Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’impresa opera attraverso più sedi, filiali o società controllate, la gestione della privacy richiede un’organizzazione capace di distinguere le responsabilità giuridiche delle singole entità e coordinare i trattamenti di dati personali condivisi. Un ufficio amministrativo centralizzato, un unico gestionale, un database clienti comune o la presenza di personale che lavora per diverse società possono creare criticità quando non sono stati definiti correttamente ruoli, autorizzazioni e rapporti infragruppo.

La consulenza GDPR per aziende con più sedi e società serve a verificare come vengono effettivamente trattati i dati, individuare gli obblighi delle diverse organizzazioni e predisporre un sistema di gestione coerente con il Regolamento (UE) 2016/679. Per holding, gruppi societari e imprese multisede, una valutazione professionale diventa particolarmente opportuna quando si condividono infrastrutture informatiche, personale, informazioni commerciali o servizi amministrativi, oppure quando l’organizzazione aziendale cambia a seguito di acquisizioni e riorganizzazioni.

Privacy nelle aziende con più sedi e società: perché una gestione centralizzata può creare problemi

La prima distinzione riguarda la struttura giuridica dell’impresa. Una società che dispone di diversi stabilimenti o filiali appartenenti alla medesima persona giuridica si trova in una situazione differente rispetto a un gruppo composto da holding, controllate e società collegate. Nel primo caso, normalmente, il titolare del trattamento rimane la stessa società, anche quando le attività vengono svolte in luoghi differenti. Nel secondo, invece, ogni società deve essere valutata in relazione ai trattamenti effettivamente svolti e alle decisioni assunte sulle loro finalità e modalità essenziali.

L’appartenenza al medesimo gruppo non determina automaticamente la presenza di un unico titolare del trattamento. La società controllante può esercitare attività di direzione e coordinamento senza diventare, per questo solo motivo, titolare di tutti i trattamenti effettuati dalle controllate. Allo stesso modo, l’esistenza di un ufficio privacy centrale non trasferisce automaticamente alla holding le responsabilità che il GDPR attribuisce alle singole società.

Le difficoltà emergono soprattutto quando l’organizzazione operativa non coincide con quella societaria. Pensiamo a un gruppo nel quale la capogruppo gestisce le risorse umane, una controllata amministra i sistemi informatici e tutte le società utilizzano un unico CRM. I dipendenti possono accedere a informazioni appartenenti a diverse entità, mentre i clienti ricevono comunicazioni commerciali da società con le quali non hanno instaurato direttamente un rapporto. In queste situazioni occorre stabilire chi determina le finalità dei trattamenti, chi opera per conto di altri soggetti e quali accessi ai dati siano effettivamente giustificati.

Il problema non si risolve predisponendo un’unica informativa privacy intestata al gruppo o replicando gli stessi documenti per tutte le società. Una documentazione apparentemente uniforme può risultare inadeguata quando non rappresenta i rapporti giuridici e i flussi informativi realmente esistenti. Per questo motivo, nell’ambito di una consulenza privacy per gruppi societari, esaminiamo anzitutto l’organigramma delle società, le attività svolte nelle diverse sedi, i sistemi utilizzati e le modalità con cui dipendenti, clienti e fornitori vengono gestiti.

Un ulteriore elemento riguarda la differenza tra accentramento delle funzioni e accentramento delle responsabilità. È possibile organizzare procedure comuni, controlli coordinati e servizi privacy condivisi, purché siano rispettati gli obblighi delle singole entità. Il principio di responsabilizzazione previsto dall’art. 5, paragrafo 2, e dall’art. 24 del GDPR impone infatti a ciascun titolare di adottare misure adeguate e di poter dimostrare la conformità dei trattamenti di propria competenza.

