Articolo a cura di: Redazione - Studio Legale Calvello
Per una piccola o media impresa, adeguarsi al GDPR non significa necessariamente costruire un apparato documentale complesso o replicare l’organizzazione privacy di una grande società. Significa, invece, individuare i trattamenti effettivamente svolti, capire quali adempimenti siano applicabili e predisporre un sistema proporzionato alla struttura, ai dati utilizzati e ai rischi concreti dell’attività. È proprio su questo punto che molte PMI incontrano difficoltà: documenti predisposti anni prima e mai aggiornati, informative standard, nomine mancanti, fornitori non correttamente inquadrati, procedure che esistono sulla carta ma non corrispondono al modo in cui l’azienda lavora.
Il GDPR si applica anche alle piccole imprese quando ricorrono i relativi presupposti e le dimensioni aziendali non costituiscono, da sole, un’esenzione generale. La proporzionalità entra però in gioco nel modo in cui diversi obblighi devono essere valutati e attuati. Per questo una PMI che vuole semplificare la propria compliance dovrebbe evitare sia l’eccesso di burocrazia sia l’approccio opposto, cioè limitarsi a qualche informativa e a modelli standard senza verificare i trattamenti realmente effettuati.
GDPR nelle PMI: semplificare significa partire da ciò che l’azienda fa realmente
Il primo passaggio consiste nel ricostruire il flusso dei dati personali all’interno dell’impresa. Anche una società con pochi dipendenti può trattare quotidianamente dati di lavoratori, candidati, clienti, referenti di fornitori, utenti del sito, destinatari di comunicazioni commerciali e persone riprese da sistemi di videosorveglianza. A questi trattamenti possono aggiungersi quelli effettuati attraverso gestionali, CRM, posta elettronica, piattaforme cloud, servizi di assistenza informatica e applicazioni utilizzate dai diversi reparti.
Una mappatura dei trattamenti proporzionata alla realtà della PMI consente di capire quali adempimenti siano effettivamente necessari. Il punto non è produrre più documenti possibile, ma verificare per ogni trattamento almeno finalità, base giuridica, categorie di dati e interessati, soggetti che possono accedervi, fornitori coinvolti, eventuali trasferimenti, tempi di conservazione e misure di sicurezza. Questa ricostruzione costituisce anche la base per valutare correttamente il registro delle attività di trattamento e mantenerlo coerente con l’organizzazione effettiva.
Per le imprese con meno di 250 dipendenti l’art. 30, paragrafo 5, GDPR prevede una deroga circoscritta all’obbligo di tenuta del registro, ma non permette di concludere automaticamente che una PMI possa farne a meno. La deroga non opera, tra l’altro, quando il trattamento non è occasionale, quando può presentare un rischio per i diritti e le libertà degli interessati o quando riguarda categorie particolari di dati o dati relativi a condanne penali e reati. Nella normale attività aziendale molti trattamenti, a partire dalla gestione continuativa dei dipendenti o dei clienti, hanno carattere non occasionale. Occorre quindi verificare il caso concreto anziché applicare automaticamente la soglia dei 250 dipendenti.
Lo stesso criterio vale per l’intero adeguamento GDPR aziendale. Una PMI che gestisce pochi trattamenti ordinari presenta esigenze diverse da un’impresa delle stesse dimensioni che utilizza videosorveglianza, tratta dati sanitari, svolge profilazione, effettua campagne di marketing articolate o utilizza numerosi fornitori tecnologici. La semplificazione corretta nasce dalla proporzionalità, non dall’eliminazione preventiva degli adempimenti.
Quali adempimenti privacy servono davvero a una piccola o media impresa
Una volta ricostruiti i trattamenti, possiamo verificare quali elementi della compliance siano necessari e quali debbano essere aggiornati. Per molte PMI il problema non è l’assenza assoluta di documentazione, ma la frammentazione: un’informativa predisposta per i clienti, alcune lettere ai dipendenti, una privacy policy del sito e qualche contratto con i fornitori, senza che questi documenti derivino da una valutazione unitaria. In questi casi può essere più efficace revisionare e coordinare ciò che esiste anziché ricostruire indiscriminatamente l’intero sistema.
Le informative devono corrispondere ai trattamenti concretamente svolti e contenere le informazioni richieste dagli artt. 13 e 14 GDPR; le persone che operano sotto l’autorità del titolare devono ricevere istruzioni coerenti con le mansioni effettive; i fornitori che trattano dati per conto dell’impresa devono essere qualificati correttamente e, quando ricorrono i presupposti, disciplinati ai sensi dell’art. 28 GDPR. Anche i tempi di conservazione non dovrebbero essere riportati nei documenti in modo astratto: devono essere individuati considerando finalità del trattamento, obblighi normativi ed eventuali esigenze legittime di conservazione. Sul piano documentale è quindi utile verificare periodicamente quali documenti privacy siano effettivamente necessari per l’azienda e se continuino a descrivere correttamente la situazione esistente.
