- PMI e Grandi Imprese · Tutta Italia
Consulenza GDPR e privacy: proteggere i dati aziendali è un obbligo di legge e un vantaggio competitivo
Affianchiamo PMI e grandi aziende in tutta Italia nell’adeguamento al GDPR e nella gestione continuativa della compliance privacy: dalla mappatura dei trattamenti alla redazione della documentazione, dalla nomina del DPO esterno alla formazione del personale, dalla gestione dei data breach all’implementazione di un sistema di governance dei dati che funzioni davvero, non sulla carta, ma nella vita operativa quotidiana dell’azienda.
- Cosa costruiamo
- Adeguamento · DPO esterno · Data breach
- Per chi
- PMI e grandi imprese · Italia
- Approccio
- Reg. UE 679/2016
Assessment GDPR · Non impegna a nulla
Richiedi un assessment GDPR
Raccontaci la tua situazione: capiamo insieme dove sono i gap più urgenti e da dove partire.
- Primo confronto gratuito e senza impegno
- Risposta entro 1 giorno lavorativo
Il quadro normativo
Che cos'è il GDPR e a chi si applica
Ogni giorno la tua azienda raccoglie, elabora e conserva dati personali: dati di clienti, dipendenti, fornitori, candidati, visitatori del sito web. Lo fa perché è necessario per operare, ma lo fa con le procedure giuste? Con la documentazione richiesta dalla legge? Con i presidi tecnici e organizzativi che il Regolamento europeo impone?
Il GDPR (il Regolamento UE 679/2016 sulla protezione dei dati personali) è in vigore dal maggio 2018. Eppure la maggior parte delle PMI italiane non è ancora pienamente adeguata: informative incomplete, assenza del Registro dei Trattamenti, mancanza di accordi con i fornitori che trattano dati per conto dell’azienda, procedure di gestione dei data breach mai definite. Non è ignoranza: è la difficoltà di tradurre un regolamento europeo complesso in azioni concrete per un’azienda che ha cose più urgenti a cui pensare.
Il GDPR è il quadro normativo europeo sulla protezione dei dati personali. In vigore dal 25 maggio 2018, ha sostituito la precedente Direttiva 95/46/CE e il D.Lgs. 196/2003 (Codice Privacy italiano, parzialmente abrogato e in parte ancora vigente nelle parti non incompatibili con il Regolamento).
Il GDPR introduce un cambio di paradigma radicale rispetto alla normativa precedente: non è più sufficiente adempiere a obblighi formali previsti dalla legge (notifiche al Garante, autorizzazioni preventive) ma è necessario costruire un sistema organizzativo e documentale che dimostri concretamente la conformità al Regolamento. Questo principio, chiamato accountability, è il cuore del GDPR: non basta essere conformi, bisogna essere in grado di dimostrarlo.
A chi si applica il GDPR
Il GDPR si applica a qualsiasi organizzazione, pubblica o privata e di qualsiasi dimensione e settore, che tratti dati personali di persone fisiche residenti nell’Unione Europea. Non esiste una soglia dimensionale al di sotto della quale il Regolamento non si applica: anche una piccola impresa con due dipendenti e una lista di cento clienti tratta dati personali ed è soggetta al GDPR.
La portata del Regolamento è extra-territoriale: si applica anche alle organizzazioni con sede fuori dall’UE che offrono beni o servizi a persone nell’Unione o che monitorano il comportamento di persone che si trovano nel territorio europeo. Questo significa che qualsiasi azienda italiana che vende online, anche a clienti stranieri in Europa, o che utilizza strumenti digitali che raccolgono dati di utenti europei è pienamente soggetta al GDPR.
