Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può aver predisposto informative privacy, moduli di consenso e lettere di autorizzazione al trattamento senza essere necessariamente in regola con il GDPR. La conformità documentale dipende dalle attività effettivamente svolte, dalle categorie di dati trattati, dai rapporti con i fornitori e dalle misure adottate per proteggere le informazioni personali. Non esiste un fascicolo standard di documenti obbligatori identico per tutte le imprese: alcuni adempimenti si applicano generalmente, altri soltanto quando ricorrono specifici presupposti normativi.

Per imprenditori, amministratori e responsabili aziendali, il problema consiste nel distinguere i documenti realmente necessari da quelli facoltativi, verificando che quanto dichiarato corrisponda all’organizzazione concreta dell’impresa. Una documentazione incompleta, generica o incoerente con i trattamenti effettuati può esporre la società a contestazioni, soprattutto quando emergono reclami, violazioni di dati personali o richieste del Garante Privacy. In queste situazioni, una verifica professionale permette di individuare le carenze documentali e stabilire quali interventi siano necessari, senza moltiplicare inutilmente moduli e procedure.

Quali documenti GDPR deve avere un’azienda per essere in regola

Il Regolamento (UE) 2016/679 impone al titolare del trattamento di rispettare i principi di protezione dei dati personali e di essere in grado di dimostrarne l’osservanza. Questo obbligo, previsto dall’articolo 5, paragrafo 2, si collega al principio di responsabilizzazione disciplinato dall’articolo 24. Per l’impresa significa che la documentazione privacy deve rappresentare fedelmente le attività svolte e consentire di ricostruire le decisioni assunte in materia di trattamento dei dati.

Tra i documenti da verificare rientrano innanzitutto le informative privacy destinate a dipendenti, clienti, fornitori, candidati e altri interessati. Gli articoli 13 e 14 del GDPR stabiliscono quali informazioni debbano essere comunicate, distinguendo i casi in cui i dati sono raccolti direttamente presso l’interessato da quelli in cui provengono da altre fonti. L’impresa deve verificare che le informative descrivano correttamente finalità, basi giuridiche, destinatari, periodi di conservazione e diritti esercitabili. Un’informativa predisposta anni prima potrebbe non corrispondere più ai trattamenti effettivi, soprattutto dopo l’introduzione di nuovi software, servizi cloud o strumenti di marketing.

Un secondo documento da esaminare è il registro delle attività di trattamento previsto dall’articolo 30 del GDPR. L’obbligo presenta alcune eccezioni per organizzazioni con meno di 250 dipendenti, ma queste non operano automaticamente: occorre considerare, tra l’altro, la natura non occasionale dei trattamenti, gli eventuali rischi per i diritti e le libertà degli interessati e il trattamento di particolari categorie di dati o di dati relativi a condanne penali e reati. Anche una piccola impresa può quindi essere tenuta a predisporre il registro. Per approfondire i presupposti applicativi è possibile consultare il nostro articolo sul registro dei trattamenti e sui relativi obblighi di compilazione.

Devono poi essere verificati gli atti con cui l’azienda disciplina l’accesso ai dati da parte del personale e i rapporti con i soggetti esterni. I dipendenti che operano sotto l’autorità del titolare o del responsabile devono ricevere istruzioni appropriate, mentre i fornitori che trattano dati personali per conto dell’impresa devono essere regolati, quando ricorrono i relativi presupposti, da un contratto o altro atto giuridico conforme all’articolo 28 del GDPR. Una generica dichiarazione di riservatezza non sostituisce necessariamente un accordo sul trattamento dei dati, poiché quest’ultimo deve disciplinare specifici obblighi e modalità operative.

La documentazione necessaria comprende anche gli elementi attraverso i quali l’azienda può dimostrare l’adozione di misure tecniche e organizzative adeguate ai sensi dell’articolo 32 del GDPR. Non esiste un unico documento obbligatorio denominato manuale privacy o documento programmatico sulla sicurezza. Occorre invece individuare le evidenze appropriate rispetto ai rischi e alle caratteristiche dell’organizzazione: istruzioni interne, procedure di gestione degli accessi, criteri di conservazione, misure di protezione dei sistemi e documentazione delle verifiche effettuate. Il contenuto e il livello di formalizzazione dipendono dalla complessità dei trattamenti.

