Articolo a cura di: Redazione - Studio Legale Calvello

L’adeguamento GDPR aziendale richiede di verificare come l’impresa raccoglie, utilizza, conserva e protegge i dati personali di dipendenti, clienti, fornitori e altri soggetti. Non basta predisporre informative e moduli privacy: occorre individuare i trattamenti effettivamente svolti, attribuire le responsabilità, adottare misure adeguate ai rischi e poter documentare le scelte effettuate. Un’azienda può risultare non conforme anche quando dispone di documentazione apparentemente completa, ma le procedure interne non corrispondono alle attività quotidiane.

Per gli amministratori e i responsabili aziendali, il problema consiste nel comprendere quali adempimenti siano obbligatori, quali verifiche debbano essere effettuate e come organizzare concretamente la conformità al Regolamento (UE) 2016/679. Una valutazione professionale diventa particolarmente opportuna quando la documentazione è assente o incompleta, sono stati introdotti nuovi software, vengono trattati dati particolarmente delicati oppure emergono irregolarità che potrebbero comportare contestazioni, responsabilità o sanzioni.

Da dove deve partire un’azienda per adeguarsi correttamente al GDPR

Il primo intervento nell’adeguamento GDPR di un’impresa consiste nel ricostruire i trattamenti di dati personali effettivamente svolti. Dobbiamo comprendere quali informazioni vengono raccolte, per quali finalità, su quale base giuridica, attraverso quali strumenti e per quanto tempo vengono conservate. Occorre anche verificare chi può accedere ai dati, quali soggetti esterni li ricevono e se alcune informazioni vengono trasferite verso Paesi situati fuori dallo Spazio economico europeo.

Questa ricognizione deve coinvolgere le funzioni aziendali che gestiscono concretamente i dati. L’ufficio amministrativo tratta informazioni relative a clienti, fornitori e pagamenti; le risorse umane gestiscono dati dei dipendenti e dei candidati; l’area commerciale utilizza contatti e database; il reparto informatico amministra applicazioni, credenziali e sistemi di archiviazione. Anche il sito internet, i servizi cloud, le piattaforme di marketing e gli eventuali impianti di videosorveglianza devono essere esaminati in relazione alle loro effettive modalità di utilizzo.

L’errore più frequente è partire dalla produzione dei documenti senza aver prima verificato come funziona l’organizzazione. Un’informativa standard non può descrivere correttamente un trattamento che non è stato analizzato. Allo stesso modo, un contratto con un fornitore informatico non è sufficiente se non sono stati individuati i rispettivi ruoli e le attività che il fornitore svolge sui dati personali per conto dell’impresa.

La ricognizione iniziale consente di individuare eventuali carenze e stabilire un ordine di intervento. Un’azienda che tratta dati sanitari o utilizza sistemi di monitoraggio dei lavoratori può presentare rischi diversi rispetto a una società che gestisce prevalentemente dati di contatto e fatturazione. Le misure da adottare devono quindi essere proporzionate alla natura, al contesto, alle finalità dei trattamenti e ai rischi per i diritti e le libertà delle persone, secondo il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del GDPR.

Quando la società dispone già di una documentazione privacy, il lavoro può partire da una verifica della sua corrispondenza con i trattamenti attuali. Quando invece il GDPR non è mai stato affrontato in modo strutturato, è necessario costruire il sistema di conformità a partire dalla mappatura dei trattamenti, evitando di confondere l’acquisto di modelli documentali con l’effettivo adempimento degli obblighi normativi.

Quali documenti, procedure e misure deve predisporre concretamente l’impresa

Una volta ricostruiti i trattamenti, l’azienda deve tradurre le verifiche in documenti, decisioni organizzative e procedure effettivamente applicabili. Il registro delle attività di trattamento previsto dall’articolo 30 del GDPR costituisce uno degli strumenti principali per descrivere finalità, categorie di interessati e dati, destinatari, eventuali trasferimenti internazionali, termini di cancellazione e misure di sicurezza. L’obbligo di tenuta deve essere valutato secondo i presupposti e le eccezioni stabiliti dalla norma, senza presumere che tutte le imprese con meno di 250 dipendenti ne siano automaticamente esonerate.

