Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda può avere informative privacy aggiornate, un registro dei trattamenti correttamente compilato e contratti con i fornitori conformi al GDPR, ma utilizzare software e procedure che raccolgono più dati del necessario, consentono accessi eccessivamente estesi o rendono disponibili informazioni personali a soggetti che non dovrebbero conoscerle. In queste situazioni il problema riguarda anche la privacy by design e by default, ossia l’obbligo di integrare la protezione dei dati nella progettazione e nella configurazione dei trattamenti, previsto dall’articolo 25 del Regolamento (UE) 2016/679.
Per l’impresa, rispettare questo obbligo significa verificare concretamente come vengono raccolti, utilizzati, condivisi, conservati e protetti i dati personali, tanto nei nuovi progetti quanto nei sistemi già operativi. L’acquisto di un gestionale, l’introduzione di una piattaforma cloud, l’implementazione di un CRM o l’adozione di strumenti di intelligenza artificiale possono richiedere valutazioni preventive e modifiche organizzative. Una configurazione non conforme può esporre l’azienda a contestazioni, provvedimenti correttivi e sanzioni, soprattutto quando le carenze determinano trattamenti sproporzionati o accessi non autorizzati. Nei progetti complessi, una verifica legale e tecnica prima dell’attivazione può evitare interventi correttivi particolarmente onerosi.
Privacy by design e by default: quali problemi deve prevenire l’azienda
La privacy by design, o protezione dei dati fin dalla progettazione, impone al titolare del trattamento di considerare i requisiti del GDPR quando definisce le caratteristiche di un’attività che comporta l’utilizzo di dati personali. La valutazione deve intervenire nel momento in cui vengono determinati i mezzi del trattamento e proseguire durante la sua esecuzione. Non riguarda esclusivamente lo sviluppo informatico: interessa anche l’organizzazione dei processi aziendali, la scelta dei fornitori, la definizione delle autorizzazioni e le modalità operative attraverso le quali dipendenti e collaboratori accedono alle informazioni.
La privacy by default, o protezione dei dati per impostazione predefinita, richiede invece che, senza necessità di interventi dell’utente, siano trattati soltanto i dati personali necessari per ciascuna specifica finalità. L’articolo 25, paragrafo 2, del GDPR considera espressamente la quantità dei dati raccolti, l’estensione del trattamento, il periodo di conservazione e l’accessibilità delle informazioni. Un sistema informatico che attribuisce automaticamente a tutti i dipendenti la possibilità di consultare l’intero archivio clienti può quindi presentare un problema di conformità, anche quando l’accesso avviene attraverso credenziali individuali e il software dispone di adeguate protezioni contro gli attacchi esterni.
Consideriamo un’impresa che introduce un nuovo gestionale per coordinare amministrazione, ufficio commerciale e risorse umane. Se tutti gli utilizzatori possono visualizzare indistintamente informazioni contrattuali, dati retributivi e documentazione personale, l’azienda deve verificare se tale accessibilità sia effettivamente necessaria rispetto alle mansioni assegnate. La presenza di un sistema di autenticazione non risolve automaticamente il problema: occorre configurare profili differenziati, limitare le informazioni disponibili e predisporre procedure per modificare o revocare le autorizzazioni quando cambiano le funzioni aziendali.
Un’altra situazione ricorrente riguarda l’acquisto di software o servizi cloud presentati commercialmente come conformi al GDPR. Questa dichiarazione non esonera l’impresa dalle proprie verifiche. Il fornitore può mettere a disposizione strumenti tecnici adeguati, ma le modalità concrete di configurazione, le finalità perseguite e le categorie di dati utilizzate dipendono spesso dalle scelte dell’azienda cliente. La conformità del prodotto non equivale necessariamente alla conformità del trattamento effettuato attraverso quel prodotto. È quindi opportuno esaminare le funzionalità effettivamente attivate, le impostazioni iniziali e gli accessi consentiti ai soggetti interni ed esterni.
