Facciamo un patto: leggi fino in fondo e poi apri il cassetto (o la cartella del computer) dove tieni la roba della privacy. Se dentro trovi tutti e cinque i documenti di cui ti parlo, ti offro un caffè virtuale e ti dico bravo/a. Se ne mancano tre o quattro — ed è quello che succede nel 90% dei casi — almeno adesso sai esattamente cosa ti manca.
Partiamo dalla frase che sento più spesso: “ma la privacy è roba da grandi aziende, io ho uno studio / una piccola impresa, non mi riguarda.”
Ti fermo subito. Il GDPR non si applica in base a quanto sei grande. Si applica in base a una cosa sola: tratti dati personali? Se hai clienti in anagrafica, dipendenti in busta paga, preventivi via mail, un gestionale, un sito, delle telecamere… la risposta è sì. E allora ti riguarda eccome. La differenza non è “grande o piccolo”. La differenza è “documentato o scoperto”.
E qui arriviamo al punto vero: per una PMI la conformità è quasi tutta documentale. Non ti serve un ufficio legale interno. Ti servono cinque documenti fatti bene. Vediamoli.
1. Il registro delle attività di trattamento
È il documento più importante e, guarda caso, quello che manca più spesso.
In pratica è la mappa di tutti i dati che tratti: quali raccogli, per quale motivo, dove finiscono, chi ci mette le mani, per quanto tempo li conservi. Non è un vezzo burocratico: è la prova numero uno che dai al Garante se un giorno bussa alla porta. Senza registro, la tua difesa è “fidatevi”. Con il registro, hai un quadro nero su bianco.
“Ma io ho meno di 250 dipendenti, sono esonerato/a.” Attento/a, perché è proprio qui che quasi tutti si incastrano. L’esonero vale solo se i tuoi trattamenti sono occasionali e senza rischio — e la sola gestione dei tuoi dipendenti, da sola, ti fa uscire dall’esonero. Se poi tratti dati sanitari (uno studio odontoiatrico, per esempio), il registro è obbligatorio e basta. Non a caso il Garante lo raccomanda a tutte le organizzazioni, grandi o piccole.
Nota di aggiornamento, così sei sul pezzo: a livello europeo è in discussione una semplificazione che alzerebbe la soglia di esonero. Ma è ancora una proposta in trattativa, non è legge, e il registro non sparisce. Tradotto: oggi ti serve, punto.
2. Le informative privacy
Quante ne hai? Se la risposta è “una, quella generica sul sito”, ne mancano parecchie.
L’informativa è il documento con cui dici alle persone come tratti i loro dati. E non ne esiste una sola: te ne serve una per ogni “categoria” di persone con cui hai a che fare. I clienti/pazienti ne vogliono una. I dipendenti un’altra, diversa. I visitatori del sito un’altra ancora. I fornitori, idem.
Il problema più comune non è nemmeno l’assenza: è l’informativa copiaincollata da internet, che parla di trattamenti che tu non fai e dimentica quelli che fai davvero. Un’informativa sbagliata non ti protegge: ti espone. Perché mette nero su bianco che non hai capito cosa tratti.
3. Le nomine dei responsabili esterni
Questa è la grande dimenticata. Preparati, perché probabilmente ti riguarda.
Ogni volta che affidi dati personali a un fornitore esterno — il commercialista che gestisce le buste paga, il gestionale in cloud, l’agenzia che ti fa il marketing, il consulente informatico, la piattaforma di email — quel soggetto diventa un “responsabile del trattamento”. E il GDPR ti chiede di regolare quel rapporto con un accordo scritto (la nomina a responsabile esterno).
Nella realtà? Quasi nessuno ce l’ha. I dati escono dalla tua azienda e vanno in mano a mezza città senza uno straccio di documento che stabilisca cosa possono farci. Se uno di loro combina un guaio con i tuoi dati, senza quella nomina il problema è tuo, non suo.
4. Le designazioni degli autorizzati interni
Chi, dentro la tua struttura, può mettere le mani sui dati? La segretaria, l’assistente, il collaboratore, l’impiegata amministrativa?
Il GDPR chiede che ogni persona autorizzata a trattare dati lo sia formalmente, con istruzioni scritte su cosa può e non può fare. Non è un cavillo: è ciò che trasforma “abbiamo sempre fatto così, a voce” in un sistema che regge. Se una persona autorizzata sbaglia e tu non hai mai messo per iscritto istruzioni e limiti, ti trovi scoperto/a proprio dove pensavi di essere coperto/a.
È lo stesso principio che vale per tutta l’organizzazione aziendale: se gira tutto sulla testa delle persone e niente è scritto, quando qualcosa si rompe non hai appigli.
5. Le misure di sicurezza e la procedura per il data breach
Ultimo, ma è quello che ti salva nel momento peggiore.
Da un lato devi avere documentate le misure di sicurezza che proteggono i dati: backup, controllo degli accessi, password, aggiornamenti, chi entra dove. Dall’altro devi avere pronta una procedura per la violazione dei dati (il data breach). Perché se domani ti bucano il gestionale o perdi un dispositivo, hai 72 ore per notificare la violazione al Garante. Settantadue ore. Non è il momento di improvvisare cercando su Google cosa fare: o hai la procedura pronta, o sei nei guai due volte.
E se hai uno studio odontoiatrico o una struttura sanitaria?
Qui il discorso si alza di livello, perché tratti dati sanitari — categorie particolari, le più delicate. Ai cinque documenti se ne aggiungono facilmente altri due: la valutazione d’impatto (DPIA) quando il trattamento è ad alto rischio, e in molti casi la nomina del DPO, il Responsabile della Protezione dei Dati, che per le strutture sanitarie che trattano dati su larga scala è spesso obbligatorio.
Se hai uno studio e non hai mai sentito nominare questi due, non è un dettaglio: è esattamente il tipo di buco che in un controllo fa la differenza.
Quanto costa non averli? (spoiler: parecchio)
Non voglio farti paura tanto per — non è il mio stile. Ma i numeri sono questi: le sanzioni GDPR possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo. Ovvio che alla piccola impresa non arriva la sanzione da multinazionale. Ma anche una frazione di quella cifra, per uno studio o una PMI, è la differenza tra un anno buono e un anno da dimenticare. E il punto non è nemmeno la sanzione: è vivere con quell’ansia di sottofondo, quel “chissà se sono in regola” che ti porti dietro senza risolverlo mai.
La verità che voglio lasciarti
La privacy, per una PMI, non è un mostro. È un lavoro di metodo: cinque (o sette) documenti, costruiti bene, tenuti aggiornati. Il difficile non è avere i documenti. Il difficile è farli giusti — cuciti sulla tua realtà, non scaricati da un sito — e sapere quali ti servono davvero.
Io la privacy la seguo per professione, come DPO e Privacy Manager, e te lo dico come lo direi a un’amico/a: fare il finto tonto sperando che il Garante non passi non è una strategia. Sapere esattamente cosa ti manca, invece, lo è. Perché a quel punto puoi scegliere. E la vera strategia è proprio poter scegliere con consapevolezza.
Vuoi capire quali di questi documenti hai già e quali ti mancano? Scrivimi nella sezione “CONTATTI“: facciamo un check della tua situazione e ti dico nero su bianco a che punto sei — anche se la risposta non è quella che vorresti sentire.
