Articolo a cura di: Redazione - Studio Legale Calvello

Per rispettare il GDPR, un’azienda deve conoscere quali dati personali tratta, per quali finalità li utilizza, chi può accedervi e quali misure ha adottato per proteggerli. Non basta predisporre un’informativa privacy o acquistare un pacchetto di documenti standard. Il Regolamento (UE) 2016/679 richiede che gli adempimenti siano adeguati alle attività effettivamente svolte dall’impresa e che il titolare sia in grado di dimostrarne il rispetto.

Per imprenditori e amministratori, il problema è soprattutto operativo: quali attività devono essere svolte, quali documenti servono, chi deve occuparsene e come verificare che l’organizzazione aziendale sia conforme? La risposta dipende dai trattamenti effettuati, dai rischi per gli interessati e dalle caratteristiche dell’impresa. Quando mancano procedure, responsabilità definite o controlli periodici, può essere necessario un intervento professionale per individuare le carenze e stabilire le priorità di adeguamento.

Quali adempimenti GDPR deve effettuare concretamente un’azienda

Il primo adempimento consiste nel ricostruire i trattamenti di dati personali effettivamente svolti dall’impresa. Occorre individuare quali informazioni vengono raccolte, da quali soggetti provengono, per quali finalità sono utilizzate, dove vengono conservate e a chi possono essere comunicate. Rientrano in questa verifica i dati di dipendenti, candidati, clienti, referenti dei fornitori e persone che entrano in contatto con l’azienda attraverso il sito internet o altri canali.

Per ogni trattamento devono essere individuate una base giuridica appropriata, le finalità perseguite, i tempi di conservazione e le eventuali comunicazioni a soggetti esterni. Il consenso non è sempre necessario e non rappresenta la base giuridica corretta per qualsiasi attività aziendale. L’esecuzione di un contratto, l’adempimento di un obbligo legale o, nei casi consentiti, il legittimo interesse possono giustificare determinati trattamenti, purché ne ricorrano i presupposti.

Una volta ricostruite le attività, l’impresa deve verificare la documentazione applicabile. Le informative destinate agli interessati devono descrivere correttamente i trattamenti; il registro delle attività di trattamento, quando obbligatorio, deve rappresentare l’organizzazione effettiva; le persone autorizzate ad accedere ai dati devono ricevere istruzioni adeguate. I rapporti con i fornitori che trattano dati personali per conto dell’azienda richiedono, quando ricorre la qualifica di responsabile del trattamento, un accordo conforme all’art. 28 GDPR.

La predisposizione dei documenti non esaurisce gli obblighi. L’azienda deve adottare misure tecniche e organizzative proporzionate ai rischi, disciplinare gli accessi ai sistemi, organizzare la gestione delle richieste degli interessati e prevedere procedure per individuare e affrontare eventuali violazioni dei dati personali. Deve inoltre valutare se determinati trattamenti richiedano una valutazione d’impatto sulla protezione dei dati (DPIA) e se ricorrano le condizioni per la nomina del Responsabile della protezione dei dati (DPO).

Per approfondire il contenuto e la funzione dei singoli adempimenti, abbiamo esaminato anche quali documenti privacy devono essere predisposti dalle aziende. La loro corretta individuazione deve comunque partire dai trattamenti concretamente effettuati e non da un elenco indistinto di moduli.

Come organizzare l’adeguamento GDPR tra direzione, dipendenti, fornitori e sistemi informatici

Una volta individuati i trattamenti, occorre attribuire le responsabilità operative. Nelle società, il titolare del trattamento è normalmente la società stessa, mentre gli amministratori assumono le decisioni organizzative necessarie nell’ambito delle rispettive competenze. La gestione quotidiana coinvolge frequentemente amministrazione, risorse umane, ufficio commerciale e responsabili informatici. La conformità GDPR richiede quindi un’organizzazione effettiva, nella quale siano chiari compiti, autorizzazioni e procedure.

Un’attenzione particolare riguarda i dipendenti. L’impresa tratta informazioni anagrafiche, retributive, contrattuali e, in determinate circostanze, dati appartenenti a categorie particolari. Deve verificare chi possa accedervi, con quali autorizzazioni e per quanto tempo siano conservati. L’utilizzo della posta elettronica aziendale, dei dispositivi informatici e degli strumenti di controllo dell’attività lavorativa richiede una valutazione che tenga conto anche della disciplina lavoristica, compreso l’art. 4 dello Statuto dei lavoratori quando applicabile.

La stessa attenzione deve essere riservata ai rapporti con i fornitori tecnologici. Software gestionali, piattaforme cloud, servizi di hosting, applicazioni per le risorse umane e strumenti di marketing possono comportare trattamenti effettuati da soggetti esterni. Prima di affidare loro i dati personali, l’azienda deve verificarne il ruolo privacy, le garanzie offerte, le misure di sicurezza e gli eventuali trasferimenti verso Paesi terzi. La semplice sottoscrizione di un contratto commerciale non sostituisce gli adempimenti previsti dal GDPR.

