Articolo a cura di: Redazione - Studio Legale Calvello

Un software gestionale può contenere dati personali di clienti, dipendenti, fornitori e collaboratori, spesso accessibili a più uffici e, in alcuni casi, anche alla società che fornisce assistenza tecnica. Per questo, prima di acquistare un gestionale, trasferirlo sul cloud o continuare a utilizzare un programma già installato, l’azienda deve verificare che il trattamento dei dati avvenga nel rispetto del GDPR. La presenza di funzionalità di sicurezza o la dichiarazione di conformità rilasciata dal produttore non sono, da sole, sufficienti a dimostrare che l’impresa rispetti tutti i propri obblighi.

Il problema emerge soprattutto quando il gestionale permette accessi troppo estesi, conserva informazioni per periodi non giustificati, trasferisce dati a fornitori esterni oppure non consente di ricostruire chi abbia consultato o modificato determinate informazioni. In queste situazioni possono sorgere responsabilità per l’azienda, contestazioni da parte degli interessati e, nei casi previsti dalla normativa, conseguenze sanzionatorie. Verificare la conformità GDPR di un software gestionale significa quindi esaminare concretamente come vengono raccolti, utilizzati, protetti e conservati i dati personali, valutando anche i rapporti contrattuali con chi fornisce il programma e i servizi collegati.

Software gestionale e GDPR: quali problemi deve controllare concretamente l’azienda

Quando un’impresa utilizza un software gestionale per amministrare ordini, fatture, anagrafiche, contratti, attività commerciali o rapporti di lavoro, deve innanzitutto comprendere quali dati personali siano effettivamente trattati attraverso il sistema. Un gestionale amministrativo può contenere nominativi, recapiti e coordinate bancarie; un CRM può registrare comunicazioni commerciali e informazioni sulle preferenze dei clienti; un programma per le risorse umane può gestire retribuzioni, assenze e dati che richiedono particolari cautele. La valutazione privacy deve partire dalle funzionalità effettivamente utilizzate e dalla natura delle informazioni presenti nel programma, non dalla sua denominazione commerciale.

Un primo problema riguarda la distribuzione delle autorizzazioni. In molte organizzazioni il gestionale viene configurato inizialmente attribuendo permessi ampi agli utenti, per agevolare il lavoro quotidiano. Con il passare del tempo, nuovi dipendenti ricevono credenziali, altri cambiano mansione e alcuni cessano il rapporto di lavoro senza che tutte le autorizzazioni vengano tempestivamente aggiornate. Può così accadere che un addetto commerciale consulti informazioni retributive, che un dipendente acceda a dati di clienti non pertinenti alle proprie attività oppure che un ex collaboratore conservi credenziali ancora utilizzabili.

Il GDPR, attraverso i principi di minimizzazione, integrità, riservatezza e responsabilizzazione, richiede al titolare del trattamento di adottare misure adeguate al rischio. Per il software gestionale questo comporta, tra le altre cose, la necessità di definire profili di accesso coerenti con le mansioni, proteggere le credenziali, verificare le autorizzazioni e disciplinare gli interventi dei soggetti esterni. Le misure concretamente necessarie dipendono dalla natura dei dati, dalle modalità di utilizzo e dai rischi per le persone interessate. Non esiste una configurazione identica e automaticamente sufficiente per tutte le aziende.

Un altro aspetto riguarda la quantità di informazioni raccolte. Alcuni programmi prevedono campi obbligatori, registrazioni automatiche o funzionalità aggiuntive che possono indurre l’impresa a conservare dati non necessari rispetto alle finalità perseguite. Occorre verificare se tali informazioni siano effettivamente indispensabili, quale base giuridica giustifichi il trattamento e se gli interessati abbiano ricevuto un’informativa adeguata. Il consenso non è sempre necessario per utilizzare un gestionale: per esempio, molti trattamenti amministrativi possono fondarsi sull’esecuzione di un contratto o sull’adempimento di obblighi di legge. L’eventuale impiego degli stessi dati per finalità ulteriori richiede invece una valutazione distinta.

Particolare attenzione merita anche la conservazione delle informazioni. Un programma può mantenere indefinitamente anagrafiche inattive, documenti relativi a rapporti conclusi, copie di archivi precedenti o dati presenti nei backup. L’azienda deve distinguere le informazioni da conservare per obblighi fiscali, contabili o altre esigenze giuridicamente giustificate da quelle per le quali non sussiste più una finalità legittima. Le impostazioni del software devono consentire, per quanto necessario, di applicare tempi di conservazione differenziati e procedure di cancellazione o anonimizzazione.