Particolare attenzione richiedono i servizi informatici. Una PMI può avere un’organizzazione semplice e, nello stesso tempo, utilizzare diversi soggetti esterni per hosting, posta elettronica, gestione paghe, CRM, backup, assistenza IT, marketing o archiviazione cloud. La compliance deve quindi considerare anche chi tratta i dati per conto dell’impresa, con quali condizioni, dove sono trattati e quali misure sono state previste. Un contratto commerciale con il fornitore non sostituisce automaticamente gli obblighi previsti dalla disciplina sulla protezione dei dati.
Neppure DPIA e nomina del DPO dipendono semplicemente dalla qualifica di PMI. La valutazione d’impatto è richiesta dall’art. 35 GDPR quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche; la designazione del responsabile della protezione dei dati deve invece essere verificata sulla base dei presupposti dell’art. 37 GDPR. Numero dei dipendenti e fatturato non costituiscono da soli il criterio decisivo: contano natura, finalità, contesto, portata e modalità dei trattamenti effettuati.
Un sistema privacy sostenibile per una PMI deve infine funzionare anche dopo la predisposizione iniziale dei documenti. Nuovi software, assunzioni, modifiche organizzative, campagne commerciali, nuovi fornitori o modalità diverse di utilizzo dei dati possono rendere necessario aggiornare la documentazione privacy aziendale. Per questo noi preferiamo impostare la compliance come un processo gestibile: responsabilità interne chiare, documentazione essenziale ma coerente, procedure utilizzabili dal personale e controlli periodici commisurati alla realtà dell’impresa.
Come organizzare una compliance GDPR proporzionata ed evitare gli errori più frequenti
La semplificazione diventa concreta quando gli adempimenti vengono collegati alle persone e ai processi che devono applicarli. In una PMI raramente esiste un ufficio privacy dedicato: determinate attività possono essere distribuite tra amministrazione, risorse umane, IT, commerciale e direzione. Questo non impedisce una gestione corretta, ma richiede che sia chiaro chi deve fare cosa quando entra un nuovo dipendente, viene adottato un software, cambia un fornitore, arriva una richiesta di esercizio dei diritti o si verifica una possibile violazione dei dati. Documenti formalmente corretti, ma sconosciuti alle persone che dovrebbero applicarli, hanno un’utilità organizzativa molto limitata.
Un altro punto riguarda la formazione. Non è necessario trasformare ogni lavoratore in uno specialista di privacy, mentre è necessario che chi tratta dati personali riceva istruzioni adeguate alle attività effettivamente svolte. Il personale amministrativo può avere accesso a informazioni diverse da quello commerciale; chi gestisce le risorse umane tratta normalmente dati che richiedono cautele ulteriori; gli addetti IT possono disporre di privilegi tecnici particolarmente estesi. Istruzioni e formazione dovrebbero quindi essere calibrate sulle mansioni e sui rischi concreti, anziché ridursi alla distribuzione indistinta dello stesso documento a tutto il personale.
La stessa logica riguarda le misure di sicurezza. L’art. 32 GDPR richiede misure tecniche e organizzative adeguate al rischio, tenendo conto, tra gli altri elementi, dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento. Per una PMI ciò comporta una valutazione concreta di aspetti quali gestione degli account e delle autorizzazioni, credenziali, backup, aggiornamento dei sistemi, protezione dei dispositivi, accessi ai dati e procedure da seguire quando un dipendente cessa il rapporto di lavoro. Non esiste una configurazione identica per tutte le imprese.
È utile anche predisporre una procedura realmente utilizzabile in caso di incidente. Un computer rubato, un account compromesso, un ransomware, l’invio di documenti al destinatario sbagliato o l’accesso non autorizzato a un archivio possono integrare una violazione dei dati personali, ma non ogni incidente comporta automaticamente la notifica al Garante. L’art. 33 GDPR impone al titolare di notificare la violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Occorre quindi essere in grado di rilevare l’evento, raccogliere rapidamente le informazioni necessarie, valutarne le conseguenze e documentare le decisioni assunte.
Un check-up GDPR periodico può servire proprio a individuare le distanze tra documentazione e attività reale prima che emergano in occasione di un problema. La verifica può riguardare il registro dei trattamenti, le informative privacy, le autorizzazioni interne, i rapporti con i responsabili del trattamento, le misure organizzative, i tempi di conservazione e le procedure utilizzate dall’impresa. La frequenza e l’estensione del controllo devono essere proporzionate alla situazione: una società che modifica frequentemente strumenti digitali e processi avrà esigenze diverse da una piccola impresa con trattamenti sostanzialmente stabili.
Questa impostazione consente anche di affrontare con maggiore ordine un’eventuale richiesta dell’Autorità. L’accountability prevista dal GDPR richiede infatti al titolare non soltanto di rispettare i principi applicabili al trattamento, ma di essere in grado di comprovarlo. Per una PMI, quindi, semplificare non significa avere meno controllo sulla privacy: significa concentrare risorse e documentazione sugli adempimenti effettivamente applicabili e poter ricostruire le valutazioni compiute, evitando sia accumuli documentali inutili sia lacune nei processi che presentano un rischio concreto.