Quando manca questa distinzione, possono sorgere problemi nella gestione delle richieste degli interessati, nella verifica degli accessi ai dati, nella stipulazione dei contratti con i fornitori e nell’individuazione del soggetto tenuto a intervenire in caso di violazione. L’organizzazione deve quindi essere costruita sulla concreta distribuzione delle funzioni aziendali, evitando che la centralizzazione amministrativa o informatica venga confusa con un’automatica unificazione dei ruoli privacy.

Come organizzare la consulenza GDPR di gruppo: titolari, contitolarità, contratti e documentazione

La gestione GDPR di un gruppo societario richiede una ricostruzione dei trattamenti effettuati dalle diverse società e dei rapporti che le collegano. La verifica riguarda sia i flussi di dati all’interno del gruppo sia quelli verso soggetti esterni, considerando i servizi amministrativi, informatici, commerciali e di gestione del personale. L’obiettivo è attribuire a ciascuna organizzazione il ruolo giuridico corrispondente alle attività effettivamente svolte, senza ricorrere a qualificazioni standardizzate.

Quando due o più società determinano congiuntamente finalità e mezzi essenziali di uno stesso trattamento, può configurarsi una contitolarità ai sensi dell’art. 26 GDPR. In questo caso è necessario definire, mediante un accordo interno, le rispettive responsabilità nell’adempimento degli obblighi normativi, con particolare attenzione all’informazione degli interessati e all’esercizio dei loro diritti. Il contenuto essenziale dell’accordo deve essere messo a disposizione degli interessati, che possono esercitare i propri diritti nei confronti di ciascun contitolare.

Una situazione differente si verifica quando una società del gruppo tratta dati personali per conto di un’altra, seguendone le istruzioni documentate. Se ricorrono i presupposti dell’art. 4, punto 8, del GDPR, il rapporto deve essere disciplinato attraverso un contratto o altro atto giuridico conforme all’art. 28. Può accadere, ad esempio, che una società fornisca alle altre servizi di elaborazione delle paghe o gestione delle infrastrutture informatiche. La qualificazione del rapporto dipende però dall’autonomia decisionale concretamente esercitata e non dalla sola esistenza di un contratto di servizi infragruppo.

La semplice appartenenza al gruppo non autorizza, inoltre, qualsiasi comunicazione di dati personali. La condivisione deve essere sorretta da una base giuridica appropriata, rispettare il principio di limitazione delle finalità e prevedere accessi proporzionati alle esigenze operative. Il considerando 48 del GDPR riconosce che, in determinate circostanze, i titolari appartenenti a un gruppo imprenditoriale possono avere un interesse legittimo alla trasmissione infragruppo di dati personali per finalità amministrative interne, ma non introduce un’autorizzazione generale a condividere indistintamente tutte le informazioni.

Queste valutazioni incidono direttamente sulla documentazione. Ogni società soggetta all’obbligo di tenuta del registro delle attività di trattamento deve disporre di informazioni coerenti con i trattamenti di cui è titolare o responsabile. Un sistema documentale centralizzato può agevolare la gestione dei registri, purché consenta di distinguere le singole entità e le relative responsabilità. Le modalità di aggiornamento devono tenere conto delle modifiche organizzative, dell’introduzione di nuovi software e dei cambiamenti nei rapporti con i fornitori. Per gli aspetti operativi rimandiamo anche al nostro approfondimento sul registro dei trattamenti e sui casi in cui deve essere aggiornato.

Lo stesso criterio si applica alle informative, alle istruzioni rivolte al personale autorizzato, ai contratti con i responsabili esterni e alle politiche di conservazione. L’impiego di modelli comuni può semplificare l’amministrazione della privacy, ma le informazioni fornite agli interessati devono descrivere correttamente il titolare, le finalità, le basi giuridiche, i destinatari dei dati e gli altri elementi richiesti dagli artt. 13 e 14 del GDPR. Non è sufficiente indicare genericamente che i dati saranno condivisi con le società del gruppo quando tale formulazione non permette di comprendere adeguatamente il trattamento.