Devono poi essere predisposte o aggiornate le informative rivolte agli interessati, verificando che descrivano in maniera comprensibile i trattamenti realmente effettuati e contengano le informazioni richieste dagli articoli 13 e 14 del GDPR. Occorre distinguere le attività fondate sull’esecuzione di un contratto, sull’adempimento di obblighi legali, sul legittimo interesse o su altre basi giuridiche, evitando di richiedere il consenso quando non è necessario oppure di utilizzarlo impropriamente per giustificare qualsiasi trattamento.

Un ulteriore passaggio riguarda la distribuzione delle responsabilità. L’impresa deve individuare le persone autorizzate a trattare i dati sotto la propria autorità e impartire istruzioni adeguate alle rispettive mansioni. Quando un fornitore tratta dati personali per conto dell’azienda, occorre verificare la necessità di un accordo conforme all’articolo 28 del GDPR, con particolare attenzione alle istruzioni documentate, alle misure di sicurezza, agli eventuali sub-responsabili e alle modalità di restituzione o cancellazione dei dati al termine del servizio. Non tutti i fornitori sono automaticamente responsabili del trattamento: la qualificazione dipende dalle attività concretamente svolte.

Le misure di sicurezza devono essere definite sulla base dell’articolo 32 del GDPR. La verifica può riguardare la gestione degli accessi, l’autenticazione degli utenti, i backup, la protezione dei dispositivi, la disponibilità dei sistemi e le procedure per recuperare i dati dopo un incidente. Non esiste un insieme identico di misure sufficiente per ogni organizzazione: l’adeguatezza dipende dai rischi del trattamento, dallo stato dell’arte, dai costi di attuazione e dalle caratteristiche dell’attività aziendale.

Per i trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone, deve essere valutata la necessità di una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35. Analogamente, l’obbligo di nominare un Responsabile della protezione dei dati, o DPO, deve essere verificato alla luce dell’articolo 37, considerando la natura delle attività principali, l’eventuale monitoraggio regolare e sistematico su larga scala e il trattamento su larga scala di particolari categorie di dati o di dati relativi a condanne penali e reati. La nomina non è obbligatoria indistintamente per tutte le imprese.

L’adeguamento deve comprendere anche procedure che consentano all’azienda di gestire le richieste degli interessati, rispettare i tempi di conservazione, valutare gli incidenti di sicurezza e documentare le violazioni dei dati personali. In caso di data breach, la necessità di notificare l’evento al Garante e di comunicarlo agli interessati dipende dai presupposti degli articoli 33 e 34 del GDPR. È quindi opportuno stabilire preventivamente chi riceve le segnalazioni interne, chi valuta l’incidente e chi assume le decisioni conseguenti.

La documentazione deve infine trovare applicazione nell’organizzazione quotidiana. Una procedura formalmente corretta, ma sconosciuta ai dipendenti o incompatibile con gli strumenti utilizzati, non dimostra da sola l’effettiva conformità. Per questo la predisposizione degli atti deve essere accompagnata da istruzioni operative, formazione adeguata alle mansioni e verifiche sull’attuazione delle misure, così da consentire alla direzione aziendale di individuare eventuali scostamenti prima che producano conseguenze più gravi.

Obblighi, responsabilità e rischi: come verificare che l’adeguamento GDPR sia effettivo

Predisporre la documentazione necessaria rappresenta soltanto una parte dell’adeguamento GDPR aziendale. L’impresa deve verificare che le misure adottate siano effettivamente applicate e rimangano adeguate nel tempo. Il principio di accountability, previsto dal Regolamento (UE) 2016/679, impone al titolare del trattamento di rispettare i principi di protezione dei dati personali e di essere in grado di dimostrarne l’osservanza. La conformità, quindi, non si esaurisce nella disponibilità di documenti firmati, ma richiede un’organizzazione capace di applicare e documentare le proprie procedure.

Per l’amministratore e la direzione aziendale questo comporta la necessità di individuare chi debba effettuare le verifiche, come vengano segnalate le irregolarità e quali interventi siano necessari quando cambiano le attività dell’impresa. L’introduzione di un nuovo gestionale, l’affidamento di servizi a un fornitore esterno, l’installazione di telecamere o l’utilizzo di strumenti per controllare l’attività lavorativa possono modificare i rischi e richiedere ulteriori valutazioni. In particolare, i sistemi di videosorveglianza e gli strumenti dai quali possa derivare un controllo a distanza dei lavoratori devono essere esaminati anche alla luce dell’articolo 4 della Legge n. 300/1970, oltre che della disciplina sulla protezione dei dati personali.

