Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che ha predisposto informative, registro dei trattamenti e documentazione privacy non può considerare definitivamente conclusi i propri adempimenti. L’assunzione di dipendenti, l’introduzione di nuovi software, il cambiamento dei fornitori e le modifiche alle modalità di utilizzo dei dati personali possono rendere necessarie ulteriori verifiche. L’assistenza GDPR continuativa serve a gestire queste esigenze nel tempo, attraverso un rapporto professionale che comprenda aggiornamenti documentali, consulenza operativa, controlli periodici e interventi in presenza di criticità.

Per imprenditori e amministratori, la questione è comprendere quali attività debbano essere effettivamente comprese nel servizio, quali responsabilità rimangano in capo all’impresa e come organizzare un’assistenza proporzionata alla complessità dei trattamenti. Un contratto annuale, infatti, non costituisce di per sé una prova di conformità al Regolamento (UE) 2016/679: occorre verificare che le prestazioni concordate corrispondano alle esigenze dell’organizzazione e che gli interventi necessari vengano concretamente eseguiti.

Perché l’adeguamento iniziale al GDPR non esaurisce gli obblighi dell’azienda

Il Regolamento (UE) 2016/679 impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate e di poter dimostrare il rispetto delle disposizioni applicabili. Il principio di responsabilizzazione, previsto dall’articolo 5, paragrafo 2, e sviluppato dall’articolo 24 del GDPR, richiede una valutazione che tenga conto della natura, dell’ambito di applicazione, del contesto e delle finalità dei trattamenti, nonché dei rischi per i diritti e le libertà delle persone fisiche. L’articolo 24 prevede anche il riesame e l’aggiornamento delle misure quando necessario.

Questo significa che l’adeguamento GDPR aziendale non può essere ridotto alla consegna iniziale di un insieme di documenti. Un’impresa può aver predisposto correttamente la propria documentazione e trovarsi, alcuni mesi dopo, a gestire trattamenti diversi da quelli originariamente esaminati. È sufficiente pensare all’introduzione di un sistema di gestione delle presenze, all’affidamento dei dati dei clienti a una piattaforma cloud oppure all’attivazione di nuove funzionalità di profilazione commerciale. Ciascuna modifica può richiedere verifiche sulle basi giuridiche, sulle informazioni da fornire agli interessati, sui rapporti con i fornitori e sulle misure di sicurezza.

La consulenza GDPR continuativa permette di affrontare tali cambiamenti secondo un processo organizzato. Il consulente può esaminare le modifiche comunicate dall’impresa, individuare gli adempimenti applicabili, proporre gli aggiornamenti necessari e assistere le funzioni aziendali nella loro attuazione. Il servizio deve però essere costruito sulla realtà dell’impresa: un’azienda manifatturiera con numerosi dipendenti presenta esigenze diverse da una società di servizi che tratta prevalentemente dati commerciali o da un’impresa che gestisce informazioni appartenenti a categorie particolari ai sensi dell’articolo 9 del GDPR.

Non esiste una disposizione generale che obblighi tutte le imprese a sottoscrivere un contratto di assistenza privacy annuale. Esistono, invece, obblighi di conformità che devono essere rispettati durante l’attività aziendale. L’affidamento a un professionista esterno rappresenta una possibile soluzione organizzativa, particolarmente utile quando l’impresa non dispone internamente delle competenze o delle risorse necessarie per seguire con continuità gli adempimenti.

Occorre distinguere anche il servizio di consulenza dall’incarico di Responsabile della protezione dei dati, o DPO. La nomina di quest’ultimo è obbligatoria nei casi previsti dall’articolo 37 del GDPR, mentre l’assistenza professionale può essere richiesta anche da imprese che non hanno l’obbligo di nominare un DPO. Le due attività possono interagire, ma non sono automaticamente equivalenti: il DPO esercita le funzioni di informazione, consulenza e sorveglianza previste dall’articolo 39, mentre il consulente incaricato della gestione operativa può assistere il titolare nella predisposizione e nell’attuazione degli adempimenti. Quando entrambi i servizi vengono affidati al medesimo soggetto, occorre verificare l’assenza di conflitti di interessi e il rispetto dell’indipendenza del DPO.

