Privacy e Data Protection per le imprese: dalla documentazione ai processi reali

Sì, nella misura in cui tratta dati personali: quelli di dipendenti, candidati, clienti, fornitori o utenti rientrano nel GDPR anche in un’organizzazione piccola. Cambia la proporzione, non il principio: per una PMI l’assetto può essere più snello. Per le organizzazioni più piccole alcuni obblighi prevedono esenzioni o regole specifiche, che devono comunque essere verificate sui trattamenti effettivi e sulle condizioni previste dal GDPR.

Non necessariamente. Informative e nomine sono parti del sistema, ma hanno valore se corrispondono ai trattamenti effettivi, ai ruoli reali e alle procedure con cui l’impresa lavora. Una verifica di coerenza tra documenti e processi è di solito il primo passo utile: mostra che cosa è ancora corretto, che cosa è obsoleto e che cosa manca.

Non c’è una scadenza fissa uguale per tutti. La documentazione va rivista quando cambia ciò che descrive (nuovi software o fornitori, nuove finalità, cambiamenti organizzativi, nuove categorie di dati) e, in ogni caso, periodicamente, per verificare che continui a corrispondere alla realtà. È una conseguenza del principio di responsabilizzazione (accountability) del titolare del trattamento.

Quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, secondo i criteri del GDPR e le indicazioni delle autorità. Non è richiesta per ogni trattamento e non esistono automatismi: si valuta caso per caso, considerando natura, ambito, contesto e finalità del trattamento. Se ne ricorrono i presupposti, la valutazione va condotta prima di avviare il trattamento e deve partire dal processo reale, non da un modulo compilato in astratto.

Anzitutto ricostruire i fatti: che cosa è successo, quali dati e quante persone sono coinvolti, quali conseguenze possono derivarne e quali misure sono già state adottate. Su questa base si valuta il rischio per le persone e si decide se ricorrano gli obblighi di notifica all’autorità (in linea generale senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza) o di comunicazione agli interessati. La valutazione va documentata anche quando si conclude che non occorre notificare. Una procedura definita prima dell’incidente rende queste decisioni molto più rapide.

Il titolare deve riscontrare la richiesta senza ingiustificato ritardo e, in linea generale, entro un mese dal ricevimento, con possibilità di proroga nei casi complessi previsti dal GDPR. In pratica occorre riconoscere la richiesta come tale, verificare l’identità di chi la presenta, individuare i dati nei diversi sistemi, valutare eventuali limiti (per esempio i diritti di terzi) e documentare la risposta. Una procedura interna evita di improvvisare ogni volta e di far dipendere l’esito da chi riceve la richiesta.

Quali dati saranno trattati e per quali finalità; quale ruolo privacy assume il fornitore (per esempio responsabile del trattamento); che cosa prevede il contratto o il DPA, compresi eventuali sub-fornitori; dove si trovano i dati e se sono previsti trasferimenti verso Paesi terzi; quali misure di sicurezza sono garantite; se il trattamento richiede una DPIA. È preferibile fare queste verifiche prima dell’attivazione del servizio, quando le condizioni contrattuali sono ancora negoziabili.

Sì. Oltre agli interventi puntuali (una verifica di coerenza, un contratto con un fornitore, una valutazione), lo Studio può affiancare l’impresa in modo continuativo: aggiornamento della documentazione, analisi di nuovi fornitori e progetti, gestione di richieste ed eventi. Il formato si definisce in base a dimensioni, settore ed esigenze dell’organizzazione.