Articolo a cura di: Redazione - Studio Legale Calvello

Un’ispezione del Garante Privacy può mettere l’azienda nella condizione di dover dimostrare, in tempi molto brevi, non soltanto di possedere la documentazione prevista dal GDPR, ma soprattutto di avere organizzato concretamente i trattamenti di dati personali in modo coerente con quanto dichiarato nei registri, nelle informative, nelle procedure interne e nei rapporti con fornitori e responsabili del trattamento. Il controllo può riguardare aspetti specifici oppure estendersi all’organizzazione privacy dell’impresa e può coinvolgere il Garante per la protezione dei dati personali anche attraverso l’attività ispettiva svolta con il supporto della Guardia di Finanza. Per questo, quando l’azienda riceve una comunicazione relativa a un accertamento o si trova direttamente di fronte a un accesso ispettivo, occorre gestire con attenzione documenti, interlocuzioni con gli ispettori, ricostruzione dei trattamenti e possibili criticità già esistenti.

Cosa succede quando il Garante Privacy effettua un’ispezione in azienda

L’attività ispettiva serve ad accertare se i trattamenti di dati personali effettuati dall’impresa rispettino il Regolamento (UE) 2016/679, il Codice Privacy e le altre disposizioni applicabili al caso concreto. Il punto da comprendere è che un’ispezione del Garante Privacy non coincide con un semplice controllo formale dei documenti. La verifica può riguardare il modo in cui l’azienda tratta effettivamente i dati di dipendenti, clienti, utenti o fornitori, le misure di sicurezza adottate, l’organizzazione interna, i sistemi informatici utilizzati e la corrispondenza tra le procedure dichiarate e quelle realmente seguite.

L’accertamento può nascere da differenti circostanze. In alcuni casi rientra nell’attività di controllo dell’Autorità; in altri può essere collegato a un reclamo, a una segnalazione, a un data breach, a informazioni acquisite dal Garante o a precedenti interlocuzioni con l’impresa. Se il problema nasce da una richiesta preliminare dell’Autorità, la gestione della risposta assume particolare rilievo: abbiamo approfondito questo passaggio nell’articolo dedicato a come rispondere a una richiesta di informazioni del Garante Privacy.

Durante l’accertamento possono essere richiesti il registro delle attività di trattamento, le informative, gli atti di designazione e le istruzioni impartite ai soggetti autorizzati, i contratti con i responsabili del trattamento ai sensi dell’art. 28 GDPR, le valutazioni d’impatto quando necessarie, le procedure relative ai data breach, la documentazione sulle misure di sicurezza e altri elementi pertinenti all’oggetto della verifica. A seconda del caso possono assumere rilievo anche i trattamenti effettuati tramite videosorveglianza, posta elettronica, dispositivi aziendali, strumenti di controllo, sistemi di marketing, siti web, software, piattaforme e servizi cloud.

La presenza di documenti formalmente corretti non risolve necessariamente ogni criticità. Il principio di accountability richiede al titolare del trattamento di adottare misure adeguate e di essere in grado di dimostrarne l’effettiva applicazione. Un registro dei trattamenti aggiornato, ad esempio, deve rappresentare l’attività realmente svolta; un contratto ex art. 28 GDPR deve inserirsi in una gestione effettiva del rapporto con il fornitore; una procedura interna deve trovare riscontro nelle modalità operative seguite dal personale. Proprio per questo è utile che la documentazione privacy aziendale sia mantenuta coerente con l’organizzazione effettiva e non venga considerata un insieme di modelli predisposti una volta e successivamente dimenticati.

Se l’azienda ha nominato un DPO, il Responsabile della protezione dei dati può assumere un ruolo rilevante nell’interlocuzione con l’Autorità e nella ricostruzione del sistema di compliance. La responsabilità delle decisioni sul trattamento rimane però in capo al titolare: la presenza del DPO non trasferisce automaticamente su quest’ultimo gli obblighi che il GDPR attribuisce all’impresa.

