Gestite un’azienda e ogni giorno elaborate i dati di clienti, candidati, appaltatori e dipendenti. Una buona implementazione di RODO non consiste in un raccoglitore di documenti, ma in semplici regole da seguire nel lavoro quotidiano. Una volta che avrete sistemato i vostri processi e le vostre responsabilità, ritroverete la serenità e il controllo non sarà più motivo di stress.
In questa guida, tradurrò in pratica i requisiti del RODO. Vi mostrerò da dove iniziare, come scegliere la base giuridica, cosa inserire nelle clausole, come tenere i registri e come rispondere agli incidenti. Avrete inoltre a disposizione una lista di controllo di 90 giorni e una breve FAQ per prendere decisioni immediate.
Da dove cominciare per la compliance in azienda?
Realizzate una rapida mappa dei processi. Elencate i processi (vendite, marketing, assunzioni, risorse umane, contabilità, elaborazione dei contratti, monitoraggio, helpdesk) e per ciascuno nominate lo scopo, la base giuridica, l’ambito dei dati, le fonti, i destinatari, i sistemi e il periodo di conservazione. Questo schema diventerà la base del vostro registro delle attività.
Designare i proprietari del processo. Un proprietario è responsabile del contenuto della voce del registro e degli aggiornamenti. Questa assegnazione elimina le responsabilità di “nessuno”. Organizzate una revisione trimestrale: cosa è cambiato, cosa sta arrivando, cosa state cancellando. In questo modo si mantiene il registro vivo e non impolverato sul disco.
Come si abbinano le basi legali ai processi?
Per ogni attività, scegliete una base dall’articolo 6 e documentate la decisione. Gestite i contratti in base alla “necessità di esecuzione del contratto”. Gli obblighi contabili e delle risorse umane si basano su una disposizione di legge. Gli interessi personali dell’azienda (ad esempio, rivendicazioni, analisi di base) richiedono un test di bilanciamento e un diritto di opposizione valido.
Il consenso funziona quando la persona ha una scelta reale e può facilmente ritirarlo. Nel marketing B2C, è spesso necessario nei canali che richiedono il consenso. Nel B2B, utilizzate con attenzione l’interesse legittimo e fornite un chiaro meccanismo di obiezione. Ricordate che possono esistere diversi motivi per una stessa azione (ad esempio, una fattura e una newsletter sono due scopi diversi).
L’obbligo di informazione nella pratica
Fornite informazioni chiare quando raccogliete i dati: chi è il responsabile del trattamento e come contattarlo, perché state raccogliendo i dati, su quali basi, a chi li divulgherete, per quanto tempo li conserverete, quali diritti ha la persona e se invierete i dati al di fuori dello SEE. Scrivete con un linguaggio semplice ed evitate il gergo.
Abbinare il luogo e il momento. Sul sito web, mostrate le clausole dove si trova il modulo. Nel reclutamento, aggiungetele all’annuncio e al modulo. In un rapporto B2B, inserirle nella corrispondenza o nel contratto. Quando ottenete i dati da altre fonti, rispettate l’obbligo entro un tempo ragionevole e indicate la fonte.
Registri che vivono ogni giorno
Tenete un registro delle attività di trattamento in qualità di responsabile del trattamento. Se fornite servizi ad altri, tenete anche un registro delle categorie di attività in qualità di incaricati del trattamento. Ogni voce ha un proprietario, una data di aggiornamento, un elenco di sistemi, incaricati del trattamento e regole di conservazione.
Stabilite un ciclo di lavoro semplice: aggiornamento a ogni implementazione di uno strumento o lancio di una campagna, revisione trimestrale del totale, revisione annuale della conservazione. Il registro diventa così uno strumento di gestione del rischio piuttosto che una formalità.
Accordi di affidamento con i fornitori
Quando trasferite i dati a un fornitore (ad esempio, hosting, CRM, ATS, mailing), firmate un contratto di affidamento. In esso vengono specificati l’oggetto e la durata, lo scopo, il tipo di dati e le categorie di persone, le misure di sicurezza, le regole per i subappaltatori, l’assistenza nell’esercizio dei diritti delle persone e le violazioni, nonché la restituzione/cancellazione dei dati al termine della collaborazione.
Verificate il fornitore prima di firmare il contratto. Chiedete informazioni su crittografia, controllo degli accessi, registri, test, ubicazione dei centri dati e catena dei subappaltatori. Si scrive dell’obbligo di segnalare gli incidenti e del diritto di revisione. È uno standard che protegge realisticamente l’azienda.
La sicurezza dei dati nella pratica (articolo 32)
Si inizia con una valutazione del rischio. Si identificano i rischi, si valutano la probabilità e l’impatto e si scelgono le misure. L’elenco di solito comprende: MFA, principio del minimo privilegio, crittografia a riposo e in trasmissione, backup, test di ripristino, registrazione degli eventi, segmentazione della rete, aggiornamenti e politica delle password.
Integrate il tutto con procedure: onboarding e offboarding degli utenti, lavoro da remoto e BYOD, classificazione delle informazioni, politiche di clean desk/screen, verifica dell’identità, risposta agli incidenti e test del piano di continuità operativa. La formazione viene organizzata almeno una volta all’anno e dopo cambiamenti significativi.
Privacy by design e by default (articolo 25)
I servizi vengono progettati in modo da raccogliere solo i dati necessari, limitare l’accesso e impostare la conservazione con pulizia automatica. Per impostazione predefinita, disabilitate le funzioni non necessarie. Ogni nuovo strumento viene sottoposto a una breve revisione dell’impatto sulla privacy ancora prima dell’implementazione.
Nelle interfacce pubbliche si punta sulla trasparenza: messaggi chiari, un semplice meccanismo di consenso e un altrettanto semplice rifiuto. In questo modo si crea fiducia e l’utente non si oppone al banner.
