Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che non ha mai affrontato seriamente gli adempimenti GDPR può trovarsi a trattare da anni dati di clienti, dipendenti e fornitori senza informative adeguate, un registro dei trattamenti correttamente predisposto o procedure per proteggerli. Il problema emerge spesso quando un cliente richiede documentazione privacy, un dipendente presenta un reclamo oppure la direzione scopre che nessuno ha mai verificato la conformità dell’organizzazione. In questi casi occorre ricostruire i trattamenti effettivamente svolti, individuare le irregolarità e stabilire quali interventi affrontare per primi. Mettersi in regola non significa acquistare un pacchetto di documenti standard: richiede decisioni organizzative e giuridiche proporzionate alle attività dell’impresa, ai dati trattati e ai rischi esistenti.

GDPR mai fatto in azienda: quali problemi deve affrontare subito l’impresa

Quando un imprenditore ci riferisce che nella propria azienda «la privacy non è mai stata fatta», la prima questione da chiarire riguarda ciò che effettivamente manca. Talvolta non esiste alcuna documentazione; in altri casi sono presenti vecchie informative, moduli scaricati da Internet o nomine predisposte anni prima, senza che nessuno abbia verificato se corrispondano all’organizzazione reale. L’assenza di un sistema documentato e verificabile di gestione dei dati personali espone l’impresa a irregolarità che possono interessare contemporaneamente più attività aziendali.

Il Regolamento (UE) 2016/679 si applica ai trattamenti di dati personali effettuati nell’ambito dell’attività aziendale, indipendentemente dalle dimensioni dell’impresa, quando ricorrono i presupposti territoriali e materiali previsti dalla normativa. Anche una società con pochi dipendenti può trattare quotidianamente informazioni identificative, recapiti, dati bancari, documenti contrattuali e informazioni relative al personale. Non esiste un’esenzione generale dal GDPR per le piccole imprese. Alcuni adempimenti, invece, dipendono dalle caratteristiche dei trattamenti: è il caso delle condizioni previste per il registro delle attività di trattamento, della valutazione d’impatto e della designazione del Responsabile della protezione dei dati.

La situazione diventa particolarmente delicata quando l’azienda utilizza gestionali condivisi, servizi cloud, sistemi di videosorveglianza, strumenti di controllo degli accessi o piattaforme di marketing senza aver chiarito chi possa accedere alle informazioni, per quali finalità e con quali garanzie. Un fornitore informatico può conservare dati dei clienti per conto dell’impresa senza un accordo conforme all’art. 28 GDPR; il personale può disporre di autorizzazioni eccessivamente ampie; informazioni non più necessarie possono rimanere archiviate per tempi indefiniti. Si tratta di situazioni diverse, che richiedono verifiche specifiche e non possono essere risolte semplicemente facendo firmare una nuova informativa.

Il primo rischio è che l’azienda non sia in grado di dimostrare il rispetto degli obblighi applicabili. Il principio di responsabilizzazione, previsto dall’art. 5, paragrafo 2, GDPR, impone infatti al titolare del trattamento di rispettare i principi del Regolamento e di poterlo comprovare. Non basta dichiarare di trattare correttamente i dati: occorre poter documentare le scelte compiute, le misure adottate e le responsabilità attribuite. L’assenza di documentazione non prova automaticamente che ogni trattamento sia illecito, ma rende più difficile ricostruire e dimostrare la conformità dell’organizzazione.

Le conseguenze possono emergere durante un controllo del Garante per la protezione dei dati personali, in seguito a un reclamo oppure quando un cliente aziendale chiede di verificare le garanzie offerte dal proprio fornitore. Le violazioni accertate possono comportare misure correttive e, nei casi previsti, sanzioni amministrative ai sensi dell’art. 83 GDPR. La loro applicazione e quantificazione dipendono dalla natura della violazione e dalle circostanze concrete. Per un’impresa che non ha mai organizzato gli adempimenti privacy, la priorità consiste quindi nell’individuare le carenze effettive e intervenire senza creare documentazione puramente formale.

Da dove iniziare per mettere in regola un’azienda che non ha mai applicato il GDPR

Il primo intervento che proponiamo è una ricognizione dei trattamenti di dati personali svolti dall’impresa. Occorre comprendere quali informazioni vengono raccolte, da chi, attraverso quali strumenti, per quali finalità, a chi sono comunicate e per quanto tempo vengono conservate. Questa attività deve coinvolgere le funzioni che utilizzano concretamente i dati: amministrazione, risorse umane, ufficio commerciale, direzione e responsabili dei sistemi informatici. Senza tale ricostruzione, il rischio è predisporre documenti apparentemente completi che non descrivono ciò che avviene realmente in azienda.