Il problema può emergere anche nei sistemi già utilizzati da anni. Un’applicazione originariamente destinata alla semplice gestione degli ordini potrebbe essere stata progressivamente integrata con strumenti di profilazione commerciale, analisi delle abitudini dei clienti o condivisione automatica delle informazioni tra società collegate. Ogni ampliamento delle funzionalità può modificare le caratteristiche del trattamento e richiedere una nuova valutazione delle misure adottate. Per questo motivo, la privacy by design non si esaurisce con l’acquisto o la prima configurazione del software, ma deve essere considerata anche quando cambiano finalità, tecnologie, rischi o modalità di utilizzo dei dati.
Come applicare l’articolo 25 GDPR ai software, ai processi e ai nuovi progetti aziendali
L’articolo 25 del GDPR richiede al titolare di adottare misure tecniche e organizzative adeguate, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche. La normativa non prescrive una configurazione identica per tutte le imprese. Le misure necessarie per un piccolo gestionale amministrativo possono essere diverse da quelle richieste per una piattaforma che tratta dati sanitari, monitora sistematicamente i lavoratori o elabora grandi quantità di informazioni personali.
Il primo intervento consiste nell’esaminare il progetto prima che vengano assunte decisioni tecniche difficilmente reversibili. Quando l’azienda intende acquistare un software, sviluppare un’applicazione o modificare un processo, deve chiarire quali dati personali saranno effettivamente necessari, per quali finalità verranno utilizzati, chi potrà consultarli e per quanto tempo saranno conservati. Questa analisi permette di individuare eventuali raccolte eccessive, duplicazioni ingiustificate e funzionalità che espongono informazioni a soggetti privi di una concreta necessità operativa.
Nel caso di un CRM, ad esempio, occorre distinguere i dati indispensabili per gestire il rapporto commerciale dalle informazioni aggiuntive utilizzate per attività di profilazione o marketing. Le diverse finalità possono richiedere basi giuridiche, regole di accesso e modalità di conservazione differenti. Analogamente, un software per la gestione del personale deve consentire di limitare la consultazione delle informazioni ai soggetti autorizzati in relazione alle rispettive competenze. La minimizzazione dei dati deve tradursi in scelte verificabili sulle funzionalità del sistema, non rimanere una dichiarazione contenuta nella documentazione privacy.
Una volta individuate le esigenze del trattamento, l’impresa deve valutare le misure da incorporare nel progetto. Possono assumere rilievo la separazione dei profili di accesso, la pseudonimizzazione, la cifratura, la limitazione delle informazioni visualizzate, la cancellazione o anonimizzazione dei dati quando ne ricorrono i presupposti e la possibilità di gestire correttamente le richieste degli interessati. Anche le impostazioni iniziali meritano attenzione: un’applicazione che rende facoltativa una protezione necessaria, lasciandola disattivata per impostazione predefinita, può richiedere interventi prima dell’utilizzo aziendale.
Queste verifiche devono coinvolgere le funzioni che conoscono il trattamento e le sue conseguenze operative. Il responsabile IT può valutare le caratteristiche tecniche del sistema, mentre le funzioni HR, commerciali o amministrative possono individuare le informazioni realmente necessarie per le attività affidate. Il titolare mantiene la responsabilità delle decisioni sul trattamento e, quando è stato designato un responsabile della protezione dei dati, deve coinvolgerlo tempestivamente e adeguatamente nelle questioni relative alla protezione dei dati personali, secondo l’articolo 38 del GDPR. Il DPO svolge funzioni di consulenza e sorveglianza, ma la sua presenza non trasferisce automaticamente su di lui gli obblighi del titolare.
Nei rapporti con software house e fornitori cloud, l’azienda deve verificare quali misure siano già disponibili, quali debbano essere configurate e quali dipendano da interventi contrattuali od organizzativi. Quando il fornitore tratta dati personali per conto dell’impresa, occorre disciplinare il rapporto secondo l’articolo 28 del GDPR, senza confondere tale adempimento con la verifica dei requisiti di progettazione. Il contratto può prevedere obblighi di assistenza, caratteristiche di sicurezza e modalità di restituzione o cancellazione dei dati, ma non sostituisce l’esame concreto delle funzionalità utilizzate. Per la disciplina dei rapporti con i fornitori si rinvia al nostro approfondimento sul contratto ex articolo 28 GDPR e sulle clausole necessarie.
