Articolo a cura di: Redazione - Studio Legale Calvello

Le policy privacy aziendali servono a stabilire come dipendenti, dirigenti e collaboratori devono trattare e proteggere i dati personali nell’attività quotidiana. Molte imprese dispongono di informative, registri e nomine, ma non hanno definito regole interne per l’utilizzo della posta elettronica, l’accesso ai dati dei clienti, la gestione dei dispositivi o la risposta agli incidenti informatici. Altre hanno adottato regolamenti standard che non corrispondono alla propria organizzazione. Il GDPR non impone a tutte le aziende un identico elenco di policy: richiede misure tecniche e organizzative adeguate ai trattamenti effettuati e ai rischi effettivi. Occorre quindi individuare quali procedure siano necessarie, come documentarle e chi debba applicarle. Una verifica professionale diventa particolarmente opportuna quando la documentazione è incompleta, le responsabilità interne non sono definite oppure l’impresa deve affrontare un audit, una contestazione o una riorganizzazione.

Quali policy privacy deve avere un’azienda e perché i documenti standard possono essere insufficienti

Una policy privacy aziendale è un documento organizzativo che disciplina comportamenti, responsabilità e modalità operative relativi al trattamento dei dati personali. Diversamente dall’informativa, destinata a comunicare agli interessati le informazioni previste dagli articoli 13 e 14 del Regolamento (UE) 2016/679, la policy interna indica a chi opera nell’organizzazione quali regole rispettare e come gestire determinate attività. Non tutte queste regole devono necessariamente essere raccolte in documenti autonomi: possono essere inserite in regolamenti, istruzioni operative o procedure integrate nei sistemi di gestione aziendali.

Il punto di partenza è l’articolo 24 del GDPR, che impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate, tenendo conto della natura, dell’ambito di applicazione, del contesto, delle finalità del trattamento e dei rischi per i diritti e le libertà delle persone fisiche. La stessa disposizione prevede, ove proporzionato rispetto alle attività di trattamento, l’attuazione di adeguate politiche in materia di protezione dei dati personali. Non esiste quindi un numero minimo universale di policy obbligatorie, né un manuale privacy standard sufficiente per qualsiasi impresa.

Per una società che gestisce dati di dipendenti, clienti e fornitori, le procedure da valutare riguardano normalmente l’accesso ai sistemi informatici, l’utilizzo delle credenziali, la posta elettronica aziendale, la conservazione e cancellazione dei dati, la gestione delle richieste degli interessati e la risposta alle violazioni di sicurezza. Quando l’organizzazione utilizza dispositivi personali dei dipendenti, servizi cloud, sistemi di videosorveglianza o strumenti di intelligenza artificiale, possono essere necessarie ulteriori regole specifiche. La scelta dipende dai trattamenti effettivamente svolti e dalle misure già presenti, non dalla semplice disponibilità di modelli documentali.

Una policy sull’utilizzo della posta elettronica, ad esempio, dovrebbe disciplinare le modalità di impiego dello strumento, le misure di sicurezza, la gestione delle assenze e la cessazione del rapporto di lavoro, tenendo conto anche della disciplina sui controlli a distanza dei lavoratori. Una procedura sugli accessi informatici dovrebbe invece stabilire chi autorizza le credenziali, come vengono attribuiti i privilegi e quando gli accessi devono essere revocati. Per i fornitori che trattano dati personali per conto dell’impresa occorre coordinare le procedure operative con gli accordi previsti dall’articolo 28 GDPR, senza confondere tali accordi con le policy interne.

Il problema emerge soprattutto quando le policy sono state scaricate da internet, predisposte anni prima oppure copiate da un’altra società. Un documento può descrivere controlli che l’azienda non effettua, attribuire responsabilità a uffici inesistenti o prevedere strumenti tecnologici mai adottati. In queste circostanze la documentazione rischia di fornire una rappresentazione inesatta dell’organizzazione. Per questo distinguiamo la verifica delle procedure interne dalla più ampia attività di individuazione dei documenti privacy obbligatori, che comprende anche informative, registri, nomine e altri adempimenti previsti dalla normativa.

Come scegliere e organizzare le procedure GDPR realmente necessarie per l’impresa

La predisposizione delle policy dovrebbe iniziare dall’esame dei processi aziendali, dei soggetti che accedono ai dati e degli strumenti utilizzati. Noi verifichiamo anzitutto come le informazioni personali entrano nell’organizzazione, chi può consultarle, dove vengono conservate e quali attività comportano comunicazioni a terzi. Questo permette di individuare le situazioni nelle quali una regola interna formalizzata può ridurre il rischio di errori, accessi indebiti o comportamenti non uniformi tra uffici.