Titolare, responsabile e incaricato del trattamento
Il GDPR definisce con precisione i ruoli nella filiera del trattamento dei dati. Il titolare del trattamento è il soggetto, persona fisica o giuridica, che determina le finalità e i mezzi del trattamento: nella maggior parte dei casi, è l’azienda stessa. Il responsabile del trattamento è il soggetto esterno che tratta dati per conto del titolare: il fornitore di cloud, il software house, la società di elaborazione paghe, l’agenzia di marketing digitale. Il rapporto tra titolare e responsabile deve essere formalizzato in un accordo scritto, il Data Processing Agreement (DPA), che è uno degli adempimenti più frequentemente assenti nelle PMI italiane.
In breve
Il principio di accountability non basta essere conformi, bisogna dimostrarlo.
Il controllo di gestione significato, nella pratica aziendale, è questo: trasformare i dati grezz (ricavi, costi, ore lavorate, quantità prodotte) in informazioni utili per chi deve decidere. Un sistema di controllo ben progettato risponde in modo rapido e affidabile alle domande che contano.
Il rischio concreto
Le sanzioni del GDPR: cosa rischia un'azienda non conforme
Le sanzioni previste dal GDPR sono tra le più severe mai introdotte in un quadro normativo europeo rivolto alle imprese. Il legislatore ha voluto che fossero proporzionate, effettive e dissuasive (e lo sono).
Il doppio livello sanzionatorio
Fino a 10 milioni € o 2% del fatturato mondiale annuo (se superiore)
Per violazioni di natura più tecnica e procedurale, come la mancata tenuta del Registro dei Trattamenti, la mancata designazione del DPO quando obbligatorio, la violazione degli obblighi relativi ai responsabili del trattamento.
Fino a 20 milioni € o 4% del fatturato mondiale annuo (se superiore)
Per le violazioni più gravi, come il trattamento di dati in assenza di una base giuridica valida, la violazione dei diritti degli interessati, il trasferimento illecito di dati verso Paesi terzi, la violazione dei principi fondamentali del Regolamento.
Il criterio è il “whichever is higher”: la sanzione è la più alta tra l’importo fisso e la percentuale del fatturato. Questo meccanismo rende le sanzioni potenzialmente devastanti anche per aziende con ricavi significativi ma proporziona l’impatto alla dimensione dell’organizzazione.
Le sanzioni non sono solo economiche
Accanto alle sanzioni pecuniarie, il Garante per la Protezione dei Dati Personali dispone di un arsenale di misure correttive altrettanto impattanti: l’ammonimento formale, il limite o il divieto temporaneo di trattamento (che può bloccare attività operative critiche), l’ordine di cancellazione dei dati trattati illecitamente e la comunicazione pubblica della sanzione, con evidenti ricadute reputazionali.
A queste sanzioni si aggiungono le responsabilità civili: le persone fisiche i cui dati sono stati trattati in modo illecito possono agire in giudizio per il risarcimento del danno materiale e non materiale subito. In contesti di violazioni di massa (data breach che coinvolgono migliaia di clienti, ad esempio) il rischio di class action diventa concreto.
Il percorso
Cosa deve fare un'azienda per adeguarsi: la mappa degli adempimenti
L’adeguamento al GDPR non è un evento puntuale e un processo continuativo. Ma ha un punto di partenza preciso: la mappatura di ciò che l’azienda fa con i dati personali. Prima di produrre qualsiasi documento, prima di acquistare qualsiasi strumento tecnologico, bisogna capire esattamente quali dati si raccolgono, come si usano, dove si conservano e chi vi accede.
Gli adempimenti fondamentali che ogni azienda deve implementare possono essere raggruppati in quattro macro-aree: organizzativa, documentale, contrattuale e tecnica.
Area organizzativa
Definire chi è responsabile della protezione dei dati, quali figure interne trattano dati e con quali autorizzazioni, e come vengono prese le decisioni sul trattamento. Include la valutazione sull’eventuale nomina del DPO e la definizione di un sistema di autorizzazioni interne per il personale che accede ai dati.
Area documentale
Il cuore è il Registro delle Attività di Trattamento è obbligatorio per le organizzazioni con più di 250 dipendenti e, in pratica, necessario per tutte quelle con trattamenti non occasionali. A questo si aggiungono le informative, le policy interne, le procedure per i data breach e, nei casi a rischio elevato, la Valutazione d’Impatto sulla Protezione dei Dati (DPIA).
