Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda si chiede quali documenti siano obbligatori per la privacy, il primo errore è cercare un fascicolo GDPR standard valido per qualsiasi impresa. Il Regolamento (UE) 2016/679 non prevede un identico pacchetto documentale per tutte le organizzazioni: alcuni adempimenti sono espressamente richiesti dalla normativa, altri diventano necessari in presenza di determinati trattamenti, mentre ulteriori procedure servono a dimostrare come l’azienda abbia concretamente organizzato la protezione dei dati personali.

Per questo, verificare la documentazione privacy aziendale significa partire dai trattamenti realmente svolti: dati di dipendenti e candidati, clienti e fornitori, attività commerciali e di marketing, videosorveglianza, strumenti informatici, sito web, software gestionali, servizi cloud e rapporti con soggetti esterni. Una documentazione formalmente presente ma non corrispondente all’attività effettiva dell’impresa può rivelarsi insufficiente proprio quando deve essere utilizzata, ad esempio in occasione di un audit, di un data breach o di una richiesta del Garante.

Quali sono i principali documenti privacy che un’azienda deve avere

Il punto di partenza è il registro delle attività di trattamento previsto dall’art. 30 GDPR. Non tutte le organizzazioni sono assoggettate all’obbligo nelle medesime condizioni, perché il Regolamento contempla un’esenzione per alcune imprese e organizzazioni con meno di 250 dipendenti, ma tale esenzione non opera, tra l’altro, quando il trattamento non è occasionale, può presentare un rischio per i diritti e le libertà degli interessati oppure riguarda categorie particolari di dati o dati relativi a condanne penali e reati. Nella pratica aziendale molti trattamenti ordinari, a partire dalla gestione continuativa dei dipendenti e dei clienti, rendono quindi necessario verificare attentamente se l’esenzione sia realmente applicabile. Il registro non dovrebbe essere considerato un modulo da compilare una volta: deve rappresentare i trattamenti effettivamente svolti e mantenersi coerente con la loro evoluzione. Sul punto abbiamo dedicato uno specifico approfondimento a quando aggiornare il registro dei trattamenti.

Accanto al registro vi sono le informative privacy previste dagli artt. 13 e 14 GDPR. Un’impresa può averne bisogno per categorie differenti di interessati e trattamenti: dipendenti, candidati, clienti, referenti dei fornitori, utenti del sito, destinatari di comunicazioni commerciali o altri soggetti i cui dati entrano nei processi aziendali. Non esiste quindi necessariamente un’unica “informativa aziendale”. Finalità, basi giuridiche, destinatari, tempi di conservazione e modalità del trattamento devono essere coerenti con la situazione alla quale il documento si riferisce. I contenuti richiesti sono esaminati nel nostro articolo sulle informative privacy.

Un’altra area documentale riguarda i soggetti che trattano dati per conto dell’impresa. Quando un fornitore opera quale responsabile del trattamento, il rapporto deve essere disciplinato secondo l’art. 28 GDPR. È il caso, quando ne ricorrono concretamente i presupposti, di fornitori informatici, gestori di piattaforme e servizi cloud o altri soggetti esterni che trattano dati personali per conto del titolare. Non basta quindi possedere un contratto commerciale: occorre verificare il ruolo privacy effettivamente assunto dal fornitore e, se si tratta di un responsabile, disciplinare il trattamento con gli elementi richiesti dal GDPR.

Sul versante interno devono essere definite anche le persone autorizzate ad accedere ai dati e le relative istruzioni. La documentazione deve riflettere mansioni, autorizzazioni e accessi realmente necessari: amministrazione, HR, commerciale e IT possono trattare informazioni molto diverse e non dovrebbero poter accedere indistintamente a tutti i dati disponibili nei sistemi aziendali. La distinzione tra titolare, responsabile e autorizzato al trattamento assume quindi conseguenze operative precise nella costruzione dell’assetto privacy.

Esistono poi documenti che diventano necessari soltanto al ricorrere dei relativi presupposti. La valutazione d’impatto sulla protezione dei dati (DPIA), ad esempio, deve essere effettuata prima di trattamenti suscettibili di presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Analogamente, la nomina del DPO/RPD non è un adempimento generalizzato per ogni impresa, ma dipende dalle condizioni stabilite dagli artt. 37 e seguenti del GDPR. Possono inoltre rendersi necessarie specifiche valutazioni e documentazioni per videosorveglianza, trasferimenti di dati verso Paesi terzi, utilizzo di determinate tecnologie o trattamenti fondati sul legittimo interesse.

