Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che deve mettersi in regola con il GDPR può rivolgersi a un avvocato esperto in protezione dei dati personali, a un consulente privacy qualificato oppure a una struttura professionale con competenze giuridiche, organizzative e informatiche. La scelta dipende dai trattamenti effettuati, dalle dimensioni dell’impresa, dalle criticità già presenti e dall’eventuale necessità di assistenza legale. Non è sufficiente acquistare modelli standard di informative e nomine: occorre verificare come vengono realmente raccolti, utilizzati, conservati e comunicati i dati personali.

Il Regolamento (UE) 2016/679 impone al titolare del trattamento di adottare misure adeguate e di poter dimostrare il rispetto degli obblighi applicabili. Per un imprenditore o un amministratore, il problema consiste quindi nell’individuare un professionista capace di valutare la situazione aziendale, riconoscere le carenze e organizzare un percorso di adeguamento GDPR concretamente attuabile. La necessità può emergere all’avvio dell’attività, durante una riorganizzazione, in occasione di verifiche contrattuali oppure quando vengono scoperti documenti mancanti, procedure obsolete o trattamenti non correttamente disciplinati.

Chi può mettere in regola un’azienda con il GDPR e quale professionista scegliere

La normativa europea non riserva l’attività di consulenza per l’adeguamento GDPR a un’unica categoria professionale. Un’impresa può incaricare un avvocato specializzato in privacy, un consulente con comprovata esperienza nella protezione dei dati oppure un gruppo di professionisti che riunisca competenze differenti. Occorre però distinguere la consulenza organizzativa e documentale dalle attività di assistenza e rappresentanza legale che, quando riservate dalla legge, devono essere svolte da professionisti abilitati.

Quando un’azienda ci chiede a chi affidare la gestione degli adempimenti privacy, riteniamo necessario partire dalla natura dei trattamenti e dai problemi da risolvere. Una società commerciale che gestisce anagrafiche di clienti e fornitori presenta esigenze diverse da un’impresa che utilizza sistemi di videosorveglianza, strumenti di monitoraggio informatico, piattaforme cloud o applicazioni che trattano categorie particolari di dati. Cambiano le verifiche da effettuare, le competenze richieste e il livello di approfondimento dell’incarico.

L’avvocato esperto in GDPR e privacy aziendale può intervenire nella valutazione delle basi giuridiche dei trattamenti, nella definizione dei rapporti contrattuali con i fornitori, nell’interpretazione degli obblighi normativi e nella gestione delle responsabilità. La sua competenza assume particolare rilievo quando l’adeguamento deve affrontare situazioni potenzialmente controverse: controlli sui dipendenti, utilizzo improprio dei dati personali, richieste degli interessati, contestazioni contrattuali o possibili interventi del Garante per la protezione dei dati personali.

Il consulente privacy può invece occuparsi dell’analisi dei processi, della ricognizione dei trattamenti, della predisposizione della documentazione e dell’organizzazione delle procedure interne, purché disponga delle competenze necessarie. Nei contesti tecnologicamente complessi può essere indispensabile il contributo di specialisti della sicurezza informatica, perché la conformità al GDPR richiede anche misure tecniche adeguate ai rischi effettivi. La valutazione giuridica di un contratto cloud, ad esempio, non sostituisce la verifica delle modalità di accesso ai dati, delle autorizzazioni, dei sistemi di protezione e delle procedure di recupero delle informazioni.

Non bisogna confondere queste figure con il Responsabile della protezione dei dati (RPD o DPO). Il DPO svolge i compiti previsti dall’articolo 39 del GDPR, tra cui informare e fornire consulenza, sorvegliare l’osservanza della normativa e cooperare con l’autorità di controllo. Non assume automaticamente il ruolo di responsabile operativo dell’intero adeguamento e non sostituisce il titolare nelle decisioni sui trattamenti. La sua designazione è obbligatoria nei casi previsti dall’articolo 37, mentre nelle altre situazioni può essere valutata volontariamente. Le differenze tra le figure professionali sono approfondite anche nel nostro articolo dedicato al DPO esterno e al consulente privacy.

La scelta del professionista dovrebbe quindi considerare l’esperienza documentabile nella gestione di imprese comparabili, la capacità di effettuare verifiche effettive, la chiarezza dell’incarico e la disponibilità ad assistere l’azienda anche dopo la predisposizione iniziale dei documenti. Un preventivo che comprende esclusivamente informative standard e moduli di nomina non può essere considerato equivalente a un servizio che prevede l’esame dei trattamenti, dei rapporti con i fornitori, delle procedure e delle responsabilità interne.