Registro dei trattamenti, nomine, DPIA e procedure: quando sono effettivamente obbligatori

Uno degli errori più frequenti nella predisposizione della documentazione GDPR consiste nel considerare obbligatorio qualsiasi modulo presente nei cosiddetti kit privacy aziendali. Il regolamento richiede invece di distinguere gli adempimenti espressamente previsti dalla normativa dalle misure organizzative che il titolare sceglie per dimostrare e mantenere la conformità. Questa distinzione incide direttamente sul lavoro da svolgere e sui costi dell’adeguamento.

Il registro dei trattamenti, quando obbligatorio, deve contenere le informazioni richieste dall’articolo 30, tra cui finalità, categorie di interessati e dati personali, destinatari, eventuali trasferimenti verso Paesi terzi, termini previsti per la cancellazione e una descrizione generale delle misure di sicurezza, ove possibile. Non è sufficiente conservare un modello compilato una sola volta: il registro deve rispecchiare le attività effettivamente svolte. Se l’impresa introduce un nuovo gestionale, esternalizza il servizio paghe o modifica i sistemi di raccolta dei dati dei clienti, occorre verificare se tali cambiamenti richiedano un aggiornamento. Abbiamo approfondito questa problematica nell’articolo dedicato al registro dei trattamenti non aggiornato e ai rischi per l’azienda.

Per quanto riguarda le nomine privacy, occorre distinguere le persone autorizzate a trattare dati sotto l’autorità del titolare dai responsabili esterni del trattamento. I primi devono operare sulla base di istruzioni appropriate; per i secondi, quando trattano dati per conto dell’azienda, è necessario un accordo conforme all’articolo 28. La denominazione attribuita al documento non è decisiva quanto il suo contenuto e la corretta qualificazione del rapporto. Un fornitore non diventa automaticamente responsabile del trattamento per il solo fatto di ricevere dati personali: occorre verificare chi determina finalità e mezzi del trattamento. La distinzione è esaminata nel nostro approfondimento su titolare, responsabile e autorizzato al trattamento.

La valutazione d’impatto sulla protezione dei dati, o DPIA, non è obbligatoria per qualsiasi azienda. L’articolo 35 del GDPR la richiede quando un tipo di trattamento, considerate natura, oggetto, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. La necessità deve essere verificata, ad esempio, in presenza di determinate attività di monitoraggio sistematico, trattamenti su larga scala di categorie particolari di dati o utilizzo di tecnologie che comportino rischi elevati. Quando la DPIA è necessaria, deve essere effettuata prima di iniziare il trattamento e riesaminata quando cambiano i rischi.

Un’ulteriore distinzione riguarda il responsabile della protezione dei dati, denominato DPO o RPD. La sua designazione è obbligatoria nei casi individuati dall’articolo 37 del GDPR, mentre negli altri può essere una scelta organizzativa volontaria. Quando l’impresa è tenuta a designarlo, deve documentare adeguatamente l’incarico, pubblicarne i dati di contatto e comunicarli all’autorità di controllo. La nomina del DPO non sostituisce il registro dei trattamenti, le informative o gli accordi con i fornitori, né trasferisce al professionista la responsabilità generale del titolare per la conformità dei trattamenti.

Quanto alle procedure interne, non tutte devono necessariamente assumere la forma di un regolamento autonomo. L’azienda deve però essere in grado di dimostrare come gestisce concretamente situazioni quali le richieste di accesso ai dati, la cancellazione delle informazioni, gli incidenti di sicurezza e le eventuali violazioni di dati personali. L’articolo 33, paragrafo 5, impone al titolare di documentare le violazioni dei dati personali, comprese le circostanze, le conseguenze e i provvedimenti adottati, anche quando non ricorrono i presupposti per la notifica al Garante.

Particolare attenzione richiedono le attività che coinvolgono lavoratori, sistemi di videosorveglianza, posta elettronica aziendale e fornitori tecnologici. In questi ambiti la documentazione privacy deve essere coordinata con le ulteriori disposizioni applicabili, comprese quelle dello Statuto dei lavoratori quando pertinenti. La presenza di un’informativa non rende automaticamente lecito un sistema di controllo dei dipendenti, così come un contratto con il fornitore informatico non dimostra, da solo, l’adeguatezza delle misure di sicurezza adottate.