Un esempio pratico: la PMI con documentazione GDPR ferma da anni
Consideriamo il caso, realistico e anonimizzato, di una piccola società che aveva predisposto la documentazione privacy alcuni anni prima e riteneva quindi concluso il proprio adeguamento. Nel frattempo erano aumentati i dipendenti, erano stati introdotti un nuovo gestionale e diversi servizi cloud, il sito era stato modificato e alcuni fornitori avevano iniziato a trattare dati personali per conto dell’impresa. I documenti originari non rappresentavano più correttamente l’organizzazione esistente.
L’intervento non richiedeva di sostituire automaticamente ogni documento. Siamo partiti dalla ricostruzione dei trattamenti e dei flussi di dati, confrontandoli con il registro e con la documentazione disponibile. Questo ha consentito di individuare ciò che poteva essere mantenuto, ciò che doveva essere aggiornato e i rapporti con i fornitori che richiedevano una verifica ai sensi dell’art. 28 GDPR. Particolare attenzione è stata dedicata ai servizi digitali, perché nel tempo erano stati attivati da funzioni aziendali diverse e non esisteva una ricognizione unitaria dei soggetti esterni coinvolti nel trattamento.
La gestione è stata quindi riorganizzata collegando la documentazione ai processi effettivi dell’impresa e definendo modalità più semplici per mantenerla aggiornata. L’esempio mostra perché l’adeguamento GDPR di una PMI non dovrebbe essere considerato un’attività da svolgere una sola volta: la struttura può restare relativamente piccola mentre cambiano rapidamente software, fornitori, personale e modalità di trattamento dei dati.
FAQ sulla semplificazione del GDPR per le PMI
Una piccola impresa deve rispettare il GDPR anche se ha pochi dipendenti?
Sì, se effettua trattamenti di dati personali rientranti nell’ambito di applicazione del Regolamento. Non esiste un’esenzione generale dal GDPR basata sul numero ridotto di dipendenti o sulle dimensioni dell’impresa. Le dimensioni possono incidere sulla complessità dell’organizzazione necessaria e alcune disposizioni prevedono condizioni specifiche per determinate categorie di imprese, ma occorre sempre partire dai trattamenti concretamente effettuati.
Una PMI può utilizzare modelli GDPR standard?
I modelli possono costituire una base di lavoro, ma devono essere adattati alla situazione effettiva. Un’informativa, un registro dei trattamenti o una nomina predisposti in modo generico possono non corrispondere a finalità, basi giuridiche, fornitori, tempi di conservazione e procedure realmente adottati. La documentazione deve descrivere l’organizzazione concreta dell’impresa, non una struttura aziendale astratta.
Una PMI con meno di 250 dipendenti deve tenere il registro dei trattamenti?
La soglia dei 250 dipendenti non determina automaticamente l’esenzione. L’art. 30, paragrafo 5, GDPR limita la deroga prevista per organizzazioni con meno di 250 dipendenti quando, tra l’altro, il trattamento effettuato non è occasionale, può comportare un rischio per i diritti e le libertà degli interessati oppure comprende categorie particolari di dati o dati relativi a condanne penali e reati. È quindi necessario verificare i trattamenti svolti dall’impresa prima di stabilire se la deroga sia applicabile.
Ogni PMI deve nominare un DPO?
No. La nomina del responsabile della protezione dei dati non deriva automaticamente dalla qualifica di PMI. L’obbligo deve essere verificato alla luce dell’art. 37 GDPR, considerando le caratteristiche dell’attività e dei trattamenti svolti. Anche quando la designazione non è obbligatoria, l’impresa deve comunque organizzare correttamente la propria compliance e individuare chi gestisce operativamente gli adempimenti privacy.
Quando conviene effettuare un check-up GDPR della PMI?
Non esiste un intervallo temporale unico valido per tutte le imprese. Una verifica diventa particolarmente utile quando la documentazione è stata predisposta da tempo oppure sono intervenuti cambiamenti nei trattamenti: nuovi dipendenti, software, servizi cloud, fornitori, attività di marketing, sistemi di videosorveglianza o modifiche nell’organizzazione aziendale. Il controllo dovrebbe verificare se ciò che risulta dai documenti corrisponde ancora a ciò che l’impresa fa concretamente.
Verificare e semplificare la privacy della propria PMI
Se la documentazione GDPR della vostra impresa è stata predisposta anni fa, risulta frammentaria oppure non sapete se gli adempimenti siano proporzionati ai trattamenti effettivamente svolti, è possibile partire da una verifica della situazione esistente. Semplificare correttamente la privacy aziendale richiede di distinguere gli obblighi applicabili dagli adempimenti non necessari e di valutare registro dei trattamenti, informative, ruoli, fornitori, procedure e misure organizzative sulla struttura concreta dell’impresa.
Lo Studio Legale Calvello assiste le aziende nella verifica e nell’organizzazione della compliance privacy, nell’aggiornamento della documentazione e nella gestione delle problematiche connesse all’applicazione del GDPR. Per sottoporre la situazione della vostra PMI allo Studio potete richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato.