Area contrattuale
Formalizzare i rapporti con tutti i soggetti esterni che trattano dati per suo conto (i responsabili del trattamento) attraverso accordi scritti (DPA) che definiscano le istruzioni impartite, le misure di sicurezza richieste e le modalità di gestione degli incidenti. È uno degli adempimenti più diffusamente ignorati dalle PMI, e uno dei più sanzionati.
Area tecnica
Adozione di misure di sicurezza adeguate al rischio: dalla gestione degli accessi alla cifratura dei dati sensibili, dalla politica di backup e disaster recovery alla pseudonimizzazione dei dati, dalla gestione delle patch di sicurezza alla formazione del personale sulle minacce informatiche. Devono essere proporzionate alla natura e alla sensibilità dei dati trattati.
Il documento cardine
Il Registro delle Attività di Trattamento
Il Registro delle Attività di Trattamento, spesso chiamato semplicemente “Registro GDPR”, è il documento che descrive in modo sistematico tutti i trattamenti di dati personali effettuati dall’organizzazione. È lo strumento con cui il titolare del trattamento dimostra la propria accountability: la capacità di rendere conto di come, perché e con quali garanzie tratta i dati.
Cosa deve contenere il Registro
Per ciascuna attività di trattamento, il Registro deve indicare almeno: le finalità del trattamento (perché vengono raccolti quei dati), le categorie di dati trattati (dati comuni, dati particolari ai sensi dell’art. 9 GDPR, dati relativi a condanne penali), le categorie di interessati (clienti, dipendenti, fornitori, visitatori del sito), i destinatari dei dati (interni ed esterni), i trasferimenti verso Paesi terzi, i tempi di conservazione previsti e le misure di sicurezza adottate.
Il Registro non è un documento statico da compilare una volta e dimenticare: deve essere aggiornato ogni volta che cambia un trattamento, si introduce un nuovo strumento tecnologico, si modifica una finalità o cambia il perimetro dei destinatari. È un documento vivo e il Garante può richiederlo in qualsiasi momento.
Chi è obbligato a tenerlo
L’art. 30 GDPR stabilisce l’obbligo formale del Registro per le organizzazioni con almeno 250 dipendenti. Tuttavia, lo stesso articolo prevede che l’obbligo si estenda anche alle organizzazioni più piccole quando il trattamento non è occasionale, comporta rischi per i diritti e le libertà degli interessati o riguarda categorie particolari di dati (salute, dati biometrici, origine etnica, opinioni politiche, dati giudiziari). In pratica, qualsiasi azienda che tratta regolarmente dati di clienti, dipendenti o fornitori (ovvero qualsiasi azienda italiana) dovrebbe avere il Registro, indipendentemente dalle dimensioni.
I fondamenti del trattamento
Informative, consensi e basi giuridiche
Non tutti i dati personali si trattano allo stesso modo. Il GDPR richiede che ogni trattamento sia fondato su una base giuridica valida e che questa base giuridica sia comunicata chiaramente all’interessato attraverso un’informativa. Scegliere la base giuridica sbagliata o non comunicarla correttamente è una violazione sanzionabile, indipendentemente dall’intenzione.
Le basi giuridiche del trattamento
Il GDPR prevede sei basi giuridiche. Le più rilevanti per le aziende sono:
Il consenso dell'interessato
Libero, specifico, informato e inequivocabile. Non è la base più adatta per i trattamenti necessari all’esecuzione del contratto, ma è indispensabile per marketing diretto, profilazione e per alcuni utilizzi dei cookie.
L'esecuzione di un contratto
Per i trattamenti strettamente necessari a erogare il servizio o il prodotto che il cliente ha acquistato. Non serve il consenso per elaborare i dati necessari a spedire un ordine o a fatturare una prestazione.
L'adempimento di un obbligo legale
Per i trattamenti imposti dalla legge, come la conservazione dei dati fiscali o la comunicazione alle autorità.