Non basta avere i documenti: la documentazione GDPR deve descrivere ciò che l’azienda fa realmente

Il principio che modifica radicalmente il modo di affrontare la compliance è quello di accountability. Il titolare non deve soltanto rispettare il GDPR, ma deve essere in grado di dimostrare la conformità dei trattamenti. Questo spiega perché un insieme di modelli acquistati anni prima, informative standard e nomine mai più riesaminate non costituisca necessariamente una documentazione adeguata all’organizzazione attuale.

La verifica deve procedere nella direzione opposta: prima si ricostruiscono i flussi di dati e poi si controlla se i documenti li rappresentano correttamente. Se, per esempio, l’impresa ha introdotto un nuovo CRM, trasferito servizi informatici sul cloud, installato telecamere, modificato il sistema di gestione del personale, attivato nuove campagne di marketing o affidato dati a nuovi fornitori, questi cambiamenti possono incidere sul registro dei trattamenti, sulle informative, sui rapporti ex art. 28 GDPR, sulle misure di sicurezza e, a seconda dei casi, sulle valutazioni del rischio o sulla necessità di una DPIA.

Lo stesso vale per le procedure interne. Il GDPR richiede che le misure tecniche e organizzative siano adeguate rispetto alle caratteristiche dei trattamenti e ai rischi. Per questo la documentazione aziendale può comprendere, secondo il caso concreto, procedure per la gestione delle richieste degli interessati, regole sulla conservazione e cancellazione dei dati, gestione degli accessi, istruzioni sull’utilizzo degli strumenti informatici e una procedura per affrontare eventuali violazioni dei dati personali. Non tutti questi documenti costituiscono un autonomo “documento obbligatorio” nominativamente imposto dal GDPR a qualsiasi azienda; possono però rappresentare il modo attraverso il quale il titolare organizza e documenta l’adempimento di specifici obblighi.

Un esempio particolarmente chiaro riguarda il data breach. L’art. 33 GDPR impone al titolare di documentare le violazioni dei dati personali, comprese le circostanze, le conseguenze e i provvedimenti adottati, in modo da consentire all’autorità di controllo di verificare il rispetto della disciplina. Avere già definito responsabilità interne, flussi di comunicazione e modalità di raccolta delle informazioni permette all’impresa di gestire l’incidente sulla base di un processo organizzato anziché ricostruire ruoli e informazioni quando la violazione si è già verificata.

Per la stessa ragione la documentazione deve essere riesaminata quando cambia l’organizzazione. Il registro, in particolare, deve corrispondere ai trattamenti effettivamente svolti e il Garante indica espressamente la necessità di mantenerlo aggiornato. L’aggiornamento non dovrebbe però essere limitato a questo documento: una variazione dei trattamenti può propagarsi alle informative, ai contratti con i responsabili, alle autorizzazioni interne, alle politiche di conservazione e alle misure organizzative. Abbiamo approfondito questo processo nella guida su come aggiornare correttamente la documentazione privacy aziendale.

Quando effettuiamo un audit della documentazione GDPR, quindi, non verifichiamo soltanto se esista materialmente un determinato documento. Occorre confrontare ciò che è scritto con ciò che avviene nell’impresa: quali dati vengono raccolti, per quali finalità, chi vi accede, quali fornitori li ricevono, dove vengono conservati, per quanto tempo e quali misure sono state adottate. È questo confronto che consente di individuare documenti mancanti, informazioni non più attuali e soprattutto divergenze tra la compliance formalizzata e i trattamenti effettivamente svolti.

Documenti mancanti, non aggiornati o incoerenti: quali rischi corre concretamente l’azienda

Una carenza documentale non produce automaticamente una sanzione, ma può essere il sintomo di un obbligo non rispettato e può rendere più difficile dimostrare che il trattamento è stato organizzato conformemente al GDPR. La distinzione è importante. Un conto è non possedere un documento che la normativa richiede nel caso concreto; altro è utilizzare una procedura interna non espressamente nominata dal Regolamento, ma utile a documentare l’attuazione delle misure organizzative adottate. Per valutare se la documentazione privacy aziendale sia completa bisogna quindi individuare, documento per documento, quale obbligo deve essere assolto e perché esso trovi applicazione all’impresa.

Il problema emerge con particolare chiarezza quando la documentazione esiste, ma non coincide più con la realtà. Un registro dei trattamenti che non contempla un nuovo software HR, un’informativa che indica tempi di conservazione diversi da quelli effettivamente applicati oppure un contratto ex art. 28 GDPR riferito a un fornitore che nel frattempo ha modificato servizi e modalità di trattamento possono creare una divergenza tra organizzazione dichiarata e organizzazione effettiva. In questi casi limitarsi ad aggiungere un nuovo modello al fascicolo privacy non risolve la questione: occorre ricostruire il trattamento e verificare quali documenti e procedure ne siano interessati.