Come si svolge l’adeguamento GDPR e quali attività devono essere comprese nell’incarico

Una volta individuato il professionista, l’azienda deve chiarire quali attività siano effettivamente comprese nella consulenza. Il primo passaggio consiste normalmente nella ricognizione dei trattamenti di dati personali: quali informazioni vengono raccolte, per quali finalità, attraverso quali strumenti, chi può accedervi, a quali soggetti vengono comunicate e per quanto tempo sono conservate. Senza questa analisi, la documentazione rischia di descrivere un’organizzazione diversa da quella realmente esistente.

Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del GDPR richiede al titolare di adottare misure tecniche e organizzative adeguate e di poter dimostrare la conformità dei trattamenti. Per questo motivo, mettere in regola un’azienda con il GDPR non significa ottenere una certificazione generica di conformità, ma costruire e mantenere un sistema proporzionato alle attività svolte e ai rischi per i diritti e le libertà delle persone fisiche.

Durante l’incarico occorre verificare le informative rese a dipendenti, clienti e altri interessati, le basi giuridiche dei trattamenti, le istruzioni impartite al personale autorizzato e i rapporti con i soggetti esterni che trattano dati per conto dell’impresa. Quando ricorrono i presupposti previsti dall’articolo 28 del GDPR, questi ultimi devono essere disciplinati mediante un contratto o altro atto giuridico conforme alla normativa. Non ogni fornitore che riceve dati personali è però automaticamente un responsabile del trattamento: la qualificazione dipende dal ruolo effettivamente svolto e dalle finalità perseguite.

Un’altra attività riguarda il registro delle attività di trattamento previsto dall’articolo 30. Il professionista deve verificare se sussista l’obbligo di tenerlo, considerando anche le eccezioni e i relativi limiti previsti per le organizzazioni con meno di 250 dipendenti. Quando il registro è necessario, deve descrivere i trattamenti effettivi e rimanere aggiornato. Analogamente, la valutazione d’impatto sulla protezione dei dati (DPIA) non è richiesta indistintamente per ogni attività, ma nei casi in cui il trattamento possa presentare un rischio elevato secondo l’articolo 35 del GDPR.

La consulenza deve poi affrontare le situazioni operative nelle quali si concentrano frequentemente le criticità aziendali. Pensiamo all’accesso alle caselle email dei dipendenti, alla gestione degli account dopo la cessazione del rapporto di lavoro, alla videosorveglianza, all’utilizzo di piattaforme di marketing, ai software gestionali e ai servizi cloud. Le verifiche devono tenere conto, quando applicabili, anche delle disposizioni del Codice Privacy e della disciplina lavoristica, compreso l’articolo 4 dello Statuto dei lavoratori. Un trattamento tecnicamente possibile non è necessariamente lecito sotto il profilo della protezione dei dati e dei controlli a distanza.

Per le imprese che dispongono già di informative, registri e procedure, l’attività può assumere la forma di un audit privacy o check-up GDPR. In questo caso esaminiamo la coerenza tra documentazione e prassi aziendali, individuiamo eventuali scostamenti e definiamo le priorità di intervento. La verifica deve comprendere anche le misure di sicurezza, la gestione delle richieste degli interessati e le procedure per riconoscere e valutare eventuali violazioni dei dati personali. Un percorso operativo più ampio è illustrato nell’approfondimento sull’adeguamento GDPR aziendale.

Prima di conferire l’incarico è opportuno stabilire quali verifiche saranno svolte, quali documenti e procedure dovranno essere predisposti o revisionati, quali attività richiederanno il coinvolgimento del personale interno e come verranno gestiti gli aggiornamenti successivi. La responsabilità della conformità rimane in capo al titolare del trattamento: l’intervento del consulente consente di acquisire competenze specialistiche e supporto operativo, ma non trasferisce automaticamente al professionista gli obblighi che la normativa attribuisce all’impresa.

Quali rischi corre un’azienda non conforme al GDPR e come intervenire sulle irregolarità

La scelta di un professionista diventa particolarmente delicata quando l’azienda scopre di non essere in regola con il GDPR. Può accadere che le informative non siano mai state aggiornate, che manchino accordi con i fornitori, che il personale utilizzi dati personali senza istruzioni adeguate oppure che siano stati introdotti nuovi software senza valutarne le implicazioni sulla protezione dei dati. In queste situazioni occorre distinguere le irregolarità documentali dalle carenze che incidono direttamente sulla liceità dei trattamenti o sulla sicurezza delle informazioni.