Il legittimo interesse del titolare
Una base giuridica flessibile ma che richiede un bilanciamento formale tra gli interessi del titolare e i diritti dell’interessato. Usata male, è fonte di sanzioni.
Informative GDPR: cosa devono contenere
L’informativa è il documento con cui il titolare comunica all’interessato tutto ciò che il GDPR richiede: chi raccoglie i dati, per quali finalità, su quale base giuridica, per quanto tempo li conserva, a chi li comunica, se li trasferisce all’estero e quali sono i diritti dell’interessato. L’informativa deve essere redatta in linguaggio chiaro e comprensibile, non in legalese inaccessibile. Deve essere fornita prima della raccolta dei dati, non dopo, non in risposta a una richiesta.
Molte aziende hanno informative copiate da siti di terzi, incomplete, non aggiornate o incongruenti con i trattamenti effettivamente condotti. Questo è uno degli adempimenti che il Garante verifica con maggiore frequenza nelle ispezioni e nel trattamento dei reclami.
La catena del trattamento
I fornitori esterni e gli accordi DPA
Ogni azienda moderna tratta dati personali attraverso strumenti e servizi gestiti da terzi: il software CRM, la piattaforma di email marketing, il sistema di elaborazione delle paghe, i servizi cloud, l’agenzia che gestisce i social media, il consulente che accede ai dati dei dipendenti. Tutti questi soggetti sono, ai sensi del GDPR, responsabili del trattamento e il rapporto con ciascuno di essi deve essere formalizzato in un accordo scritto.
Cos'è il DPA (Data Processing Agreement)
Il Data Processing Agreement (accordo sul trattamento dei dati) è il contratto che il titolare del trattamento deve stipulare con ogni responsabile esterno prima che questo acceda ai dati personali. Il DPA deve definire le istruzioni impartite al responsabile, le finalità per cui può trattare i dati, le misure di sicurezza che deve adottare, le modalità di gestione dei data breach, le procedure per la cancellazione o la restituzione dei dati al termine del rapporto e le condizioni per l’eventuale sub-nomina di ulteriori responsabili.
L’assenza del DPA, o la presenza di un DPA inadeguato, è una violazione diretta dell’art. 28 GDPR e una delle situazioni sanzionatorie più frequentemente riscontrate dal Garante nelle ispezioni. Molte aziende hanno decine di fornitori che trattano dati per loro conto senza alcun accordo formalizzato.
Come gestiamo la mappatura e la formalizzazione dei responsabili
Il nostro approccio operativo
Nel nostro percorso di adeguamento GDPR, la mappatura e la formalizzazione dei responsabili del trattamento è una delle fasi più operative: identifichiamo tutti i fornitori che accedono a dati personali per conto dell’azienda, verifichiamo se dispongono già di clausole contrattuali adeguate (molti fornitori di software internazionali le includono nelle proprie condizioni generali) e, dove necessario, predisponiamo o negoziamo i DPA mancanti.
La figura chiave
Il Data Protection Officer: quando è obbligatorio e quando è utile
Il Data Protection Officer (Responsabile della Protezione dei Dati nella terminologia italiana) è la figura prevista dal GDPR con il compito di monitorare la conformità al Regolamento, fornire consulenza interna, formare il personale e fare da punto di contatto con il Garante per la Protezione dei Dati Personali.
Quando la nomina del DPO è obbligatoria
L’art. 37 GDPR rende obbligatoria la nomina del DPO in tre casi:
Per le autorità e gli organismi pubblici;
Per i titolari che effettuano trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala (es. aziende di telecomunicazioni, piattaforme digitali, operatori sanitari);
Per i titolari che trattano su larga scala categorie particolari di dati (dati sulla salute, dati biometrici, dati genetici, dati relativi a condanne penali).
Per le aziende che non rientrano in queste categorie, la nomina del DPO è facoltativa, ma può essere fortemente opportuna in funzione del volume e della sensibilità dei dati trattati.
