Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può disporre di informative privacy, registro dei trattamenti e nomine formalmente corrette senza essere necessariamente conforme al GDPR. La verifica deve riguardare anche il modo in cui vengono effettivamente gestiti i dati di dipendenti, clienti e fornitori, la sicurezza dei sistemi informatici e l’applicazione delle procedure interne. Per imprenditori e amministratori, capire se l’azienda è in regola con il GDPR significa accertare che gli obblighi applicabili siano rispettati e che le misure adottate siano adeguate ai trattamenti concretamente effettuati. Un controllo preventivo permette di individuare eventuali carenze prima che emergano durante un’ispezione, un reclamo o una violazione dei dati personali. Quando la situazione presenta criticità organizzative o giuridiche, può essere opportuno richiedere una valutazione professionale.

Come verificare se l’azienda è realmente conforme al GDPR

Il primo errore che riscontriamo nell’affrontare una verifica della privacy aziendale è considerare la conformità al Regolamento (UE) 2016/679 come un adempimento concluso con la predisposizione di alcuni documenti. Il GDPR richiede invece che il titolare del trattamento adotti misure tecniche e organizzative adeguate e sia in grado di dimostrare il rispetto delle disposizioni applicabili. È il principio di responsabilizzazione, o accountability, previsto dall’articolo 5, paragrafo 2, e sviluppato dall’articolo 24 del Regolamento.

Per stabilire se un’azienda rispetta effettivamente il GDPR, partiamo dall’individuazione dei trattamenti di dati personali svolti nell’attività ordinaria. Occorre comprendere quali informazioni vengono raccolte, per quali finalità, chi può accedervi, dove vengono conservate, a quali soggetti sono comunicate e per quanto tempo rimangono disponibili. Questa ricostruzione deve corrispondere ai processi aziendali effettivi, non soltanto a quanto dichiarato nelle informative o nel registro dei trattamenti.

Un’impresa, ad esempio, può avere predisposto la documentazione privacy al momento dell’entrata in applicazione del GDPR, ma avere successivamente introdotto un nuovo gestionale, trasferito i dati su servizi cloud, installato telecamere, attivato campagne di marketing o modificato le modalità di controllo degli strumenti di lavoro. Se tali cambiamenti non sono stati valutati sotto il profilo della protezione dei dati, la documentazione esistente potrebbe non rappresentare più la situazione reale. Per questa specifica problematica abbiamo dedicato un approfondimento alla privacy aziendale non aggiornata da anni.

La verifica deve poi considerare le basi giuridiche dei trattamenti, il rispetto dei principi di minimizzazione e limitazione della conservazione, l’effettiva applicazione delle misure di sicurezza e la capacità dell’organizzazione di gestire le richieste degli interessati. Particolare attenzione merita la distribuzione delle responsabilità: il titolare deve individuare correttamente i soggetti autorizzati a trattare i dati, impartire istruzioni adeguate e disciplinare i rapporti con i responsabili esterni ai sensi dell’articolo 28 GDPR.

Un altro controllo riguarda l’eventuale obbligo di designare il Responsabile della protezione dei dati (DPO o RPD). La nomina non è richiesta indistintamente a tutte le imprese, ma nei casi previsti dall’articolo 37 GDPR. Se il DPO è stato designato, occorre verificare che disponga delle condizioni necessarie per esercitare le proprie funzioni, senza conflitti di interessi e con un coinvolgimento tempestivo nelle questioni relative alla protezione dei dati. La sua presenza, da sola, non rende l’azienda conforme: la responsabilità del rispetto del GDPR rimane in capo al titolare del trattamento.

Per valutare la conformità è necessario distinguere le carenze puramente documentali dalle violazioni che incidono direttamente sulla liceità dei trattamenti o sulla sicurezza dei dati. Un’informativa da aggiornare, un contratto con un fornitore privo delle clausole necessarie e un sistema informatico che consente accessi indiscriminati presentano problematiche differenti, da esaminare secondo le disposizioni applicabili e il rischio concreto. La verifica deve quindi individuare le non conformità e consentire all’impresa di stabilire quali interventi richiedano maggiore tempestività.

