Dati personali in una piccola impresa: da dove iniziare

Sette ambiti da considerare

Non sono un elenco di obblighi valido per tutti: quali si applichino a un’impresa dipende dalla sua situazione, e va verificato con un consulente. Sono i temi che ricorrono più spesso.

• Registro dei trattamenti: l’inventario di quali dati si trattano, perché, dove stanno e per quanto. Per molte realtà è previsto dal GDPR (art. 30), con alcune esenzioni per le imprese più piccole: va verificato caso per caso.
• Informative: i testi che spiegano a clienti, dipendenti e visitatori del sito cosa si fa dei loro dati. Devono descrivere i trattamenti reali, non quelli di un modello.
• Fornitori che trattano dati per conto dell’impresa: chi ospita il gestionale, chi cura le paghe, chi fornisce strumenti AI. Il GDPR (art. 28) prevede un accordo scritto con chi tratta dati per conto del titolare.
• Istruzioni e permessi per chi lavora con i dati: chi può vedere cosa, e cosa non si fa (per esempio tenere l’elenco clienti sul telefono personale).
• Misure di sicurezza: autenticazione a due fattori, copie di sicurezza provate almeno una volta, dischi cifrati sui portatili. Le misure descritte nell’informativa devono esistere davvero.
• Procedura per le violazioni dei dati: chi avvisa chi, e in che tempi. In caso di violazione il GDPR prevede termini brevi per la notifica al Garante, quando dovuta (art. 33): decidere prima chi fa cosa evita di improvvisare.
• Tempi di conservazione: tenere ogni dato «per sempre, per sicurezza» significa non avere una politica di conservazione.

Gli strumenti di intelligenza artificiale

Se in azienda si usano strumenti AI su testi o documenti che contengono dati personali, quei dati possono transitare dai sistemi di un fornitore esterno, a volte fuori dall’Unione europea. Non è vietato, ma va governato.

I punti da chiarire, di norma: che ruolo ha il fornitore, quali accordi esistono, dove si trovano i dati, cosa prevedono le impostazioni sull’uso dei contenuti per addestrare i modelli, e cosa dice l’informativa. Un consulente può dirti cosa serve nel tuo caso.

Anch’io uso assistenti AI nel mio lavoro: come e con quali fornitori lo trovi nella mia informativa privacy.

E il responsabile della protezione dei dati (DPO)?

La nomina di un DPO è obbligatoria solo in alcuni casi, indicati dall’art. 37 del GDPR (per esempio per gli enti pubblici e per chi svolge certi trattamenti su larga scala). Se rientri o no è una valutazione da fare sul tuo caso. Il ruolo richiede competenza specialistica, e non esiste un titolo unico che la attesti.

Da dove cominciare

Da un’ora di fotografia dello stato attuale: cosa raccogli, da chi, dove finisce, chi ci accede. Da quella lista esce l’elenco dei punti da affrontare, e un consulente può dirti quali sono prioritari. Se ti serve la parte tecnica (accessi, copie di sicurezza, cifratura), è un lavoro che posso affiancare; la valutazione di conformità resta a un professionista.