Il DPO esterno: caratteristiche e vantaggi
Il GDPR consente esplicitamente che il DPO sia un soggetto esterno all’organizzazione, un consulente o una società di consulenza, purché abbia le competenze necessarie e possa operare in modo indipendente. Il DPO esterno presenta vantaggi concreti rispetto alla soluzione interna: maggiore indipendenza rispetto alle dinamiche aziendali, competenza specialistica aggiornata sulle evoluzioni normative e giurisprudenziali, e un costo proporzionato rispetto a una risorsa dedicata a tempo pieno.
Il DPO non deve essere un avvocato per forza ma deve avere una conoscenza approfondita della normativa sulla protezione dei dati e delle pratiche di sicurezza informatica. Non può essere il responsabile IT, il legale dell’azienda o chiunque altro che si trovi in una posizione di conflitto di interessi rispetto ai trattamenti che deve vigilare.
Offriamo il servizio di DPO esterno per aziende di qualsiasi dimensione: un professionista dedicato che svolge tutte le funzioni previste dal GDPR, partecipa alle riunioni rilevanti, risponde alle richieste del Garante e degli interessati, e mantiene aggiornata la documentazione di compliance. Il costo del servizio è parametrato al volume e alla complessità dei trattamenti dell’azienda.
La gestione delle crisi
Data breach: come gestire una violazione dei dati
Un data breach è qualsiasi violazione della sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso non autorizzato a dati personali trasmessi, conservati o altrimenti trattati. Non è solo la violazione informatica, anche la perdita di un laptop non cifrato con dati di clienti, l’invio di una email al destinatario sbagliato o il furto di documenti cartacei contenenti dati personali costituiscono data breach.
Gli obblighi di notifica
72 ore
Il GDPR impone al titolare del trattamento di notificare il data breach al Garante entro 72 ore dalla scoperta, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. L’obbligo di notifica all’autorità non dipende dall’entità della violazione: anche un piccolo incidente deve essere valutato rispetto a questa soglia, e la valutazione deve essere documentata.
Se il data breach è suscettibile di presentare un rischio elevato per i diritti e le libertà degli interessati, il titolare deve anche comunicarlo direttamente agli interessati coinvolti, senza ingiustificato ritardo. Questa comunicazione deve spiegare in linguaggio chiaro cosa è successo, quali dati sono stati coinvolti e cosa l’azienda sta facendo per rimediare.
Perché la procedura di gestione dei breach è fondamentale
Il Garante valuta molto attentamente la tempestività e l’adeguatezza della risposta al data breach. Un’azienda che ha un incidente ma lo gestisce in modo rapido, documentato e trasparente può ricevere sanzioni significativamente inferiori rispetto a una che lo nasconde, lo scopre in ritardo perché non ha sistemi di monitoraggio adeguati o lo notifica con informazioni incomplete.
Costruiamo per ogni azienda una procedura di gestione dei data breach: chi deve essere avvertito internamente, come si valuta il livello di rischio, come si redige la notifica al Garante, cosa comunicare agli interessati e come si documenta l’intero processo per finalità di accountability.
Il principio guida
Privacy by design e privacy by default
Due dei principi più innovativi introdotti dal GDPR sono la privacy by design e la privacy by default. Non sono adempimenti da spuntare su una lista: sono un approccio culturale e metodologico alla gestione dei dati.
Privacy by design
Le misure di protezione dei dati devono essere integrate nella progettazione dei sistemi, dei processi e dei prodotti fin dall’inizio, non aggiunte come ripensamento successivo. Quando si sviluppa un nuovo software, si progetta un nuovo processo di vendita, si implementa un sistema di fidelizzazione clienti, la protezione dei dati deve essere considerata nelle scelte progettuali, non gestita dopo. Questo principio impatta direttamente il modo in cui le aziende collaborano con i propri fornitori tecnologici e gestiscono i progetti di innovazione digitale.
