Articolo a cura di: Redazione - Studio Legale Calvello

Una documentazione privacy incompleta, non aggiornata o scollegata da ciò che l’azienda fa realmente può diventare un problema quando si verifica un data breach, arriva un reclamo oppure il Garante chiede di ricostruire un determinato trattamento. Il GDPR, infatti, non richiede soltanto di rispettare le regole: impone al titolare di essere in grado di dimostrare concretamente la conformità dei trattamenti.

Per un’impresa, quindi, predisporre informative, registro dei trattamenti, nomine, contratti con i responsabili esterni o procedure interne non significa semplicemente creare un fascicolo da conservare. La documentazione deve rappresentare l’organizzazione effettiva dei trattamenti e deve essere mantenuta coerente con nuovi software, fornitori, dipendenti, attività di marketing, sistemi di videosorveglianza, servizi cloud e ogni altra modifica che incida sull’utilizzo dei dati personali. Una verifica periodica consente di individuare le non conformità prima che emergano in circostanze nelle quali l’azienda deve rendere conto delle proprie scelte.

Perché una documentazione privacy incompleta o non aggiornata espone l’azienda a contestazioni

Il punto di partenza è il principio di responsabilizzazione previsto dall’art. 5, paragrafo 2, del Regolamento (UE) 2016/679: il titolare è responsabile del rispetto dei principi applicabili al trattamento e deve essere in grado di comprovarlo. L’art. 24 traduce questo principio sul piano organizzativo, richiedendo al titolare di attuare misure tecniche e organizzative adeguate tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone.

La conseguenza pratica è importante. Non esiste un unico “documento GDPR” capace di mettere in regola un’azienda e neppure una raccolta standard di modelli utilizzabile indistintamente in qualsiasi organizzazione. Occorre prima ricostruire quali dati vengono trattati, per quali finalità, su quale base giuridica, da quali soggetti, attraverso quali sistemi, per quanto tempo, con quali destinatari e con quali eventuali trasferimenti verso Paesi terzi. Solo dopo questa ricognizione è possibile stabilire quali documenti siano necessari e quale debba essere il loro contenuto.

Il registro delle attività di trattamento è uno degli strumenti centrali di questa ricostruzione. Quando l’impresa è soggetta all’obbligo previsto dall’art. 30 GDPR, il registro deve descrivere i trattamenti effettivamente svolti e deve essere disponibile in caso di richiesta dell’Autorità. Anche nei casi in cui opera la deroga prevista per determinate organizzazioni con meno di 250 dipendenti, la questione deve essere verificata con attenzione: la deroga non si applica, tra l’altro, quando il trattamento non è occasionale, può presentare un rischio per i diritti e le libertà degli interessati oppure riguarda categorie particolari di dati o dati relativi a condanne penali e reati.

Il problema nasce spesso dalla distanza tra i documenti e l’attività reale. Un registro redatto anni prima può non contemplare il nuovo CRM o un servizio cloud successivamente introdotto; un’informativa ai dipendenti può non essere coerente con gli strumenti informatici effettivamente utilizzati; un fornitore che tratta dati per conto dell’impresa può non essere stato correttamente disciplinato ai sensi dell’art. 28 GDPR. In altri casi cambiano i tempi di conservazione, vengono introdotte nuove finalità oppure un reparto comincia a utilizzare un software senza che sia stata effettuata una preventiva valutazione privacy.

Per questo la documentazione privacy aziendale deve essere aggiornata quando mutano i trattamenti e non soltanto quando l’impresa teme un controllo. Un fascicolo formalmente ordinato ma non corrispondente alla realtà può rendere difficile dimostrare come l’azienda abbia valutato e governato il trattamento contestato.

Quali documenti GDPR devono essere verificati per ridurre il rischio di sanzioni

La verifica deve partire dalla mappatura dei trattamenti e procedere per coerenza. Non è sufficiente controllare separatamente che ciascun documento esista: occorre verificare che registro, informative, basi giuridiche, tempi di conservazione, ruoli privacy, rapporti con i fornitori e procedure interne descrivano lo stesso sistema di trattamento. Se, ad esempio, il registro indica una determinata finalità e un determinato periodo di conservazione mentre l’informativa consegnata agli interessati contiene indicazioni differenti, l’esistenza materiale di entrambi i documenti non risolve la non conformità.