Particolare attenzione richiedono i progetti che introducono tecnologie di monitoraggio, profilazione, riconoscimento biometrico o sistemi decisionali automatizzati. In presenza dei presupposti dell’articolo 35 del GDPR, prima di iniziare il trattamento deve essere effettuata una valutazione d’impatto sulla protezione dei dati. La DPIA e la privacy by design sono obblighi distinti ma possono concorrere alla definizione delle misure necessarie: la prima approfondisce i rischi di un trattamento che può presentare un rischio elevato, mentre la seconda richiede di integrare la protezione dei dati nella progettazione e nell’esecuzione del trattamento. Abbiamo esaminato i criteri per individuare tale obbligo nell’articolo dedicato alla DPIA e ai casi in cui l’azienda deve effettuare la valutazione d’impatto privacy.
Le scelte compiute devono infine poter essere ricostruite e motivate. L’impresa dovrebbe conservare, in misura proporzionata al trattamento, le valutazioni effettuate, i requisiti comunicati ai fornitori, le configurazioni adottate e le verifiche svolte prima dell’attivazione. Queste evidenze consentono di riesaminare le misure quando il sistema viene modificato e contribuiscono a dimostrare l’effettiva applicazione dell’articolo 25. La documentazione deve corrispondere alle modalità operative reali: una procedura che prevede accessi limitati, mentre il software continua a consentire consultazioni indiscriminate, non risolve la carenza organizzativa e tecnica.
Obblighi, responsabilità e rischi per l’azienda che non applica correttamente la privacy by design
La violazione dei principi di privacy by design e by default può emergere anche quando l’azienda dispone di una documentazione GDPR formalmente completa. L’articolo 25 del Regolamento (UE) 2016/679 impone infatti di adottare misure tecniche e organizzative adeguate e di riesaminarle quando necessario, affinché i principi di protezione dei dati siano effettivamente integrati nei trattamenti. Il titolare deve poter dimostrare che le scelte organizzative e tecnologiche sono proporzionate alle finalità perseguite e ai rischi per gli interessati. Non è sufficiente dichiarare che il software utilizzato è sicuro o che il fornitore garantisce genericamente il rispetto del GDPR.
La responsabilità del titolare assume particolare rilievo quando le carenze derivano da decisioni aziendali. Se un gestionale permette a dipendenti privi di specifiche competenze di consultare informazioni riservate, occorre verificare chi abbia definito i profili di autorizzazione, quali controlli siano stati effettuati e se l’ampiezza degli accessi sia giustificata dalle mansioni. Analogamente, quando una piattaforma raccoglie informazioni non necessarie, conserva dati oltre i periodi giustificati oppure li rende disponibili a destinatari non pertinenti, il problema può riguardare direttamente le impostazioni predefinite del trattamento. L’eventuale coinvolgimento di una software house o di un fornitore cloud non elimina gli obblighi dell’impresa, ferma restando la necessità di individuare correttamente i ruoli privacy e le eventuali responsabilità del fornitore.
In caso di verifica, il Garante per la protezione dei dati personali può esaminare le caratteristiche concrete del trattamento, le impostazioni dei sistemi, le procedure adottate e le evidenze disponibili sulle valutazioni effettuate. L’assenza di una documentazione specifica non determina automaticamente una violazione dell’articolo 25, ma può rendere più difficile dimostrare l’adeguatezza delle misure effettivamente applicate. Per questo motivo, un audit privacy by design dovrebbe verificare il funzionamento reale dei sistemi e non limitarsi all’esame delle informative e delle policy aziendali. Quando emergono irregolarità, è necessario distinguere le carenze documentali dalle configurazioni che determinano concretamente trattamenti non conformi.
Le violazioni dell’articolo 25 rientrano nel regime sanzionatorio previsto dall’articolo 83, paragrafo 4, lettera a), del GDPR, che contempla sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano limiti massimi e non sanzioni automaticamente applicabili. La determinazione concreta deve rispettare i criteri dell’articolo 83, tenendo conto, tra l’altro, della natura, gravità e durata della violazione, delle misure adottate e delle circostanze del caso. Se il medesimo comportamento integra anche violazioni di altri principi o obblighi del GDPR, occorre valutare separatamente le disposizioni interessate e il relativo regime sanzionatorio. Il Garante può inoltre esercitare i poteri correttivi previsti dall’articolo 58, compresa l’imposizione di misure di adeguamento o, quando ne ricorrono i presupposti, di limitazioni del trattamento.