Privacy by default
Per impostazione predefinita, l’azienda deve trattare solo i dati strettamente necessari per ciascuna finalità. Non raccogliere più dati di quanti ne servano, non conservarli più a lungo del necessario, non condividerli con più soggetti del necessario. È il principio di minimizzazione applicato operativamente: ogni scelta di raccolta e trattamento deve essere giustificata da una necessità reale, non da una comodità o da un’abitudine.
I diritti delle persone
I diritti degli interessati e come gestirli in azienda
Il GDPR ha significativamente ampliato i diritti che le persone fisiche possono esercitare nei confronti dei titolari del trattamento. Ogni azienda deve essere in grado di rispondere a queste richieste in modo tempestivo e documentato; il Regolamento prevede in genere un termine di un mese, prorogabile di ulteriori due mesi in casi di particolare complessità.
I principali diritti previsti dal GDPR
Diritto di accesso (art. 15)
L'interessato può chiedere conferma del trattamento e ottenere una copia dei dati personali trattati. Rispondere richiede di sapere con precisione quali dati si possiedono, e dove si trovano.
Diritto di rettifica (art. 16)
L'interessato può chiedere la correzione di dati inesatti o il completamento di dati incompleti.
Diritto alla cancellazione o "diritto all'oblio" (art. 17)
In determinati casi, l'interessato può chiedere la cancellazione dei propri dati. Non è un diritto assoluto, esistono eccezioni per gli obblighi legali di conservazione, ma deve essere gestito con attenzione.
Diritto di opposizione (art. 21)
L'interessato può opporsi al trattamento dei propri dati per finalità di marketing diretto. L'opposizione al marketing diretto non richiede motivazione e deve essere accettata immediatamente.
Diritto alla portabilità (art. 20)
L'interessato può richiedere i propri dati in un formato strutturato, di uso comune e leggibile automaticamente per trasferirli ad un altro titolare.
Come strutturare la gestione delle richieste degli interessati
Ricevere una richiesta di esercizio dei diritti e non sapere come rispondere, o rispondere in modo tardivo o incompleto, è una violazione sanzionabile dal Garante. Aiutiamo le aziende a strutturare un processo chiaro per la ricezione, la valutazione e la risposta alle richieste degli interessati: chi le riceve, chi le istruttoria, entro quali termini si risponde e come si documenta l’intero iter.
Il nostro metodo
Come lavoriamo: il nostro metodo di consulenza GDPR
L’adeguamento al GDPR non è un pacchetto standard: è un percorso che parte dalla situazione reale dell’azienda e costruisce, passo dopo passo, un sistema di compliance che funziona nella vita operativa quotidiana. Ecco come lavoriamo.
01
Assessment iniziale
Analizziamo la situazione attuale dell’azienda: quali dati tratta, con quali strumenti, con quali finalità, con quali fornitori. Identifichiamo i gap rispetto ai requisiti del GDPR e costruiamo una priorità di intervento.
02
Mappatura dei trattamenti
Costruiamo una mappa dettagliata di tutti i trattamenti di dati personali: categorie di dati, interessati coinvolti, finalità, basi giuridiche, tempi di conservazione, destinatari, misure di sicurezza. È la base del Registro delle Attività di Trattamento.
03
Redazione del Registro delle Attività di Trattamento
Produciamo il documento nella forma e con i contenuti richiesti dal GDPR, specifico per i trattamenti effettivi dell’azienda, non un template generico.
04
Revisione e redazione delle informative
Analizziamo le informative esistenti e le integriamo o riscriviamo dove necessario: sito web, clienti, dipendenti, candidati, fornitori, videosorveglianza, newsletter.
05
Mappatura e formalizzazione dei responsabili del trattamento
Identifichiamo tutti i fornitori esterni che trattano dati per conto dell’azienda e predisponiamo o verifichiamo i DPA (Data Processing Agreement) necessari.
06
Valutazione sull'obbligo di nomina del DPO
Sulla base dei trattamenti mappati, valutiamo se sussiste l’obbligo di nomina del DPO e, dove appropriato, proponiamo il servizio di DPO esterno.