La mancanza di conformità al GDPR non comporta automaticamente una sanzione, ma può esporre l’impresa a provvedimenti correttivi dell’autorità di controllo, sanzioni amministrative e, quando ne ricorrono i presupposti, richieste risarcitorie da parte degli interessati. L’articolo 83 del Regolamento prevede differenti limiti massimi delle sanzioni pecuniarie in relazione alla natura della violazione, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell’esercizio precedente e, per determinate violazioni, fino a 20 milioni di euro o al 4% del medesimo fatturato, se superiore. Non si tratta di importi automaticamente applicabili: la valutazione deve considerare i criteri normativi, le circostanze del caso e il principio di proporzionalità.

Per questo motivo, quando interveniamo su una situazione di possibile non conformità, il primo obiettivo è individuare quali trattamenti richiedano una correzione immediata e quali attività possano essere inserite in un programma di adeguamento progressivo. Un’informativa incompleta, ad esempio, pone questioni differenti rispetto a un sistema di videosorveglianza installato senza rispettare le disposizioni applicabili o a un servizio informatico che consente accessi non adeguatamente controllati ai dati personali. La priorità dipende dalla gravità della carenza, dai trattamenti coinvolti e dai rischi per le persone interessate.

La responsabilità dell’organizzazione non viene meno perché la gestione informatica è affidata a un fornitore esterno o perché un dipendente ha materialmente eseguito un’operazione irregolare. Il titolare del trattamento deve poter dimostrare di avere definito responsabilità, istruzioni e misure organizzative adeguate. L’articolo 32 del GDPR richiede, in particolare, un livello di sicurezza appropriato al rischio, tenendo conto della natura dei trattamenti, del contesto, delle finalità e degli altri elementi indicati dalla disposizione. La presenza di un contratto con un fornitore informatico, da sola, non dimostra che tali obblighi siano stati correttamente assolti.

Un professionista incaricato della regolarizzazione deve quindi verificare anche il funzionamento delle procedure aziendali. Occorre accertare chi autorizza l’accesso alle informazioni, come vengono gestite le credenziali, quali regole disciplinano la conservazione dei documenti e come vengono affrontate le richieste di accesso, rettifica o cancellazione dei dati. Quando emergono carenze, le misure correttive devono essere documentate e accompagnate da istruzioni comprensibili per il personale interessato.

Se l’azienda ha già ricevuto una richiesta di informazioni, un reclamo o una contestazione del Garante per la protezione dei dati personali, la situazione richiede una valutazione specifica. Non è sufficiente aggiornare rapidamente i documenti per considerare risolta una possibile violazione precedente. Occorre ricostruire i fatti, preservare la documentazione rilevante, verificare gli obblighi applicabili e rispettare i termini eventualmente assegnati dall’autorità. In presenza di contestazioni formali, può essere necessaria un’assistenza legale distinta dall’attività ordinaria di consulenza GDPR.

Una particolare attenzione deve essere riservata alle violazioni dei dati personali. Quando un’impresa subisce un accesso abusivo, una perdita di informazioni o un incidente che compromette la riservatezza, l’integrità o la disponibilità dei dati, occorre valutare se ricorra un data breach ai sensi del Regolamento. L’articolo 33 prevede, nei casi in cui la notifica sia dovuta, la comunicazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. L’articolo 34 disciplina invece la comunicazione agli interessati quando la violazione presenta un rischio elevato per i loro diritti e le loro libertà. Per queste situazioni abbiamo predisposto un approfondimento dedicato a chi rivolgersi dopo un data breach aziendale.

Il percorso di regolarizzazione deve infine prevedere modalità di verifica successive all’intervento iniziale. L’adozione di nuovi sistemi informatici, l’assunzione di personale, il cambiamento dei fornitori o l’avvio di attività commerciali possono modificare i trattamenti e rendere necessarie nuove valutazioni. La consulenza professionale deve consentire all’impresa di riconoscere questi cambiamenti e di aggiornare le misure applicabili, senza considerare la predisposizione iniziale della documentazione come un adempimento definitivamente concluso.

Esempio pratico: un’azienda con documentazione privacy incompleta e fornitori non correttamente disciplinati

Consideriamo il caso ipotetico di una società di servizi con diversi dipendenti, un gestionale cloud e fornitori esterni incaricati di attività amministrative e informatiche. L’amministratore ritiene che l’azienda sia in regola perché dispone di informative privacy e di alcuni moduli predisposti anni prima. In occasione della richiesta di documentazione da parte di un importante cliente commerciale, emerge però che il registro dei trattamenti non rispecchia più l’organizzazione, alcune informative sono obsolete e non sono stati verificati i rapporti contrattuali con tutti i soggetti che trattano dati personali per conto della società.