Come gestire l’ispezione e quali documenti verificare prima di rispondere al Garante

Quando viene comunicata un’ispezione, oppure quando l’accesso è già in corso, una delle prime esigenze è individuare con precisione l’oggetto dell’accertamento e i trattamenti interessati. Consegnare documenti senza averne verificato contenuto, aggiornamento e pertinenza può rendere più difficile ricostruire correttamente la posizione dell’azienda. Allo stesso modo, risposte frettolose o formulate sulla base di informazioni non verificate possono creare incongruenze tra quanto dichiarato, la documentazione disponibile e ciò che emerge dai sistemi o dalle prassi aziendali.

Occorre quindi organizzare rapidamente il flusso interno delle informazioni. Amministrazione, HR, IT, marketing, responsabili di funzione e DPO, quando presente, possono detenere parti differenti della documentazione o conoscere aspetti diversi del trattamento sottoposto a verifica. È opportuno individuare chi debba interloquire con gli ispettori e fare in modo che le informazioni vengano raccolte in maniera coordinata, evitando risposte contraddittorie o basate su supposizioni. In questa fase l’assistenza legale consente anche di distinguere ciò che è effettivamente richiesto dall’accertamento dalle questioni che necessitano di una verifica ulteriore prima di essere rappresentate all’Autorità.

La verifica documentale deve essere concreta. Se viene richiesto il registro dei trattamenti, è necessario controllare che descriva i trattamenti effettivamente svolti e che sia stato aggiornato rispetto ai cambiamenti intervenuti nell’organizzazione; sul punto abbiamo dedicato un approfondimento a quando aggiornare il registro delle attività di trattamento. Lo stesso metodo deve essere applicato alle informative, ai tempi di conservazione, alle autorizzazioni interne, ai rapporti con i fornitori e agli eventuali responsabili esterni. Se l’impresa utilizza software o servizi cloud, ad esempio, occorre poter ricostruire quali dati siano trattati, da chi, con quali condizioni contrattuali e secondo quali misure organizzative e tecniche.

Particolare attenzione richiedono le criticità già note all’azienda. Un documento mancante, una DPIA non effettuata nonostante fosse necessaria, un contratto con un responsabile del trattamento non adeguatamente disciplinato, una procedura non applicata o un incidente di sicurezza precedente non devono essere occultati né affrontati attraverso ricostruzioni artificiali. Devono essere esaminati giuridicamente per comprenderne portata, conseguenze e possibili interventi correttivi. Se emerge una carenza più ampia nella struttura privacy, può essere necessario procedere a una verifica dell’adeguamento GDPR dell’azienda, concentrandosi innanzitutto sui trattamenti coinvolti nell’accertamento.

Particolare attenzione richiedono anche eventuali violazioni dei dati personali. Se durante l’ispezione emerge un precedente data breach, occorre verificare come l’evento sia stato valutato, documentato e gestito e se ricorressero i presupposti per la notifica all’Autorità. Il GDPR impone infatti al titolare di documentare le violazioni dei dati personali anche quando, sulla base della valutazione effettuata, non sia stata presentata una notifica. Quando l’accertamento riguarda direttamente un incidente di sicurezza, assumono rilievo la cronologia dell’evento, le categorie di dati coinvolte, le conseguenze potenziali per gli interessati e le misure adottate. Per gli aspetti specifici della comunicazione all’Autorità rinviamo all’approfondimento su quando notificare un data breach al Garante Privacy.

L’obiettivo della gestione dell’ispezione non è costruire a posteriori una conformità soltanto documentale, ma consentire all’azienda di rappresentare correttamente ciò che è stato fatto, individuare eventuali carenze e intervenire su quelle effettivamente riscontrate. La strategia deve quindi essere calibrata sull’oggetto dell’accertamento, sulla documentazione disponibile e sui trattamenti concretamente svolti, perché una criticità rilevante in una determinata organizzazione può avere natura e conseguenze differenti in un’altra.

Quali rischi emergono durante un controllo e come impostare la difesa dell’azienda

Se l’ispezione fa emergere possibili violazioni, la fase successiva richiede una valutazione distinta per ciascuna criticità. Un’irregolarità riscontrata durante il controllo non determina automaticamente l’applicazione di una sanzione: occorre verificare la disposizione interessata, le caratteristiche del trattamento, le circostanze concrete e gli elementi che l’Autorità deve considerare nell’esercizio dei propri poteri. Diventa quindi essenziale ricostruire i fatti in modo documentato e distinguere una carenza meramente formale da una situazione che abbia inciso concretamente sulla liceità del trattamento, sui diritti degli interessati o sulla sicurezza dei dati.