Quali documenti, procedure e misure devono essere controllati per verificare la conformità GDPR

Una verifica attendibile richiede l’esame coordinato della documentazione e delle modalità operative. Il registro delle attività di trattamento, quando obbligatorio ai sensi dell’articolo 30 GDPR, costituisce uno dei principali riferimenti per ricostruire i flussi di dati personali. La sua assenza, incompletezza o mancata corrispondenza con le attività aziendali può rivelare criticità organizzative. L’obbligo di tenuta deve essere valutato considerando anche le eccezioni e le relative condizioni previste per le organizzazioni con meno di 250 dipendenti, senza presumere che tutte le piccole imprese ne siano automaticamente esonerate.

Occorre esaminare le informative rivolte a dipendenti, candidati, clienti e fornitori, verificando che descrivano correttamente finalità, basi giuridiche, destinatari e periodi di conservazione. I consensi eventualmente raccolti devono essere necessari per lo specifico trattamento e possedere i requisiti previsti dalla normativa. Non tutte le attività aziendali richiedono il consenso: per alcune operazioni la base giuridica può essere costituita dall’esecuzione di un contratto, dall’adempimento di un obbligo legale o da un’altra condizione prevista dall’articolo 6 GDPR.

Un controllo specifico riguarda i rapporti con i fornitori che trattano dati personali per conto dell’impresa. Software house, gestori di piattaforme cloud e società incaricate di servizi esternalizzati possono assumere il ruolo di responsabili del trattamento, quando ne ricorrono i presupposti. In questi casi, l’azienda deve verificare l’esistenza di accordi conformi all’articolo 28 GDPR, le garanzie offerte dal fornitore, le modalità di gestione degli accessi e l’eventuale trasferimento di dati verso Paesi terzi. La semplice presenza di un contratto commerciale non sostituisce necessariamente gli obblighi richiesti dal Regolamento.

La valutazione si estende alle misure di sicurezza previste dall’articolo 32 GDPR. Non esiste un insieme identico di strumenti obbligatori per ogni impresa: le misure devono essere commisurate alla natura dei dati, ai trattamenti effettuati e ai rischi per i diritti e le libertà delle persone. È quindi necessario verificare concretamente la gestione delle credenziali, le autorizzazioni, i sistemi di backup e ripristino, la protezione dei dispositivi e le procedure di risposta agli incidenti. Un’azienda che conserva dati particolarmente delicati o gestisce grandi quantità di informazioni personali richiederà valutazioni diverse rispetto a un’organizzazione con trattamenti limitati.

Meritano attenzione anche i trattamenti collegati alla gestione del personale. Videosorveglianza, posta elettronica aziendale, dispositivi informatici, sistemi di rilevazione delle presenze e strumenti di monitoraggio possono coinvolgere, oltre al GDPR e al Codice Privacy, le disposizioni dell’articolo 4 dello Statuto dei lavoratori. La conformità privacy non può essere valutata separatamente dagli eventuali obblighi previsti dalla disciplina lavoristica, soprattutto quando gli strumenti consentono forme di controllo a distanza dell’attività dei dipendenti.

Per i trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche, occorre accertare se sia necessaria una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 GDPR. L’assenza di una DPIA non costituisce automaticamente una violazione: lo diventa quando la valutazione era effettivamente richiesta e non è stata svolta. Analogamente, devono essere controllate le procedure per documentare le violazioni dei dati personali e, quando ricorrono i presupposti normativi, procedere alla notifica al Garante e alla comunicazione agli interessati.

