GDPR per una piccola impresa: le sette cose da avere davvero

I sette pezzi

In ordine di importanza pratica:

• Il registro dei trattamenti: l'inventario di quali dati tratti, perché, dove stanno e per quanto. È il documento da cui discendono tutti gli altri — e per la maggior parte delle PMI è comunque dovuto.
• Informative che descrivono la realtà: quella per i clienti, quella per i dipendenti, quella del sito. Scritte sui tuoi trattamenti veri, non su quelli di un modello.
• Le nomine dei fornitori che trattano dati per te (art. 28): chi ti fa le paghe, chi ti ospita il gestionale, chi ti dà gli strumenti AI. Se un fornitore tocca dati dei tuoi clienti e non è nominato, il problema è tuo, non suo.
• Autorizzazioni e istruzioni per chi lavora con te: chi può vedere cosa, e cosa non si fa (l'elenco clienti sul telefono personale, per esempio).
• Misure di sicurezza reali: autenticazione a due fattori, backup provati almeno una volta, dischi cifrati sui portatili. Le misure dichiarate nell'informativa devono esistere.
• La procedura per le violazioni: chi chiama chi nelle prime 72 ore, deciso prima. Con una violazione in corso non c'è tempo di deciderlo.
• Tempi di conservazione applicati: tenere tutto «per sempre, per sicurezza» vuol dire non avere una politica di conservazione: a ogni dato serve una scadenza.

Il punto che quasi tutti trascurano: gli strumenti AI

Se in azienda si usano strumenti di intelligenza artificiale su testi o documenti che contengono dati personali — di clienti, dipendenti, fornitori — quei dati stanno transitando dai sistemi di un fornitore terzo, spesso fuori dall'Unione. Non è vietato: va governato. Serve la nomina del fornitore, la verifica di dove risiedono i dati, l'opzione di non-addestramento attivata, e una riga onesta nell'informativa.

È il punto su cui sono più trasparente per primo: uso questi strumenti anch'io, e come li uso è scritto nella mia privacy policy, con i nomi dei fornitori.

E il DPO?

Per la maggior parte delle piccole imprese il DPO non è obbligatorio: lo diventa per gli enti pubblici e per chi tratta dati su larga scala o categorie particolari in modo sistematico. Diffida di chi te lo vende come obbligo universale — e verifica il tuo caso specifico prima di pagare un canone che potrebbe non servirti.

Da dove cominciare

Da un'ora di fotografia dello stato attuale: cosa raccogli, da chi, dove finisce, chi ci accede. Da lì esce la lista dei buchi in ordine di rischio, e quasi sempre si scopre che metà del lavoro è più piccola di quanto sembrava. L'altra metà — le nomine mancanti, la procedura per le violazioni — è quella che conta quando succede qualcosa.