Pratiche e amministrazione · Protezione dati
Il GDPR fatto una volta, fatto sul tuo caso, e poi mantenuto.
Registro dei trattamenti, informative, nomine, valutazioni d'impatto, procedure di violazione. E il ruolo di DPO esterno, dove serve.
Il problema
La maggior parte delle piccole imprese ha una cartella con dentro un'informativa scaricata da internet, un registro compilato una volta nel 2019 e nessuna idea di cosa succederebbe davvero in caso di violazione dei dati. Non per superficialità: perché il tema è noioso, e finché non succede niente sembra che funzioni.
Il punto che quasi nessuno affronta è il più attuale: se elabori documenti dei tuoi clienti con strumenti di intelligenza artificiale, stai trasferendo dati personali a un fornitore terzo. Se poi quei dati sono sanitari, giudiziari o finanziari, sono categorie particolari. Serve una base giuridica, un'informativa che lo dica, un accordo col fornitore e la verifica di dove risiedono i dati.
Cosa faccio
Nel concreto
- Mappo i trattamenti e redigo il registro sai quali dati hai, dove stanno e perché
- Scrivo informative, consensi e basi giuridiche chi le legge capisce cosa fai con i suoi dati
- Preparo nomine di responsabili e incaricati e accordi con i fornitori art. 28 coperto, compresi i fornitori AI
- Conduco valutazioni d'impatto (DPIA) dove il rischio è alto, la prova scritta di come lo gestisci
- Scrivo la procedura di violazione dei dati chi fa cosa nelle 72 ore, deciso prima
- Assumo il ruolo di DPO esterno un punto di contatto stabile, non una nomina di facciata
- Formo il personale chi tocca i dati sa cosa può e cosa no
- Definisco politiche di conservazione e cancellazione i dati non restano per sempre "per sicurezza"
- Metto in sicurezza il lato tecnico: accessi, backup, cifratura le misure che l'informativa promette, davvero attive
Il confine
Come si svolge
Quattro passaggi
- 01
Un'ora a guardare cosa raccogli, da chi, dove finisce e chi ci accede.
- 02
Ti mando la fotografia dello stato attuale, con i buchi in ordine di rischio.
- 03
Scrivo i documenti e sistemo il lato tecnico. Formazione a chi tocca i dati.
- 04
Rivediamo una volta l'anno, o quando cambi qualcosa. Il GDPR non è un adempimento con una data.
Domande su questo servizio
Serve un DPO certificato?
La certificazione è privata e volontaria: il GDPR chiede conoscenza specialistica, non un attestato. Se una gara la richiede espressamente te lo dico subito; per tutto il resto contano i documenti prodotti e la pratica quotidiana — che qui puoi vedere prima di firmare.
La mia azienda è piccola. Devo nominare un DPO?
Non sempre: è obbligatorio per gli enti pubblici, per chi fa monitoraggio sistematico su larga scala e per chi tratta categorie particolari su larga scala. Molte PMI non rientrano. Lo verifico guardando cosa tratti: se il DPO non serve, te lo dico e risparmi.
Basta un'informativa scaricata da internet?
Regge finché nessuno la legge. Il problema pratico è che un'informativa generica descrive un'azienda che non è la tua: promette misure che non hai e tace su quello che fai davvero. E oggi quasi nessuna copre l'uso di strumenti AI, che è il punto su cui sei più esposto.
Anche tu usi strumenti AI. I miei dati che fine fanno?
È la domanda giusta, e la risposta è pubblica: c'è nella mia privacy policy, con i fornitori, le finalità e i tempi di conservazione. Sui progetti con dati sensibili si lavora senza fornitori esterni, con qualche compromesso sui tempi. Te lo propongo io prima che tu me lo chieda.