Il GDPR attribuisce al Garante diversi poteri correttivi. A seconda del caso, l’Autorità può adottare misure quali ammonimenti, ingiunzioni dirette a conformare determinati trattamenti, limitazioni o divieti e sanzioni amministrative pecuniarie. Non è quindi corretto affrontare ogni ispezione partendo dall’idea che debba necessariamente concludersi con una multa. La posizione dell’impresa deve essere valutata sulla base delle contestazioni effettivamente formulate e degli elementi raccolti durante l’accertamento.

Quando dall’attività ispettiva si passa a una contestazione, assume particolare importanza la costruzione della difesa. Occorre esaminare il verbale e gli atti disponibili, verificare quali condotte siano state contestate, ricostruire cronologicamente i trattamenti e individuare la documentazione che può chiarire la posizione dell’impresa. Se l’Autorità avvia un procedimento nel quale l’azienda può presentare le proprie osservazioni, la risposta non dovrebbe ridursi a una spiegazione generica della compliance aziendale, ma confrontarsi puntualmente con i fatti e con le violazioni ipotizzate. Abbiamo esaminato questa fase nell’approfondimento sulla contestazione del Garante Privacy e sulla presentazione delle memorie difensive.

La difesa può richiedere anche una verifica tecnica. Una contestazione relativa agli accessi a un sistema informatico, alla conservazione dei dati, a un attacco informatico o alle misure di sicurezza non può essere affrontata esclusivamente attraverso la documentazione privacy. Può essere necessario acquisire log, configurazioni, cronologie degli eventi e informazioni dai responsabili IT o dai fornitori, mantenendo una ricostruzione coerente tra dato tecnico e qualificazione giuridica. Lo stesso vale quando il controllo riguarda videosorveglianza, posta elettronica dei dipendenti, strumenti aziendali o servizi cloud.

Se vengono individuate carenze effettive, l’azienda deve inoltre valutare gli interventi correttivi appropriati senza alterare retroattivamente la rappresentazione dei fatti. Aggiornare una procedura, modificare un trattamento, integrare un contratto con un responsabile esterno o adottare misure di sicurezza ulteriori può essere necessario, ma occorre mantenere distinta la situazione esistente al momento dell’accertamento dalle attività realizzate successivamente. Questa distinzione consente di documentare correttamente sia quanto avvenuto sia le misure adottate dall’impresa dopo aver individuato la criticità.

Quando il procedimento conduce a un provvedimento sanzionatorio, devono essere esaminati separatamente i presupposti della violazione, la motivazione del provvedimento e gli strumenti di tutela concretamente disponibili. La questione cambia quindi rispetto alla gestione dell’ispezione iniziale e richiede una valutazione specifica; per questo abbiamo dedicato un approfondimento alla sanzione GDPR all’azienda e alle modalità con cui contestarla e impugnarla.

Un caso pratico: l’ispezione evidenzia differenze tra documentazione e attività realmente svolte

Consideriamo il caso realistico e anonimizzato di un’impresa che riceve un controllo relativo ad alcuni trattamenti di dati personali. L’azienda dispone della principale documentazione GDPR, ma durante la ricostruzione preliminare emerge che una parte dei documenti non è stata aggiornata dopo alcune modifiche organizzative e tecnologiche: sono cambiati alcuni fornitori, sono stati introdotti nuovi servizi informatici e determinate attività operative non coincidono più completamente con quanto descritto nel registro dei trattamenti.

L’intervento richiede anzitutto di ricostruire la situazione esistente al momento dell’accertamento, verificando documenti, contratti, procedure e informazioni provenienti dalle funzioni aziendali interessate. L’aspetto più delicato consiste nell’evitare che l’esigenza di correggere rapidamente le carenze produca una ricostruzione non fedele di ciò che l’azienda faceva prima del controllo. Vengono quindi tenuti distinti i documenti già esistenti, le criticità riscontrate e gli interventi successivamente adottati.