Un capitolo specifico riguarda il responsabile della protezione dei dati, o DPO. L’art. 37, paragrafo 2, del GDPR consente a un gruppo imprenditoriale di designare un unico DPO, purché sia facilmente raggiungibile da ciascuno stabilimento. Questa possibilità non equivale a un obbligo generalizzato di nomina per tutte le società: occorre verificare i presupposti previsti dalla normativa, l’effettiva accessibilità del professionista, le risorse disponibili e l’assenza di conflitti di interessi. Le caratteristiche dell’incarico sono approfondite nel nostro articolo dedicato al DPO di gruppo per più società.

La consulenza deve considerare anche i sistemi informatici condivisi. Un software gestionale utilizzato da più società, un ambiente cloud comune o una piattaforma HR centralizzata richiedono verifiche sulle autorizzazioni, sulla separazione logica delle informazioni, sui rapporti contrattuali con i fornitori e sulle misure di sicurezza previste dall’art. 32 del GDPR. Quando i trattamenti possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche, deve essere valutata la necessità di una valutazione d’impatto ai sensi dell’art. 35.

Per i gruppi con società o infrastrutture situate fuori dallo Spazio economico europeo, la ricostruzione dei flussi deve comprendere anche gli eventuali trasferimenti internazionali di dati. L’utilizzo di servizi centralizzati o la presenza di una capogruppo estera non esonerano dalla verifica delle condizioni previste dal Capo V del GDPR, incluse, quando necessarie, le garanzie contrattuali e le valutazioni relative al paese di destinazione.

La struttura documentale e contrattuale deve infine corrispondere all’organizzazione effettiva dei controlli. È su questa corrispondenza che si misura la capacità delle società del gruppo di individuare tempestivamente un trattamento non autorizzato, ricostruire le responsabilità e intervenire senza lasciare incertezze tra direzione centrale e sedi operative.

Obblighi, controlli e responsabilità GDPR nelle società del gruppo: come prevenire irregolarità e gestire le violazioni

Una volta individuati i ruoli delle società e disciplinati i rapporti infragruppo, la gestione della privacy deve tradursi in controlli effettivi. Per un’azienda con più sedi, il problema più frequente non è necessariamente l’assenza di documentazione, ma la distanza tra le procedure formalmente adottate e le attività svolte quotidianamente. Può accadere che una filiale utilizzi un software non autorizzato, che un dipendente acceda ai dati di un’altra società senza una necessità lavorativa oppure che un fornitore informatico gestisca informazioni appartenenti a diverse controllate senza che siano stati regolati correttamente i rapporti contrattuali.

In queste situazioni, la consulenza GDPR per gruppi societari e aziende multisede deve comprendere un’attività di verifica proporzionata alla complessità dell’organizzazione. Noi riteniamo necessario partire dai processi che comportano una maggiore circolazione di dati personali: amministrazione del personale, gestione commerciale, sistemi informatici condivisi, accessi alle infrastrutture, rapporti con fornitori e trasferimenti di informazioni tra società. L’analisi permette di individuare eventuali trattamenti non adeguatamente documentati, autorizzazioni eccessive e procedure che non corrispondono più all’organizzazione aziendale.

Un audit GDPR sulle società controllate e sulle diverse sedi operative deve verificare anche come vengono applicate concretamente le misure di sicurezza. L’art. 32 del Regolamento (UE) 2016/679 richiede misure tecniche e organizzative adeguate al rischio, tenendo conto della natura dei trattamenti, del contesto operativo e delle possibili conseguenze per gli interessati. Per un gruppo societario questo significa, ad esempio, valutare se gli utenti dei sistemi condivisi possano accedere esclusivamente ai dati necessari, se siano previsti controlli sugli account, se le autorizzazioni vengano revocate quando un lavoratore cambia mansione o società e se esistano procedure efficaci per individuare accessi anomali.