La documentazione deve infine essere confrontata con le prassi aziendali. I dipendenti devono ricevere istruzioni appropriate, le responsabilità devono essere definite e le procedure devono risultare effettivamente applicabili. La formazione va valutata in rapporto ai rischi e alle mansioni, mentre i controlli periodici consentono di individuare eventuali scostamenti tra le regole predisposte e il comportamento dell’organizzazione. Per una ricognizione dei singoli adempimenti è disponibile anche la nostra checklist GDPR per aziende.

Quando emergono incongruenze, l’impresa deve valutare la loro natura e gravità, identificare i trattamenti interessati e definire gli interventi necessari. L’esistenza di documenti formalmente corretti non esclude problemi nell’attuazione delle procedure, così come una carenza documentale non comporta automaticamente che ogni trattamento sia illecito. È proprio questa distinzione che permette di affrontare le non conformità in modo proporzionato, evitando interventi standardizzati che non rispondono alle effettive esigenze dell’azienda.

Quali rischi corre un’azienda non conforme al GDPR e come intervenire dopo una verifica

Quando una verifica della conformità GDPR rileva irregolarità, il problema principale per l’impresa è stabilire quali conseguenze possano derivarne e quali interventi debbano essere effettuati prioritariamente. Non tutte le carenze hanno la stessa gravità: un’informativa incompleta, l’assenza di un accordo con un responsabile esterno del trattamento e un sistema informatico che espone dati personali ad accessi non autorizzati richiedono valutazioni differenti. La gravità della non conformità dipende dalla disposizione violata, dalle caratteristiche del trattamento, dai rischi per gli interessati e dalle circostanze concrete.

Il Regolamento (UE) 2016/679 prevede, all’articolo 83, sanzioni amministrative pecuniarie che, secondo la tipologia di violazione, possono raggiungere 10 milioni di euro o il 2% del fatturato mondiale annuo dell’esercizio precedente, oppure 20 milioni di euro o il 4% del medesimo fatturato, se superiore. Questi importi rappresentano i massimali previsti dalla normativa, non le sanzioni automaticamente applicabili a ogni irregolarità. Il Garante per la protezione dei dati personali deve valutare gli elementi indicati dal Regolamento, tra cui natura, gravità e durata della violazione, carattere doloso o colposo della condotta, misure adottate per attenuare il danno e grado di cooperazione con l’Autorità.

Le conseguenze possono comprendere anche provvedimenti correttivi ai sensi dell’articolo 58 GDPR, come ordini di adeguamento, limitazioni dei trattamenti o divieti di proseguirli. In determinate circostanze possono inoltre emergere richieste risarcitorie da parte degli interessati, da valutare secondo i presupposti dell’articolo 82 GDPR. Per l’amministratore e per la direzione aziendale, la questione non riguarda quindi soltanto l’eventuale sanzione economica, ma anche la possibilità che una violazione incida sull’organizzazione e sulla continuità di specifiche attività.

Una volta individuate le non conformità, occorre predisporre un piano di intervento che distingua le irregolarità da correggere immediatamente da quelle che richiedono una riorganizzazione più articolata. Se, ad esempio, emerge che alcuni dipendenti possono accedere a dati personali non necessari alle rispettive mansioni, la priorità consiste nel verificare e limitare le autorizzazioni. Se invece il problema riguarda informative non corrispondenti ai trattamenti effettivi, occorre ricostruire le attività interessate, accertare le basi giuridiche e aggiornare le informazioni rese agli interessati, adottando gli ulteriori rimedi eventualmente necessari.

Particolare attenzione richiedono le situazioni nelle quali la verifica interna fa emergere una possibile violazione di dati personali. La perdita, divulgazione o accessibilità non autorizzata di informazioni può integrare un data breach, con conseguenti obblighi di documentazione e, quando ne ricorrono i presupposti, di notifica al Garante entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Se la violazione presenta un rischio elevato per i diritti e le libertà delle persone fisiche, può essere necessaria anche la comunicazione agli interessati, salvo le eccezioni previste dall’articolo 34 GDPR. La valutazione deve essere tempestiva e documentata. Abbiamo approfondito le modalità di intervento nell’articolo dedicato al data breach in azienda e agli adempimenti delle prime 72 ore.