La ricognizione permette di individuare le basi giuridiche dei trattamenti, verificare il rispetto dei principi di minimizzazione e limitazione della conservazione e chiarire i ruoli dei soggetti coinvolti. L’impresa opera normalmente come titolare del trattamento rispetto ai dati gestiti per proprie finalità, mentre alcuni fornitori possono assumere la qualifica di responsabili del trattamento. La qualificazione non dipende dal nome attribuito nel contratto, ma dalle attività effettivamente svolte. Quando ricorrono i presupposti dell’art. 28 GDPR, è necessario disciplinare il rapporto mediante un accordo che definisca le istruzioni e le garanzie richieste dalla normativa.

Una volta ricostruiti i trattamenti, si verifica quali documenti debbano essere predisposti. Tra questi rientrano le informative destinate agli interessati, il registro delle attività di trattamento quando obbligatorio, gli atti di designazione e le istruzioni per il personale autorizzato, gli accordi con i responsabili esterni e le procedure necessarie per gestire le richieste di esercizio dei diritti. Il registro dei trattamenti, disciplinato dall’art. 30 GDPR, costituisce uno strumento per rappresentare le attività svolte e individuare eventuali criticità organizzative. Le deroghe previste per organizzazioni con meno di 250 dipendenti devono essere valutate considerando le condizioni e le eccezioni stabilite dal Regolamento, senza presumere che la sola dimensione aziendale escluda l’obbligo.

Parallelamente occorre verificare le misure di sicurezza previste dall’art. 32 GDPR. Non tutte le imprese necessitano delle stesse soluzioni tecniche, ma ciascuna deve adottare misure adeguate al rischio. Esaminiamo quindi la gestione delle credenziali, le autorizzazioni di accesso, i sistemi di backup, la protezione dei dispositivi e le modalità con cui vengono gestiti gli incidenti informatici. Un’azienda che non ha mai affrontato il GDPR potrebbe non disporre neppure di una procedura per riconoscere e valutare una violazione dei dati personali. Questo aspetto richiede particolare attenzione perché, quando sussistono le condizioni dell’art. 33 GDPR, la notifica al Garante deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza.

La verifica deve comprendere anche l’eventuale obbligo di nominare un Responsabile della protezione dei dati, comunemente denominato DPO o RPD. La nomina non è automaticamente richiesta a tutte le aziende: l’art. 37 GDPR individua specifiche condizioni, tra cui determinate attività di monitoraggio regolare e sistematico degli interessati su larga scala o trattamenti su larga scala di particolari categorie di dati. Occorre inoltre considerare eventuali disposizioni specifiche applicabili. Il DPO non sostituisce il titolare del trattamento nelle sue responsabilità e la sua designazione, quando necessaria, non equivale da sola all’adeguamento dell’impresa.

Terminata la ricognizione, predisponiamo un piano di intervento che distingua le irregolarità più urgenti dagli adempimenti che possono essere affrontati secondo una programmazione ragionevole. Un trattamento privo di adeguata base giuridica, l’esposizione ingiustificata di dati personali o una misura di sicurezza gravemente carente richiedono una valutazione prioritaria rispetto alla revisione formale di un documento già sostanzialmente corretto. Le misure adottate devono essere documentate e accompagnate da istruzioni operative comprensibili al personale, perché la conformità dipende anche da come vengono concretamente gestite le informazioni.

Per approfondire le attività che compongono un percorso di regolarizzazione, abbiamo esaminato gli adempimenti necessari per l’adeguamento GDPR aziendale e i documenti privacy che un’impresa deve predisporre. Il punto di partenza resta comunque l’analisi dell’organizzazione esistente: soltanto conoscendo i trattamenti effettivi è possibile stabilire quali obblighi siano applicabili e quali interventi debbano essere eseguiti per primi.

Obblighi, responsabilità e rischi: come regolarizzare il GDPR senza trascurare le violazioni già esistenti

Quando un’azienda non ha mai applicato correttamente il GDPR, la predisposizione della documentazione mancante rappresenta soltanto una parte dell’intervento. Occorre verificare anche se i trattamenti effettuati negli anni precedenti presentino irregolarità ancora in corso e se alcune attività debbano essere modificate, sospese o sottoposte a ulteriori garanzie. L’adeguamento successivo non cancella automaticamente le violazioni pregresse, ma permette di affrontare le criticità esistenti e documentare le misure correttive effettivamente adottate.

Un problema ricorrente riguarda l’utilizzo di dati personali raccolti senza informazioni adeguate agli interessati oppure impiegati per finalità ulteriori rispetto a quelle originarie. Pensiamo a un’impresa che, nel corso degli anni, abbia costituito un archivio di clienti e potenziali clienti, utilizzandone successivamente i recapiti per comunicazioni commerciali senza aver verificato la base giuridica del trattamento. In una situazione del genere non sarebbe sufficiente predisporre oggi una nuova informativa: occorrerebbe ricostruire le modalità di raccolta, distinguere i trattamenti legittimi da quelli problematici e stabilire quali attività possano proseguire e a quali condizioni.