La verifica diventa più delicata quando il gestionale registra le operazioni effettuate dai lavoratori. Log di accesso, cronologie delle modifiche, tempi di esecuzione delle attività e report individuali possono essere utili per la sicurezza e la gestione dei processi, ma possono anche consentire forme di controllo sull’attività lavorativa. In tali situazioni occorre considerare, oltre al GDPR, l’articolo 4 dello Statuto dei lavoratori, verificando le finalità dello strumento, le modalità di utilizzo dei dati e gli eventuali adempimenti richiesti dalla disciplina lavoristica. La possibilità tecnica di monitorare un dipendente non rende automaticamente legittimo il relativo trattamento.

Questi controlli devono essere effettuati anche quando l’azienda utilizza il gestionale da molti anni. Un programma inizialmente configurato per pochi utenti può essere stato successivamente integrato con un CRM, un sistema di fatturazione elettronica, una piattaforma e-commerce o applicazioni esterne. Ogni integrazione può modificare i flussi informativi, ampliare i soggetti che accedono ai dati e introdurre nuovi trattamenti. La conformità deve quindi essere valutata rispetto all’organizzazione attuale, considerando anche gli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Fornitore del gestionale, contratto GDPR e servizi cloud: quali verifiche sono necessarie

Uno degli errori più frequenti consiste nel ritenere che la responsabilità della protezione dei dati appartenga interamente alla software house. In realtà, quando l’impresa decide perché e come trattare i dati personali dei propri clienti o dipendenti, normalmente opera come titolare del trattamento, anche se utilizza un programma sviluppato e gestito da un soggetto esterno. L’affidamento del gestionale a un fornitore non trasferisce automaticamente a quest’ultimo gli obblighi del titolare previsti dal GDPR.

Occorre distinguere il semplice produttore del software dal soggetto che tratta concretamente dati personali per conto dell’azienda. Se il programma è installato sui sistemi dell’impresa e il produttore non accede ai dati, il rapporto potrebbe non richiedere una designazione ai sensi dell’articolo 28 GDPR. Se invece il fornitore ospita il database sui propri server, gestisce copie di sicurezza oppure svolge assistenza tecnica accedendo alle informazioni personali per conto dell’impresa, deve essere valutata la sua qualificazione come responsabile del trattamento.

Quando ricorrono i presupposti dell’articolo 28, il rapporto deve essere disciplinato da un contratto o altro atto giuridico vincolante che definisca, tra gli altri elementi, oggetto e durata del trattamento, natura e finalità delle operazioni, categorie di interessati, obblighi delle parti e misure richieste. L’accordo deve prevedere anche le condizioni per ricorrere a ulteriori responsabili, la collaborazione nella gestione delle richieste degli interessati, l’assistenza in caso di violazioni dei dati e le modalità di restituzione o cancellazione delle informazioni al termine del servizio, nei limiti previsti dalla normativa.

La semplice presenza di una clausola che dichiara il software conforme al GDPR non sostituisce queste verifiche. È necessario esaminare se il fornitore offra garanzie sufficienti in relazione ai trattamenti affidati e se gli impegni contrattuali corrispondano al funzionamento effettivo del servizio. Per comprendere come distinguere correttamente le diverse figure coinvolte, può essere utile approfondire le responsabilità del titolare, del responsabile e degli autorizzati al trattamento.

Nei gestionali cloud, l’azienda deve inoltre verificare dove vengono conservati i dati, quali soggetti possono accedervi e se il servizio coinvolga infrastrutture o subfornitori situati fuori dallo Spazio economico europeo. La localizzazione del server, da sola, non esaurisce l’analisi: anche un accesso remoto da un Paese terzo può richiedere una valutazione delle regole applicabili ai trasferimenti internazionali. Quando ricorre un trasferimento disciplinato dal capo V del GDPR, occorre verificare l’esistenza di un meccanismo giuridico idoneo e delle eventuali misure supplementari necessarie.

Per questo non è sufficiente chiedere al produttore se i server siano europei. Occorre conoscere l’architettura del servizio, i soggetti coinvolti nell’assistenza, gli eventuali subresponsabili, le condizioni di accesso ai dati e i meccanismi contrattuali utilizzati. Le verifiche devono riguardare anche le funzionalità aggiunte successivamente, comprese eventuali integrazioni con strumenti di intelligenza artificiale che comportino comunicazioni di dati personali ad altri fornitori.