Se l’irregolarità emerge a seguito di un reclamo, di una richiesta di informazioni o di un’ispezione del Garante, diventa necessario coordinare gli interventi correttivi con la gestione del procedimento. L’impresa deve conservare la documentazione pertinente, ricostruire le circostanze e fornire riscontri accurati nei termini applicabili. La modifica successiva di una procedura non cancella automaticamente una violazione già commessa, ma le misure adottate possono assumere rilievo nella valutazione complessiva della condotta e delle conseguenze.

Per le aziende che hanno già predisposto un sistema privacy, l’audit GDPR consente di verificare se le misure formalmente adottate siano effettivamente applicate. L’esame può comprendere colloqui con i responsabili delle funzioni aziendali, verifica dei contratti con i fornitori, controllo delle autorizzazioni informatiche e valutazione delle procedure utilizzate per gestire le richieste degli interessati. L’eventuale DPO deve essere coinvolto secondo le funzioni attribuitegli dagli articoli 38 e 39 GDPR, senza confondere i suoi compiti di consulenza e sorveglianza con le responsabilità decisionali del titolare.

La verifica può inoltre interessare le procedure di protezione dei dati utilizzate nei sistemi di segnalazione whistleblowing, quando presenti, e i relativi flussi informativi. Il coordinamento con gli altri strumenti di controllo aziendale deve rispettare le specifiche disposizioni applicabili, senza presumere che ogni impresa sia obbligata ad adottare un Modello 231. L’obiettivo rimane accertare che il trattamento dei dati personali sia lecito, proporzionato e adeguatamente protetto.

Per un’impresa che non dispone di competenze interne sufficienti, può essere opportuno affidare la verifica a un professionista esterno, in grado di esaminare congiuntamente documentazione, trattamenti e responsabilità. L’attività deve produrre indicazioni operative proporzionate alle criticità riscontrate, distinguendo gli adempimenti normativamente necessari dalle ulteriori misure organizzative consigliabili. La conformità GDPR non si esaurisce nella correzione delle irregolarità individuate: richiede che l’azienda mantenga nel tempo il controllo sui trattamenti e sulle modifiche dei propri processi.

Esempio pratico: un’azienda con documentazione privacy apparentemente completa ma procedure non aggiornate

Consideriamo, a titolo esemplificativo, una società commerciale con circa quaranta dipendenti che abbia predisposto diversi anni prima la documentazione GDPR, affidandone la gestione a un consulente esterno. Nel frattempo, l’impresa ha introdotto un nuovo software gestionale, attivato servizi cloud per l’archiviazione dei documenti e installato un sistema di videosorveglianza. L’amministratore ritiene che l’azienda sia in regola perché conserva informative, registro dei trattamenti e documenti di nomina.

Una verifica professionale potrebbe però accertare che il registro non descrive alcuni trattamenti introdotti successivamente, che i rapporti con determinati fornitori non sono stati correttamente disciplinati e che le autorizzazioni di accesso ai dati non corrispondono alle effettive mansioni del personale. Per la videosorveglianza potrebbe inoltre essere necessario verificare gli adempimenti previsti dall’articolo 4 dello Statuto dei lavoratori, oltre alle disposizioni sulla protezione dei dati personali.

In una situazione del genere, imposteremmo l’intervento partendo dalla ricostruzione dei trattamenti e dalla valutazione delle irregolarità, per individuare le misure correttive e le relative priorità. L’attenzione maggiore sarebbe rivolta alle attività potenzialmente illecite o caratterizzate da rischi elevati, senza limitarsi alla revisione formale dei documenti. L’azienda potrebbe così disporre di un piano di adeguamento riferito ai propri processi effettivi, con responsabilità operative definite e verifiche successive sull’attuazione delle misure.

