Articolo a cura di: Redazione - Studio Legale Calvello
Quando il numero dei dipendenti cresce, la gestione della privacy non può essere affidata soltanto alla presenza di informative, nomine e documenti predisposti una volta e poi archiviati. Aumentano le persone autorizzate ad accedere ai dati, i flussi tra HR, amministrazione e IT, i fornitori esterni, gli account aziendali, i dispositivi, i sistemi di controllo degli accessi e le occasioni nelle quali un errore organizzativo può tradursi in un trattamento non corretto o in una violazione dei dati personali.
Per un’azienda con molti dipendenti il problema è quindi soprattutto organizzativo: occorre sapere quali dati vengono trattati, da chi, attraverso quali sistemi, per quali finalità e con quali tempi di conservazione. Occorre poi stabilire responsabilità, autorizzazioni, procedure e controlli coerenti con l’attività effettivamente svolta. Il numero dei lavoratori, da solo, non determina automaticamente l’obbligo di nominare un DPO, ma può incidere sulla complessità e sulla scala dei trattamenti e rende normalmente più articolata l’applicazione concreta del principio di accountability.
Perché la gestione del GDPR diventa più complessa quando aumentano i dipendenti
In un’impresa strutturata i dati del personale attraversano normalmente numerosi processi. Selezione e assunzione, amministrazione del rapporto di lavoro, retribuzioni, presenze, ferie, malattie, formazione, sicurezza, medicina del lavoro, sistemi informatici, posta elettronica, accessi fisici e logici, eventuale videosorveglianza e gestione della cessazione del rapporto comportano trattamenti diversi, alcuni dei quali possono riguardare anche categorie particolari di dati. Il datore di lavoro, quale titolare del trattamento, deve quindi verificare che ciascun processo abbia una base giuridica adeguata e rispetti, tra gli altri, i principi di minimizzazione, limitazione della conservazione, integrità e riservatezza.
Il punto critico è spesso la distanza tra la documentazione privacy e il funzionamento reale dell’organizzazione. Un registro dei trattamenti può essere formalmente presente ma non rappresentare più i software effettivamente utilizzati; le autorizzazioni possono non essere aggiornate dopo cambi di mansione; un responsabile può continuare ad avere accesso a cartelle contenenti dati che non gli servono più; un fornitore cloud può trattare dati per conto dell’impresa senza che il rapporto sia stato correttamente disciplinato ai sensi dell’art. 28 del GDPR. La crescita dell’organico rende questi disallineamenti più difficili da individuare se manca una procedura periodica di verifica.
Per questo la gestione GDPR di un’azienda con molti dipendenti deve partire dalla mappatura dei trattamenti e dei flussi informativi. Il registro delle attività di trattamento deve essere mantenuto coerente con ciò che accade realmente nell’impresa, mentre ruoli e responsabilità devono essere definiti distinguendo correttamente titolare, eventuali responsabili del trattamento e persone autorizzate. Anche la documentazione deve seguire l’evoluzione aziendale: nuovi gestionali, outsourcing, acquisizioni, apertura di sedi, introduzione di sistemi biometrici o di videosorveglianza e cambiamenti nell’organizzazione del lavoro possono richiedere una nuova valutazione.
Nelle organizzazioni più grandi assume particolare rilievo anche il coordinamento tra funzione HR, IT, compliance, direzione e soggetti che seguono la protezione dei dati. Un progetto tecnologico deciso dall’IT può avere conseguenze sui lavoratori; una piattaforma scelta dall’HR può trasferire o rendere accessibili dati a fornitori esterni; una modifica delle policy di sicurezza può determinare nuovi log o forme di monitoraggio. La privacy by design richiede che questi aspetti vengano valutati prima dell’introduzione del trattamento, anziché quando il sistema è già operativo.
Organizzare ruoli, autorizzazioni e controlli senza trasformare il GDPR in un adempimento solo documentale
Una gestione privacy efficace richiede che ogni funzione sappia quali dati può trattare e con quali limiti. Nelle aziende con molti dipendenti non è normalmente sufficiente predisporre una generica autorizzazione al trattamento: le istruzioni devono essere coerenti con le mansioni e con i privilegi effettivamente attribuiti nei sistemi informatici. Un addetto amministrativo, un responsabile HR, un tecnico IT e un dirigente possono avere esigenze di accesso molto diverse. La configurazione tecnica degli account dovrebbe riflettere questa distinzione e le autorizzazioni dovrebbero essere riesaminate quando cambiano ruolo, mansione o struttura organizzativa.