Tra gli elementi da esaminare rientrano, secondo i trattamenti effettivamente svolti, il registro delle attività di trattamento, le informative privacy, la corretta individuazione di titolare, eventuali contitolari, responsabili del trattamento e persone autorizzate, le istruzioni impartite al personale e i contratti o altri atti giuridici previsti dall’art. 28 GDPR per i fornitori che trattano dati per conto dell’azienda. A questi possono aggiungersi la documentazione relativa ai consensi quando necessari, alle misure di sicurezza, alla conservazione dei dati, ai trasferimenti internazionali e alla formazione del personale.

Particolare attenzione richiedono i trattamenti che presentano rischi più elevati. Quando ricorrono i presupposti dell’art. 35 GDPR, l’azienda deve effettuare una valutazione d’impatto sulla protezione dei dati prima di procedere al trattamento. La DPIA non può essere sostituita da una formula generica inserita nel registro o da un modello compilato senza un’effettiva analisi dei rischi. Analogamente, la sicurezza prevista dall’art. 32 GDPR richiede misure tecniche e organizzative adeguate al rischio: la documentazione dovrebbe permettere di ricostruire le valutazioni compiute e le misure adottate, senza confondere la prova dell’attività svolta con l’adempimento sostanziale dell’obbligo.

Un altro punto frequentemente trascurato riguarda i responsabili esterni. Software house, fornitori cloud, servizi di payroll, piattaforme di marketing e altri soggetti possono trattare dati personali per conto dell’impresa. In questi casi occorre verificare se ricorrono effettivamente i presupposti della qualifica di responsabile del trattamento e, quando ricorrono, disciplinare il rapporto secondo l’art. 28 GDPR. Non basta quindi raccogliere indiscriminatamente delle “nomine privacy”: occorre prima individuare correttamente i ruoli dei soggetti coinvolti nel trattamento.

La stessa logica vale per le procedure interne. L’azienda deve essere in grado di gestire situazioni che non possono essere affrontate efficacemente improvvisando quando si verificano: richieste di esercizio dei diritti, incidenti di sicurezza, violazioni di dati personali, cancellazione o rettifica dei dati, gestione dei tempi di conservazione. Una corretta compliance documentale GDPR deve quindi comprendere, quando pertinenti, procedure operative compatibili con l’organizzazione reale e con le responsabilità attribuite alle persone che dovranno applicarle.

Il controllo della documentazione assume particolare rilievo quando l’azienda non la aggiorna da tempo, ha introdotto nuovi trattamenti oppure ha effettuato una riorganizzazione societaria o tecnologica. In queste situazioni un audit privacy o un check-up GDPR consente di confrontare ciò che risulta formalmente dai documenti con ciò che accade nei processi aziendali, individuando lacune, incongruenze e adempimenti che richiedono un intervento. L’obiettivo non è promettere l’assenza di future contestazioni, ma mettere l’impresa nelle condizioni di applicare e, quando necessario, dimostrare le misure concretamente adottate per rispettare il GDPR.

Quando la documentazione diventa decisiva in caso di controllo, data breach o contestazione

La qualità della documentazione emerge soprattutto quando l’azienda deve spiegare perché un trattamento è stato organizzato in un certo modo. Può accadere a seguito di un reclamo, di una richiesta di informazioni del Garante per la protezione dei dati personali, di un’attività ispettiva oppure dopo una violazione dei dati. In queste situazioni non è sufficiente produrre una raccolta di informative e nomine: occorre poter ricostruire le valutazioni effettuate, le responsabilità attribuite, le procedure previste e le misure effettivamente adottate.

