GDPR per l’impresa: cosa fare per essere in regola

In sintesi

• Cos’è: il Regolamento UE 2016/679 (GDPR) che disciplina il trattamento dei dati personali.
• Chi riguarda: ogni impresa che tratta dati di clienti, fornitori e dipendenti (titolare del trattamento).
• Principi: liceità, minimizzazione, limitazione delle finalità, sicurezza e responsabilizzazione.
• Accountability: il titolare deve poter dimostrare di essere conforme.

Cos’è il GDPR e a chi si applica

Il GDPR (Regolamento UE 2016/679), integrato in Italia dal Codice Privacy (D.Lgs 196/2003 come modificato dal D.Lgs 101/2018), disciplina il trattamento dei dati personali. Riguarda praticamente ogni impresa: chi gestisce dati di clienti, fornitori, dipendenti o utenti del sito è “titolare del trattamento” e deve rispettarne le regole, a prescindere dalle dimensioni.

I principi fondamentali

Il trattamento deve rispettare i principi dell’art. 5 GDPR: liceità, correttezza e trasparenza; limitazione delle finalità (i dati raccolti per uno scopo non si usano per altri incompatibili); minimizzazione (solo i dati necessari); esattezza; limitazione della conservazione (non oltre il necessario); integrità e riservatezza (sicurezza). A questi si aggiunge il principio di responsabilizzazione.

La base giuridica

Ogni trattamento deve poggiare su una base giuridica (art. 6 GDPR): il consenso dell’interessato, l’esecuzione di un contratto, un obbligo legale, un interesse legittimo del titolare, e altre. Individuare la base corretta è il primo passo: ad esempio i dati dei dipendenti si trattano per il contratto e per obblighi di legge, non con il consenso.

Gli adempimenti minimi

In pratica un’impresa deve almeno: predisporre le informative (clienti, dipendenti, sito); tenere il registro dei trattamenti; raccogliere correttamente i consensi dove servono; adottare misure di sicurezza adeguate; regolare i rapporti con i fornitori che trattano dati per suo conto (responsabili del trattamento); gestire le richieste degli interessati e le eventuali violazioni dei dati (data breach).

Il principio di responsabilizzazione

Il cuore del GDPR è l’accountability (art. 5, par. 2): non basta essere conformi, bisogna poterlo dimostrare con documentazione (registro, informative, valutazioni, policy, nomine). In caso di controllo del Garante, è il titolare a dover provare di aver adottato misure adeguate. Le sanzioni per le violazioni possono essere molto elevate.

Esempio pratico

Una SRL con sito, newsletter e dipendenti: predispone l’informativa per i clienti e per i dipendenti, una cookie e privacy policy sul sito, raccoglie il consenso per la newsletter, tiene il registro dei trattamenti, firma accordi con i fornitori IT che trattano dati per suo conto e definisce una procedura per i data breach. Così è in grado di dimostrare la propria conformità.