GDPR per una piccola impresa: cosa serve davvero e cosa si rischia se manca

Ha una piccola impresa, un negozio o uno studio con qualche dipendente e si chiede quali obblighi GDPR valgono davvero per lei. La risposta breve: il Regolamento europeo sulla protezione dei dati personali, il Regolamento UE 2016/679 noto come GDPR, si applica anche alla piccola impresa, ma non richiede le stesse cose a tutti. Per la maggior parte delle piccole realtà il nucleo è fatto di poche cose concrete: informative chiare, un registro dei trattamenti essenziale, contratti con i fornitori che gestiscono dati per suo conto, misure di sicurezza proporzionate e una procedura per gli incidenti, che vanno notificati al Garante entro 72 ore. Il responsabile della protezione dei dati, invece, nella maggior parte dei casi non è obbligatorio.

Vediamo cosa serve, cosa si può evitare e cosa si rischia se manca.

Il GDPR vale anche per una piccola impresa?

Sì. Il GDPR si applica a chiunque tratti dati personali nell'ambito di un'attività economica, a prescindere dalle dimensioni. Trattamento è qualsiasi operazione sui dati, dalla raccolta alla conservazione in un gestionale. Basta quindi avere clienti, fornitori persone fisiche o dipendenti per essere titolare del trattamento, cioè il soggetto che decide perché e come i dati vengono usati e che ne risponde.

Il Regolamento però si basa sul principio di responsabilizzazione, detto accountability: non impone un modello unico, chiede al titolare di adottare misure adeguate ai rischi dei trattamenti che svolge davvero e di essere in grado di dimostrarlo.

Quali sono gli obblighi GDPR per una piccola impresa, in pratica?

Il primo passo è sapere quali dati tratta. Faccia un elenco a parole: dati dei clienti per fatture e consegne, contatti per il marketing, dati dei dipendenti per buste paga e presenze, eventuali immagini della videosorveglianza. Per ciascun trattamento vanno individuati lo scopo, la base giuridica, chi vi accede e per quanto tempo i dati si conservano.

La base giuridica è la ragione che rende lecito il trattamento, e l'articolo 6 del GDPR ne prevede diverse. Il consenso è solo una di queste e spesso non serve: per emettere una fattura o consegnare un ordine la base è l'esecuzione del contratto o un obbligo di legge, e chiedere il consenso in questi casi è un errore frequente. Il consenso serve invece, di regola, per finalità come il marketing diretto verso chi non è già cliente.

Il secondo passo è l'informativa, prevista dall'articolo 13 del GDPR: un testo chiaro che dice a clienti e dipendenti chi tratta i loro dati, per quali finalità, su quale base, per quanto tempo e quali diritti possono esercitare. Deve corrispondere a ciò che l'impresa fa davvero.

Il terzo passo riguarda i fornitori. Il consulente del lavoro che elabora le buste paga, la società che gestisce il software in cloud o il sito web trattano dati per conto dell'impresa e sono responsabili del trattamento ai sensi dell'articolo 28 del GDPR. Con ciascuno serve un contratto o un atto scritto che stabilisca cosa possono fare con i dati, quali misure di sicurezza adottano e cosa succede alla fine del rapporto.

Il quarto passo sono le misure di sicurezza dell'articolo 32: devono essere adeguate al rischio. Per una piccola impresa significa, ad esempio, credenziali personali e non condivise, accessi limitati a chi ne ha bisogno, aggiornamenti dei programmi, copie di backup, armadi chiusi per i documenti cartacei e istruzioni scritte ai dipendenti.

Il registro dei trattamenti è obbligatorio sotto i 250 dipendenti?

È il dubbio più comune, e la risposta spesso sorprende. L'articolo 30 del GDPR impone di tenere un registro delle attività di trattamento, cioè un documento che descrive i trattamenti svolti. Il paragrafo 5 esenta le imprese con meno di 250 dipendenti, ma solo se il trattamento non presenta un rischio per i diritti delle persone, è occasionale e non riguarda categorie particolari di dati o dati relativi a condanne penali e reati.