Un aspetto che richiede particolare attenzione riguarda i rapporti con i fornitori tecnologici. L’utilizzo di servizi cloud, software gestionali, piattaforme di marketing o applicazioni per la gestione del personale non trasferisce automaticamente al fornitore la responsabilità della conformità GDPR dell’impresa. Occorre verificare i ruoli delle parti, le garanzie contrattuali, le misure di sicurezza e le eventuali condizioni applicabili ai trasferimenti internazionali di dati. Quando un trattamento viene affidato a un responsabile esterno, il titolare deve scegliere soggetti che presentino garanzie sufficienti e disciplinare correttamente il rapporto.

La verifica deve comprendere anche la capacità dell’azienda di affrontare situazioni impreviste. Un accesso abusivo ai sistemi, la perdita di un dispositivo contenente dati personali o l’invio di informazioni riservate a un destinatario errato possono rendere necessario attivare la procedura interna di gestione delle violazioni. L’articolo 33 del GDPR prevede, quando ricorrono i relativi presupposti, la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare viene a conoscenza della violazione. L’obbligo non sussiste quando è improbabile che l’evento presenti un rischio per i diritti e le libertà delle persone fisiche. La comunicazione agli interessati segue invece le condizioni previste dall’articolo 34.

In caso di controllo del Garante per la protezione dei dati personali, l’impresa può essere chiamata a fornire informazioni sui trattamenti, sulle misure adottate e sulle ragioni delle proprie scelte organizzative. La mancanza di documentazione, l’assenza di procedure effettive o l’inadeguatezza delle misure di sicurezza possono assumere rilevanza nell’accertamento di eventuali violazioni. Le conseguenze dipendono dalle disposizioni violate, dalla gravità dei fatti e dai criteri previsti dall’articolo 83 del GDPR. Non ogni irregolarità determina automaticamente una sanzione pecuniaria, ma la semplice predisposizione tardiva dei documenti non elimina necessariamente le responsabilità per violazioni già commesse.

Per questo motivo, nell’assistenza alle imprese riteniamo opportuno distinguere tra gli adempimenti da realizzare immediatamente e quelli che richiedono interventi organizzativi più articolati. Una verifica professionale può individuare le non conformità, valutarne la gravità e definire un piano correttivo con responsabilità e priorità precise. Quando emergono violazioni già verificatesi, occorre anche stabilire se siano necessari ulteriori adempimenti, comunicazioni o iniziative di tutela.

L’adeguamento deve essere mantenuto attraverso verifiche periodiche, aggiornamenti documentali e controlli sulle procedure effettivamente utilizzate. La frequenza e l’estensione delle attività dipendono dalla complessità dell’organizzazione e dai rischi dei trattamenti. Un’impresa con numerosi dipendenti, sistemi informatici integrati e molteplici fornitori richiederà normalmente un’attività di controllo diversa rispetto a una piccola società con trattamenti limitati. La consulenza GDPR per aziende può supportare la direzione nella definizione degli interventi iniziali e nella successiva gestione degli adempimenti, senza sostituire le responsabilità che la normativa attribuisce al titolare del trattamento.

Esempio pratico: adeguamento GDPR di un’azienda con documentazione incompleta

Consideriamo il caso esemplificativo di una società commerciale con diversi dipendenti, un gestionale per clienti e fornitori e servizi informatici affidati a soggetti esterni. L’azienda dispone di alcune informative privacy predisposte in passato, ma non ha verificato se corrispondano ai trattamenti attuali. Nel frattempo sono stati introdotti un nuovo software gestionale e una piattaforma cloud, senza un riesame complessivo degli adempimenti GDPR.

Un intervento di adeguamento partirebbe dalla ricostruzione dei flussi di dati e dall’esame della documentazione esistente. La verifica potrebbe rilevare informative da aggiornare, istruzioni insufficienti per il personale, rapporti con fornitori da qualificare correttamente e misure di sicurezza da approfondire. Particolare attenzione andrebbe riservata agli accessi ai dati dei clienti e dei dipendenti, verificando quali soggetti siano autorizzati e quali garanzie siano previste nei contratti con i fornitori tecnologici.

