati ai responsabili, comprese le istruzioni documentate, le misure di sicurezza e le condizioni relative agli eventuali subresponsabili. Quando l’azienda ha cambiato software gestionale, piattaforma cloud, servizio di hosting o fornitore per l’elaborazione delle buste paga, è necessario verificare se gli accordi esistenti siano ancora pertinenti. Devono essere esaminati anche gli eventuali trasferimenti di dati verso Paesi terzi e le relative garanzie.

La verifica deve estendersi alle autorizzazioni e alle istruzioni impartite al personale, alla gestione degli accessi informatici, alla conservazione dei documenti, ai sistemi di videosorveglianza e alle regole sull’utilizzo della posta elettronica aziendale. In questi ambiti il GDPR deve essere coordinato, quando applicabile, con la disciplina lavoristica e con i provvedimenti del Garante. La presenza di una vecchia informativa o di una generica policy informatica non dimostra, da sola, che i controlli sui lavoratori o i trattamenti effettuati attraverso gli strumenti aziendali siano legittimi.

Meritano infine una verifica specifica le misure di sicurezza previste dall’articolo 32 GDPR, le procedure di gestione delle violazioni dei dati personali e le eventuali valutazioni d’impatto ai sensi dell’articolo 35. Una DPIA già effettuata deve essere riesaminata quando necessario, in particolare se cambia il rischio derivante dal trattamento. L’introduzione di nuove tecnologie, l’ampliamento delle categorie di dati trattati o la modifica delle modalità operative possono rendere insufficiente una valutazione precedente. La verifica documentale deve quindi essere accompagnata dall’esame delle misure effettivamente adottate, secondo un’impostazione coerente con il principio di responsabilizzazione del titolare.

Obblighi, responsabilità e rischi: come intervenire quando il GDPR aziendale non è aggiornato

Quando la verifica della privacy aziendale fa emergere documenti obsoleti, procedure incomplete o trattamenti non adeguatamente disciplinati, l’impresa deve stabilire quali irregolarità richiedano un intervento immediato e quali possano essere affrontate attraverso un programma di aggiornamento. Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del GDPR impone al titolare del trattamento di adottare misure appropriate e di essere in grado di dimostrarne l’effettiva applicazione. La semplice conservazione di documenti predisposti anni prima non è sufficiente quando le procedure aziendali non corrispondono più a quanto dichiarato. La valutazione deve riguardare sia gli obblighi documentali sia il funzionamento concreto delle misure organizzative e tecniche adottate.

Non tutte le carenze presentano la stessa gravità. Un’informativa contenente riferimenti organizzativi superati richiede una valutazione diversa rispetto all’assenza di adeguate misure di sicurezza per dati sanitari, all’utilizzo di sistemi di controllo dei dipendenti non correttamente disciplinati o alla mancata regolamentazione dei rapporti con fornitori che trattano informazioni personali. Le conseguenze dipendono dalla natura della violazione, dai dati interessati, dai rischi per le persone e dalle circostanze del caso concreto. Gli articoli 58 e 83 GDPR attribuiscono al Garante poteri correttivi e sanzionatori, ma una documentazione non aggiornata non comporta automaticamente l’applicazione di una sanzione. Occorre accertare quali disposizioni siano state effettivamente violate e con quali conseguenze.

La revisione deve considerare anche la distribuzione delle responsabilità all’interno dell’organizzazione. Il titolare del trattamento rimane responsabile degli obblighi che gli competono, anche quando si avvale di consulenti esterni o ha nominato un Responsabile della protezione dei dati (DPO/RPD). Se l’impresa dispone di un DPO, è opportuno verificare che il professionista sia stato coinvolto nelle questioni riguardanti la protezione dei dati, che possa svolgere le funzioni previste dall’articolo 39 GDPR e che disponga delle condizioni necessarie per operare con indipendenza. Quando la nomina è obbligatoria, occorre accertare anche la regolarità dell’incarico e delle comunicazioni previste. La presenza di un DPO non sostituisce, in ogni caso, le responsabilità organizzative del titolare.

Particolare attenzione deve essere riservata alle irregolarità che possono già avere prodotto conseguenze. Se durante l’audit emerge una possibile violazione della riservatezza, dell’integrità o della disponibilità dei dati personali, occorre verificare se ricorrano i presupposti di un data breach ai sensi dell’articolo 4, punto 12, GDPR. In presenza di una violazione, devono essere valutati gli obblighi di documentazione, l’eventuale notifica al Garante e, nei casi previsti, la comunicazione agli interessati. Il termine di 72 ore previsto dall’articolo 33 riguarda la notifica delle violazioni soggette a tale obbligo e decorre dal momento in cui il titolare ne viene a conoscenza. Una criticità documentale, invece, non costituisce necessariamente una violazione dei dati personali. Quando vengono individuate irregolarità sostanziali, è necessario esaminarle tempestivamente, come approfondito nell’articolo dedicato alla violazione GDPR scoperta internamente e agli interventi da effettuare.

Per riportare la gestione della privacy a una condizione di conformità occorre predisporre un piano di intervento proporzionato alla situazione aziendale. La prima attività consiste nell’individuare le non conformità, attribuire loro una priorità in funzione dei rischi e definire le responsabilità operative. Seguono l’aggiornamento dei documenti necessari, la revisione dei rapporti contrattuali, l’eventuale adeguamento delle misure informatiche e la formazione del personale interessato. Gli interventi devono essere documentati e successivamente verificati, affinché l’azienda possa dimostrare le valutazioni effettuate e le misure concretamente adottate. Un audit privacy aziendale consente di organizzare questa attività partendo dalle criticità effettive, evitando di sostituire indiscriminatamente documenti ancora adeguati o di trascurare problemi che richiedono interventi sostanziali.