Una prima area riguarda le policy di accesso e utilizzo degli strumenti informatici. Le regole devono essere coerenti con le autorizzazioni effettivamente attribuite al personale e con le misure di sicurezza applicate. In un’impresa con più reparti, ad esempio, non tutti i dipendenti devono necessariamente poter consultare l’intero archivio clienti o la documentazione del personale. La procedura può stabilire criteri di abilitazione, verifiche periodiche, modalità di revoca degli accessi e responsabilità dei referenti aziendali. Le misure devono poi essere concretamente implementate nei sistemi, perché una limitazione descritta soltanto sulla carta non impedisce accessi non autorizzati.

Un’altra area riguarda le policy di conservazione, cancellazione e gestione dei dati. L’impresa deve poter individuare i criteri utilizzati per stabilire i tempi di conservazione e tradurli in attività operative. È necessario, ad esempio, chiarire chi interviene quando termina un rapporto contrattuale, come vengono gestiti gli archivi condivisi e quali controlli impediscono che informazioni non più necessarie rimangano accessibili senza giustificazione. La procedura deve essere coordinata con gli obblighi legali di conservazione e con le caratteristiche dei sistemi informatici, compresi backup e archivi storici. Per la determinazione dei singoli termini occorre considerare la disciplina specifica, approfondita nella nostra analisi sulla conservazione dei dati personali.

Le procedure relative ai dipendenti richiedono particolare attenzione. Un regolamento sull’utilizzo di computer, email e dispositivi aziendali non può attribuire al datore di lavoro poteri di controllo indiscriminati. Deve rispettare il GDPR, il Codice Privacy e, quando applicabile, l’articolo 4 dello Statuto dei lavoratori. Le regole sull’accesso alle caselle email, sulla gestione dei metadati e sull’utilizzo degli strumenti di lavoro devono quindi essere valutate anche rispetto alle indicazioni del Garante e alla disciplina lavoristica. Per le imprese che gestiscono informazioni sanitarie del personale o utilizzano sistemi di monitoraggio, una policy generica può risultare particolarmente inadeguata.

Le aziende che utilizzano fornitori informatici, piattaforme cloud o software gestionali devono definire anche le modalità di autorizzazione degli accessi esterni, le responsabilità nella gestione degli incidenti e i controlli sui servizi utilizzati. Non è sufficiente prevedere genericamente che il fornitore debba rispettare il GDPR. Occorre verificare il ruolo effettivamente ricoperto, gli accordi contrattuali pertinenti e le istruzioni operative necessarie, distinguendo le responsabilità del titolare da quelle del responsabile del trattamento.

La redazione delle policy deve infine tenere conto delle dimensioni e della struttura dell’impresa. Una PMI con un unico ufficio amministrativo può adottare procedure più semplici rispetto a un gruppo societario con più sedi, sistemi condivisi e numerosi soggetti autorizzati. Semplificare significa eliminare duplicazioni e formalismi inutili, non rinunciare ai controlli necessari. La scelta deve rimanere coerente con il principio di responsabilizzazione previsto dal GDPR e con l’effettiva esposizione ai rischi.

Quando l’azienda dispone già di documentazione privacy, il lavoro non consiste necessariamente nel riscrivere ogni documento. Può essere più utile verificare le policy esistenti, correggere le disposizioni incompatibili con le attività effettive e predisporre soltanto le procedure mancanti. Questa valutazione deve essere coordinata con il registro delle attività di trattamento e con gli altri documenti aziendali, evitando istruzioni contraddittorie o responsabilità sovrapposte.

Policy privacy mancanti o non applicate: responsabilità aziendali, controlli e rischi di sanzione

La presenza di policy privacy formalmente approvate non dimostra, da sola, che l’azienda abbia adottato misure organizzative adeguate. Gli articoli 5, paragrafo 2, e 24 del GDPR richiedono al titolare del trattamento di essere in grado di dimostrare il rispetto dei principi applicabili e di verificare, aggiornandole quando necessario, le misure predisposte. Il rischio principale non deriva dalla semplice assenza di un documento denominato “policy”, ma dalla mancanza o dall’inadeguatezza delle misure richieste rispetto ai trattamenti effettuati. Una procedura scritta può contribuire a documentare l’organizzazione aziendale, ma deve corrispondere a comportamenti effettivi, controlli verificabili e responsabilità chiaramente attribuite.

Consideriamo un’impresa che abbia approvato una policy sulla gestione degli accessi informatici, prevedendo la revoca delle credenziali alla cessazione del rapporto di lavoro. Se gli account degli ex dipendenti rimangono attivi per mesi, il problema non riguarda soltanto il mancato rispetto di una disposizione interna: occorre verificare se le misure di sicurezza concretamente adottate siano adeguate ai sensi dell’articolo 32 GDPR. Analogamente, una procedura che imponga la cancellazione periodica dei dati personali risulta inefficace quando nessun ufficio è incaricato di eseguirla e i sistemi informatici non consentono di applicare i criteri di conservazione stabiliti.

