Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda è in regola con la privacy quando è in grado di dimostrare che i dati personali di dipendenti, clienti, fornitori e altri interessati vengono trattati nel rispetto del Regolamento (UE) 2016/679 (GDPR) e della normativa nazionale applicabile. Non basta possedere un’informativa privacy o aver acquistato un pacchetto di documenti: occorre verificare che le procedure adottate corrispondano alle attività effettivamente svolte, che le responsabilità siano definite e che le misure di protezione siano adeguate ai rischi.

Per un imprenditore o un amministratore, la questione diventa particolarmente concreta quando l’azienda assume personale, introduce nuovi software, installa telecamere, affida dati a fornitori esterni oppure riceve richieste di documentazione da clienti e committenti. Una gestione incompleta può esporre la società a contestazioni, provvedimenti del Garante per la protezione dei dati personali e richieste risarcitorie, secondo le circostanze della violazione. Comprendere quali adempimenti siano realmente necessari permette di individuare le carenze e valutare quando richiedere un intervento professionale.

Quali requisiti deve rispettare un’azienda per essere conforme al GDPR

Il primo requisito è conoscere quali dati personali vengono trattati, per quali finalità, su quale base giuridica, da quali soggetti e per quanto tempo. Ogni impresa gestisce informazioni relative a persone fisiche, anche quando opera esclusivamente nel mercato B2B: basti pensare ai dati dei dipendenti, dei referenti commerciali, dei rappresentanti dei fornitori o degli utenti che compilano un modulo sul sito aziendale. Per ciascuna attività devono essere individuati gli obblighi applicabili, senza presumere che tutte le imprese necessitino della medesima documentazione.

Il GDPR si fonda sul principio di responsabilizzazione del titolare del trattamento, o accountability, previsto dall’articolo 5, paragrafo 2, e dall’articolo 24. L’azienda deve adottare misure tecniche e organizzative appropriate e poter dimostrare il rispetto delle disposizioni applicabili. La conformità non coincide quindi con la semplice sottoscrizione di documenti predisposti una volta e successivamente archiviati. Le informazioni riportate nelle informative, le autorizzazioni interne, i contratti con i fornitori e le procedure di sicurezza devono corrispondere all’organizzazione effettiva.

Un esempio ricorrente riguarda le società che dispongono di documentazione privacy formalmente completa, ma nel frattempo hanno introdotto un gestionale cloud, modificato le modalità di accesso ai dati o affidato attività amministrative a un nuovo fornitore. In questi casi occorre verificare se siano cambiate le finalità, i destinatari, i rischi o le modalità del trattamento e se le misure precedentemente adottate siano ancora adeguate. L’esistenza di documenti risalenti a diversi anni prima non determina automaticamente una violazione, ma la loro mancata corrispondenza con i trattamenti effettivi può costituire una non conformità.

La direzione aziendale deve anche stabilire chi prende le decisioni sui trattamenti e chi è autorizzato a svolgere le singole operazioni. Il titolare del trattamento è normalmente la società che determina finalità e mezzi del trattamento; i dipendenti operano secondo le istruzioni ricevute, mentre i fornitori che trattano dati per conto dell’impresa possono assumere il ruolo di responsabili del trattamento ai sensi dell’articolo 28 GDPR. Le qualificazioni dipendono dalle attività effettivamente svolte e non dalla sola denominazione utilizzata nei contratti. Per approfondire questa distinzione è possibile consultare il nostro contributo su titolare, responsabile e autorizzato al trattamento.

Occorre poi verificare se l’impresa sia tenuta a nominare un Responsabile della protezione dei dati (DPO o RPD). La nomina è obbligatoria nei casi previsti dall’articolo 37 GDPR, tra cui determinate attività di monitoraggio regolare e sistematico degli interessati su larga scala o trattamenti su larga scala di categorie particolari di dati e dati relativi a condanne penali e reati. Non è invece un obbligo generalizzato per ogni società. Quando la nomina non è richiesta, l’azienda rimane comunque responsabile degli adempimenti privacy e può valutare il ricorso a un consulente esterno. Abbiamo approfondito i criteri per questa verifica nell’articolo dedicato a come capire se un’azienda deve avere un DPO.