Documentazione GDPR incompleta: responsabilità aziendali, controlli del Garante e interventi necessari

La mancanza di un documento privacy non comporta automaticamente una sanzione, ma può costituire una violazione quando riguarda un adempimento previsto dal GDPR oppure quando impedisce all’impresa di dimostrare il rispetto degli obblighi applicabili. La valutazione deve considerare la natura del documento, le caratteristiche dei trattamenti e le misure concretamente adottate. Il problema non è soltanto possedere la documentazione, ma poter dimostrare che le attività aziendali rispettano le regole dichiarate. Un registro dei trattamenti formalmente completo, ad esempio, perde gran parte della propria utilità se non comprende i software effettivamente utilizzati o i fornitori ai quali vengono comunicati dati personali.

Gli articoli 5, 24 e 32 del Regolamento (UE) 2016/679 attribuiscono al titolare del trattamento la responsabilità di adottare misure appropriate e dimostrarne l’efficacia. Per una società, questo significa organizzare la documentazione in modo coerente con le decisioni della direzione, le attività dei dipendenti e i rapporti contrattuali con i soggetti esterni. L’amministratore deve assicurare che l’impresa disponga di un’organizzazione adeguata agli obblighi applicabili, mentre l’eventuale DPO svolge funzioni di consulenza e sorveglianza senza sostituirsi al titolare nelle decisioni e nelle relative responsabilità.

In caso di accertamento, il Garante per la protezione dei dati personali può richiedere informazioni e documenti necessari a verificare la conformità dei trattamenti. A seconda dell’oggetto del controllo, l’attenzione può riguardare le informative consegnate agli interessati, il registro delle attività di trattamento, gli accordi con i responsabili esterni, le valutazioni dei rischi, le eventuali DPIA e le misure organizzative adottate. La disponibilità di documenti coerenti, aggiornati e verificabili permette all’azienda di ricostruire le proprie scelte e di rispondere in maniera circostanziata alle richieste dell’autorità. Per le modalità di svolgimento degli accertamenti abbiamo predisposto un approfondimento sull’ispezione del Garante Privacy in azienda.

Il sistema sanzionatorio dell’articolo 83 del GDPR distingue diverse categorie di violazioni e prevede massimali differenti. Le violazioni di determinati obblighi documentali e organizzativi possono rientrare nel regime previsto dal paragrafo 4, mentre le violazioni dei principi del trattamento o dei diritti degli interessati possono ricadere nelle ipotesi del paragrafo 5. L’eventuale sanzione deve essere valutata considerando le circostanze concrete, tra cui gravità, durata, carattere doloso o colposo della violazione, misure adottate e grado di cooperazione con l’autorità. Non sarebbe quindi corretto attribuire un importo fisso alla semplice assenza di un documento.

Quando emergono carenze, il primo intervento consiste nel confrontare la documentazione disponibile con i trattamenti effettivamente svolti. Occorre individuare quali atti siano obbligatori, quali risultino incompleti e quali procedure non corrispondano più all’organizzazione aziendale. La verifica deve comprendere anche i contratti con i fornitori che trattano dati per conto dell’impresa, le istruzioni impartite al personale e le evidenze relative alle misure di sicurezza. Se il problema riguarda documenti predisposti in passato, può essere necessario procedere a una revisione della documentazione privacy aziendale, evitando di sostituire indiscriminatamente atti ancora corretti.

La regolarizzazione richiede particolare attenzione quando l’impresa ha già ricevuto un reclamo, una richiesta di chiarimenti o una contestazione. In queste situazioni è necessario preservare la documentazione esistente, ricostruire correttamente le circostanze e distinguere gli interventi correttivi successivi dalle misure effettivamente adottate in precedenza. Predisporre oggi un documento mancante non dimostra che l’obbligo fosse stato rispettato anche nel passato. L’assistenza legale deve quindi considerare sia il ripristino della conformità sia le eventuali responsabilità connesse alla situazione pregressa, senza alterare o retrodatare la documentazione.

Un’azienda con documenti privacy incompleti: esempio pratico di verifica e regolarizzazione

Si consideri, a titolo esemplificativo, una società commerciale con circa quaranta dipendenti che abbia predisposto la documentazione GDPR alcuni anni prima, affidandosi successivamente a nuovi fornitori informatici e introducendo un gestionale cloud per clienti e personale. L’amministrazione conserva informative privacy e lettere di autorizzazione, ma il registro dei trattamenti non descrive le nuove attività e manca un accordo conforme all’articolo 28 del GDPR con uno dei fornitori che tratta dati per conto della società.