Per rendere operative le policy, l’azienda deve individuare i soggetti responsabili della loro attuazione, definire le attività da svolgere e prevedere modalità di verifica proporzionate al rischio. La direzione può attribuire specifiche responsabilità ai referenti HR, IT e amministrativi, mantenendo una supervisione coerente con la propria struttura organizzativa. Le persone autorizzate al trattamento devono ricevere istruzioni pertinenti alle mansioni svolte, mentre gli eventuali responsabili esterni devono operare sulla base degli accordi e delle istruzioni applicabili. La distribuzione interna dei compiti non trasferisce automaticamente la responsabilità del titolare del trattamento ai dipendenti o ai consulenti.

Quando è stato nominato un Responsabile della protezione dei dati (DPO/RPD), quest’ultimo può fornire consulenza sulle misure organizzative, sorvegliarne l’osservanza e formulare raccomandazioni, nell’ambito dei compiti previsti dall’articolo 39 GDPR. La responsabilità delle decisioni e dell’attuazione delle misure rimane però in capo al titolare o al responsabile del trattamento, secondo le rispettive competenze. Occorre evitare di attribuire al DPO funzioni decisionali incompatibili con la sua indipendenza o tali da determinare conflitti di interessi.

Durante un audit privacy, la verifica delle policy dovrebbe riguardare tanto il contenuto dei documenti quanto la loro applicazione. È opportuno controllare le versioni approvate, le responsabilità assegnate, la comunicazione delle istruzioni al personale, l’effettiva configurazione dei sistemi informatici e la gestione delle eventuali non conformità. Le evidenze possono comprendere registrazioni delle attività di controllo, documentazione delle autorizzazioni, rapporti di verifica e interventi correttivi. Non è necessario produrre documenti privi di utilità operativa: ciò che conta è poter ricostruire, con elementi attendibili, le misure adottate e il loro funzionamento.

Le carenze organizzative possono assumere rilievo anche nei rapporti con il Garante per la protezione dei dati personali. Nell’ambito di un’istruttoria o di un’ispezione, l’Autorità può richiedere informazioni e documentazione utili a verificare il rispetto della normativa. L’eventuale violazione degli obblighi previsti dagli articoli 24 o 32 GDPR può comportare l’applicazione delle misure correttive e, nei casi previsti, delle sanzioni amministrative disciplinate dagli articoli 58 e 83. La valutazione dipende dalla violazione concretamente accertata e dai criteri stabiliti dal Regolamento; non ogni irregolarità documentale determina automaticamente una sanzione. La disponibilità di procedure adeguate e delle relative evidenze può comunque assumere rilievo nella ricostruzione delle misure effettivamente adottate dall’impresa.

Le policy devono essere riesaminate anche quando cambiano le attività aziendali. L’introduzione di un nuovo gestionale, l’esternalizzazione di un servizio, l’apertura di una sede o l’utilizzo di strumenti di intelligenza artificiale possono modificare le modalità di trattamento dei dati e rendere necessario un aggiornamento delle istruzioni interne. Lo stesso vale quando un incidente informatico o una verifica interna rivela che le procedure esistenti non sono sufficienti. In queste situazioni occorre individuare le cause della carenza, stabilire le correzioni necessarie e verificare che siano state effettivamente applicate, coordinando l’intervento con le attività di aggiornamento della documentazione privacy aziendale.

Un ulteriore profilo riguarda il coordinamento con gli altri sistemi di controllo dell’impresa. Nelle società dotate di un Modello organizzativo ai sensi del D.Lgs. 231/2001, le procedure privacy possono interagire con i protocolli relativi alla sicurezza informatica, alla gestione delle informazioni e alla prevenzione dei reati informatici rilevanti. Se l’impresa è soggetta agli obblighi previsti dal D.Lgs. 24/2023, le regole sulla protezione dei dati devono inoltre essere coerenti con le procedure di gestione delle segnalazioni whistleblowing, soprattutto per quanto riguarda accessi, riservatezza e conservazione. Il coordinamento evita disposizioni contraddittorie e duplicazioni dei controlli, senza confondere gli obblighi GDPR con quelli derivanti dalle altre discipline.

Esempio pratico: un’azienda con policy privacy standard e procedure interne non aggiornate

Consideriamo, a titolo di esempio ipotetico, una società commerciale con circa cinquanta dipendenti che utilizza un gestionale condiviso, un servizio cloud per l’archiviazione dei documenti e caselle email aziendali. La società dispone di informative privacy, nomine e di un regolamento informatico predisposto alcuni anni prima. Dopo una riorganizzazione, la direzione decide di verificare la documentazione perché diversi dipendenti hanno cambiato mansione e alcuni fornitori esterni possono accedere ai sistemi aziendali.