Un’altra criticità riguarda i rapporti con i fornitori. Molte aziende affidano a soggetti esterni servizi informatici, gestione delle paghe, manutenzione dei sistemi, archiviazione documentale e attività commerciali senza avere mai verificato i rispettivi ruoli privacy. Quando il fornitore tratta dati personali per conto dell’impresa, deve essere valutata l’applicabilità dell’art. 28 GDPR e, ove necessaria, formalizzata la designazione contrattuale. Occorre anche verificare le misure di sicurezza offerte, l’eventuale ricorso a sub-responsabili e i trasferimenti di dati verso Paesi terzi. La responsabilità del titolare non viene meno per il semplice fatto che il trattamento sia stato affidato a un soggetto esterno.

Particolare attenzione richiede la gestione dei dati dei dipendenti. Un’impresa che non abbia mai organizzato la propria compliance privacy potrebbe utilizzare sistemi di videosorveglianza, strumenti di rilevazione delle presenze o applicazioni informatiche senza aver valutato correttamente le disposizioni del GDPR, del Codice Privacy e dell’art. 4 dello Statuto dei lavoratori. La verifica deve distinguere gli obblighi di protezione dei dati personali dalle ulteriori condizioni previste dalla disciplina lavoristica. La predisposizione di un’informativa, da sola, non rende legittimo un sistema di controllo che richieda specifiche garanzie o adempimenti.

Il piano di regolarizzazione deve affrontare anche l’eventuale presenza di trattamenti ad alto rischio. Ai sensi dell’art. 35 GDPR, quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, secondo i presupposti previsti dalla norma, può essere necessaria una valutazione d’impatto sulla protezione dei dati, denominata DPIA. Non si tratta di un documento obbligatorio indistintamente per tutte le aziende. La sua necessità deve essere verificata considerando natura, ambito di applicazione, contesto e finalità dei trattamenti, anche alla luce degli elenchi e delle indicazioni delle autorità competenti.

Per l’amministratore e la direzione aziendale, la questione riguarda anche l’attribuzione delle responsabilità organizzative. Il titolare del trattamento deve adottare misure tecniche e organizzative adeguate e riesaminarle quando necessario, secondo quanto previsto dall’art. 24 GDPR. Affidare l’adeguamento a un professionista esterno può consentire di acquisire competenze specialistiche e organizzare gli interventi, ma non trasferisce automaticamente al consulente gli obblighi propri del titolare. Occorre quindi individuare referenti interni, definire le modalità di collaborazione con i fornitori e assicurare che le procedure vengano concretamente applicate.

Quando emergono irregolarità, la risposta deve essere proporzionata alla loro gravità. Un’informativa incompleta richiede un intervento diverso rispetto a un accesso indiscriminato ai dati del personale o a un trattamento privo di idonea base giuridica. Se sono già intervenuti reclami, richieste di chiarimenti o contestazioni, occorre inoltre valutare gli obblighi procedimentali e le eventuali iniziative difensive. Il percorso di adeguamento deve distinguere la correzione delle carenze attuali dalla valutazione delle possibili responsabilità per i trattamenti precedenti. In presenza di una violazione già individuata, può essere utile approfondire anche come intervenire quando un’irregolarità GDPR viene scoperta internamente.

Per un’impresa che parte da zero, il risultato operativo da perseguire è un sistema nel quale gli adempimenti siano collegati alle attività effettivamente svolte. Le informative devono descrivere trattamenti reali, le autorizzazioni devono corrispondere alle mansioni, i contratti con i fornitori devono disciplinare rapporti concretamente esistenti e le misure di sicurezza devono essere applicate e verificabili. La documentazione assume così una funzione organizzativa e probatoria, anziché limitarsi a un insieme di moduli conservati senza un’effettiva attuazione.

Un esempio pratico: un’azienda scopre di non avere mai organizzato correttamente la privacy

Consideriamo il caso ipotetico di una società commerciale con una ventina di dipendenti, un gestionale clienti, un servizio cloud per l’archiviazione documentale e un fornitore esterno che gestisce le paghe. L’impresa opera da diversi anni e dispone soltanto di alcune informative predisposte in passato. La direzione decide di verificare la propria situazione dopo aver ricevuto da un importante cliente una richiesta di documentazione relativa alla conformità GDPR.