Sulla base delle criticità accertate, sarebbe possibile predisporre un piano di adeguamento GDPR proporzionato alle attività e ai rischi dell’impresa, individuando gli interventi documentali, contrattuali e organizzativi necessari. La successiva verifica dell’effettiva applicazione delle procedure consentirebbe di valutare le eventuali carenze residue e programmare gli aggiornamenti. L’esempio illustra un possibile percorso operativo, la cui concreta articolazione dipende dalle caratteristiche della singola azienda.

Domande frequenti sull’adeguamento GDPR aziendale

Un’azienda può essere in regola con il GDPR senza avere un DPO?

Sì. La nomina del Responsabile della protezione dei dati (DPO) è obbligatoria soltanto nei casi previsti dall’articolo 37 del GDPR e dalle eventuali disposizioni applicabili. Un’impresa che non rientra in tali ipotesi deve comunque rispettare tutti gli obblighi pertinenti ai propri trattamenti. L’assenza dell’obbligo di nomina non esclude la possibilità di avvalersi volontariamente di un DPO, purché siano rispettati i requisiti previsti dalla normativa.

È sufficiente acquistare un pacchetto di documenti privacy per adeguare l’azienda?

No. I documenti devono descrivere trattamenti effettivi, responsabilità e procedure concretamente applicate. Modelli standardizzati possono costituire una base di lavoro, ma devono essere verificati e adattati all’organizzazione. L’azienda deve anche adottare misure di sicurezza adeguate, impartire istruzioni al personale e poter dimostrare il rispetto degli obblighi applicabili.

Quanto tempo occorre per completare l’adeguamento GDPR di un’impresa?

Non esiste una durata uniforme. I tempi dipendono dal numero e dalla complessità dei trattamenti, dalla documentazione già disponibile, dai sistemi informatici utilizzati e dalle criticità riscontrate. Una piccola impresa con attività semplici può richiedere interventi meno articolati rispetto a una società con più sedi, numerosi dipendenti e fornitori tecnologici. Le irregolarità che comportano rischi immediati devono essere affrontate con priorità, senza attendere il completamento dell’intero progetto.

Chi risponde se l’adeguamento GDPR viene affidato a un consulente esterno?

L’affidamento dell’attività a un professionista non trasferisce automaticamente gli obblighi che il GDPR attribuisce al titolare del trattamento. L’impresa rimane responsabile delle decisioni e delle misure di propria competenza, mentre eventuali responsabilità del consulente devono essere valutate in relazione all’incarico assunto, alle attività svolte e alle norme applicabili. È quindi importante definire chiaramente il contenuto dell’assistenza professionale e le responsabilità operative interne.

Quanto costa adeguare un’azienda al GDPR?

Il costo dipende dalle attività necessarie per raggiungere e mantenere la conformità. Occorre considerare la mappatura dei trattamenti, la verifica della documentazione, l’eventuale predisposizione di contratti e procedure, la valutazione dei rischi e gli interventi organizzativi o tecnici richiesti. Un preventivo attendibile dovrebbe distinguere l’adeguamento iniziale dalle successive attività di aggiornamento e assistenza, precisando quali prestazioni siano effettivamente comprese.

Adeguamento GDPR aziendale: richiedere una valutazione legale della propria situazione

Un’impresa che deve adeguarsi al GDPR, completare una documentazione insufficiente o verificare l’effettiva applicazione delle procedure privacy ha bisogno di individuare gli obblighi concretamente applicabili alla propria organizzazione. La scelta degli interventi dipende dai trattamenti effettuati, dai rischi per gli interessati, dalle misure già adottate e dalle eventuali irregolarità riscontrate.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nella valutazione degli adempimenti GDPR, nell’organizzazione della conformità privacy e nell’individuazione delle misure giuridiche e organizzative necessarie. Esaminiamo la situazione dell’impresa per definire le attività da svolgere e le eventuali esigenze di assistenza continuativa.

Se la vostra azienda deve avviare, completare o verificare il proprio adeguamento GDPR, richiedete una valutazione legale della conformità privacy aziendale attraverso il modulo dedicato. Lo Studio esaminerà la richiesta per valutare le possibili modalità di intervento.