Per i siti internet e le attività commerciali digitali occorre esaminare moduli di contatto, newsletter, cookie, strumenti di analisi e sistemi di profilazione. Le informazioni fornite agli utenti devono corrispondere alle tecnologie effettivamente utilizzate. Quando il trattamento richiede il consenso, questo deve essere acquisito secondo i requisiti normativi e deve poter essere dimostrato.

Un ulteriore passaggio riguarda la sicurezza. L’art. 32 GDPR impone di adottare misure adeguate al rischio, valutando natura, contesto e finalità del trattamento. Controllo degli accessi, gestione delle credenziali, backup, protezione dei dispositivi, procedure di ripristino e formazione del personale devono essere esaminati in relazione alle caratteristiche dell’impresa. Non esiste una configurazione tecnica universalmente sufficiente per tutte le aziende.

Infine, occorre stabilire chi verifica nel tempo l’effettiva applicazione delle procedure. La direzione può attribuire compiti interni e avvalersi di consulenti esterni, mantenendo le responsabilità che il GDPR assegna al titolare. La nomina del DPO deve invece essere valutata separatamente, secondo i presupposti dell’art. 37 GDPR: non è obbligatoria per qualsiasi impresa e il suo incarico non coincide con quello di chi gestisce operativamente tutti gli adempimenti privacy.

Quando l’organizzazione non dispone di competenze interne sufficienti, una consulenza GDPR per aziende può consentire di verificare le attività esistenti, individuare le responsabilità e predisporre un programma di interventi proporzionato ai trattamenti e ai rischi concretamente presenti.

Quali responsabilità e rischi affronta un’azienda che non rispetta gli obblighi GDPR

Una volta organizzati i trattamenti e attribuite le responsabilità operative, l’azienda deve verificare se le misure adottate siano effettivamente applicate. Il principio di responsabilizzazione previsto dall’art. 5, paragrafo 2, del Regolamento (UE) 2016/679 impone al titolare di rispettare i principi del trattamento e di essere in grado di dimostrarlo. La presenza di documenti formalmente corretti non è sufficiente quando le procedure descritte non corrispondono alle attività realmente svolte.

Le criticità possono emergere anche in imprese che ritengono di essersi già adeguate. Un registro dei trattamenti predisposto anni prima potrebbe non comprendere nuovi software o attività commerciali; le informative potrebbero non descrivere correttamente le finalità del trattamento; i contratti con i fornitori potrebbero essere privi delle clausole richieste dall’art. 28 GDPR. Altre irregolarità possono riguardare autorizzazioni eccessivamente ampie, tempi di conservazione non definiti oppure l’assenza di procedure per gestire le richieste degli interessati.

Per individuare queste situazioni è opportuno effettuare verifiche periodiche, soprattutto quando cambiano l’organizzazione aziendale, i sistemi informatici o le modalità di trattamento. Il controllo deve confrontare la documentazione con la prassi: chi accede ai dati, quali informazioni vengono effettivamente raccolte, dove sono conservate, quali fornitori intervengono e come vengono gestite le richieste di cancellazione o accesso. Una verifica della conformità privacy aziendale permette di individuare eventuali scostamenti e di programmare gli interventi correttivi secondo la loro gravità.

Particolare attenzione richiedono le violazioni dei dati personali. La perdita di un dispositivo, l’accesso abusivo a una casella email, l’invio di documenti a destinatari non autorizzati o un attacco informatico possono integrare un data breach ai sensi dell’art. 4, punto 12, GDPR. L’impresa deve disporre di una procedura che consenta di individuare l’incidente, contenerne gli effetti, documentarlo e valutare i rischi per i diritti e le libertà delle persone coinvolte. Quando ricorrono i presupposti dell’art. 33 GDPR, la violazione deve essere notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza. Nei casi previsti dall’art. 34 può essere necessaria anche la comunicazione agli interessati.

La mancata conformità può determinare richieste di informazioni, reclami, accertamenti e provvedimenti dell’Autorità Garante per la protezione dei dati personali. Gli artt. 58 e 83 GDPR prevedono poteri correttivi e sanzioni amministrative pecuniarie, la cui applicazione dipende dalla violazione accertata e dalle circostanze del caso. Per determinate violazioni sono previsti massimali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, mentre per altre i massimali raggiungono 20 milioni di euro o il 4%, secondo i criteri stabiliti dal Regolamento. Non ogni irregolarità comporta automaticamente una sanzione pecuniaria, ma l’azienda deve poter documentare le scelte effettuate e le misure adottate.

Accanto alle conseguenze amministrative possono presentarsi richieste risarcitorie ai sensi dell’art. 82 GDPR, qualora ricorrano i relativi presupposti. La responsabilità non deriva automaticamente dalla sola violazione normativa: occorre valutare il danno lamentato e il nesso causale con la violazione. Per questo, quando viene individuata una carenza, è necessario intervenire tempestivamente, conservare la documentazione pertinente e ricostruire le circostanze del trattamento.