In una situazione del genere, l’intervento professionale dovrebbe partire dall’esame dei flussi informativi e dei contratti esistenti, evitando di sostituire indiscriminatamente tutta la documentazione. La questione più delicata potrebbe riguardare la corretta qualificazione dei fornitori, soprattutto quando alcuni operano come responsabili del trattamento e altri perseguono finalità autonome. Dopo questa ricognizione, sarebbe possibile predisporre un programma di aggiornamento delle informative, del registro, degli accordi applicabili e delle istruzioni interne, individuando i responsabili aziendali delle successive verifiche. L’esempio mostra perché la scelta del consulente debba dipendere dalla capacità di esaminare l’organizzazione effettiva, anziché dalla semplice disponibilità di modelli documentali.

Domande frequenti su come mettere in regola un’azienda con il GDPR

Un’azienda può adeguarsi al GDPR senza rivolgersi a un consulente esterno?

Sì. Il GDPR non impone generalmente di affidare l’adeguamento a un professionista esterno. L’impresa può organizzare internamente le attività necessarie, purché disponga delle competenze giuridiche, organizzative e tecniche adeguate. Quando i trattamenti sono complessi, la documentazione è incompleta o emergono dubbi sulla liceità delle procedure, l’assistenza specialistica può consentire di individuare criticità che una verifica esclusivamente interna potrebbe non riconoscere.

Per mettere in regola l’azienda è obbligatorio nominare un DPO?

No. La designazione del Responsabile della protezione dei dati è obbligatoria nei casi individuati dall’articolo 37 del GDPR, non per tutte le imprese. L’obbligo dipende dalle caratteristiche del titolare e dalla natura delle attività di trattamento, non semplicemente dal numero dei dipendenti. Anche quando la nomina non è necessaria, l’azienda deve rispettare gli obblighi GDPR applicabili. La questione è approfondita nell’articolo quando un’azienda è obbligata a nominare il DPO.

Quanto costa rivolgersi a un professionista per l’adeguamento GDPR aziendale?

Il costo dipende dal numero e dalla complessità dei trattamenti, dalla struttura organizzativa, dalle sedi coinvolte, dalla documentazione già disponibile e dalle attività comprese nell’incarico. Una verifica iniziale circoscritta ha caratteristiche diverse da un adeguamento completo che richiede analisi dei processi, revisione dei contratti, predisposizione di procedure e assistenza continuativa. Prima di accettare un preventivo è opportuno verificare quali prestazioni siano incluse e quali eventuali interventi vengano conteggiati separatamente.

Se l’azienda possiede già informative e documenti privacy deve comunque effettuare una verifica?

La presenza dei documenti non dimostra, da sola, la conformità al GDPR. Occorre verificare che descrivano correttamente i trattamenti effettivi e che siano coerenti con l’organizzazione aziendale. Una nuova verifica diventa particolarmente opportuna quando cambiano software, fornitori, finalità dei trattamenti o modalità di gestione dei dati personali. Gli obblighi di aggiornamento dipendono dalle disposizioni applicabili e dai cambiamenti intervenuti, non da una scadenza annuale generalizzata.

Chi risponde se il consulente privacy commette un errore nell’adeguamento GDPR?

Il titolare del trattamento conserva gli obblighi e le responsabilità che il GDPR gli attribuisce, anche quando affida attività di consulenza a un professionista esterno. Un eventuale errore del consulente può assumere rilievo nei rapporti contrattuali e, ricorrendone i presupposti, determinare una responsabilità professionale. Occorre distinguere questa eventuale responsabilità dagli obblighi del titolare nei confronti degli interessati e dell’autorità di controllo, valutando concretamente l’incarico conferito, le attività svolte e le cause della violazione.

Mettere in regola la propria azienda con il GDPR: richiedere una valutazione legale

Quando un’impresa deve adeguarsi al GDPR, aggiornare una gestione privacy ormai superata o verificare irregolarità già emerse, la scelta del professionista deve partire dalle esigenze concrete dell’organizzazione. Documentazione, rapporti con i fornitori, trattamenti dei dipendenti e misure di sicurezza richiedono verifiche differenti, da coordinare in funzione degli obblighi applicabili e dei rischi effettivi.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, offre assistenza legale alle imprese nelle questioni relative alla protezione dei dati personali e alla conformità GDPR. Possiamo esaminare le criticità rappresentate dall’azienda, valutare gli adempimenti necessari e individuare le attività professionali appropriate alla situazione.

Se la vostra società deve mettere in regola la gestione dei dati personali oppure desidera verificare l’adeguatezza delle procedure esistenti, potete richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per verificare la natura delle problematiche e le possibili modalità di assistenza.