Quando eseguire una DPIA?
Si esegue una valutazione d’impatto sulla protezione dei dati quando i rischi possono essere elevati. Esempi tipici sono la profilazione estesa, il trattamento su larga scala di dati di categoria speciale, il monitoraggio sistematico di spazi pubblici o l’implementazione di una nuova tecnologia invasiva. La DPIA documenta lo scopo, l’ambito, i rischi, le misure e il piano d’azione.
In pratica, conviene iniziare con un breve screening. Se l’analisi iniziale mostra un rischio elevato, si procede a una DPIA completa e, se necessario, ci si consulta con l’ispettore e l’autorità di vigilanza. Si ritorna alla DPIA dopo importanti modifiche al processo o alla tecnologia.
Quando e come nominare un DPO?
Si nomina un DPO quando è richiesto dalla legge: negli enti pubblici e quando la vostra attività principale comporta un monitoraggio su larga scala delle persone o un trattamento su larga scala di categorie speciali di dati. Se non siete obbligati a farlo, potete nominare un DPO volontariamente – questo spesso facilita la supervisione.
Date al DPO indipendenza e accesso reale alle informazioni. Lo invitate a partecipare ai progetti fin dall’inizio, gli fornite risorse e formazione. L’IOD fornisce consulenza, controlla la conformità, fornisce formazione, si relaziona con l’autorità di vigilanza ed è il punto di contatto per gli interessati.
Violazione dei dati e 72 ore per rispondere
Valutate ogni incidente in termini di rischio. Se la violazione può comportare un rischio per i diritti o le libertà delle persone, la segnalate all’autorità di vigilanza entro 72 ore. Se il rischio è elevato, informate anche le persone. Conservate un registro della violazione, in cui descrivete l’incidente, le conseguenze e l’azione correttiva.
Preparate un semplice algoritmo. Chi riceve la richiesta, chi valuta il rischio, chi contatta il fornitore e chi invia la richiesta. Assicuratevi di avere pronti dei modelli e un elenco di contatti. Un incident test una volta all’anno riduce significativamente i tempi di risposta.
Come gestire i diritti delle persone in 30 giorni?
Stabilite i canali di ricezione delle domande (e-mail, modulo, posta). Verificate l’identità in modo proporzionato. Registrate la richiesta e assegnate una scadenza. Entro 30 giorni date una risposta o comunicate una proroga motivata. Tenete un registro delle attività e garantite la coerenza tra i sistemi.
Le richieste più comuni sono accesso, rettifica, cancellazione, restrizione, portabilità e obiezione. Con il processo decisionale automatizzato, garantite l’intervento umano. Elaborate dei modelli di risposta per accelerare il processo e mantenere la qualità.
Cookie e consenso nel canale online
Sul dispositivo dell’utente è necessario il consenso per scrivere e leggere i dati, ad eccezione dei cookie necessari per il funzionamento del servizio. Il meccanismo di consenso deve consentire un’accettazione e un rifiuto altrettanto facili e la possibilità di modificare la decisione.
Evitare banner che rendano difficile il rifiuto. Organizzate le categorie, i nomi dei fornitori e gli scopi. Mettete in atto un meccanismo di registrazione del consenso e sincronizzatelo con la vostra politica sulla privacy. Ricordate che state valutando il consenso in base ai criteri del RODO, non solo in base alle leggi locali sulle comunicazioni.
Trasferimenti di dati al di fuori del SEE
Quando si inviano dati al di fuori dello Spazio economico europeo, è necessaria una base di trasferimento. Per gli Stati Uniti, è possibile utilizzare il quadro di adeguatezza per i fornitori certificati nell’ambito del programma Privacy Shield. Negli altri casi, è possibile utilizzare clausole contrattuali standard e una valutazione del rischio di trasferimento.
Verificate che il vostro fornitore abbia una base valida e che copra la gamma di servizi di cui usufruite. Documentate la decisione nel registro e nei contratti. Quando si cambia servizio o subappaltatore, si torna alla valutazione.
Lista di controllo per 90 giorni
- Mappare i processi e creare un registro delle attività.
- Aggiornare le clausole informative e l’informativa sulla privacy.
- Verificare i contratti di affidamento e la catena dei subappaltatori.
- Esaminare e completare le misure di sicurezza (MFA, copie, registri, conservazione).
- Predisporre i cookie e il meccanismo di consenso.
- Stabilire una procedura di violazione con ruoli e modelli.
- Preparare la gestione dei diritti delle persone (SLA, modelli di risposta, registro delle richieste).
- Valutare se è necessario un DPIA e/o un IOD.
FAQ – RODO per le aziende
Sì, perché è una prova fondamentale di responsabilità. È possibile semplificarlo, ma non vale la pena rinunciarvi. Il registro facilita anche la pianificazione dei cambiamenti e l’audit dei fornitori.
L’interesse legittimo funziona quando non lede i diritti di una persona e se questa fornisce un’obiezione valida. Il consenso è necessario quando la persona deve avere piena scelta e la mancanza di consenso non deve compromettere il servizio.
No. Se l’incidente non causa un rischio per i diritti o le libertà delle persone, è sufficiente una registrazione e un’azione correttiva. Quando il rischio aumenta, è necessario fare rapporto entro 72 ore e prendere in considerazione la possibilità di informare le persone.
Una persona con competenze legali e tecniche che possa agire in modo indipendente. Può essere un dipendente o un’entità esterna. È importante che l’IOD abbia accesso alle informazioni e alle persone che prendono le decisioni.
Sì, se si dispone di una base di trasferimento e si controllano i rischi. Scegliete fornitori con meccanismi legali validi, certificazioni aggiornate e un chiaro elenco di subappaltatori.