Dall’esame delle procedure emerge che il regolamento non individua chi debba autorizzare i nuovi accessi, non disciplina adeguatamente la revoca delle credenziali e contiene indicazioni sulla conservazione dei documenti non coerenti con le modalità operative attuali. Il problema richiede una verifica congiunta delle disposizioni scritte e delle configurazioni effettive dei sistemi. L’intervento consiste nel ricostruire i flussi di accesso, distinguere le responsabilità dei referenti interni e dei fornitori, aggiornare le istruzioni pertinenti e definire controlli periodici proporzionati alle attività svolte.

Particolare attenzione viene dedicata alla gestione delle autorizzazioni, perché la semplice approvazione di una nuova policy non modifica automaticamente i permessi già presenti nei software. La riorganizzazione deve quindi comprendere l’applicazione tecnica delle regole, la comunicazione delle istruzioni ai dipendenti interessati e la verifica delle misure adottate. L’esempio mostra perché la revisione delle policy privacy richiede di conoscere il funzionamento concreto dell’azienda, anziché limitarsi alla sostituzione di modelli documentali.

Domande frequenti sulle policy privacy aziendali

Un’azienda è obbligata ad avere un manuale privacy con tutte le procedure GDPR?

No. Il GDPR non impone a tutte le imprese di predisporre un unico manuale privacy né stabilisce un elenco uniforme di policy obbligatorie. L’articolo 24 richiede l’adozione di misure tecniche e organizzative adeguate e, quando proporzionato alle attività di trattamento, di politiche in materia di protezione dei dati personali. Le procedure possono essere raccolte in un manuale oppure distribuite tra regolamenti e istruzioni operative, purché siano coerenti, applicabili e adeguate ai rischi effettivi.

Le policy privacy devono essere firmate da tutti i dipendenti?

Non esiste un obbligo generale di far sottoscrivere ogni policy privacy a tutti i dipendenti. Il titolare deve però assicurare che le persone autorizzate ricevano istruzioni adeguate alle attività svolte. La consegna documentata, la presa visione e le comunicazioni interne possono contribuire a dimostrare che le regole sono state portate a conoscenza del personale. La modalità più appropriata dipende dall’organizzazione, dal contenuto delle istruzioni e dalle esigenze di documentazione.

È sufficiente acquistare un modello di policy GDPR e adattarlo all’azienda?

Un modello può costituire una base di lavoro, ma deve essere verificato rispetto ai trattamenti, ai sistemi informatici e alle responsabilità effettivamente presenti nell’impresa. Una procedura che prevede controlli inesistenti o attribuisce compiti a soggetti non individuati può risultare inadeguata. Prima dell’adozione occorre verificare anche la compatibilità con la disciplina lavoristica e con le altre disposizioni applicabili.

Chi deve aggiornare le policy privacy: il titolare, il consulente GDPR o il DPO?

La responsabilità di adottare misure organizzative adeguate compete al titolare del trattamento. La predisposizione e l’aggiornamento materiale delle procedure possono essere affidati a referenti interni o professionisti esterni. Il DPO, quando nominato, svolge le funzioni di consulenza e sorveglianza previste dal GDPR, senza sostituirsi automaticamente al titolare nelle decisioni organizzative. È opportuno individuare espressamente chi propone le modifiche, chi le approva e chi ne verifica l’applicazione.

Quanto costa predisporre o aggiornare le policy privacy aziendali?

Il costo dipende dal numero e dalla complessità dei trattamenti, dalle procedure già disponibili, dalla struttura organizzativa e dalle verifiche necessarie. La revisione di alcune istruzioni operative comporta attività diverse dalla predisposizione di un sistema documentale per una società con più sedi, numerosi dipendenti e fornitori informatici. Un preventivo attendibile richiede quindi una valutazione preliminare della documentazione esistente e delle esigenze concrete dell’impresa.

Assistenza legale per verificare e aggiornare le policy privacy della tua azienda

Se la tua azienda utilizza policy privacy standard, dispone di procedure non aggiornate oppure non ha definito chiaramente le responsabilità nella gestione dei dati personali, è opportuno verificare quali misure organizzative siano effettivamente necessarie. Una documentazione formalmente completa non è sufficiente quando le regole interne non corrispondono ai processi aziendali o non vengono concretamente applicate.

Lo Studio Legale Calvello assiste le imprese nella valutazione delle policy esistenti, nell’individuazione delle procedure mancanti e nella revisione delle misure organizzative previste dal GDPR. L’intervento viene definito considerando le caratteristiche dell’attività, i trattamenti effettuati, i rischi e le responsabilità dei soggetti coinvolti.

Per sottoporre la situazione della tua impresa allo Studio, richiedi una valutazione delle policy privacy aziendali attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze di assistenza e le verifiche professionali eventualmente necessarie.