Per approfondire la distinzione tra le figure professionali, abbiamo esaminato le rispettive funzioni nell’articolo dedicato a DPO esterno e consulente privacy: differenze e funzioni. La corretta individuazione dei ruoli consente all’azienda di comprendere quali attività possano essere affidate all’esterno e quali decisioni debbano rimanere sotto la responsabilità del titolare del trattamento.

Quali attività devono essere comprese nell’assistenza GDPR continuativa

Il contenuto del servizio dipende dall’organizzazione aziendale, dai trattamenti effettuati e dall’estensione dell’incarico professionale. Un’assistenza privacy continuativa adeguatamente strutturata dovrebbe partire dalla conoscenza dei processi dell’impresa e prevedere modalità precise di verifica, aggiornamento e supporto. Non tutte le prestazioni devono necessariamente essere comprese in un unico canone: è però opportuno che il contratto distingua chiaramente le attività ordinarie dagli interventi straordinari.

Una prima componente riguarda la gestione e l’aggiornamento della documentazione GDPR. Il consulente può verificare la corrispondenza tra i trattamenti effettivamente svolti e quanto riportato nel registro delle attività di trattamento, nelle informative e nelle procedure interne. Quando vengono introdotti nuovi processi, cambiano le finalità del trattamento oppure vengono coinvolti ulteriori fornitori, può rendersi necessario aggiornare i documenti interessati. Particolare attenzione richiedono le designazioni dei soggetti autorizzati, le istruzioni operative e gli accordi con i responsabili del trattamento ai sensi dell’articolo 28 del GDPR.

L’aggiornamento documentale deve seguire le modifiche reali dell’organizzazione. Per esempio, l’adozione di un nuovo gestionale non richiede automaticamente di riscrivere tutte le informative aziendali, ma impone di verificare se cambino le modalità di trattamento, i destinatari dei dati, gli eventuali trasferimenti verso Paesi terzi e le misure di sicurezza. Quando le modifiche incidono sulle informazioni già fornite agli interessati, occorre valutare gli aggiornamenti necessari. Abbiamo approfondito questo profilo nella guida su come aggiornare correttamente la documentazione privacy aziendale.

Un secondo ambito riguarda il monitoraggio periodico della conformità GDPR. Il servizio può prevedere verifiche programmate sulle procedure adottate, sui flussi di dati, sui tempi di conservazione, sulle autorizzazioni di accesso e sui rapporti con i fornitori. La periodicità non è identica per tutte le imprese: deve essere definita in relazione ai rischi, alla complessità organizzativa e alla frequenza dei cambiamenti. Le verifiche possono concludersi con un rapporto che identifichi le criticità riscontrate, le misure correttive proposte, i soggetti incaricati dell’attuazione e le relative priorità.

Rientra nell’assistenza anche il supporto alle funzioni aziendali che trattano quotidianamente dati personali. L’ufficio HR può richiedere indicazioni sulla gestione dei dati dei dipendenti o sull’introduzione di strumenti informatici; il responsabile IT può avere bisogno di una valutazione degli aspetti privacy connessi a nuovi servizi cloud; la direzione commerciale può dover verificare la liceità di una campagna di marketing. In questi casi, il consulente interviene prima che una scelta organizzativa venga attuata, permettendo all’impresa di considerare tempestivamente gli obblighi applicabili.

Un servizio continuativo può comprendere anche la formazione periodica del personale, calibrata sulle mansioni e sui rischi effettivi. Chi gestisce le richieste dei clienti deve conoscere le procedure per l’esercizio dei diritti previsti dal GDPR; chi amministra i sistemi informatici deve essere istruito sulle modalità di trattamento e sulle misure di sicurezza di propria competenza. La formazione non dovrebbe limitarsi alla distribuzione di documenti, ma essere accompagnata da istruzioni comprensibili e coerenti con i processi aziendali.