La documentazione assume quindi una funzione probatoria dell’accountability, ma non rende automaticamente conforme un trattamento che, nella pratica, sia organizzato in modo diverso. Se un’azienda dichiara nel registro che determinati dati vengono cancellati dopo un certo periodo, mentre i sistemi informatici li conservano senza una concreta politica di cancellazione, il problema non è soltanto documentale. Lo stesso accade quando un contratto ex art. 28 GDPR attribuisce determinati obblighi al responsabile del trattamento ma il rapporto con il fornitore viene gestito senza verificare gli aspetti rilevanti per la protezione dei dati.

Un caso particolarmente delicato è il data breach. L’art. 33 GDPR impone al titolare di documentare le violazioni dei dati personali, comprese le circostanze, le conseguenze e i provvedimenti adottati per porvi rimedio. La documentazione deve consentire all’Autorità di verificare il rispetto della disciplina applicabile. Quando si verifica un incidente, quindi, l’impresa deve prima comprenderne natura e portata, individuare i dati e gli interessati coinvolti e valutare il rischio per i loro diritti e libertà. Da questa analisi dipende anche la decisione sull’eventuale notifica al Garante e, nei casi previsti dall’art. 34 GDPR, sulla comunicazione agli interessati.

La stessa esigenza di tracciabilità riguarda le scelte che precedono l’incidente. Se vengono utilizzati servizi cloud, applicazioni esterne o fornitori che accedono ai dati personali, deve essere possibile ricostruire chi tratta i dati, a quale titolo e secondo quali condizioni. Se vengono introdotti sistemi di controllo, videosorveglianza, strumenti di monitoraggio o trattamenti suscettibili di presentare un rischio elevato, occorre verificare preventivamente quali adempimenti siano richiesti. La documentazione dovrebbe seguire queste decisioni mentre vengono assunte, anziché essere ricostruita soltanto quando emerge un problema.

In presenza di una richiesta dell’Autorità, anche le incongruenze possono assumere rilievo. Un registro non aggiornato, informative incompatibili con i trattamenti effettivi, contratti con i responsabili mancanti o incompleti, tempi di conservazione non definiti e procedure mai applicate possono rendere più difficile dimostrare il percorso seguito dall’impresa. Non ogni carenza comporta automaticamente una sanzione: il GDPR prevede che l’eventuale applicazione e quantificazione delle sanzioni amministrative sia valutata considerando le circostanze del caso e i criteri stabiliti dall’art. 83.

Per questa ragione, la prevenzione non consiste nel predisporre più documenti possibile, ma nel costruire un sistema documentale proporzionato ai trattamenti e mantenerlo allineato all’organizzazione. Quando la documentazione è datata o frammentaria, una verifica dell’adeguamento GDPR aziendale dovrebbe partire dai processi reali e confrontarli con quanto formalizzato, stabilendo quali carenze richiedano una correzione immediata e quali aspetti debbano invece essere valutati in relazione al rischio concreto.

Un caso pratico: documentazione GDPR formalmente presente ma non più coerente con l’azienda

Consideriamo, a titolo di esempio realistico e anonimizzato, un’impresa che aveva predisposto diversi anni prima il registro dei trattamenti, le informative per dipendenti e clienti, le autorizzazioni interne e alcuni atti relativi ai fornitori. Nel frattempo l’organizzazione era cambiata: erano stati introdotti nuovi servizi cloud, un diverso gestionale, strumenti utilizzati dal personale e ulteriori fornitori che potevano accedere a dati personali. La documentazione esisteva, ma descriveva soltanto in parte l’attività effettivamente svolta.

L’intervento è partito dalla ricostruzione dei flussi di dati e dal confronto tra trattamenti reali e documenti disponibili. Sono stati verificati il registro, le informative, i ruoli dei soggetti coinvolti, i rapporti con i fornitori, i tempi di conservazione e le procedure interne. L’aspetto che ha richiesto maggiore attenzione non è stato riscrivere singoli modelli, ma individuare le differenze tra organizzazione formale della privacy e funzionamento concreto dei processi aziendali.