Lo stesso controllo deve riguardare i soggetti esterni. Consulenti del lavoro, fornitori di software HR, servizi payroll, società informatiche, provider cloud e altri operatori possono trattare dati personali per conto dell’azienda. Occorre verificare caso per caso il ruolo privacy assunto e, quando ricorrono i presupposti, disciplinare il rapporto ai sensi dell’art. 28 GDPR. Non basta raccogliere una nomina standard: l’impresa deve conoscere quali dati vengono affidati al fornitore, quali servizi vengono svolti, quali misure sono previste, se intervengono sub-responsabili e dove avvengono i trattamenti rilevanti. La corretta distinzione tra titolare, responsabile e autorizzato al trattamento evita che responsabilità operative molto diverse vengano confuse all’interno della stessa organizzazione.
Un’area particolarmente delicata riguarda gli strumenti utilizzati quotidianamente dai lavoratori. Posta elettronica, log di accesso, sistemi di sicurezza, piattaforme collaborative, software HR, dispositivi aziendali e servizi cloud possono produrre una quantità di informazioni molto superiore a quella immediatamente percepibile dall’impresa. La configurazione tecnica del servizio diventa quindi parte della compliance: prima di stabilire tempi di conservazione o modalità di accesso ai dati occorre verificare concretamente quali informazioni il sistema raccoglie e conserva e per quali finalità.
Questo aspetto è evidente nella posta elettronica aziendale. I sistemi possono generare automaticamente metadati relativi all’utilizzo degli account dei dipendenti e la loro conservazione richiede una valutazione che tenga conto sia della disciplina sulla protezione dei dati sia delle norme che tutelano il lavoratore rispetto ai controlli a distanza. Per un’impresa di grandi dimensioni, nella quale centinaia di account possono essere gestiti attraverso servizi cloud centralizzati, lasciare le impostazioni predefinite del fornitore senza verificarne gli effetti può creare una distanza rilevante tra il trattamento effettivo e quello previsto nelle policy aziendali.
La stessa logica riguarda videosorveglianza, sistemi di controllo degli accessi, geolocalizzazione e strumenti capaci di monitorare l’attività lavorativa. La valutazione non può essere ridotta alla sola informativa privacy: occorre considerare finalità, proporzionalità, configurazione tecnica, tempi di conservazione, soggetti autorizzati all’accesso e, quando applicabili, le garanzie previste dalla disciplina lavoristica. Nei trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone deve inoltre essere verificata la necessità di una valutazione d’impatto sulla protezione dei dati.
In questo quadro anche la nomina del DPO deve essere valutata correttamente. Il GDPR non stabilisce che un’impresa debba nominare il responsabile della protezione dei dati semplicemente perché supera una determinata soglia di dipendenti. L’obbligo dipende dalle condizioni previste dall’art. 37 del Regolamento, tra cui, per i soggetti privati, lo svolgimento come attività principali di trattamenti che richiedano il monitoraggio regolare e sistematico degli interessati su larga scala oppure il trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati. Per le imprese nelle quali occorra verificare specificamente questo profilo abbiamo approfondito la questione nella pagina dedicata al DPO per aziende con molti dipendenti. Anche quando la nomina non sia obbligatoria, resta necessario costruire un sistema organizzativo nel quale responsabilità, procedure di controllo e gestione degli incidenti siano chiaramente definite.
Registro dei trattamenti, fornitori, formazione e procedure: dove si concentra il rischio organizzativo
Quando la struttura aziendale diventa complessa, la conformità al GDPR dipende dalla capacità di mantenere allineati documentazione, organizzazione e sistemi informatici. Il registro delle attività di trattamento assume in questo contesto una funzione operativa: deve consentire di ricostruire quali trattamenti vengono effettuati, le categorie di interessati e di dati coinvolti, le finalità, i destinatari, gli eventuali trasferimenti, i termini previsti per la cancellazione e le misure di sicurezza applicabili. Se l’impresa introduce un nuovo gestionale HR, affida un servizio all’esterno o modifica un processo che coinvolge dati personali, occorre verificare se il registro e la restante documentazione debbano essere aggiornati. Una revisione più ampia può rendersi necessaria quando la documentazione privacy aziendale non rappresenta più l’organizzazione effettiva.
Un altro punto delicato riguarda i fornitori. Nelle aziende con molti dipendenti il trattamento dei dati è spesso distribuito tra numerosi soggetti esterni: consulente del lavoro, software house, provider cloud, servizi di assistenza informatica, piattaforme per recruiting e formazione, sistemi di rilevazione delle presenze e altri operatori. La verifica non dovrebbe limitarsi alla presenza formale di un contratto ex art. 28 GDPR. Occorre valutare quali operazioni il fornitore compie effettivamente sui dati, le istruzioni impartite, le misure di sicurezza, l’eventuale ricorso a sub-responsabili e, quando rilevante, la localizzazione dei trattamenti e dei dati.