Domande frequenti sulla verifica della conformità GDPR aziendale

Un’azienda che possiede tutti i documenti privacy obbligatori è automaticamente in regola con il GDPR?

No. La documentazione è soltanto una componente della conformità. L’azienda deve dimostrare che i trattamenti rispettano i principi del GDPR e che le misure tecniche e organizzative previste sono effettivamente applicate. Anche un’impresa con informative e registro aggiornati può presentare irregolarità nella gestione degli accessi, nella sicurezza informatica o nei rapporti con i fornitori.

Ogni quanto tempo bisogna verificare la conformità GDPR di un’azienda?

Il GDPR non stabilisce una periodicità generale e identica per tutti gli audit aziendali. La frequenza delle verifiche deve essere definita considerando natura, dimensioni e complessità dell’organizzazione, caratteristiche dei trattamenti e rischi associati. È opportuno effettuare controlli anche quando vengono introdotti nuovi software, cambiano i fornitori, si modificano le procedure o emergono incidenti e reclami che possono incidere sulla protezione dei dati.

Se un’azienda ha nominato un DPO, deve comunque effettuare controlli GDPR?

Sì. La presenza del Responsabile della protezione dei dati non esonera il titolare dagli obblighi previsti dal Regolamento. Il DPO svolge funzioni di informazione, consulenza e sorveglianza dell’osservanza della normativa, ma le decisioni sulle misure da adottare e la responsabilità della conformità rimangono in capo al titolare del trattamento. Occorre quindi verificare anche che il DPO sia adeguatamente coinvolto nelle attività aziendali.

Un’azienda può essere sanzionata anche se non ha mai subito un data breach?

Sì. Le violazioni del GDPR non riguardano esclusivamente la perdita o la divulgazione di dati personali. Possono essere contestate, quando ne ricorrono i presupposti, irregolarità relative alla liceità dei trattamenti, agli obblighi informativi, alla sicurezza, ai rapporti con i responsabili esterni o alla mancata effettuazione di adempimenti obbligatori. L’eventuale sanzione dipende dalla violazione accertata e dai criteri previsti dall’articolo 83 GDPR.

Chi può effettuare una verifica professionale della conformità GDPR aziendale?

La verifica può essere svolta attraverso competenze interne adeguate oppure affidata a professionisti esterni con preparazione giuridica, organizzativa e, quando necessario, informatica. La scelta dipende dalla complessità dei trattamenti e dalle criticità da esaminare. Quando emergono possibili violazioni, contestazioni o responsabilità, l’assistenza di un avvocato esperto in protezione dei dati personali consente di valutare anche le conseguenze giuridiche e le modalità di intervento.

Come richiedere una verifica della conformità GDPR della propria azienda

Se la vostra azienda dispone già di documentazione privacy ma non avete certezza che sia completa, aggiornata e correttamente applicata, può essere opportuno effettuare una verifica professionale. Lo stesso vale quando sono stati introdotti nuovi sistemi informatici, sono cambiate le modalità di trattamento dei dati oppure sono emerse irregolarità che richiedono una valutazione giuridica.

Lo Studio Legale Calvello dell’Avvocato Claudio Calvello assiste le imprese nell’analisi degli obblighi GDPR, nella verifica della documentazione e delle procedure aziendali e nella valutazione delle misure necessarie per affrontare eventuali non conformità. Esaminiamo le caratteristiche dell’organizzazione e i trattamenti effettivamente svolti, distinguendo gli adempimenti obbligatori dagli interventi organizzativi da valutare in relazione ai rischi.

Per sottoporre la situazione della vostra impresa allo Studio, richiedete una valutazione della conformità GDPR aziendale attraverso il modulo dedicato. La richiesta sarà esaminata per individuare le problematiche rappresentate e valutare le possibili modalità di assistenza professionale.