Su questa base è stato possibile impostare la revisione della documentazione e delle procedure secondo le effettive caratteristiche dei trattamenti. È questo il motivo per cui, quando un’azienda possiede già un fascicolo privacy, la prima domanda non dovrebbe essere soltanto se i documenti ci siano, ma se descrivano ancora correttamente ciò che accade nell’impresa e se consentano di ricostruire le valutazioni compiute in applicazione del principio di accountability.

Domande frequenti sulla documentazione GDPR e sul rischio di sanzioni

È sufficiente avere i documenti GDPR per evitare una sanzione?
No. La presenza dei documenti è solo una parte della conformità. Registro dei trattamenti, informative, atti ex art. 28 GDPR, autorizzazioni e procedure devono essere coerenti con i trattamenti effettivamente svolti. L’azienda deve inoltre applicare concretamente le misure organizzative e tecniche individuate. Una documentazione formalmente completa non può compensare un trattamento illecito o modalità operative diverse da quelle dichiarate.

Ogni quanto deve essere aggiornata la documentazione privacy aziendale?
Il GDPR non stabilisce un termine generale, come un aggiornamento annuale obbligatorio, valido per tutta la documentazione. La revisione deve avvenire quando cambiano elementi rilevanti del trattamento: finalità, categorie di dati, destinatari, fornitori, software, modalità di conservazione, misure di sicurezza o processi aziendali. È comunque opportuno prevedere verifiche periodiche, calibrate sulla complessità e sul rischio dei trattamenti, per intercettare modifiche che non siano state tempestivamente recepite.

Cosa può fare un’azienda che scopre di avere documentazione GDPR incompleta o molto vecchia?
È preferibile partire da una ricognizione dei trattamenti attuali anziché limitarsi ad aggiornare formalmente i vecchi modelli. Occorre verificare quali dati siano effettivamente trattati, per quali finalità, attraverso quali sistemi, da quali soggetti e fornitori e per quanto tempo. Da questa mappatura è possibile individuare le non conformità e stabilire quali documenti privacy siano effettivamente necessari per l’azienda e quali debbano essere modificati.

Il Garante Privacy può chiedere all’azienda di esibire la documentazione GDPR?
Sì. Nell’ambito dei poteri attribuiti dall’art. 58 GDPR, l’Autorità può ordinare al titolare e al responsabile del trattamento di fornire le informazioni necessarie per l’esecuzione dei propri compiti e può svolgere indagini e audit. Alcuni documenti sono espressamente soggetti a obblighi di disponibilità: il registro delle attività di trattamento, ad esempio, deve essere messo a disposizione dell’Autorità di controllo su richiesta ai sensi dell’art. 30 GDPR.

Un audit privacy può garantire che l’azienda non riceverà sanzioni?
No. Nessun audit può garantire l’assenza di future violazioni, contestazioni o sanzioni. Una verifica professionale può però individuare scostamenti tra documentazione e trattamenti reali, carenze organizzative e adempimenti da correggere, consentendo all’impresa di intervenire prima che tali problemi emergano durante un incidente, un reclamo o un controllo.

La documentazione privacy della vostra azienda è realmente aggiornata?

Se il registro dei trattamenti non viene revisionato da tempo, sono stati introdotti nuovi software o servizi cloud, sono cambiati fornitori e processi interni oppure la documentazione privacy è stata predisposta anni fa senza successive verifiche, è opportuno controllare la situazione concreta prima di limitarsi ad aggiornare singoli modelli.

Noi assistiamo le imprese nella verifica della compliance GDPR, nell’audit della documentazione esistente e nell’individuazione delle misure necessarie per riallineare documenti, procedure e trattamenti effettivamente svolti. Quando esistono già criticità, una richiesta del Garante o una contestazione, la valutazione deve considerare anche il problema specifico che l’azienda sta affrontando.

Per sottoporre il caso allo Studio è possibile richiedere una valutazione in merito al GDPR e alla privacy aziendale, descrivendo attraverso il modulo la situazione dell’impresa e le principali criticità riscontrate.