Un ulteriore elemento riguarda la gestione delle richieste degli interessati e delle situazioni impreviste. L’azienda può ricevere un’istanza di accesso ai dati, una richiesta di cancellazione, un reclamo oppure una comunicazione relativa a una possibile violazione di dati personali. L’assistenza professionale può comprendere la valutazione della richiesta, l’individuazione dei termini applicabili e il supporto nella predisposizione della risposta. In presenza di un data breach, occorre valutare tempestivamente i rischi per le persone interessate e gli eventuali obblighi di notifica e comunicazione previsti dagli articoli 33 e 34 del GDPR.

Proprio gli interventi urgenti meritano una disciplina contrattuale specifica. È opportuno chiarire se il servizio comprenda una prima valutazione dell’incidente, quali siano i canali per richiedere assistenza, quali tempi di presa in carico siano concordati e se eventuali attività difensive davanti al Garante per la protezione dei dati personali richiedano un incarico distinto. Una generica promessa di assistenza illimitata rischia di creare aspettative non corrispondenti alle prestazioni effettivamente pattuite.

La gestione continuativa del GDPR richiede infine un coordinamento stabile tra consulente e referenti aziendali. L’impresa deve comunicare le modifiche rilevanti, mettere a disposizione le informazioni necessarie e adottare le decisioni di propria competenza. Il professionista, nei limiti dell’incarico ricevuto, può individuare gli interventi necessari e assistere nella loro realizzazione. Questo rapporto operativo consente di mantenere un controllo documentabile sugli adempimenti, senza confondere l’affidamento esterno del servizio con il trasferimento delle responsabilità che il GDPR attribuisce al titolare del trattamento.

Come organizzare controlli, responsabilità e interventi durante l’anno

Per rendere effettiva l’assistenza GDPR continuativa, il contratto professionale deve tradursi in un’organizzazione del lavoro verificabile. Non è sufficiente prevedere la disponibilità generica del consulente: occorre stabilire chi comunica le modifiche aziendali, quali controlli vengono programmati, come sono documentate le criticità e chi deve attuare gli interventi correttivi. Senza queste indicazioni, anche un servizio formalmente continuativo rischia di limitarsi alla gestione occasionale delle richieste.

Una soluzione consiste nel predisporre un piano annuale degli adempimenti GDPR, articolato secondo le caratteristiche dell’impresa. Il programma può comprendere la revisione del registro dei trattamenti, la verifica delle informative, il controllo degli accordi con i responsabili esterni, l’esame delle procedure di conservazione dei dati e la valutazione delle misure organizzative adottate. La periodicità deve essere proporzionata ai rischi e non necessariamente coincidere con una revisione completa di tutti i documenti ogni dodici mesi. Alcuni trattamenti possono richiedere verifiche più frequenti, mentre altri devono essere riesaminati soprattutto quando intervengono modifiche rilevanti.

Il consulente dovrebbe disporre di un referente aziendale in grado di raccogliere le informazioni provenienti dalle diverse funzioni. Nelle imprese di dimensioni contenute tale compito può essere affidato all’amministratore o a un responsabile amministrativo; nelle organizzazioni più articolate può essere opportuno coinvolgere HR, IT, ufficio legale e compliance. Il referente non sostituisce il titolare del trattamento e non assume automaticamente le funzioni del DPO, ma consente di mantenere un collegamento operativo tra le attività aziendali e il professionista incaricato.

Particolare attenzione merita la gestione delle non conformità GDPR. Quando una verifica individua un problema, il servizio dovrebbe prevedere una valutazione della sua natura, dei rischi connessi e delle misure necessarie. Un’informativa non aggiornata, un accordo incompleto con un fornitore e una possibile violazione di dati personali richiedono interventi differenti. Il consulente può formulare raccomandazioni e assistere nell’attuazione delle misure, mentre le decisioni organizzative e l’assegnazione delle risorse competono all’impresa. È opportuno conservare evidenza delle verifiche effettuate, delle decisioni assunte e degli interventi realizzati.