Un ulteriore requisito riguarda la capacità di mantenere il sistema privacy effettivamente operativo. Le persone autorizzate devono ricevere istruzioni adeguate, le richieste degli interessati devono essere gestite nei termini previsti e le misure di sicurezza devono essere riesaminate quando cambiano i rischi. La conformità richiede dunque una corrispondenza verificabile tra organizzazione aziendale, documentazione e attività quotidiane.

Quali documenti e procedure privacy devono essere presenti in azienda

La documentazione necessaria dipende dai trattamenti effettuati e dalle caratteristiche dell’impresa. Tra gli elementi da verificare rientrano anzitutto le informative privacy previste dagli articoli 13 e 14 GDPR, che devono fornire agli interessati informazioni corrette e comprensibili sulle finalità, sulle basi giuridiche, sui destinatari dei dati, sui periodi di conservazione e sui diritti esercitabili. Un’azienda può aver bisogno di informative differenti per dipendenti, candidati, clienti e altre categorie di interessati, in funzione delle concrete modalità di raccolta e utilizzo dei dati.

Un secondo documento da esaminare è il registro delle attività di trattamento disciplinato dall’articolo 30 GDPR. L’esenzione prevista per le organizzazioni con meno di 250 dipendenti non è assoluta: occorre considerare, tra l’altro, se i trattamenti siano occasionali, presentino rischi per i diritti e le libertà delle persone oppure riguardino categorie particolari di dati o dati relativi a condanne penali e reati. Per molte imprese che gestiscono stabilmente dati del personale e della clientela, il registro costituisce quindi un adempimento da valutare attentamente. Il suo contenuto deve rappresentare le attività effettive e va aggiornato quando intervengono modifiche rilevanti. Sul punto rinviamo all’approfondimento dedicato al registro dei trattamenti e ai relativi obblighi.

Particolare attenzione richiedono i rapporti con i soggetti esterni. Quando un fornitore tratta dati personali per conto dell’azienda, deve essere disciplinato il rapporto mediante un contratto o altro atto giuridico conforme all’articolo 28 GDPR. L’accordo deve regolare, tra gli altri aspetti, le istruzioni documentate, la riservatezza, le misure di sicurezza, il ricorso a sub-responsabili e gli obblighi di assistenza. Non ogni fornitore è però automaticamente un responsabile del trattamento: alcuni operano come titolari autonomi, rendendo necessaria una diversa qualificazione del rapporto.

Per il personale interno, l’impresa deve poter dimostrare di aver definito le autorizzazioni e impartito istruzioni coerenti con le mansioni. È opportuno verificare anche le regole di utilizzo della posta elettronica, dei dispositivi aziendali, delle credenziali di accesso e dei sistemi informatici. In presenza di strumenti che consentono il controllo a distanza dei lavoratori, devono essere rispettate anche le disposizioni dell’articolo 4 dello Statuto dei lavoratori, quando applicabili. La sola presenza di un’informativa GDPR non sostituisce gli ulteriori adempimenti eventualmente richiesti dalla normativa lavoristica.

La conformità comprende poi le misure tecniche e organizzative di sicurezza previste dall’articolo 32 GDPR. L’azienda deve valutare i rischi e adottare protezioni appropriate, considerando la natura dei dati, le modalità del trattamento e le possibili conseguenze di accessi non autorizzati, perdite o indisponibilità delle informazioni. Gestione delle credenziali, limitazione degli accessi, backup, protezione dei dispositivi e procedure di ripristino sono aspetti da esaminare concretamente, senza considerarli tutti identici o automaticamente obbligatori nella stessa forma per qualsiasi impresa.

