Clienti, dipendenti, fornitori: ogni impresa tratta dati personali. Il GDPR chiede di dimostrare come.
Rendo l'adeguamento al Regolamento (UE) 2016/679 un insieme di documenti e abitudini sostenibili, proporzionati alla dimensione dell'impresa.
Quando le serve
- Non sa se informative, nomine e registro dei trattamenti sono aggiornati.
- Sta installando telecamere, sistemi di geolocalizzazione o nuovi software gestionali.
- Usa piattaforme cloud o strumenti di intelligenza artificiale con dati di clienti e dipendenti.
- Ha subito una perdita di dati, un attacco informatico o il furto di un dispositivo.
- Un cliente importante le chiede garanzie sul trattamento dei dati prima di firmare.
Cosa faccio
- Check-up GDPR: mappo i trattamenti, i flussi di dati e i fornitori coinvolti e individuo cosa manca.
- Documentazione: registro dei trattamenti (art. 30), informative (artt. 13 e 14), nomine dei responsabili esterni (art. 28), autorizzazioni e istruzioni al personale.
- Valutazioni d'impatto (DPIA, art. 35) quando il trattamento presenta rischi elevati.
- Videosorveglianza e controlli a distanza, coordinando le regole privacy con quelle dello Statuto dei lavoratori.
- Data breach: procedura interna, valutazione dell'evento e notifica al Garante quando dovuta.
- Formazione del personale e verifiche periodiche.
Domande frequenti
Entro quanto va notificato un data breach?
Il titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile che presenti un rischio per i diritti delle persone (art. 33 GDPR). Per questo è utile avere una procedura pronta prima che accada.
Quali sanzioni rischia un'impresa?
Il GDPR prevede sanzioni amministrative che, per le violazioni più gravi, arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore (art. 83). A queste si aggiungono le richieste di risarcimento degli interessati.
Serve sempre il DPO?
No. Il Responsabile della protezione dei dati è obbligatorio solo in alcuni casi, ad esempio quando l'attività principale comporta il monitoraggio regolare e sistematico di persone su larga scala o il trattamento su larga scala di categorie particolari di dati (art. 37). Lo verifichiamo nel check-up.
Bastano i moduli scaricati da internet?
Raramente. Un'informativa deve descrivere i trattamenti effettivi dell'impresa: un modello generico può risultare incompleto o non veritiero, ed è proprio questo che emerge in caso di controllo.
Sa a che punto è la sua impresa con il GDPR?
In 20 minuti facciamo il punto sulla documentazione esistente e sulle priorità.