Da quando il GDPR (Regolamento UE 2016/679) è diventato efficace dal 25 maggio 2018, ogni azienda che tratta dati personali — clienti, fornitori, collaboratori — deve rispettare regole precise per garantire la privacy. Questo articolo è pensato per essere comprensibile anche a chi non ha familiarità con la tecnologia e i termini tecnici: ti guida, passo dopo passo, nelle azioni pratiche da compiere in azienda per essere in regola.

1. Cosa significa “trattare dati personali” ===========================================

Trattare dati personali significa ogni operazione che utilizza o gestisce informazioni che riguardano una persona fisica: ad esempio registrare, conservare, modificare, inviare, cancellare o archiviare dati che la identificano (nome, cognome, indirizzo, telefono, email, codice fiscale, ecc.). Anche una semplice rubrica clienti o un elenco fornitori rientrano in questi trattamenti. Quindi, ogni volta che in azienda maneggi queste informazioni, rientri nel campo d’applicazione del GDPR.

1. Nominare un referente per la privacy (o DPO quando serve) ============================================================

Non serve essere esperti informatici: l’importante è che ci sia una persona responsabile in azienda che coordini, controlli lo stato delle procedure e mantenga aggiornata la conformità. In alcuni casi il GDPR prevede la nomina di un Data Protection Officer (DPO) — ad esempio se l’attività principale dell’azienda consiste in trattamenti che richiedono un monitoraggio regolare su larga scala o se si trattano dati “sensibili” su vasta scala. Ma per molte piccole e medie imprese questa nomina non è obbligatoria, anche se può essere utile avere una figura dedicata.

1. Inventario dei trattamenti (mappatura) =========================================

Questa fase è cruciale: significa fare un elenco chiaro e completo di tutto ciò che fai con i dati in azienda. Per ogni trattamento che svolgi, annota:

• scopo (perché raccogli quei dati);
• tipologie di dati (nome, indirizzo, email, telefono, dati bancari…);
• categorie di persone interessate (clienti, fornitori, dipendenti…);
• modalità e luogo di conservazione (cartaceo, computer, server, cloud…);
• chi accede (interni, esterni);
• durata della conservazione;
• eventuali trasferimenti internazionali;
• precauzioni già in uso (password, backup, protezioni, controlli accessi).

Questa mappatura serve come base per capire dove intervenire, dove ci sono rischi e quali trattamenti sono più critici.

1. Registro delle attività di trattamento (art. 30 GDPR) ========================================================

A partire dalla mappatura, crea un registro scritto delle attività di trattamento che l’azienda svolge. Anche se in alcuni casi (per imprese molto piccole o trattamenti occasionali) non è obbligatorio, è fortemente consigliato per mantenere ordine e poter dimostrare che l’azienda opera in modo trasparente.

Nel registro dovresti inclure almeno:

• nome e contatti del titolare del trattamento e del referente privacy;
• finalità del trattamento (perché raccogli i dati);
• categorie di interessati (clienti, fornitori, dipendenti…);
• categorie di dati trattati (identificativi, sensibili…);
• soggetti o categorie a cui comunichi i dati;
• trasferimenti verso Paesi extra UE;
• tempi di conservazione;
• descrizione delle misure tecniche e organizzative adottate per garantire la sicurezza.

Ricorda: ogni modifica (es. nuovi destinatari, cambi nei tempi, nuove modalità) deve essere annotata e il registro aggiornato.

1. Base giuridica dei trattamenti e consenso ============================================

Ogni operazione che fai sui dati deve avere un fondamento giuridico (ai sensi dell’art. 6 GDPR). Le basi più comuni sono:

• esecuzione di un contratto;
• obbligo legale;
• interesse legittimo;
• consenso;
• altre basi nei casi speciali (salute, ordine pubblico, ecc.).

Se usi il consenso (ad esempio per inviare newsletter o fare attività di marketing), devi:

• spiegare in modo semplice chi sei, perché chiedi i dati, cosa farai con quei dati e come si revoca il consenso;
• fare in modo che la persona possa ritirare il consenso con facilità (ad esempio un link “cancella” nelle email);
• conservare traccia del consenso (data, modalità, informazioni date).

Il consenso non può essere richiesto come condizione obbligatoria se non è strettamente necessario.

1. Informativa agli interessati (artt. 13 e 14 GDPR) ====================================================

Ogni volta che raccogli dati, direttamente o indirettamente, devi fornire un’informativa chiara e trasparente. Deve indicare:

• chi è il titolare del trattamento (la tua azienda);
• per quali finalità utilizzerai i dati;
• quale base giuridica usi;
• a chi comunicherai quei dati;
• se il dato può essere trasferito fuori dall’UE;
• per quanto tempo conserverai i dati;
• i diritti della persona (accesso, rettifica, cancellazione, opposizione, portabilità, ecc.);
• come esercitare quei diritti (indirizzo, email, modulo).

L’informativa deve essere consegnata al momento della raccolta o, se non è possibile, entro un tempo ragionevole successivo.

1. Misure di sicurezza (art. 32 GDPR) =====================================

Proteggere i dati non è facoltativo: è un obbligo. Le misure di sicurezza devono essere adeguate alla natura, al contesto e al rischio associato al trattamento.

Alcune delle misure che spesso sono indispensabili:

• uso di password robuste e cambio periodico;
• limitazione degli accessi solo a chi ne ha bisogno;
• cifratura dei dati sensibili dove possibile;
• backup regolari e sicuri;
• aggiornamenti costanti di software, sistemi operativi;
• antivirus, firewall, misure di difesa da attacchi;
• verifica dell’affidabilità dei fornitori esterni (hosting, cloud, software);
• procedure chiare da attuare in caso di incidenti.

Ogni misura adottata deve essere documentata e rivista periodicamente.

1. Valutazione d’impatto (DPIA) quando necessaria (art. 35 GDPR) ================================================================

In alcuni casi, se un trattamento può comportare rischi elevati per i diritti e le libertà delle persone, è obbligatorio fare una valutazione d’impatto (DPIA). Esempi: profilazione su larga scala, uso di tecnologie biometriche, sorveglianza diffusa, trattamento massiccio di dati sensibili.

La DPIA deve descrivere le operazioni da compiere, valutare i rischi, proporre misure per mitigare quei rischi e, se necessario, consultare gli interessati o l’Autorità. Se non operi in contesti a rischio elevato, spesso la DPIA non è obbligatoria.

1. Contratti con soggetti esterni (art. 28 GDPR) ================================================

Se affidi dati personali a fornitori esterni (hosting, software, newsletter, consulenti), devi stipulare contratti scritti che definiscano:

• che il fornitore agisce su tuo incarico;
• che il fornitore segua le tue istruzioni;
• obblighi di sicurezza che il fornitore deve rispettare;
• divieto di usare i dati per scopi propri;
• regole su eventuali sub-responsabili (subappalti).

1. Gestione dei diritti delle persone (artt. 16-21 GDPR) =========================================================

Occorre predisporre procedure per rispondere alle richieste delle persone in materia di privacy. Tra i diritti più utilizzati:

• Accesso: sapere quali dati possiedi;
• Rettifica: correggere dati errati;
• Cancellazione / diritto all’oblio: far cancellare dati non più necessari o se il consenso viene ritirato;
• Limitazione del trattamento: chiedere che il dato non sia più usato per alcune finalità;
• Opposizione: revocare il consenso per uso marketing;
• Portabilità: ottenere i dati in formato leggibile e trasferirli;
• Decisioni automatizzate: richiedere che non ci siano decisioni solo automatiche senza intervento umano.

Devi rispondere entro un termine (di solito un mese) e conservare traccia delle richieste e delle risposte.

1. Prepararsi alle violazioni dati (data breach) (artt. 33-34 GDPR) ====================================================================

Anche con le migliori precauzioni può accadere un incidente: un computer rubato, un attacco informatico, una chiavetta smarrita. Per questo serve una procedura pronta che preveda:

1. individuare e riconoscere la violazione;
2. valutarne l’impatto sui diritti delle persone;
3. contenere il danno (isolare sistemi, cambiare accessi, bloccare l’accesso);
4. notificare il Garante entro 72 ore se il rischio è significativo, con informazioni sull’evento, dati coinvolti, numero di persone, misure correttive;
5. informare gli interessati se il danno può essere grave per i loro diritti.

Prepararsi in anticipo è fondamentale per reagire rapidamente.

1. Formazione del personale ============================

Il fattore umano è spesso il punto più debole: per questo:

• organizza sessioni formative per dipendenti, collaboratori, incaricati;
• spiega comportamenti corretti: non aprire link sospetti, non salvare file sensibili su dispositivi non protetti, usare password sicure, bloccare lo schermo quando non si è presenti;
• aggiorna la formazione periodicamente;
• fa comprendere che la privacy non è solo obbligo legale, ma è un valore aziendale che rafforza la fiducia di clienti e partner.

1. Controllo, verifica e aggiornamento continuo ================================================

Non basta predisporre procedure una volta: bisogna mantenerle e migliorarle nel tempo. Le attività da fare includono:

• verificare che le procedure siano effettivamente seguite;
• fare audit interni, simulazioni, test (es. “cosa accade se un computer contenente dati viene perso?”);
• rivedere le misure quando cambiano i processi, le tecnologie o il contesto aziendale;
• documentare ogni modifica, decisione o revisione, così da poter dimostrare che hai agito con diligenza.

Conclusione

Adeguarsi al GDPR non è facile, ma non è un’impresa impossibile: richiede passi ordinati, attenzione e documentazione. Seguendo questa guida puoi mettere in ordine nei processi aziendali, proteggere i dati, mostrare che agisci con trasparenza, rispondere alle richieste delle persone e avere procedure pronte in caso di problemi.

Nota bene: questo articolo è una guida orientativa e non sostituisce la consulenza di un professionista. In casi complessi o specifici, rivolgiti a un avvocato o consulente esperto in materia di privacy.