La documentazione delle attività assume rilievo anche rispetto al principio di accountability. In caso di controllo, l’azienda deve poter dimostrare le misure adottate e la loro adeguatezza rispetto ai trattamenti effettuati. I rapporti di verifica, le procedure aggiornate, le registrazioni della formazione e le decisioni relative ai rischi possono contribuire a ricostruire il percorso seguito dall’organizzazione. La semplice esistenza di un contratto con un consulente, invece, non dimostra che tutti gli obblighi siano stati rispettati. Per approfondire i controlli documentali, rinviamo all’articolo su privacy aziendale e documenti obbligatori.

Un altro profilo riguarda la gestione delle situazioni urgenti. L’articolo 33 del GDPR prevede, quando ricorrono i relativi presupposti, la notifica di una violazione dei dati personali all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Un’organizzazione che non abbia stabilito come segnalare internamente gli incidenti e chi debba valutarli può perdere tempo prezioso. Per questa ragione, l’assistenza continuativa dovrebbe prevedere almeno una procedura di attivazione tempestiva del supporto professionale, distinguendo la prima valutazione dalle eventuali attività straordinarie. Le misure da adottare in presenza di una violazione sono approfondite nell’articolo Data breach in azienda: cosa fare nelle prime 72 ore.

La definizione delle prestazioni deve essere accompagnata da una chiara disciplina economica. Il contratto di consulenza GDPR continuativa dovrebbe specificare il numero o la frequenza delle verifiche previste, le modalità di assistenza ordinaria, l’eventuale disponibilità per urgenze, le attività formative comprese e i criteri di remunerazione degli interventi ulteriori. Un audit straordinario, la gestione di un incidente complesso o l’assistenza in un procedimento davanti al Garante possono richiedere competenze e attività non comprese nel servizio ordinario. La distinzione evita equivoci e consente all’impresa di valutare il contenuto effettivo dell’incarico, anziché confrontare esclusivamente i canoni annuali.

Nel valutare il servizio, occorre considerare anche le responsabilità del professionista e quelle del titolare del trattamento. L’affidamento esterno non elimina gli obblighi previsti dal GDPR per l’impresa. Il consulente risponde delle prestazioni professionali assunte secondo il rapporto contrattuale e le norme applicabili, ma non può sostituirsi indiscriminatamente alla direzione nelle decisioni relative a finalità, mezzi e organizzazione dei trattamenti. Un’assistenza efficace richiede quindi un incarico definito, collaborazione aziendale e verifiche sull’effettiva attuazione delle misure concordate.

Esempio pratico: un’azienda con documentazione GDPR esistente ma priva di aggiornamenti periodici

Consideriamo, a titolo esemplificativo, una società di servizi che abbia completato l’adeguamento GDPR alcuni anni prima, predisponendo informative, registro dei trattamenti e designazioni interne. Nel frattempo l’impresa ha assunto nuovi dipendenti, sostituito il gestionale clienti e affidato parte delle attività informatiche a fornitori esterni, senza verificare sistematicamente le conseguenze di questi cambiamenti sulla documentazione privacy.

In una situazione del genere, l’attivazione di un servizio di assistenza GDPR continuativa potrebbe iniziare dalla ricostruzione dei trattamenti effettivamente svolti e dal confronto con i documenti disponibili. Il professionista esaminerebbe i rapporti con i fornitori, le informazioni rese agli interessati, le autorizzazioni interne e le procedure di gestione dei dati, individuando gli aggiornamenti necessari. Particolare attenzione dovrebbe essere dedicata ai nuovi servizi informatici, per verificare i ruoli dei soggetti coinvolti, le condizioni contrattuali e le eventuali implicazioni dei trasferimenti di dati.