Il contratto dovrebbe inoltre disciplinare in modo adeguato la gestione degli incidenti informatici. Se il fornitore subisce una violazione dei dati trattati per conto dell’azienda, deve informare il titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, secondo l’articolo 33 GDPR. Spetta poi al titolare valutare gli obblighi di notifica all’autorità di controllo e, nei casi previsti, di comunicazione agli interessati. La collaborazione del fornitore è essenziale per ricostruire l’accaduto, individuare le informazioni coinvolte e determinare le misure correttive.

Infine, prima di acquistare un nuovo gestionale o rinnovare il contratto esistente, è opportuno verificare le condizioni di uscita dal servizio. L’impresa deve sapere se potrà esportare i dati in un formato utilizzabile, quali operazioni saranno necessarie per trasferirli a un altro fornitore, come verranno gestite le copie residue e quali garanzie saranno offerte durante la migrazione. Un rapporto contrattuale che non chiarisce questi aspetti può creare difficoltà operative e ostacolare il rispetto degli obblighi di conservazione, sicurezza e cancellazione dei dati personali.

La valutazione del fornitore deve quindi essere collegata alle caratteristiche del gestionale e alle attività effettivamente svolte dall’impresa. Le verifiche sui servizi cloud utilizzati in azienda e quelle sul gestionale devono essere coordinate, evitando di considerare separatamente contratti, misure tecniche e trattamenti che, nella pratica, fanno parte dello stesso processo aziendale.

Sicurezza del software gestionale: accessi, backup, controlli e responsabilità dell’azienda

Una volta verificati i trattamenti effettuati attraverso il gestionale e i rapporti con i fornitori, l’azienda deve accertare se le misure tecniche e organizzative adottate siano adeguate ai rischi. L’articolo 32 del GDPR richiede un livello di sicurezza appropriato, tenendo conto della natura dei dati, delle caratteristiche del trattamento, dello stato dell’arte, dei costi di attuazione e dei possibili effetti sulle persone interessate. Non basta che il software disponga di strumenti di protezione: occorre verificare che siano correttamente configurati, utilizzati e sottoposti a controlli periodici.

La gestione degli accessi rappresenta uno dei primi elementi da esaminare. Ogni dipendente dovrebbe poter consultare esclusivamente le informazioni necessarie allo svolgimento delle proprie mansioni, secondo autorizzazioni definite dall’organizzazione. È opportuno verificare che le credenziali siano individuali, che i privilegi amministrativi siano limitati ai soggetti effettivamente incaricati e che le autorizzazioni vengano modificate quando cambiano le responsabilità lavorative. Particolare attenzione richiedono gli account condivisi, gli accessi degli ex dipendenti e le credenziali utilizzate dai tecnici esterni.

La verifica deve comprendere anche i sistemi di autenticazione, la protezione delle comunicazioni, l’eventuale cifratura dei dati e le modalità di registrazione degli accessi. I log possono consentire di individuare operazioni anomale e ricostruire un incidente informatico, ma la loro raccolta e conservazione devono essere proporzionate alle finalità perseguite. Quando riguardano l’attività dei lavoratori, occorre considerare anche la disciplina sui controlli a distanza e le garanzie applicabili.

Un secondo elemento riguarda la capacità dell’impresa di recuperare le informazioni dopo un guasto, un errore umano o un attacco informatico. La semplice esistenza di un backup non dimostra che i dati siano effettivamente recuperabili. È necessario verificare la frequenza delle copie, la loro protezione, la separazione rispetto ai sistemi operativi e l’effettiva possibilità di ripristino. I controlli devono essere proporzionati alla continuità richiesta dai processi aziendali e alla natura delle informazioni trattate.

Occorre inoltre chiarire chi sia responsabile degli aggiornamenti del gestionale, della correzione delle vulnerabilità e della manutenzione dei componenti utilizzati. In un sistema installato sui server aziendali queste attività possono essere distribuite tra personale interno e fornitori esterni; nei servizi cloud possono essere affidate contrattualmente al gestore della piattaforma. In entrambi i casi l’azienda deve conoscere la ripartizione delle responsabilità e verificare che le attività previste siano effettivamente eseguite.