La gestione degli accessi interni richiede la stessa attenzione. Con l’aumento dell’organico cresce la probabilità che una persona cambi funzione, assuma nuove responsabilità o lasci l’azienda senza che tutti i privilegi informatici vengano contestualmente aggiornati. Una procedura di ingresso, variazione e cessazione del personale dovrebbe quindi coordinare HR e IT, prevedendo l’attivazione degli account necessari, la modifica dei permessi in caso di cambio di mansione e la tempestiva revoca degli accessi quando vengono meno le relative esigenze. Il problema non riguarda soltanto la sicurezza informatica: un accesso tecnicamente possibile a dati non necessari rispetto alla funzione svolta può essere incompatibile con i principi di minimizzazione e limitazione dell’accesso.
La formazione del personale completa questo sistema, ma deve essere costruita sui rischi effettivi dell’organizzazione. Chi gestisce le risorse umane deve conoscere cautele diverse rispetto a chi opera nell’IT, nell’amministrazione o nell’assistenza clienti. In un’azienda numerosa è particolarmente utile definire procedure comprensibili per situazioni ricorrenti: invio di documenti al destinatario sbagliato, perdita di un dispositivo, accesso anomalo a un account, comunicazione di credenziali, richiesta di esercizio dei diritti o sospetta sottrazione di informazioni. Il dipendente deve sapere non soltanto cosa non deve fare, ma soprattutto a chi e con quali modalità deve segnalare rapidamente un’anomalia.
Questo diventa determinante in presenza di un possibile data breach. L’azienda deve essere in grado di far arrivare l’informazione alle persone incaricate della valutazione senza ritardi, perché l’eventuale obbligo di notifica all’autorità di controllo deve essere esaminato alla luce dell’art. 33 GDPR e, quando ricorrono i presupposti, la notifica deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Non ogni incidente comporta automaticamente una notifica al Garante, ma ogni evento rilevante deve poter essere identificato, ricostruito e valutato sulla base delle circostanze concrete e del rischio per i diritti e le libertà delle persone fisiche.
Per questo, nelle imprese strutturate, un audit privacy periodico non dovrebbe limitarsi a controllare se esistono informative, nomine e registro. Deve verificare la corrispondenza tra quei documenti e i processi reali, i sistemi utilizzati, le autorizzazioni effettive e i rapporti con i fornitori. È proprio questa verifica che consente di individuare, per esempio, account rimasti attivi, tempi di conservazione non coerenti, procedure mai aggiornate o nuovi trattamenti introdotti senza una preventiva analisi privacy. Quando l’impresa deve riorganizzare complessivamente questi aspetti, il percorso parte normalmente da una verifica dell’adeguamento GDPR aziendale rispetto alla situazione concretamente esistente.
Un caso pratico: riorganizzare la privacy dopo una forte crescita dell’organico
Consideriamo il caso, proposto in forma anonima e rappresentativa, di un’azienda cresciuta progressivamente fino a disporre di un organico numeroso e di più funzioni interne. Nel tempo erano stati introdotti nuovi software per il personale, servizi cloud e ulteriori fornitori, mentre le autorizzazioni e parte della documentazione privacy erano rimaste impostate sulla precedente struttura organizzativa. Il problema non consisteva nell’assenza totale di adempimenti GDPR, ma nella loro frammentazione: documenti predisposti in momenti diversi, responsabilità operative non sempre chiaramente attribuite e accessi informatici che richiedevano una verifica rispetto alle mansioni effettive.
L’attività di riorganizzazione è partita dalla ricostruzione dei trattamenti e dei flussi di dati, mettendo in relazione registro, informative, soggetti autorizzati, fornitori e sistemi utilizzati. Particolare attenzione è stata dedicata al coordinamento tra HR e IT, perché alcune variazioni organizzative non erano state accompagnate da un corrispondente aggiornamento dei privilegi di accesso. Sono stati quindi riesaminati ruoli, istruzioni, rapporti con i responsabili esterni e procedure da utilizzare in caso di incidente o richiesta relativa ai dati personali.
Il passaggio più delicato è stato trasformare la documentazione in un sistema applicabile nel lavoro quotidiano, individuando chi dovesse intervenire quando nasceva un nuovo trattamento, veniva adottato un software, cambiava la mansione di un dipendente o si verificava un possibile data breach. In un’azienda con molti dipendenti la gestione privacy funziona quando gli adempimenti seguono le modifiche dell’organizzazione, anziché essere aggiornati soltanto in occasione di un problema. La struttura concretamente necessaria dipende comunque dai trattamenti effettuati, dalle dimensioni e dall’organizzazione dell’impresa, dalle tecnologie utilizzate e dai rischi connessi alle specifiche attività.