07
Definizione delle procedure operative
Procedure per la gestione dei data breach, per la risposta alle richieste degli interessati, per la valutazione d’impatto (DPIA) e per la revisione periodica del sistema.
08
Formazione del personale
Sessioni di formazione per il personale che tratta dati, differenziate per ruolo: chi accede a quali dati, quali comportamenti sono vietati, come si gestisce una richiesta di un cliente, come si segnala un possibile data breach.
09
Monitoraggio e aggiornamento periodico
La compliance GDPR non è un punto di arrivo. Affianchiamo le aziende nell’aggiornamento della documentazione al variare dei trattamenti e nelle verifiche periodiche del sistema.
Il sistema compliance
GDPR e gli altri presidi di compliance: come si integrano
La protezione dei dati personali non è un’isola. Si interseca, spesso in modo stretto e operativo, con tutti gli altri ambiti della compliance aziendale. Una gestione frammentata, con consulenti diversi che non si parlano, produce inevitabilmente incoerenze tra i presidi e vulnerabilità non presidiate.
Modello 231 e anticorruzione
I reati informatici (accesso abusivo a sistemi informatici, intercettazione illecita di comunicazioni, danneggiamento di dati e sistemi) sono reati presupposto del D.Lgs. 231/2001. Un’azienda con un sistema di gestione dei dati carente espone sia sé stessa sia i propri fornitori al rischio di violazioni che ricadono nell’ambito della responsabilità degli enti. I protocolli di sicurezza informatica del Modello 231 devono essere coerenti con le misure tecniche e organizzative adottate ai sensi del GDPR, e costruirli insieme elimina ridondanze e colma lacune.
Adeguati assetti organizzativi
Il Codice della Crisi d’Impresa impone adeguati assetti organizzativi, amministrativi e contabili. La governance dei dati personali è parte di questi assetti: un’azienda priva di procedure documentate per la gestione dei dati, procedure che il GDPR impone, non ha assetti organizzativi pienamente adeguati ai sensi dell’art. 2086 c.c. Le due compliance si rafforzano reciprocamente quando sono gestite in modo coordinato.
Whistleblowing
Il canale di whistleblowing tratta inevitabilmente dati personali sensibili: l’identità del segnalante (da proteggere), l’identità dei soggetti segnalati (da proteggere con altrettanta cura), i contenuti della segnalazione. Il sistema di whistleblowing deve rispettare il GDPR per quanto riguarda le basi giuridiche del trattamento, le informative da fornire ai segnalanti e ai segnalati, i tempi di conservazione delle segnalazioni e le misure di sicurezza della piattaforma.
Parità di genere UNI/PdR 125
Il percorso di certificazione di parità di genere UNI/PdR 125 richiede la raccolta e l’analisi di dati disaggregati per genere relativi ai dipendenti: retribuzioni, progressioni di carriera, accesso alla formazione, utilizzo dei congedi parentali. Si tratta di dati personali che devono essere trattati nel rispetto del GDPR, con una base giuridica adeguata, informative aggiornate e misure di sicurezza proporzionate.
Report di sostenibilità ESG
La rendicontazione ESG richiede la raccolta di dati su dipendenti, fornitori e impatti sociali, dati che spesso includono informazioni personali. Il bilancio di sostenibilità deve essere costruito su dati raccolti in conformità al GDPR. Ma c’è anche una connessione inversa: la qualità della governance dei dati (le pratiche con cui l’azienda gestisce le informazioni personali) è un indicatore ESG di governance (pilastro G) sempre più monitorato da investitori e agenzie di rating.
Domande frequenti
Domande sulla consulenza GDPR e privacy
Che cos'è un consulente privacy e cosa fa?