Un controllo particolarmente delicato riguarda i responsabili del trattamento. L’art. 28 GDPR richiede al titolare di ricorrere a responsabili che presentino garanzie sufficienti e disciplina il contenuto del rapporto quando un soggetto tratta dati personali per conto dell’azienda. È quindi opportuno censire i fornitori che hanno accesso ai dati e stabilire quale ruolo assumano realmente. Non ogni fornitore deve essere nominato responsabile del trattamento: la qualificazione dipende dalle attività concretamente svolte e dal grado di autonomia con cui vengono determinate finalità e mezzi del trattamento.

Anche le autorizzazioni interne richiedono una verifica sostanziale. La presenza di una lettera consegnata al dipendente non risolve, da sola, il problema della gestione degli accessi. Le istruzioni devono essere coerenti con le funzioni svolte e con gli strumenti utilizzati. Se un dipendente cambia mansione, lascia l’azienda o acquisisce nuove responsabilità, occorre verificare anche le credenziali, i profili autorizzativi e l’accesso a cartelle, gestionali, caselle di posta e piattaforme cloud. La documentazione deve quindi dialogare con l’organizzazione tecnica e con i processi HR.

La stessa logica vale per la conservazione. Dichiarare nell’informativa che determinati dati vengono conservati per un certo periodo ha scarsa utilità se l’impresa non conosce dove siano presenti le copie, chi possa cancellarle e quali sistemi applichino effettivamente le regole definite. Per questo la definizione dei tempi deve essere coordinata con le procedure aziendali e con gli obblighi legali che possono giustificare periodi differenti. Abbiamo esaminato separatamente le regole sulla conservazione dei dati personali e, per un ambito nel quale frequentemente si sovrappongono esigenze privacy e obblighi normativi di conservazione, i tempi di conservazione dei dati contabili e fiscali.

La qualità della documentazione assume particolare rilievo anche nei rapporti con il Garante per la protezione dei dati personali. In presenza di una richiesta di informazioni o di un’attività ispettiva, l’azienda può essere chiamata a rappresentare concretamente come tratta i dati e quali misure abbia adottato. Registro, informative, atti relativi ai responsabili, eventuali DPIA, documentazione delle violazioni e ulteriori elementi pertinenti al trattamento possono allora diventare strumenti attraverso i quali ricostruire e dimostrare le scelte compiute. Per questa ragione la conformità non dovrebbe essere affrontata soltanto quando arriva un controllo: un check-up della documentazione GDPR consente di verificare preventivamente se ciò che l’impresa dichiara nei propri documenti corrisponda ai processi effettivi.

Quando riscontriamo lacune, il criterio non è produrre indiscriminatamente nuovi documenti, ma stabilire una priorità di intervento. Una mancanza relativa a un trattamento ad alto rischio, a dati particolari, a un’attività estesa di monitoraggio o a un processo che coinvolge numerosi interessati richiede valutazioni diverse rispetto a un’imprecisione formale circoscritta. Occorre inoltre considerare se la carenza interessi un obbligo direttamente applicabile, se abbia conseguenze sui diritti degli interessati e quali misure siano già concretamente presenti. È questa analisi che permette di trasformare una raccolta di moduli in un sistema documentale coerente con il principio di accountability e con l’effettiva attività dell’impresa. Per una verifica più ampia del percorso di conformità rinviamo anche alla nostra guida sull’adeguamento GDPR aziendale.

Un caso pratico: l’azienda possiede i documenti GDPR, ma non sono più coerenti con l’organizzazione

Consideriamo il caso realistico e anonimizzato di un’impresa che dispone di un fascicolo privacy predisposto alcuni anni prima e ritiene, proprio per questo, di essere già adeguata. Nel frattempo sono cambiati diversi processi: è stato introdotto un nuovo gestionale, alcuni servizi sono stati trasferiti sul cloud, sono cambiati fornitori e ruoli interni e l’azienda ha ampliato il numero dei dipendenti. Il problema emerge quando si confrontano i trattamenti effettivi con il registro e con le informative: parte dei flussi di dati non è più rappresentata correttamente e alcuni rapporti con soggetti esterni richiedono una nuova qualificazione.