Le verifiche tecniche devono trovare riscontro anche nella documentazione privacy. L’introduzione di un nuovo gestionale o una modifica sostanziale delle sue funzionalità può richiedere l’aggiornamento del registro delle attività di trattamento, delle informative, delle istruzioni agli autorizzati e delle procedure interne. Se il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, occorre valutare la necessità di una valutazione d’impatto ai sensi dell’articolo 35 GDPR. Non ogni software gestionale richiede automaticamente una DPIA: la necessità dipende dalle caratteristiche concrete del trattamento.

Quando l’impresa ha nominato un Responsabile della protezione dei dati, il DPO deve essere coinvolto tempestivamente nelle questioni riguardanti la protezione dei dati personali, secondo l’articolo 38 GDPR. Può fornire indicazioni sui rischi, sulle misure da adottare e sull’eventuale valutazione d’impatto, oltre a sorvegliare l’osservanza della normativa nell’ambito delle proprie funzioni. La responsabilità delle decisioni e della conformità del trattamento rimane comunque in capo al titolare.

Un controllo particolarmente importante riguarda la gestione delle violazioni dei dati personali. Un accesso abusivo, la diffusione accidentale di informazioni, la perdita di un archivio o un attacco ransomware possono integrare un data breach quando ricorrono i presupposti previsti dall’articolo 4, punto 12, del GDPR. L’azienda deve essere in grado di individuare tempestivamente l’incidente, ricostruire le categorie di dati coinvolti, valutare il rischio per gli interessati e documentare le decisioni adottate.

Ai sensi dell’articolo 33 GDPR, quando una violazione presenta un rischio per i diritti e le libertà delle persone fisiche, il titolare deve notificarla all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne viene a conoscenza. Se il rischio è elevato, può essere necessaria anche la comunicazione agli interessati, secondo l’articolo 34. Non tutti gli incidenti informatici comportano automaticamente questi obblighi, ma ogni evento che costituisce una violazione di dati personali deve essere valutato e documentato secondo la normativa.

Le carenze nella sicurezza del gestionale possono assumere rilievo anche in caso di reclami, richieste di informazioni o accertamenti del Garante per la protezione dei dati personali. L’autorità può esaminare le misure adottate, la documentazione disponibile, i rapporti con i fornitori e la capacità dell’impresa di dimostrare il rispetto degli obblighi applicabili. Le eventuali sanzioni dipendono dalla violazione accertata e dai criteri previsti dall’articolo 83 GDPR; non derivano automaticamente dalla semplice presenza di una vulnerabilità tecnica.

Per questo, un audit GDPR del software gestionale dovrebbe produrre una valutazione documentata delle criticità riscontrate, delle misure correttive necessarie e delle responsabilità operative. La verifica giuridica deve essere coordinata con quella informatica, perché un sistema tecnicamente protetto può presentare trattamenti non conformi e, viceversa, una documentazione formalmente completa non può compensare misure di sicurezza inadeguate.

Esempio pratico: un’azienda scopre criticità privacy nel proprio gestionale

Si consideri, a titolo esemplificativo, una società commerciale che utilizza da diversi anni un gestionale condiviso tra amministrazione, ufficio vendite e personale addetto alla gestione degli ordini. Il programma contiene anagrafiche dei clienti, documentazione contrattuale, dati dei fornitori e alcune informazioni relative ai dipendenti. Nel tempo il numero degli utenti è aumentato e il sistema è stato collegato a servizi esterni, senza una revisione complessiva delle autorizzazioni e dei rapporti contrattuali.

Durante una verifica interna emerge che alcuni dipendenti possono consultare informazioni estranee alle proprie mansioni e che il fornitore del software dispone di accessi tecnici al database, ma il contratto non disciplina adeguatamente il trattamento dei dati personali. La società non dispone inoltre di informazioni sufficienti sulle modalità di conservazione dei backup e sulla gestione degli accessi remoti.

In una situazione di questo tipo, l’intervento professionale dovrebbe partire dall’esame dei trattamenti effettuati attraverso il gestionale, delle configurazioni esistenti e della documentazione contrattuale. La questione più delicata consiste nel distinguere le carenze organizzative dalle eventuali violazioni già verificatesi, evitando di considerare ogni irregolarità come un data breach.

La riorganizzazione potrebbe prevedere la revisione dei profili di accesso, la regolamentazione degli interventi del fornitore, l’aggiornamento della documentazione privacy e la definizione di procedure per la gestione degli incidenti. Le modifiche dovrebbero essere concordate con i responsabili aziendali e con il personale tecnico, verificandone successivamente l’effettiva applicazione. L’obiettivo è rendere il trattamento dei dati coerente con le esigenze operative dell’impresa e con gli obblighi previsti dal GDPR, senza presumere che la sola sostituzione del programma risolva ogni criticità.