Un consulente privacy, o consulente GDPR, è il professionista che affianca l’azienda nel processo di adeguamento al Regolamento europeo sulla protezione dei dati. In concreto, analizza i trattamenti di dati effettuati dall’azienda, identifica i gap di conformità, produce o revisiona la documentazione richiesta (Registro dei Trattamenti, informative, DPA, procedure operative), forma il personale e monitora l’evoluzione normativa. A differenza del DPO, che ha un ruolo di vigilanza e indipendenza definito dal GDPR, il consulente privacy è un fornitore esterno che lavora su mandato dell’azienda.
Qual è la differenza tra DPO e consulente privacy?
Il consulente privacy aiuta l’azienda ad adeguarsi al GDPR: è un fornitore di servizi, lavora su incarico e produce risultati concreti (documenti, procedure, formazione). Il DPO (Data Protection Officer) è invece una figura con funzioni e requisiti specificamente definiti dal GDPR: vigila sulla conformità, informa e consiglia il titolare, coopera con il Garante e fa da punto di contatto con l’autorità. Il DPO deve operare in modo indipendente e non può ricevere istruzioni nello svolgimento delle proprie funzioni. Un professionista può svolgere entrambi i ruoli (come nel servizio di DPO esterno che offriamo) ma le due funzioni sono concettualmente distinte.
Quali aziende sono obbligate a nominare un DPO?
La nomina del DPO è obbligatoria per le autorità e gli organismi pubblici, per i titolari che effettuano monitoraggio regolare e sistematico degli interessati su larga scala (es. piattaforme digitali, operatori di telecomunicazioni) e per chi tratta su larga scala categorie particolari di dati (dati sulla salute, biometrici, genetici, giudiziari). Per le aziende private di dimensioni medie (la maggior parte delle PMI italiane) la nomina non è obbligatoria, ma può essere fortemente opportuna in funzione del volume e della sensibilità dei dati trattati.
Cosa deve fare un'azienda per adeguarsi al GDPR?
L’adeguamento al GDPR richiede interventi su più fronti: mappatura di tutti i trattamenti di dati personali, redazione del Registro delle Attività di Trattamento, revisione delle informative e gestione delle basi giuridiche, formalizzazione dei rapporti con i fornitori che trattano dati per conto dell’azienda (DPA), valutazione sull’obbligo di nomina del DPO, implementazione di misure di sicurezza adeguate e definizione di procedure per la gestione dei data breach e delle richieste degli interessati. L’adeguamento non è un evento puntuale ma un processo continuativo.
Chi svolge i controlli in materia di privacy?
In Italia, l’autorità di controllo in materia di protezione dei dati è il Garante per la Protezione dei Dati Personali. Il Garante può avviare procedimenti d’ufficio, in seguito a reclami di interessati o a segnalazioni, e può effettuare ispezioni sia documentali sia presso la sede dell’azienda. In ambito europeo, le autorità di controllo dei diversi Paesi membri collaborano attraverso il Comitato europeo per la protezione dei dati (EDPB) per garantire un’applicazione coerente del GDPR.
Quanto costa non essere conformi al GDPR?
Le sanzioni amministrative pecuniarie del GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo per le violazioni più gravi, il criterio è il valore più alto tra i due. A queste si aggiungono le sanzioni accessorie (limitazione o divieto di trattamento, ordine di cancellazione) e le possibili azioni civili degli interessati per risarcimento del danno. Il costo reale di una non conformità non è solo sanzionatorio: include i costi di gestione della crisi, i danni reputazionali e le ricadute sui rapporti commerciali e bancari.
Il passo successivo
Iniziamo dalla mappatura dei tuoi trattamenti
Non esiste adeguamento GDPR senza sapere esattamente quali dati l’azienda tratta, come e perché. Un assessment iniziale, che svolgiamo in modo rapido e non invasivo, permette di capire in pochi giorni qual è il reale stato di conformità della tua azienda, dove sono i gap più urgenti e quale sequenza di interventi produce il maggiore impatto nel minor tempo. Non vendiamo pacchetti standard. Costruiamo sistemi di compliance privacy che funzionano nella vita reale dell’azienda, non solo sulla carta, e che possono essere mantenuti nel tempo senza dipendenza continuativa dalla consulenza.