Basta una di queste condizioni per far tornare l'obbligo. Le categorie particolari, indicate dall'articolo 9, comprendono tra l'altro i dati sulla salute e l'adesione a un sindacato. La gestione dei dipendenti, con le buste paga e i certificati di malattia, è un trattamento continuativo e non occasionale: per questo il Garante per la protezione dei dati personali, nelle sue indicazioni sul registro, indica come tenuti al registro anche gli esercizi commerciali e gli artigiani con almeno un dipendente, per i trattamenti che li riguardano. Il registro può essere limitato ai soli trattamenti che fanno scattare l'obbligo, deve essere scritto, anche in formato elettronico, tenuto aggiornato ed esibito al Garante se lo chiede. Il Garante ha pubblicato modelli semplificati pensati proprio per le piccole e medie imprese, e ne raccomanda la tenuta anche a chi non è obbligato, perché è il modo più semplice per dimostrare di essere in regola.

A livello europeo è in corso un iter di modifica di questa esenzione per alleggerire gli obblighi delle imprese. Finché la modifica non sarà approvata ed entrata in vigore, vale la regola appena descritta.

Serve il DPO? E la valutazione d'impatto?

Il responsabile della protezione dei dati, spesso chiamato DPO, è obbligatorio solo nei casi dell'articolo 37 del GDPR: per le autorità e gli organismi pubblici, e per chi ha come attività principale il monitoraggio regolare e sistematico delle persone su larga scala, oppure il trattamento su larga scala di categorie particolari di dati o di dati giudiziari. La normale piccola impresa, che tratta i dati di clienti e dipendenti come attività accessoria, di regola non è obbligata a nominarlo. Può farlo volontariamente, ma non è un requisito.

Anche la valutazione d'impatto, prevista dall'articolo 35 per i trattamenti che presentano un rischio elevato, riguarda casi specifici, come il monitoraggio sistematico o il trattamento su larga scala di dati sanitari. Per un'attività ordinaria di solito non serve, ma va valutato caso per caso.

Cosa fare se si perdono dati o si subisce un attacco informatico?

Un computer rubato, un'email con le buste paga inviata al destinatario sbagliato, un attacco che cifra il gestionale: sono tutte violazioni di dati personali. L'articolo 33 del GDPR impone di notificarle al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui l'impresa ne è venuta a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per le persone. Le 72 ore comprendono notti e fine settimana: se un venerdì sera si accorge dell'attacco, il termine scade il lunedì sera. Se si notifica in ritardo, vanno spiegati i motivi.

Quando il rischio per le persone è elevato, l'articolo 34 impone di avvisare anche gli interessati. Ogni violazione, notificata o no, va comunque annotata in un documento interno con i fatti, le conseguenze e le misure adottate. Conviene stabilire prima chi decide e chi notifica.

Cosa si rischia se manca qualcosa?

L'articolo 83 del GDPR prevede due fasce di sanzioni amministrative. Le violazioni degli obblighi organizzativi, tra cui registro, contratti con i responsabili, sicurezza e notifica delle violazioni, possono costare fino a 10 milioni di euro o, per le imprese, fino al 2 per cento del fatturato mondiale annuo se superiore. Le violazioni dei principi del trattamento, delle basi giuridiche e dei diritti degli interessati arrivano fino a 20 milioni di euro o al 4 per cento del fatturato. Sono massimi: l'importo concreto deve essere effettivo, proporzionato e dissuasivo, e tiene conto della gravità, della durata, della collaborazione con l'Autorità e delle misure già adottate.

Oltre alle sanzioni, l'articolo 82 prevede il risarcimento del danno a favore di chi lo ha subito a causa di una violazione.

Quando farsi assistere e cosa preparare

Conviene un parere legale quando l'impresa non ha mai fatto una ricognizione dei trattamenti, quando tratta dati sanitari o di minori, quando ha installato telecamere che riprendono i dipendenti, per le quali vale anche l'articolo 4 dello Statuto dei lavoratori, o quando ha ricevuto un reclamo, una richiesta del Garante o ha subito un incidente.

Per una prima valutazione è utile preparare un elenco dei dati trattati e dei programmi usati, le informative e i moduli di consenso attuali, i contratti con consulenti e fornitori informatici, il numero dei dipendenti e una descrizione di eventuali impianti di videosorveglianza o geolocalizzazione.

Se vuole capire cosa manca nella sua impresa, può richiedere una consulenza online allo Studio Legale Ricci: l'Avv. Stefano Ricci esamina la documentazione e risponde per iscritto in 2-5 giorni lavorativi, indicando gli adempimenti necessari e le priorità.

Le informazioni contenute in questo articolo hanno carattere generale, sono aggiornate alla data di pubblicazione e non sostituiscono un parere legale sul caso specifico.