Software gestionale e GDPR: le domande più frequenti delle aziende

Un software gestionale dichiarato conforme al GDPR dal produttore è sufficiente per essere in regola?

No. La dichiarazione del produttore può rappresentare un elemento utile nella valutazione del software, ma non dimostra automaticamente la conformità dei trattamenti effettuati dall’azienda. Occorre verificare le configurazioni adottate, le autorizzazioni degli utenti, le finalità del trattamento, le misure di sicurezza e gli eventuali rapporti con fornitori esterni. La responsabilità del titolare del trattamento non viene meno per il solo fatto di utilizzare un programma commercializzato come conforme al GDPR.

Il fornitore del software gestionale deve sempre essere nominato responsabile del trattamento?

No. La designazione ai sensi dell’articolo 28 GDPR è necessaria quando il fornitore tratta dati personali per conto dell’azienda, secondo le caratteristiche concrete del rapporto. Può essere il caso di un servizio cloud che ospita le informazioni oppure di un’assistenza tecnica che comporta l’accesso ai dati personali. Se il produttore si limita a vendere un programma senza effettuare trattamenti per conto dell’impresa, la designazione potrebbe non essere necessaria. La qualificazione deve essere verificata prima di predisporre il relativo accordo.

Un’azienda può continuare a utilizzare un gestionale vecchio che non riceve aggiornamenti?

Non esiste un divieto generale di utilizzare software datati. L’azienda deve però verificare se il programma consenta ancora di assicurare un livello di sicurezza adeguato ai rischi, come richiesto dall’articolo 32 GDPR. L’assenza di aggiornamenti, la presenza di vulnerabilità conosciute o l’impossibilità di limitare gli accessi possono rendere necessario adottare misure compensative oppure valutare la sostituzione del sistema. La decisione deve basarsi su un’analisi documentata delle condizioni effettive di utilizzo.

È obbligatorio effettuare una DPIA quando si introduce un nuovo software gestionale?

Non automaticamente. La valutazione d’impatto sulla protezione dei dati è richiesta dall’articolo 35 GDPR quando il trattamento, considerate le sue caratteristiche, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. L’introduzione di un gestionale che tratta dati ordinari per attività amministrative non comporta necessariamente tale obbligo. La valutazione diventa particolarmente rilevante quando il sistema prevede trattamenti su larga scala di categorie particolari di dati, monitoraggi sistematici o altre operazioni potenzialmente ad alto rischio.

Quanto costa verificare la conformità GDPR di un software gestionale aziendale?

Il costo dipende dalla complessità del sistema, dal numero di utenti, dalle categorie di dati trattati, dalle integrazioni con altri programmi e dall’eventuale presenza di fornitori cloud. Una verifica limitata al contratto con la software house richiede attività differenti rispetto a un audit che comprenda configurazioni, autorizzazioni, documentazione privacy e procedure di sicurezza. Prima di formulare un preventivo è quindi necessario individuare l’ambito dell’intervento e le criticità che l’azienda intende verificare.

Software gestionale e privacy aziendale: richiedi una valutazione legale della conformità GDPR

Se la tua azienda utilizza un software gestionale, sta valutando il passaggio a una piattaforma cloud oppure ha dubbi sulla sicurezza dei dati e sulle responsabilità del fornitore, è opportuno verificare che il sistema sia utilizzato nel rispetto del GDPR. Contratti incompleti, autorizzazioni eccessive, procedure non aggiornate e trattamenti non adeguatamente documentati possono esporre l’impresa a contestazioni e responsabilità che devono essere valutate in relazione alla situazione concreta.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi privacy, nell’esame dei rapporti con i fornitori tecnologici e nell’individuazione degli interventi giuridici e organizzativi necessari. Possiamo esaminare le caratteristiche del gestionale utilizzato, la documentazione disponibile e le eventuali criticità emerse, coordinando le verifiche legali con gli aspetti tecnici che richiedono competenze informatiche specifiche.

Se desideri verificare la conformità GDPR del software gestionale della tua impresa, richiedi una valutazione attraverso il modulo dedicato alla consulenza privacy e GDPR per aziende. Esamineremo la richiesta per individuare le questioni da approfondire e le possibili modalità di assistenza professionale.