Tra le procedure da verificare rientra anche la gestione delle violazioni dei dati personali. Gli articoli 33 e 34 GDPR prevedono obblighi di documentazione e, al ricorrere dei rispettivi presupposti, di notifica al Garante e comunicazione agli interessati. L’azienda deve essere organizzata per riconoscere tempestivamente un incidente, raccogliere le informazioni necessarie e valutarne le conseguenze. La notifica all’autorità, quando dovuta, deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione.

Alcuni trattamenti richiedono verifiche ulteriori. L’articolo 35 GDPR impone una valutazione d’impatto sulla protezione dei dati (DPIA) quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. L’utilizzo di tecnologie nuove, determinate attività di monitoraggio o trattamenti particolarmente invasivi possono rendere necessaria questa valutazione, secondo le condizioni previste dalla normativa. Analogamente, l’impiego di servizi cloud, piattaforme di marketing o fornitori situati fuori dallo Spazio economico europeo può richiedere l’esame delle regole sui trasferimenti internazionali.

Per verificare la situazione complessiva, non è sufficiente contare quanti documenti siano presenti in archivio. Occorre accertare se ciascun adempimento sia applicabile, se sia stato eseguito correttamente e se le procedure trovino riscontro nell’attività aziendale. La distinzione tra documentazione obbligatoria, misure organizzative appropriate e verifiche richieste soltanto in particolari circostanze è trattata anche nel nostro approfondimento sui documenti privacy obbligatori per le aziende.

Come verificare gli adempimenti privacy e individuare le irregolarità che espongono l’azienda a rischi

La presenza dei documenti richiesti dal GDPR costituisce soltanto una parte della verifica. Per stabilire se un’azienda sia effettivamente in regola con la privacy, occorre controllare che gli adempimenti siano stati eseguiti correttamente e che le procedure vengano rispettate nelle attività quotidiane. Una società può disporre di informative, registro dei trattamenti e contratti con i fornitori, ma presentare comunque irregolarità nella gestione degli accessi ai dati, nella conservazione delle informazioni o nell’utilizzo degli strumenti di lavoro.

Il controllo dovrebbe partire dalla ricostruzione dei trattamenti effettivamente svolti. Esaminiamo, ad esempio, quali uffici utilizzano dati personali, quali software vengono impiegati, chi può accedere alle informazioni e quali soggetti esterni intervengono nelle diverse attività. Questa ricognizione permette di confrontare l’organizzazione reale con quanto dichiarato nella documentazione privacy. Se il registro dei trattamenti descrive procedure ormai abbandonate oppure non comprende attività introdotte successivamente, occorre valutarne l’aggiornamento e verificare se le modifiche abbiano comportato ulteriori obblighi.

Un’area particolarmente delicata riguarda la gestione dei dati personali dei dipendenti. Il datore di lavoro deve verificare che le informazioni raccolte siano pertinenti alle finalità perseguite, che gli accessi siano limitati ai soggetti autorizzati e che i periodi di conservazione siano giustificati. L’utilizzo della posta elettronica aziendale, dei sistemi di controllo degli accessi, dei dispositivi informatici e degli eventuali impianti di videosorveglianza richiede una valutazione coordinata della normativa privacy e delle disposizioni in materia di lavoro. Un trattamento tecnicamente possibile non è necessariamente giuridicamente consentito.

Analoghe verifiche interessano i rapporti commerciali. Un’impresa che utilizza un CRM, invia comunicazioni promozionali o gestisce un sito e-commerce deve individuare le basi giuridiche appropriate, assicurare la correttezza delle informative e verificare le condizioni per l’eventuale raccolta del consenso. Quando i dati vengono affidati a fornitori informatici o conservati su piattaforme cloud, è necessario esaminare le rispettive responsabilità, le misure di sicurezza e gli eventuali trasferimenti internazionali. La conformità del software dichiarata dal produttore non esonera il titolare dalle verifiche di propria competenza.