La prima ricognizione mette in luce l’assenza di un registro dei trattamenti, la mancata formalizzazione di alcuni rapporti con fornitori che trattano dati per conto della società e autorizzazioni informatiche non più coerenti con le mansioni dei dipendenti. Emerge anche la necessità di verificare le informative utilizzate e i tempi di conservazione delle informazioni commerciali. Il problema principale non consiste nel numero dei documenti mancanti, ma nell’impossibilità di ricostruire con sufficiente precisione chi tratta i dati, per quali finalità e con quali garanzie.

In una situazione di questo tipo, il nostro intervento partirebbe dalla mappatura dei trattamenti e dall’esame dei rapporti contrattuali, per poi individuare le misure correttive secondo il rischio effettivo. La predisposizione della documentazione verrebbe accompagnata dalla revisione delle autorizzazioni, dalle istruzioni al personale e dalla definizione di procedure interne per la gestione dei dati e delle eventuali violazioni. L’obiettivo sarebbe rendere verificabile l’organizzazione privacy e permettere alla direzione di conoscere gli adempimenti ancora necessari, senza presumere che la sola produzione dei documenti determini automaticamente la piena conformità aziendale.

GDPR mai fatto in azienda: le domande più frequenti prima di iniziare l’adeguamento

Un’azienda che non ha mai applicato il GDPR può mettersi in regola anche dopo diversi anni?

Sì. L’impresa può avviare un percorso di adeguamento anche se non ha mai predisposto la documentazione privacy o organizzato correttamente i trattamenti. Occorre però distinguere la regolarizzazione delle attività attuali dalle eventuali violazioni commesse in passato. L’adeguamento successivo non elimina automaticamente le responsabilità pregresse, ma consente di correggere le irregolarità individuate e documentare gli interventi effettuati.

Se l’azienda non ha mai fatto il GDPR, deve interrompere immediatamente tutte le attività?

Non necessariamente. L’assenza di documentazione non comporta automaticamente l’obbligo di sospendere ogni trattamento di dati personali. È necessario verificare quali attività siano lecite e quali presentino irregolarità. Se un trattamento è privo di un’idonea base giuridica o presenta rischi non adeguatamente gestiti, può essere necessario sospenderlo o modificarlo. La decisione dipende dalle caratteristiche concrete del trattamento e dalla natura della violazione.

È possibile predisporre oggi i documenti GDPR mancanti con una data precedente?

No. La documentazione deve rappresentare correttamente la situazione aziendale e la data effettiva della sua predisposizione o approvazione. Attribuire retroattivamente una data non veritiera a informative, registri, designazioni o procedure può creare ulteriori problemi, anche sotto il profilo probatorio. È preferibile ricostruire le attività pregresse attraverso le evidenze realmente disponibili e documentare in modo trasparente gli interventi di regolarizzazione.

Per mettere in regola un’azienda è obbligatorio nominare un DPO esterno?

Non sempre. La designazione del Responsabile della protezione dei dati è obbligatoria nei casi previsti dall’art. 37 GDPR e dalle eventuali disposizioni specifiche applicabili. Per stabilire se l’impresa debba nominare un DPO occorre valutare le attività principali, le categorie di dati trattati e le caratteristiche dei trattamenti. Anche quando la nomina non è obbligatoria, l’azienda può affidarsi a un professionista per organizzare gli adempimenti privacy, distinguendo il servizio di consulenza dalle funzioni proprie del DPO.

Quanto tempo occorre per mettere in regola un’azienda che parte da zero?

Non esiste una durata uguale per tutte le imprese. I tempi dipendono dal numero e dalla complessità dei trattamenti, dalle sedi aziendali, dai fornitori coinvolti, dalle misure di sicurezza già presenti e dalle irregolarità riscontrate. Una piccola società con trattamenti ordinari può richiedere attività diverse rispetto a un’organizzazione che gestisce dati particolari, numerosi dipendenti o sistemi informatici complessi. Una verifica iniziale consente di definire le priorità, individuare gli interventi urgenti e programmare le successive attività di adeguamento.

La tua azienda non ha mai fatto il GDPR? Richiedi una valutazione legale

Se la tua impresa non ha mai predisposto la documentazione privacy, non dispone di procedure adeguate oppure non sa quali obblighi GDPR debba rispettare, è opportuno verificare la situazione prima di adottare soluzioni standardizzate. Ogni azienda presenta trattamenti, responsabilità e rischi differenti, che richiedono una valutazione specifica per individuare le irregolarità e stabilire come intervenire.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nell’analisi degli obblighi privacy, nella verifica della documentazione esistente e nell’organizzazione dei percorsi di adeguamento GDPR. Possiamo esaminare le criticità segnalate dalla direzione e valutare gli interventi giuridici e organizzativi necessari, anche quando l’azienda parte da una situazione di totale assenza di adempimenti.

Se la tua azienda non è mai stata adeguata al GDPR, richiedi una valutazione della situazione privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le problematiche rappresentate e valutare le possibili modalità di assistenza professionale.