Quando l’impresa scopre che un software già operativo presenta configurazioni non conformi, deve anzitutto individuare i trattamenti interessati, verificare l’effettiva esposizione dei dati e stabilire quali interventi siano necessari. In alcuni casi può essere sufficiente modificare le autorizzazioni, disattivare funzionalità superflue o correggere i tempi di conservazione; in altri possono rendersi necessarie modifiche applicative, una revisione dei rapporti con i fornitori oppure la sospensione di specifiche operazioni fino al ripristino di condizioni adeguate. Se la carenza ha determinato una violazione di sicurezza dei dati personali, occorre valutare separatamente gli obblighi previsti dagli articoli 33 e 34 del GDPR, senza presumere che ogni difetto di progettazione costituisca automaticamente un data breach.
L’intervento correttivo dovrebbe essere accompagnato da una verifica delle cause organizzative che hanno consentito alla non conformità di persistere. Un errore nelle autorizzazioni può dipendere dall’assenza di controlli al momento dell’attivazione del sistema, da modifiche successive non valutate oppure da procedure interne che non prevedono la revisione dei privilegi quando cambiano le mansioni. Correggere la singola impostazione senza affrontare il processo che ha prodotto l’errore può lasciare irrisolto il rischio di nuove violazioni. Quando l’azienda riscontra internamente un problema di conformità, può essere opportuno approfondire anche le modalità di intervento illustrate nel nostro articolo sulla violazione GDPR scoperta internamente e sulle verifiche da effettuare.
La revisione periodica delle misure assume quindi una funzione concreta di controllo. L’impresa dovrebbe prevedere verifiche in occasione dell’introduzione di nuovi applicativi, dell’ampliamento delle funzionalità, della migrazione verso servizi cloud o di modifiche rilevanti nell’organizzazione. Le attività possono essere inserite nei controlli ordinari della compliance aziendale, con il coinvolgimento delle funzioni tecniche e, quando presente, del DPO. La frequenza e l’estensione delle verifiche devono essere commisurate ai rischi effettivi, evitando sia controlli meramente formali sia procedure sproporzionate rispetto alla complessità dei trattamenti.
Esempio pratico: un nuovo gestionale aziendale con accessi ai dati troppo estesi
Consideriamo, a titolo esemplificativo, una società che sostituisce il proprio gestionale con una piattaforma cloud destinata ad amministrazione, ufficio commerciale e gestione del personale. Durante la configurazione iniziale vengono attribuiti a numerosi dipendenti profili standard che consentono di consultare informazioni non necessarie alle rispettive mansioni. Il software dispone di funzionalità per limitare gli accessi, ma tali impostazioni non sono state personalizzate prima dell’avvio operativo. L’impresa si trova quindi a trattare dati personali attraverso un sistema le cui autorizzazioni predefinite non sono state adeguatamente valutate.
In una situazione del genere, l’intervento professionale consiste nell’esaminare le categorie di dati trattati, le finalità perseguite e le effettive esigenze delle diverse funzioni aziendali, coordinando la valutazione giuridica con le verifiche tecniche. Particolare attenzione richiede l’individuazione degli accessi già consentiti e la verifica di eventuali consultazioni non autorizzate, senza presumere che la sola disponibilità tecnica dei dati abbia necessariamente comportato una violazione di sicurezza. Sulla base delle risultanze possono essere ridefiniti i profili di autorizzazione, limitate le funzionalità non necessarie e introdotte procedure di verifica prima dell’attivazione di nuovi utenti o moduli applicativi.
L’esempio mostra perché la privacy by default deve essere verificata sulle impostazioni effettive del sistema e non soltanto sulle caratteristiche dichiarate dal fornitore. La valutazione deve considerare sia le configurazioni iniziali sia le modalità con cui l’azienda gestirà successivamente modifiche, aggiornamenti e autorizzazioni.
Privacy by design e by default: le domande più frequenti delle aziende
La privacy by design è obbligatoria anche per le piccole e medie imprese?