La verifica professionale parte dall’esame dei documenti disponibili e dalla ricostruzione dei flussi di dati personali. L’aspetto che richiede maggiore attenzione è la qualificazione dei rapporti con i fornitori, perché non tutti assumono necessariamente il ruolo di responsabile del trattamento. Dopo aver individuato i rapporti soggetti all’articolo 28, l’intervento consiste nel predisporre gli accordi necessari, aggiornare il registro e verificare la coerenza delle informative e delle istruzioni interne. L’azienda può così organizzare un fascicolo documentale corrispondente alle attività effettive, fermo restando che la conformità complessiva richiede anche la verifica delle misure operative e tecniche adottate.

Domande frequenti sui documenti GDPR obbligatori per le aziende

Un’azienda con pochi dipendenti deve avere gli stessi documenti GDPR di una grande società?

No. Gli obblighi dipendono dalla natura dei trattamenti, dalle categorie di dati personali, dai rischi e dall’organizzazione aziendale. Anche una piccola impresa deve fornire le informative previste dalla normativa e disciplinare correttamente gli eventuali rapporti con i responsabili esterni. Il numero ridotto di dipendenti non determina automaticamente l’esenzione dall’obbligo di tenere il registro dei trattamenti.

È obbligatorio acquistare un kit GDPR o predisporre un manuale privacy aziendale?

No. Il GDPR non impone l’acquisto di un kit documentale né la predisposizione di un documento unico denominato manuale privacy. L’impresa deve rispettare gli obblighi applicabili e poter dimostrare l’adozione di misure adeguate. Modelli standardizzati possono costituire una base di lavoro, ma devono essere verificati e adattati ai trattamenti effettivamente svolti.

Le informative privacy firmate dai dipendenti sono sufficienti per dimostrare la conformità?

No. La firma può costituire una prova dell’avvenuta consegna dell’informativa, ma non dimostra da sola la liceità dei trattamenti o l’adeguatezza delle misure di sicurezza. Occorre verificare le basi giuridiche, le istruzioni impartite al personale, le modalità di accesso ai dati e gli ulteriori obblighi applicabili. La firma dell’informativa non equivale necessariamente a un consenso e non sostituisce gli adempimenti richiesti dalla normativa.

Un’azienda può essere sanzionata se manca il contratto GDPR con un fornitore?

Sì, quando il fornitore opera come responsabile del trattamento ai sensi dell’articolo 28 del GDPR e manca il contratto o altro atto giuridico richiesto dalla disposizione. La responsabilità e l’eventuale sanzione dipendono dalle circostanze concrete. Prima di predisporre l’accordo occorre verificare il ruolo effettivo del fornitore, poiché non ogni soggetto esterno che riceve dati personali assume automaticamente la qualifica di responsabile del trattamento.

Quanto costa predisporre o verificare tutti i documenti GDPR di un’azienda?

Il costo dipende dal numero e dalla complessità dei trattamenti, dalla documentazione già disponibile, dai rapporti con i fornitori e dall’eventuale necessità di effettuare valutazioni d’impatto o predisporre procedure specifiche. Una verifica documentale circoscritta richiede normalmente attività differenti rispetto alla ricostruzione completa della documentazione privacy di una società con più sedi, numerosi dipendenti e sistemi informatici articolati. Per formulare una proposta professionale attendibile occorre prima individuare le attività necessarie.

Documenti GDPR mancanti o incompleti: richiedi una valutazione legale per la tua azienda

Se la vostra azienda non dispone di una documentazione GDPR completa, utilizza modelli predisposti anni fa oppure non sa quali atti siano effettivamente obbligatori, possiamo esaminare la situazione e individuare gli interventi necessari. Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella verifica degli obblighi privacy, nella predisposizione della documentazione e nella gestione delle problematiche giuridiche connesse alla protezione dei dati personali.

La verifica viene effettuata considerando l’organizzazione aziendale, i trattamenti svolti e gli obblighi concretamente applicabili, distinguendo le carenze documentali dalle eventuali criticità operative. Per sottoporre il vostro caso allo Studio, richiedete una valutazione della documentazione GDPR aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le possibili modalità di assistenza professionale.