Su questa base è possibile organizzare la documentazione richiesta, coordinare le informazioni provenienti dai responsabili aziendali e affrontare le interlocuzioni con l’Autorità sulla base di elementi verificati. Parallelamente, le carenze effettivamente individuate vengono inserite in un percorso di adeguamento, intervenendo sui documenti e sulle procedure che non rappresentano più correttamente i trattamenti svolti. È un esempio di come l’assistenza durante un’ispezione del Garante Privacy debba procedere su due piani distinti ma collegati: la gestione dell’accertamento in corso e la correzione delle criticità che l’azienda ha concretamente riscontrato.

Domande frequenti sull’ispezione del Garante Privacy in azienda

Il Garante Privacy può effettuare controlli direttamente presso l’azienda?

Sì. Nell’ambito dei poteri attribuiti dalla normativa, possono essere svolte attività ispettive e accertamenti presso il titolare o il responsabile del trattamento, anche con il supporto della Guardia di Finanza. Per l’azienda è importante identificare l’oggetto dell’accertamento, individuare le persone incaricate di seguire il controllo e organizzare la documentazione pertinente senza fornire risposte approssimative o non preventivamente verificate.

Quali documenti possono essere richiesti durante un’ispezione privacy?

Dipende dall’oggetto del controllo e dai trattamenti effettuati. Possono assumere rilievo, tra gli altri, il registro delle attività di trattamento, le informative, le designazioni e le istruzioni interne, i contratti con i responsabili del trattamento, le DPIA quando necessarie, la documentazione relativa ai data breach, le procedure aziendali e gli elementi relativi alle misure tecniche e organizzative adottate. È importante che i documenti corrispondano alle attività effettivamente svolte dall’impresa.

Cosa deve fare l’azienda se durante il controllo scopre documenti mancanti o non aggiornati?

La criticità deve essere prima ricostruita correttamente, verificando quale obbligo sia coinvolto e quale fosse la situazione al momento dell’accertamento. L’azienda può poi valutare gli interventi necessari per correggere la carenza, mantenendo distinta la documentazione esistente dalle modifiche adottate successivamente. Creare o modificare documenti con l’obiettivo di rappresentarli come preesistenti al controllo esporrebbe l’impresa a ulteriori problemi.

È opportuno farsi assistere da un avvocato durante un’ispezione del Garante Privacy?

La necessità di assistenza dipende dalle caratteristiche dell’accertamento e dalla posizione dell’azienda. Quando il controllo riguarda trattamenti complessi, possibili violazioni, data breach, reclami o situazioni che potrebbero condurre a una contestazione, l’assistenza legale può essere utile per esaminare le richieste dell’Autorità, coordinare la raccolta delle informazioni e impostare correttamente le successive interlocuzioni. L’intervento è particolarmente rilevante quando dall’ispezione emergono profili che possono richiedere una vera e propria attività difensiva.

Un’ispezione del Garante comporta automaticamente una sanzione GDPR?

No. L’attività ispettiva è finalizzata all’accertamento dei fatti e della conformità dei trattamenti alla disciplina applicabile. L’eventuale esercizio dei poteri correttivi o sanzionatori dipende dalle violazioni concretamente riscontrate e dalle circostanze del caso. Per questo occorre evitare sia di sottovalutare il controllo sia di considerare la sanzione come una conseguenza inevitabile dell’ispezione.

Assistenza legale durante un’ispezione del Garante Privacy

Quando un’azienda riceve una comunicazione relativa a un’ispezione, è già interessata da un accertamento o deve gestire le conseguenze di una verifica, la posizione deve essere esaminata sulla base dei trattamenti coinvolti, della documentazione disponibile e delle richieste formulate dall’Autorità. Una valutazione tempestiva permette di individuare le criticità effettive, organizzare le informazioni da fornire e verificare se siano necessari interventi correttivi o attività difensive.

Lo Studio Legale Calvello assiste le imprese nei rapporti con il Garante Privacy, negli accertamenti relativi al GDPR e nella gestione delle successive contestazioni, esaminando gli aspetti giuridici insieme alla concreta organizzazione privacy dell’azienda. Per sottoporre il caso allo Studio è possibile richiedere una valutazione in merito all’ispezione del Garante Privacy e alla posizione GDPR dell’azienda.