L’intervento parte quindi dalla ricostruzione dei trattamenti, non dalla semplice sostituzione dei modelli. Vengono verificati i soggetti coinvolti, le finalità, le basi giuridiche, gli accessi, i fornitori, i sistemi utilizzati e i criteri di conservazione; sulla base di questa ricognizione è possibile individuare quali documenti debbano essere aggiornati e quali valutazioni ulteriori siano necessarie. L’aspetto che richiede maggiore attenzione è mantenere la coerenza tra registro, informative, rapporti con i responsabili esterni, autorizzazioni interne e procedure effettivamente applicate. La documentazione viene così riorganizzata sulla struttura reale dell’impresa, evitando di considerare l’adeguamento come una semplice raccolta di moduli standard.

FAQ sui documenti privacy obbligatori per le aziende

Una piccola impresa deve avere gli stessi documenti GDPR di una grande azienda?

No. Il GDPR non impone un fascicolo documentale identico a tutte le imprese. Gli adempimenti dipendono dai trattamenti effettuati, dalle categorie e dalla quantità dei dati, dalle finalità, dai soggetti coinvolti e dai rischi per i diritti e le libertà delle persone. Anche una PMI può quindi essere tenuta a predisporre una documentazione articolata se, per esempio, tratta stabilmente dati dei dipendenti, utilizza sistemi di videosorveglianza, svolge determinate attività di profilazione o tratta categorie particolari di dati. Le dimensioni dell’impresa sono un elemento della valutazione, ma non consentono da sole di stabilire quali documenti siano necessari.

Il registro dei trattamenti è obbligatorio anche per un’azienda con meno di 250 dipendenti?

Può esserlo. L’art. 30, par. 5, GDPR prevede un’esenzione per imprese e organizzazioni con meno di 250 dipendenti, ma l’esenzione non si applica quando il trattamento può presentare un rischio per i diritti e le libertà degli interessati, non è occasionale oppure comprende categorie particolari di dati o dati relativi a condanne penali e reati. Non è quindi corretto concludere che tutte le aziende sotto tale soglia siano automaticamente esonerate dal registro.

È sufficiente acquistare un kit GDPR con modelli standard?

Un modello può costituire una base di lavoro, ma la conformità non dipende dalla semplice presenza di documenti prestampati. Registro, informative, atti ex art. 28 GDPR, istruzioni agli autorizzati e ulteriori documenti devono corrispondere ai trattamenti realmente effettuati. Se il modello descrive processi diversi da quelli dell’impresa, contiene basi giuridiche non pertinenti o non considera fornitori, software e flussi di dati effettivi, la documentazione deve essere adattata alla situazione concreta.

Come possiamo capire se la documentazione privacy della nostra azienda è ancora aggiornata?

Occorre confrontare i documenti esistenti con l’organizzazione attuale. Nuovi software, servizi cloud, fornitori, attività di marketing, sistemi di videosorveglianza, modifiche nell’organizzazione del personale o nuove modalità di raccolta e utilizzo dei dati possono rendere necessario riesaminare una parte della documentazione. Un audit privacy o un check-up GDPR dovrebbe quindi partire dalla mappatura dei trattamenti effettivi e verificare successivamente registro, informative, nomine, contratti e procedure interessate dai cambiamenti.

La mancanza di un documento privacy comporta sempre una sanzione?

No. Occorre verificare quale documento manca, se esso sia richiesto nel caso concreto, quale obbligo sostanziale sia coinvolto e quali siano le circostanze della violazione. Il GDPR prevede un sistema sanzionatorio articolato e non consente di affermare che qualsiasi irregolarità documentale produca automaticamente una sanzione. Una documentazione carente può però assumere rilievo sia perché corrisponde alla violazione di uno specifico obbligo, sia perché rende più difficile dimostrare le misure adottate dall’azienda. Abbiamo approfondito questo profilo nell’articolo dedicato a come una corretta documentazione incide sulla prevenzione e gestione del rischio di contestazioni privacy.

La documentazione privacy della vostra azienda è completa e coerente con i trattamenti effettivi?

Se l’azienda possiede documenti GDPR predisposti anni fa, utilizza modelli standard, non ha mai effettuato una verifica complessiva oppure sono cambiati dipendenti, fornitori, software, servizi cloud o modalità di trattamento dei dati, può essere opportuno controllare se la documentazione corrisponda ancora all’organizzazione effettiva. La verifica deve considerare gli obblighi applicabili alla specifica impresa, evitando sia documenti inutili sia lacune relative a trattamenti che richiedono adempimenti specifici.

Lo Studio Legale Calvello assiste imprese e società nella verifica e nell’organizzazione della compliance GDPR, nell’analisi della documentazione esistente e nella gestione delle problematiche privacy aziendali. Per sottoporci la situazione della vostra impresa potete richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato.