Adeguamento e mantenimento GDPR

Art. 5.2, 24 e 30 Reg. UE 2016/679

Il problema dei documenti fermi

Molte aziende hanno «fatto la privacy» una volta, anni fa, con un pacchetto di modelli acquistati o scaricati. Nel frattempo sono cambiati i fornitori, i gestionali, il personale, i canali di vendita; è arrivato un CRM in cloud, forse un impianto di videosorveglianza. La documentazione è rimasta ferma.

Un registro dei trattamenti che non descrive quello che l'azienda fa davvero non protegge: espone. In sede ispettiva la discrepanza fra carta e realtà è il primo elemento che emerge, e trasforma quella che poteva essere una contestazione formale in un rilievo sostanziale.

Il principio che regge tutto

L'art. 5.2 introduce la responsabilizzazione: il titolare non deve solo rispettare i principi, deve essere in grado di dimostrarlo. È un'inversione rispetto alla logica precedente. Non esiste più una lista di adempimenti minimi da spuntare; esiste l'obbligo di aver ragionato, deciso e documentato le proprie scelte.

Ne discende una conseguenza pratica: il valore della documentazione non sta nella quantità ma nell'aderenza. Trenta pagine generiche valgono meno di cinque che descrivono esattamente cosa fa l'azienda.

Cosa produciamo

• Mappatura dei trattamenti — interviste alle funzioni, ricognizione dei sistemi e dei flussi verso l'esterno
• Registro delle attività di trattamento ex art. 30, per titolare e, dove ricorre, per responsabile
• Informative per clienti, fornitori, dipendenti, candidati, utenti del sito e videosorveglianza
• Basi giuridiche individuate e motivate per ciascun trattamento, con moduli di consenso solo dove il consenso è la base corretta
• Nomine di responsabili esterni ex art. 28, sub-responsabili, autorizzati e amministratori di sistema
• Valutazione d'impatto dove il trattamento presenta un rischio elevato
• Analisi del rischio e definizione delle misure tecniche e organizzative ex art. 32
• Procedura di gestione delle violazioni e registro dei data breach
• Procedura per l'esercizio dei diritti, con modulistica e tempistiche
• Formazione del personale, con attestazione nominativa

Il nodo dei fornitori

È l'area dove troviamo più lacune. Ogni soggetto esterno che tratta dati per conto dell'azienda — il gestionale in cloud, il consulente del lavoro, l'agenzia di marketing, il fornitore di posta elettronica, chi amministra i server — deve essere nominato responsabile con un atto conforme all'art. 28. E quando quel fornitore si appoggia a sua volta ad altri, serve una catena di sub-responsabili documentata.

Nella pratica molte aziende hanno decine di fornitori che trattano dati e due o tre nomine. Ricostruire quella catena è spesso la parte più laboriosa del lavoro, ed è anche quella che riduce di più il rischio concreto.

Mantenimento

L'adeguamento non è un progetto che si chiude. Ogni nuovo software, fornitore, canale di raccolta o assunzione modifica il quadro. Per questo il servizio prevede una fase di mantenimento: revisione periodica della documentazione, aggiornamento del registro, verifica delle nomine e supporto continuativo.

Dove l'azienda ha anche l'obbligo di nominare un DPO, le due attività si integrano naturalmente.