Il programma di adeguamento deve quindi prevedere priorità verificabili. I trattamenti che coinvolgono categorie particolari di dati, numerosi interessati, sistemi di monitoraggio o fornitori con accessi estesi richiedono un’attenzione commisurata al rischio. Le carenze riscontrate devono essere accompagnate da interventi concreti, responsabilità assegnate e controlli successivi. L’obiettivo è costruire un sistema di gestione della privacy che possa essere aggiornato e verificato nel tempo, senza confondere l’adempimento documentale con la conformità effettiva.

Un esempio pratico di organizzazione degli adempimenti GDPR in una società

Consideriamo il caso esemplificativo di una società commerciale che utilizza un gestionale per clienti e fornitori, una piattaforma cloud per i documenti, un sistema di rilevazione delle presenze e un sito internet attraverso il quale raccoglie richieste di contatto. L’impresa dispone di alcune informative privacy predisposte in passato, ma non ha verificato se siano ancora coerenti con i trattamenti effettuati e non ha definito in modo organico le responsabilità interne.

In una situazione di questo tipo, il nostro intervento professionale partirebbe dalla ricognizione dei trattamenti e dall’esame dei documenti esistenti, per verificare basi giuridiche, informative, eventuale obbligo del registro, rapporti con i fornitori e misure di sicurezza. L’aspetto più delicato sarebbe ricostruire i flussi dei dati tra uffici e servizi esterni, distinguendo le attività svolte dalla società da quelle affidate ai responsabili del trattamento.

Sulla base delle carenze effettivamente riscontrate, predisporremmo un programma di adeguamento con responsabilità operative, aggiornamenti documentali, istruzioni al personale e verifiche tecniche da concordare con i referenti informatici. La successiva attività di controllo avrebbe lo scopo di accertare che le procedure siano state recepite nell’organizzazione e che eventuali nuovi trattamenti vengano valutati prima della loro introduzione.

Domande frequenti sugli obblighi GDPR per le aziende

Un’azienda con pochi dipendenti deve rispettare il GDPR?

Sì. Il GDPR si applica anche alle piccole imprese quando trattano dati personali nell’ambito delle proprie attività. Le dimensioni aziendali possono incidere sulla complessità delle misure necessarie e sull’applicabilità di alcuni obblighi specifici, ma non determinano un’esenzione generale. Anche un’impresa con pochi dipendenti deve fornire informative corrette, individuare le basi giuridiche dei trattamenti e adottare misure di sicurezza adeguate.

È obbligatorio nominare un responsabile privacy o un DPO?

La nomina del DPO è obbligatoria soltanto nei casi previsti dall’art. 37 GDPR. Negli altri casi può essere valutata volontariamente. L’azienda deve comunque organizzare la gestione dei trattamenti e attribuire compiti operativi appropriati. La designazione di un referente interno o l’affidamento di attività a un consulente esterno non trasferiscono automaticamente le responsabilità del titolare del trattamento.

È sufficiente acquistare un pacchetto di documenti GDPR?

No. Modelli standard possono costituire una base di lavoro, ma devono essere adattati ai trattamenti effettivi. Informative, registro, accordi con i fornitori e procedure devono corrispondere all’organizzazione aziendale. Documenti formalmente completi, ma non applicati o non aggiornati, non dimostrano da soli il rispetto del GDPR.

Ogni quanto deve essere verificata la conformità GDPR dell’azienda?

Il GDPR non stabilisce un intervallo generale e identico per tutte le imprese. La frequenza delle verifiche deve essere proporzionata ai rischi e alle caratteristiche dei trattamenti. Un controllo è particolarmente opportuno quando vengono introdotti nuovi software, cambiano i fornitori, aumentano le attività di trattamento oppure si verificano incidenti o modifiche organizzative che incidono sulla protezione dei dati.

Quanto costa mettere un’azienda in regola con il GDPR?

Il costo dipende dal numero e dalla complessità dei trattamenti, dalla documentazione già disponibile, dalle misure di sicurezza esistenti e dagli interventi necessari. Un’impresa con attività amministrative limitate presenta esigenze diverse rispetto a una società che tratta dati sanitari, utilizza sistemi di profilazione o gestisce numerosi fornitori tecnologici. Per formulare un preventivo attendibile occorre individuare le attività effettivamente necessarie, distinguendo l’adeguamento iniziale dall’eventuale assistenza continuativa.

GDPR aziendale: richiedi una valutazione degli adempimenti necessari

Se la tua azienda deve organizzare per la prima volta la gestione della privacy, verificare la documentazione esistente oppure correggere procedure incomplete, è opportuno esaminare i trattamenti effettivamente svolti e le responsabilità connesse. Non tutte le imprese devono adottare le stesse misure: gli interventi dipendono dalle attività aziendali, dalle categorie di dati trattati e dai rischi concretamente presenti.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi GDPR, nell’organizzazione degli adempimenti privacy e nella gestione delle problematiche giuridiche connesse al trattamento dei dati personali.

Per sottoporci la situazione della tua impresa, richiedi una valutazione degli adempimenti GDPR della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni da approfondire e le eventuali modalità di assistenza professionale.