Sì. L’articolo 25 del GDPR si applica ai titolari del trattamento indipendentemente dalle dimensioni aziendali. Le misure da adottare devono però essere proporzionate alla natura dei trattamenti, alle finalità perseguite e ai rischi per i diritti e le libertà delle persone. Una PMI che utilizza un gestionale per clienti e dipendenti deve quindi verificare le impostazioni di accesso, la quantità di dati raccolti e le modalità di conservazione, senza necessariamente adottare le stesse soluzioni tecniche di una grande organizzazione.
Un software acquistato da un fornitore esterno deve rispettare la privacy by design?
Il titolare deve assicurarsi che il trattamento realizzato attraverso il software rispetti l’articolo 25 del GDPR. Il fornitore può offrire funzionalità e garanzie tecniche, ma l’azienda deve verificare che le configurazioni concretamente utilizzate siano adeguate alle proprie finalità. Se il fornitore opera come responsabile del trattamento, assumono rilievo anche gli obblighi previsti dall’articolo 28 del GDPR. La dichiarazione commerciale secondo cui un prodotto è conforme alla normativa privacy non sostituisce queste verifiche.
La privacy by design deve essere applicata anche ai sistemi informatici già esistenti?
Sì. L’obbligo riguarda anche i trattamenti in corso. Un gestionale utilizzato da anni deve essere riesaminato quando le sue caratteristiche non risultano più adeguate, soprattutto in presenza di nuove funzionalità, modifiche delle finalità, ampliamento degli accessi o cambiamenti dei rischi. Non è necessariamente richiesta la sostituzione del software: occorre valutare se le carenze possano essere corrette attraverso configurazioni, modifiche applicative o misure organizzative appropriate.
Chi risponde se l’azienda non ha applicato correttamente la privacy by default?
Il titolare del trattamento è responsabile del rispetto dell’articolo 25 del GDPR e deve poter dimostrare l’adeguatezza delle misure adottate. Possono assumere rilievo anche le responsabilità del fornitore o del responsabile del trattamento, secondo i rispettivi obblighi normativi e contrattuali. La presenza di un DPO non trasferisce su quest’ultimo la responsabilità delle decisioni aziendali. L’individuazione delle conseguenze giuridiche richiede comunque di esaminare il trattamento, i ruoli effettivi e la natura della violazione.
Come può un’azienda dimostrare di avere applicato la privacy by design?
L’impresa deve poter ricostruire le valutazioni effettuate e dimostrare che le misure previste sono effettivamente operative. Possono essere utili analisi dei rischi, specifiche progettuali, documentazione delle configurazioni, verifiche sui profili di accesso, valutazioni dei fornitori e risultati dei controlli. Non esiste un unico documento che certifichi automaticamente il rispetto dell’articolo 25. La dimostrazione della conformità dipende dalla coerenza tra le scelte documentate e il funzionamento concreto dei trattamenti.
Privacy by design e by default: richiedere una valutazione legale della conformità aziendale
Quando un’impresa introduce un nuovo software, modifica i propri processi o scopre che le impostazioni dei sistemi consentono trattamenti eccessivi o accessi non necessari, è opportuno verificare se le misure adottate rispettino l’articolo 25 del GDPR. La valutazione deve considerare le caratteristiche dei trattamenti, le responsabilità aziendali, i rapporti con i fornitori e le eventuali criticità già emerse. Una verifica preventiva o un intervento correttivo mirato possono consentire di individuare le non conformità e definire le misure necessarie, senza presumere che ogni impresa debba adottare le medesime soluzioni.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nella valutazione degli obblighi GDPR, nell’analisi delle responsabilità e nell’organizzazione degli interventi di adeguamento, anche attraverso il coordinamento con i referenti informatici e i fornitori tecnologici. Se la vostra impresa deve verificare la conformità di un gestionale, di una piattaforma cloud o di un nuovo progetto digitale, potete richiedere una valutazione in materia di privacy by design e by default attraverso il modulo dedicato alla consulenza GDPR aziendale. Esamineremo la richiesta per individuare le questioni giuridiche da approfondire e le possibili modalità di assistenza.