Un altro elemento da controllare è la capacità dell’azienda di affrontare situazioni impreviste. La perdita di un computer contenente dati personali, l’accesso abusivo a una casella email o l’invio di documenti al destinatario sbagliato possono integrare una violazione dei dati personali. L’impresa deve essere in grado di individuare l’incidente, contenerne gli effetti, documentare quanto accaduto e valutare gli eventuali obblighi di notifica. Una procedura conosciuta soltanto dal consulente che l’ha predisposta, ma ignorata dal personale incaricato, rischia di risultare inefficace proprio quando dovrebbe essere applicata.

La verifica deve considerare anche la formazione e le istruzioni impartite al personale. Il GDPR richiede che le persone che operano sotto l’autorità del titolare o del responsabile trattino i dati secondo le istruzioni ricevute, salvo specifiche disposizioni di legge. L’azienda deve quindi assicurare che chi gestisce informazioni personali conosca le regole pertinenti alle proprie mansioni. La formazione costituisce una misura organizzativa da calibrare sui trattamenti e sui rischi, mentre la sua documentazione può contribuire a dimostrare le attività effettivamente svolte.

Quando emergono carenze, occorre distinguere tra irregolarità documentali, problemi organizzativi e trattamenti che potrebbero risultare illeciti. Un’informativa incompleta richiede interventi diversi rispetto a un sistema di videosorveglianza installato senza rispettare gli obblighi applicabili o a un accesso indiscriminato ai dati del personale. La gravità della situazione dipende dalla natura della violazione, dai dati coinvolti, dai rischi per gli interessati e dalle circostanze concrete.

Le conseguenze possono comprendere richieste di chiarimenti, ordini di adeguamento, limitazioni dei trattamenti e, nei casi previsti, sanzioni amministrative ai sensi dell’articolo 83 GDPR. Possono inoltre sorgere pretese risarcitorie quando ricorrono i presupposti dell’articolo 82. Non ogni irregolarità determina automaticamente una sanzione o un obbligo risarcitorio: è necessario esaminare la disposizione violata, la condotta dell’impresa e gli ulteriori elementi richiesti dalla normativa.

Per questo motivo, quando la direzione non dispone di un quadro attendibile degli adempimenti eseguiti, può essere opportuno effettuare un audit privacy aziendale. La verifica permette di individuare le non conformità, valutarne la gravità e stabilire un ordine di intervento. Le attività correttive devono essere proporzionate ai rischi e accompagnate, quando necessario, dall’aggiornamento dei documenti, dalla revisione dei contratti e dalla modifica delle procedure operative.

Esempio pratico: un’azienda con documentazione GDPR apparentemente completa

Consideriamo il caso ipotetico di una società commerciale con trenta dipendenti che, alcuni anni dopo aver predisposto la documentazione GDPR, decide di verificare la propria conformità. Nel frattempo ha introdotto un nuovo gestionale cloud, installato telecamere in alcune aree aziendali e affidato la gestione delle paghe a un diverso fornitore. Le informative e il registro dei trattamenti esistono, ma non descrivono integralmente l’organizzazione attuale.

Una verifica professionale partirebbe dall’esame dei trattamenti effettivi e dei documenti disponibili, per poi controllare i rapporti con i fornitori, le condizioni di utilizzo della videosorveglianza e le misure di sicurezza applicate al gestionale. Particolare attenzione richiederebbe la distinzione tra gli adempimenti già correttamente eseguiti e quelli da integrare, evitando di sostituire indiscriminatamente tutta la documentazione.

Sulla base delle criticità riscontrate, l’azienda potrebbe predisporre un piano di intervento comprendente l’aggiornamento del registro, la revisione delle informative, la verifica degli accordi con i responsabili del trattamento e l’adeguamento delle procedure interne. La conformità andrebbe poi riesaminata rispetto alle modifiche effettivamente attuate. L’esempio mostra perché avere documenti privacy non equivale necessariamente a essere in regola con il GDPR e perché la verifica deve riguardare il funzionamento concreto dell’organizzazione.