FAQ sulla gestione GDPR nelle aziende con molti dipendenti
Un’azienda con molti dipendenti è obbligata a nominare un DPO?
No. Il numero dei dipendenti non costituisce, da solo, un criterio che rende obbligatoria la nomina del DPO. Per i soggetti privati occorre verificare se ricorra una delle condizioni previste dall’art. 37 GDPR, valutando in particolare le attività principali dell’impresa, la natura dei trattamenti, la loro scala e l’eventuale monitoraggio regolare e sistematico degli interessati. Un’azienda con un organico numeroso può quindi richiedere un’analisi specifica senza che dalla sola consistenza del personale possa ricavarsi automaticamente l’obbligo di nomina.
Chi dovrebbe coordinare concretamente la privacy all’interno di una grande azienda?
Non esiste un modello organizzativo identico per tutte le imprese. Il titolare del trattamento conserva le responsabilità previste dal GDPR, mentre le attività operative possono coinvolgere direzione, HR, IT, compliance, referenti privacy e, quando nominato, DPO. Quest’ultimo svolge le funzioni attribuitegli dagli artt. 38 e 39 GDPR e deve poter operare con indipendenza: la presenza del DPO non trasferisce su di lui la responsabilità del titolare per la conformità dei trattamenti.
Ogni quanto deve essere aggiornato il registro dei trattamenti?
Il GDPR non stabilisce una revisione annuale obbligatoria valida indistintamente per ogni impresa. Il registro deve però rappresentare i trattamenti effettivamente svolti. Deve quindi essere riesaminato quando intervengono modifiche rilevanti, come l’introduzione di nuovi processi, software o fornitori, cambiamenti nelle categorie di dati trattati, nuove finalità o variazioni nei flussi informativi. Nelle organizzazioni complesse è opportuno prevedere anche controlli periodici, proprio per intercettare modifiche che potrebbero non essere state comunicate tempestivamente alla funzione che segue la privacy.
Cosa fare se l’azienda dispone già della documentazione GDPR ma non viene aggiornata da anni?
La presenza materiale dei documenti non consente di presumere che la gestione sia ancora conforme alla situazione attuale. Occorre confrontare registro, informative, nomine, istruzioni, contratti con i responsabili del trattamento, tempi di conservazione e procedure con i trattamenti realmente effettuati. Se nel frattempo sono cambiati personale, sistemi informatici, fornitori o modalità organizzative, può essere necessario un aggiornamento della documentazione privacy aziendale preceduto da una verifica dei processi effettivi.
Quando può essere utile affidare all’esterno la gestione della privacy aziendale?
L’esternalizzazione può essere valutata quando l’impresa non dispone internamente delle competenze o delle risorse necessarie per seguire con continuità gli adempimenti, oppure quando la complessità dei trattamenti richiede un supporto specialistico. La soluzione concreta dipende dalla struttura aziendale: alcune attività possono rimanere interne e altre essere affidate a professionisti esterni. Se ricorrono i presupposti per la nomina del DPO, occorre inoltre distinguere l’attività di consulenza dalla specifica funzione del responsabile della protezione dei dati, tenendo conto dei requisiti di competenza, autonomia, indipendenza e assenza di conflitti di interessi.
Assistenza GDPR per aziende con molti dipendenti
Quando un’azienda ha un organico numeroso, verificare la conformità privacy significa esaminare insieme organizzazione, documentazione, sistemi informatici, gestione dei dipendenti, fornitori e procedure interne. Un registro formalmente aggiornato non risolve eventuali criticità negli accessi, nei flussi di dati o nelle responsabilità operative, così come una corretta informativa non sostituisce le verifiche necessarie sui trattamenti effettivamente svolti.
Noi assistiamo le imprese nella verifica e nell’organizzazione della compliance GDPR, valutando la situazione concreta dell’azienda e gli interventi eventualmente necessari. L’attività può riguardare, in funzione delle esigenze riscontrate, audit privacy, revisione della documentazione, registro dei trattamenti, ruoli e autorizzazioni, rapporti con i responsabili esterni, trattamento dei dati dei dipendenti, procedure di data breach e valutazione della necessità del DPO.
Se la gestione privacy della vostra azienda è diventata più complessa con la crescita dell’organico, oppure se documentazione e procedure non vengono riesaminate da tempo, potete richiedere una valutazione in merito al GDPR e alla privacy aziendale descrivendo il problema attraverso il modulo dedicato. Esamineremo la richiesta per individuare gli aspetti che richiedono una verifica rispetto alla struttura e ai trattamenti effettivamente svolti dall’impresa.