La presenza di un’infrastruttura informatica centralizzata non elimina le responsabilità delle singole società. Quando una holding gestisce server, servizi cloud o applicazioni utilizzate dalle controllate, occorre chiarire quali soggetti decidano le finalità dei trattamenti e quali siano invece incaricati di svolgere specifiche operazioni per conto degli altri. Questa distinzione assume particolare rilievo quando il gruppo utilizza un unico ambiente Microsoft 365, un gestionale ERP comune o una piattaforma condivisa per la gestione dei dipendenti. La possibilità tecnica di consultare determinate informazioni non costituisce, da sola, una giustificazione giuridica per accedervi.

Un altro aspetto riguarda la gestione dei dati personali dei lavoratori nelle aziende con più sedi e società. La centralizzazione delle risorse umane può comportare la raccolta e la consultazione di informazioni relative a rapporti di lavoro instaurati con soggetti giuridici differenti. Occorre verificare chi possa accedere ai fascicoli del personale, quali informazioni possano essere condivise con la capogruppo e quali siano le basi giuridiche dei trattamenti. Particolare attenzione richiedono i dati relativi alla salute, le informazioni disciplinari e i sistemi di controllo dell’attività lavorativa, rispetto ai quali devono essere considerate anche le disposizioni nazionali applicabili.

Le medesime verifiche interessano la videosorveglianza installata in stabilimenti, uffici e filiali. Un sistema di controllo centralizzato può consentire alla direzione del gruppo di visualizzare immagini provenienti da sedi appartenenti a società differenti. In questo caso, oltre agli obblighi GDPR, occorre considerare l’art. 4 della Legge n. 300/1970 quando gli impianti consentono anche il controllo a distanza dell’attività dei lavoratori. Le condizioni di legittimità devono essere valutate rispetto alle caratteristiche degli impianti e ai rapporti di lavoro interessati, senza presumere che un’autorizzazione o un accordo relativo a una società possa automaticamente coprire tutte le altre.

La verifica periodica della conformità deve riguardare anche i fornitori comuni. Una società incaricata della manutenzione dei sistemi, della gestione documentale o dell’elaborazione delle paghe può trattare dati personali riferibili a più entità del gruppo. È necessario controllare che i rapporti siano correttamente disciplinati, che le istruzioni siano coerenti con le attività affidate e che le garanzie offerte dal fornitore risultino adeguate. La presenza di un unico contratto commerciale sottoscritto dalla holding non dimostra necessariamente che siano stati regolati tutti i trattamenti effettuati per conto delle controllate.

Particolare attenzione richiede la gestione dei data breach che coinvolgono più società. Un attacco ransomware a un server condiviso, la compromissione di un account amministrativo o la diffusione non autorizzata di un database comune possono interessare contemporaneamente dati personali trattati da titolari differenti. In questi casi è necessario individuare rapidamente quali società siano coinvolte, quali informazioni siano state compromesse e quali rischi derivino dalla violazione per le persone fisiche interessate.

Gli artt. 33 e 34 del GDPR disciplinano rispettivamente la notifica delle violazioni all’autorità di controllo e la comunicazione agli interessati. Quando una violazione presenta un rischio per i diritti e le libertà delle persone fisiche, il titolare deve notificare l’evento all’autorità competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. La comunicazione agli interessati è richiesta, salve le eccezioni previste dalla normativa, quando la violazione è suscettibile di presentare un rischio elevato. In un gruppo societario, l’esistenza di un ufficio IT centrale non sostituisce la valutazione degli obblighi che gravano sui singoli titolari coinvolti.

Una procedura comune di gestione degli incidenti può agevolare il coordinamento, purché stabilisca chi raccoglie le informazioni, chi valuta le conseguenze della violazione e chi assume le decisioni spettanti ai diversi titolari. È opportuno che siano definiti preventivamente i flussi di comunicazione tra responsabili informatici, direzioni aziendali, referenti privacy e DPO eventualmente designati. Per gli interventi immediati rimandiamo al nostro approfondimento sul data breach in azienda e sulle attività da svolgere nelle prime 72 ore.