Domande frequenti sugli obblighi privacy delle aziende

Una piccola azienda deve rispettare tutti gli obblighi del GDPR?

Il GDPR si applica anche alle piccole imprese che trattano dati personali nell’ambito delle proprie attività. Non tutti gli adempimenti sono però identici: alcuni dipendono dalla natura dei trattamenti, dai rischi e dalle caratteristiche dell’organizzazione. Le dimensioni ridotte non comportano un’esenzione generale, ma possono incidere sulla scelta delle misure organizzative appropriate.

È sufficiente avere informative privacy e registro dei trattamenti per essere in regola?

No. Informative e registro, quando richiesti, rappresentano soltanto una parte degli adempimenti. Occorre verificare anche le basi giuridiche dei trattamenti, le autorizzazioni del personale, i rapporti con i fornitori, le misure di sicurezza e le procedure per la gestione dei diritti degli interessati e delle violazioni dei dati. La documentazione deve corrispondere alle attività effettivamente svolte.

Un’azienda deve obbligatoriamente nominare un DPO o incaricare un consulente privacy?

La nomina del DPO è obbligatoria esclusivamente nei casi previsti dall’articolo 37 GDPR e dalle eventuali disposizioni applicabili. Non esiste invece un obbligo generalizzato di incaricare un consulente privacy esterno. L’impresa può organizzare internamente gli adempimenti, purché disponga delle competenze e delle risorse necessarie. Il ricorso a un professionista può risultare opportuno quando i trattamenti sono complessi o emergono criticità giuridiche e organizzative.

La documentazione privacy deve essere rifatta ogni anno?

Il GDPR non stabilisce un obbligo generale di rifare annualmente tutti i documenti. È necessario mantenerli aggiornati rispetto ai trattamenti effettivi e riesaminare le misure adottate quando cambiano le condizioni rilevanti. Una verifica periodica programmata può essere utile per individuare modifiche organizzative, nuovi fornitori, strumenti informatici o trattamenti non ancora considerati.

Quanto costa verificare e mettere in regola la privacy di un’azienda?

Il costo dipende dalle dimensioni dell’impresa, dal numero e dalla complessità dei trattamenti, dalla documentazione già disponibile e dalle eventuali irregolarità. Una verifica circoscritta può richiedere attività differenti rispetto a un adeguamento completo che coinvolga più sedi, numerosi fornitori o trattamenti ad alto rischio. Per formulare un preventivo attendibile è opportuno individuare preliminarmente le attività necessarie e distinguere gli interventi iniziali dall’eventuale assistenza continuativa.

Verificare la conformità GDPR della propria azienda con l’assistenza dello Studio Legale Calvello

Un’azienda che non conosce con precisione lo stato della propria documentazione privacy, che ha modificato la propria organizzazione oppure che deve dimostrare la conformità GDPR a clienti, fornitori o autorità può avere necessità di una verifica giuridica e operativa. La presenza di documenti predisposti in passato non consente, da sola, di stabilire se tutti gli obblighi applicabili siano stati rispettati.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli adempimenti privacy, nell’esame della documentazione GDPR, nell’individuazione delle criticità e nella definizione degli interventi di adeguamento. Valutiamo le caratteristiche dell’organizzazione, i trattamenti effettuati e le responsabilità coinvolte, distinguendo gli obblighi normativi dalle misure ulteriori che possono risultare appropriate.

Se la vostra azienda deve verificare quali documenti e procedure siano necessari, aggiornare la gestione dei dati personali o affrontare irregolarità già individuate, potete richiedere una valutazione della conformità GDPR aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni da approfondire e le possibili modalità di assistenza professionale.