Una volta individuate le criticità, l’impresa potrebbe adottare un programma di interventi con responsabilità e priorità definite, affiancato da verifiche periodiche e da una procedura per comunicare al consulente le successive modifiche organizzative. Il caso mostra come l’assistenza continuativa possa essere organizzata partendo da una documentazione già esistente, senza presumere che ogni documento debba essere integralmente rifatto e senza considerare automaticamente conforme l’azienda per il solo fatto di avere attivato un servizio professionale.

Domande frequenti sull’assistenza GDPR continuativa per aziende

Un’azienda già adeguata al GDPR ha bisogno di assistenza continuativa?

Non esiste un obbligo generale di stipulare un contratto di assistenza GDPR continuativa. L’azienda deve però mantenere nel tempo la conformità dei trattamenti e aggiornare le misure quando necessario. Il servizio professionale può essere particolarmente utile quando cambiano frequentemente processi, personale, fornitori o strumenti informatici e l’impresa non dispone di competenze interne sufficienti per gestire questi adempimenti.

L’assistenza GDPR continuativa comprende anche gli interventi in caso di data breach?

Dipende dalle prestazioni concordate. Il contratto può comprendere la prima valutazione dell’incidente, il supporto nell’individuazione degli obblighi di notifica e l’assistenza nella predisposizione delle comunicazioni. Le attività più complesse, comprese eventuali difese davanti al Garante Privacy, possono richiedere un incarico separato. È opportuno definire preventivamente le modalità di reperibilità e i tempi di presa in carico, considerando i termini previsti dal GDPR.

È possibile affidare l’assistenza GDPR a un consulente esterno senza nominare un DPO?

Sì, quando l’azienda non rientra nei casi in cui la nomina del Responsabile della protezione dei dati è obbligatoria. Il consulente privacy può assistere il titolare nella gestione documentale, nelle verifiche periodiche e nell’attuazione degli adempimenti. Se invece ricorrono i presupposti dell’articolo 37 del GDPR, il servizio di consulenza non sostituisce la necessaria designazione del DPO.

Quanto costa un servizio annuale di assistenza GDPR?

Il costo dipende dalla dimensione e dalla struttura dell’impresa, dalla natura dei dati trattati, dal numero di sedi, dalla complessità dei fornitori e dalle prestazioni richieste. Un incarico limitato agli aggiornamenti documentali presenta caratteristiche diverse da un servizio che comprenda audit periodici, formazione, assistenza alle funzioni aziendali e supporto per incidenti privacy. Per confrontare i preventivi occorre verificare quali attività siano incluse nel canone e quali comportino compensi aggiuntivi.

Come si verifica se il consulente GDPR sta seguendo correttamente l’azienda?

È opportuno verificare l’esistenza di un programma di attività concordato, la disponibilità di rapporti sulle verifiche effettuate, l’aggiornamento dei documenti quando necessario e la gestione delle richieste aziendali secondo le modalità pattuite. Occorre anche controllare che le criticità segnalate siano state esaminate dalla direzione e che gli interventi correttivi siano stati effettivamente attuati. La qualità del servizio non può essere valutata esclusivamente sulla quantità dei documenti prodotti.

Assistenza GDPR continuativa: richiedi una valutazione per la tua azienda

Un servizio di assistenza GDPR continuativa deve essere costruito sulle attività effettivamente svolte dall’impresa, sui trattamenti di dati personali e sulle risorse disponibili per la gestione degli adempimenti. Prima di definire un incarico professionale è opportuno verificare lo stato della documentazione, le procedure esistenti, i principali rischi e le necessità di aggiornamento e controllo periodico.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nelle problematiche giuridiche relative alla privacy e alla protezione dei dati personali. Possiamo esaminare le esigenze dell’organizzazione e valutare le attività di consulenza e assistenza più appropriate, distinguendo gli adempimenti ordinari dalle situazioni che richiedono interventi specifici.

Se la tua azienda necessita di un supporto professionale continuativo, deve aggiornare la propria gestione privacy oppure intende verificare il servizio attualmente ricevuto, richiedi una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le problematiche da approfondire e le possibili modalità di assistenza.