La responsabilità per eventuali violazioni deve essere esaminata considerando i ruoli effettivamente ricoperti dalle società. L’appartenenza al medesimo gruppo non comporta automaticamente che ogni violazione commessa da una controllata sia imputabile alla capogruppo. Quest’ultima può però assumere responsabilità proprie quando determina finalità e mezzi dei trattamenti, opera come contitolare oppure svolge attività qualificabili come trattamento per conto di altre società. Nei casi di contitolarità, l’art. 82 del GDPR disciplina anche la responsabilità risarcitoria nei confronti degli interessati, secondo i presupposti e le condizioni stabiliti dalla norma.

In presenza di un’ispezione o di una richiesta di informazioni del Garante per la protezione dei dati personali, l’azienda deve essere in grado di ricostruire i trattamenti e dimostrare le misure adottate. Una documentazione uniforme ma non corrispondente alla realtà operativa può rendere più difficile individuare il soggetto competente e spiegare i rapporti tra le società. Le eventuali sanzioni amministrative devono essere valutate secondo i criteri dell’art. 83 GDPR e la disciplina applicabile alla nozione di impresa, senza presumere che il loro calcolo coincida sempre con il fatturato della singola società destinataria del provvedimento.

Per questo motivo, l’assistenza GDPR continuativa per gruppi societari dovrebbe prevedere un sistema di verifiche periodiche e aggiornamenti collegati alle modifiche effettive dell’organizzazione. L’apertura di una nuova sede, l’acquisizione di una società, la sostituzione di un fornitore informatico o l’introduzione di una piattaforma condivisa possono richiedere la revisione dei ruoli privacy, delle informative, dei contratti e delle misure di sicurezza. La gestione centralizzata può rendere più efficiente questo lavoro, ma deve conservare la possibilità di distinguere obblighi e responsabilità di ciascuna entità.

Esempio pratico: riorganizzare il GDPR di una holding con più società e servizi condivisi

Consideriamo, a titolo esemplificativo, un gruppo imprenditoriale composto da una holding e tre società operative, ciascuna dotata di proprie sedi e dipendenti. La capogruppo gestisce l’amministrazione del personale, coordina i sistemi informatici e mette a disposizione delle controllate un unico software gestionale. Nel tempo, l’organizzazione si è ampliata senza una corrispondente revisione della documentazione privacy: alcune informative indicano genericamente il gruppo, i registri dei trattamenti non descrivono tutti i flussi infragruppo e gli accessi ai sistemi sono stati configurati principalmente in funzione delle esigenze operative.

In una situazione di questo tipo, il nostro intervento professionale partirebbe dalla ricostruzione dei rapporti tra le società e dall’esame dei trattamenti effettivamente svolti. Verificheremmo le attività amministrative centralizzate, i flussi di dati relativi ai dipendenti e ai clienti, le autorizzazioni informatiche e i contratti con i fornitori. L’attenzione principale riguarderebbe la corretta qualificazione dei rapporti tra le entità: alcuni trattamenti potrebbero essere svolti da titolari autonomi, altri richiedere accordi ai sensi dell’art. 28 GDPR e altri ancora presentare i presupposti della contitolarità.

Sulla base delle risultanze, la riorganizzazione potrebbe comprendere l’aggiornamento dei registri, la revisione delle informative, la formalizzazione degli accordi necessari e la definizione di procedure comuni per la gestione degli accessi e degli incidenti. Andrebbe inoltre valutata l’opportunità o l’obbligatorietà della designazione di un DPO e, ricorrendone le condizioni, la possibilità di affidare l’incarico a un unico professionista per il gruppo. La soluzione dovrebbe mantenere un coordinamento centrale senza confondere le responsabilità delle singole società, prevedendo verifiche successive quando cambiano processi, fornitori o struttura organizzativa.

Domande frequenti sulla consulenza GDPR per aziende con più sedi e società

Una holding può gestire centralmente la privacy di tutte le società controllate?