Un esempio pratico: azienda con documentazione privacy risalente al 2018

Si consideri il caso ipotetico di una società commerciale che abbia predisposto la documentazione GDPR nel 2018 e che, negli anni successivi, abbia introdotto un nuovo gestionale, esternalizzato alcune attività amministrative e ampliato il proprio personale senza aggiornare sistematicamente le procedure privacy. In occasione della richiesta di documentazione da parte di un importante cliente, la direzione si accorge che il registro dei trattamenti non descrive tutti i processi aziendali e che alcuni contratti con i fornitori non disciplinano adeguatamente il trattamento dei dati personali.

In una situazione di questo tipo, il nostro intervento professionale sarebbe diretto anzitutto a ricostruire i trattamenti effettivi, verificare la documentazione disponibile e distinguere le carenze formali dalle eventuali violazioni sostanziali. L’aspetto più delicato riguarderebbe il controllo dei flussi di dati verso i fornitori informatici e amministrativi, perché l’aggiornamento dei contratti, da solo, potrebbe non risolvere eventuali problemi relativi agli accessi, alla sicurezza o alla conservazione delle informazioni. Sulla base delle verifiche, predisporremmo un piano di adeguamento con interventi prioritari, aggiornamenti documentali e controlli successivi, senza presumere che la semplice revisione del fascicolo GDPR sia sufficiente a rendere conforme l’intera organizzazione.

Domande frequenti sulla privacy aziendale non aggiornata

1. La documentazione GDPR predisposta nel 2018 è ancora valida?

Può esserlo, purché rispecchi i trattamenti effettivamente svolti dall’azienda e rispetti gli obblighi applicabili. Il GDPR non prevede una scadenza generale della documentazione privacy. Se nel frattempo sono cambiati software, fornitori, organizzazione del personale o modalità di utilizzo dei dati, occorre verificare quali documenti e procedure debbano essere aggiornati.

2. Un’azienda può essere sanzionata perché non aggiorna la privacy da anni?

Il semplice trascorrere del tempo non determina automaticamente una sanzione. Le conseguenze dipendono dalle violazioni effettivamente riscontrate. Un registro dei trattamenti non corrispondente alle attività aziendali, informative incomplete o misure di sicurezza inadeguate possono integrare violazioni di specifiche disposizioni del GDPR. Il Garante valuta le circostanze del caso concreto e può esercitare i poteri correttivi e sanzionatori previsti dalla normativa.

3. È necessario rifare completamente l’adeguamento GDPR?

Non necessariamente. Quando la documentazione esistente è sostanzialmente corretta, può essere sufficiente aggiornarne alcune parti e modificare le procedure interessate. Se invece emergono trattamenti mai censiti, carenze organizzative diffuse o misure di sicurezza inadeguate, può essere necessaria una revisione più estesa. La scelta dovrebbe essere preceduta da una verifica dello stato effettivo della conformità aziendale.

4. Chi deve controllare e aggiornare la privacy aziendale?

La responsabilità di assicurare la conformità dei trattamenti compete al titolare, che può avvalersi di personale interno e professionisti esterni. Quando è stato nominato un DPO, quest’ultimo svolge le funzioni di consulenza e sorveglianza previste dall’articolo 39 GDPR, senza sostituirsi al titolare nelle responsabilità che gli competono. L’azienda deve organizzare controlli adeguati alla propria struttura, ai trattamenti effettuati e ai rischi connessi.

5. Quanto costa verificare e aggiornare la documentazione privacy di un’azienda?

Il costo dipende dalle dimensioni dell’impresa, dal numero e dalla complessità dei trattamenti, dalla documentazione già disponibile e dalle irregolarità riscontrate. Una revisione limitata di documenti esistenti richiede normalmente attività diverse rispetto a un audit completo che comprenda verifiche sui sistemi informatici, sui rapporti con i fornitori e sulle procedure interne. Per formulare un preventivo attendibile è opportuno individuare preliminarmente l’ambito dell’incarico e le verifiche necessarie.

Privacy aziendale non aggiornata: richiedi una valutazione legale della conformità GDPR

Se la documentazione privacy della vostra azienda non viene revisionata da anni, oppure sono intervenuti cambiamenti organizzativi e tecnologici senza un corrispondente aggiornamento degli adempimenti GDPR, è opportuno verificare la situazione prima che eventuali carenze emergano durante un controllo, una contestazione o una verifica richiesta da un cliente.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella verifica della conformità GDPR, nella revisione della documentazione privacy e nella valutazione delle criticità giuridiche e organizzative. Esaminiamo la situazione concreta dell’azienda per individuare gli obblighi applicabili, le eventuali irregolarità e gli interventi necessari, tenendo conto delle caratteristiche dell’attività e dei trattamenti effettuati.

Per sottoporre la situazione della vostra impresa allo Studio, richiedete una valutazione della conformità GDPR e della documentazione privacy aziendale. Attraverso il modulo dedicato potrete descrivere le problematiche riscontrate e le esigenze di aggiornamento. Lo Studio esaminerà la richiesta per valutare le modalità dell’eventuale assistenza professionale.