Sì, è possibile organizzare un servizio privacy centralizzato che coordini documentazione, procedure, verifiche e rapporti con i fornitori. La centralizzazione non elimina però gli obblighi delle singole società quando queste operano come titolari autonomi del trattamento. Occorre distinguere le funzioni svolte dalla capogruppo, disciplinare gli eventuali rapporti di contitolarità o responsabilità del trattamento e assicurare che ogni società possa dimostrare la conformità delle proprie attività al GDPR.

Un gruppo societario deve nominare un DPO per ogni società?

Non necessariamente. L’art. 37, paragrafo 2, del GDPR consente di designare un unico responsabile della protezione dei dati per un gruppo imprenditoriale, purché sia facilmente raggiungibile da ciascuno stabilimento. La nomina deve essere valutata considerando gli obblighi applicabili alle diverse società, le caratteristiche dei trattamenti e l’effettiva capacità del professionista di svolgere le proprie funzioni. Un incarico comune richiede anche un’organizzazione che assicuri indipendenza, risorse adeguate e assenza di conflitti di interessi.

Le società dello stesso gruppo possono utilizzare un unico database clienti?

La condivisione di un database è possibile soltanto quando i trattamenti effettuati dalle diverse società rispettano le condizioni previste dal GDPR. Occorre individuare i rispettivi ruoli, verificare le basi giuridiche delle operazioni, definire le finalità e limitare gli accessi alle informazioni necessarie. Particolare attenzione richiede l’utilizzo dei dati per iniziative commerciali di società differenti, poiché l’esistenza di un rapporto contrattuale con una società del gruppo non autorizza automaticamente tutte le altre a utilizzare quei dati per finalità di marketing.

Quanto costa una consulenza GDPR per un gruppo societario o un’azienda multisede?

Il costo dipende dal numero di società coinvolte, dalla distribuzione delle sedi, dalla quantità e complessità dei trattamenti, dai sistemi informatici condivisi e dallo stato della documentazione esistente. Incidono anche l’eventuale necessità di regolarizzare rapporti infragruppo, effettuare audit presso le sedi, predisporre valutazioni d’impatto o organizzare un servizio continuativo. Un preventivo attendibile richiede quindi una valutazione preliminare dell’organizzazione e delle attività professionali effettivamente necessarie.

Quando è opportuno richiedere un audit GDPR per tutte le società del gruppo?

Un audit è particolarmente opportuno quando il gruppo ha acquisito nuove società, centralizzato servizi amministrativi o informatici, introdotto piattaforme condivise oppure modificato la distribuzione delle responsabilità senza aggiornare la documentazione privacy. La verifica può essere necessaria anche quando emergono accessi non autorizzati, contestazioni o incongruenze tra procedure e attività effettive. L’estensione dei controlli deve essere proporzionata ai rischi e alle caratteristiche dei trattamenti, distinguendo le verifiche comuni da quelle specifiche delle singole società.

Consulenza GDPR per gruppi societari e aziende multisede: richiedi una valutazione allo Studio Legale Calvello

La gestione della privacy in un gruppo societario richiede una valutazione giuridica che tenga conto della struttura delle società, dei rapporti infragruppo, dei flussi di dati personali e delle responsabilità effettivamente attribuibili alle diverse entità. Documentazione uniforme, servizi centralizzati e un unico referente privacy non sono sufficienti se l’organizzazione non rispecchia i trattamenti concretamente effettuati.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese che devono organizzare o rivedere la propria compliance GDPR, verificare i rapporti tra holding e controllate, disciplinare la condivisione dei dati, aggiornare la documentazione e individuare modalità di gestione continuativa della privacy aziendale.

Se la vostra impresa opera attraverso più sedi o società e avete necessità di verificare l’adeguatezza dell’attuale organizzazione, potete richiedere una valutazione GDPR per il vostro gruppo societario attraverso il modulo dedicato. Esamineremo la richiesta per individuare le problematiche giuridiche e organizzative da approfondire e valutare le possibili modalità di assistenza professionale.