Privacy e GDPR in azienda: cosa fare per essere in regola.
Cos'è e a cosa serve
La privacy in azienda significa una cosa sola: trattare bene i dati delle persone e poterlo dimostrare.
Ogni azienda usa dati personali, anche la più piccola: nomi e IBAN dei dipendenti, indirizzi e telefoni dei clienti, email dei fornitori, immagini delle telecamere. La legge chiede di usarli solo per motivi giusti, di proteggerli e di avere tutto scritto.
Serve a tre cose:
- proteggere le persone: i dati non devono finire nelle mani sbagliate né essere usati di nascosto;
- proteggere l'azienda: da multe, cause di risarcimento e figuracce con clienti e dipendenti;
- mettere ordine: sapere quali dati hai, dove sono e chi li vede rende anche il lavoro più sicuro.
La regola d'oro è semplice: se non è scritto, per la legge non l'hai fatto. Per questo la privacy è fatta soprattutto di documenti tenuti in ordine e aggiornati.
Le norme che lo impongono
Gli obblighi valgono per tutte le aziende e i professionisti, di qualsiasi dimensione, che usano dati di persone fisiche.
| Norma | Cosa dice, in breve |
|---|---|
| Regolamento (UE) 2016/679 – GDPR | È la legge principale, uguale in tutta Europa e applicata dal 25 maggio 2018. Stabilisce gli obblighi: registro, informative, sicurezza, nomine, data breach, DPIA. |
| Codice privacy – D.Lgs. 196/2003, aggiornato dal D.Lgs. 101/2018 | Adatta il GDPR all'Italia: regole per il personale autorizzato, dati sanitari, marketing e reati privacy. |
| Provvedimenti e linee guida del Garante | Regole pratiche su temi specifici: amministratori di sistema, videosorveglianza, cookie, email dei dipendenti. |
| Statuto dei lavoratori – art. 4, L. 300/1970 | Per telecamere, GPS e altri strumenti che possono controllare i dipendenti serve l'accordo sindacale o l'autorizzazione dell'Ispettorato del Lavoro. |
Gli articoli del GDPR che citiamo più spesso in questa guida:
- art. 6 – la base giuridica: il motivo legale per usare i dati;
- artt. 13–14 – le informative;
- art. 28 – i responsabili esterni;
- art. 30 – il registro dei trattamenti;
- art. 32 – la sicurezza;
- artt. 33–34 – le violazioni dei dati (data breach);
- art. 35 – la DPIA;
- art. 37 – il DPO.
Rischi e sanzioni
Chi non rispetta le regole rischia su quattro fronti, e si possono sommare.
| Rischio | Cosa succede | Quanto può costare |
|---|---|---|
| Multa del Garante (art. 83 GDPR) | Arriva dopo un'ispezione, un reclamo di un cliente o dipendente, o un data breach. | Fino a 10 milioni di euro o il 2% del fatturato mondiale per le mancanze organizzative (registro, nomine, sicurezza, data breach). Fino a 20 milioni o il 4% per le violazioni più gravi (dati usati senza motivo legale, informative mancanti, diritti negati). |
| Ordini del Garante | Il Garante può imporre di cambiare le procedure o vietare un trattamento, per esempio spegnere le telecamere. | Lavoro bloccato e costi per rimettersi in regola. |
| Risarcimento del danno (art. 82 GDPR) | La persona danneggiata può chiederlo in tribunale, anche per il solo danno morale. | Variabile, più le spese legali. |
| Reati (artt. 167–172 Codice privacy) | Nei casi più gravi, come l'uso illecito di dati per guadagno o per danneggiare qualcuno, o false dichiarazioni al Garante. | Reclusione, per chi ne risponde personalmente. |
Le multe per i "massimi" toccano soprattutto le grandi aziende. Per una PMI le sanzioni sono più basse, ma si parla comunque di migliaia o decine di migliaia di euro: abbastanza da fare male. Il Garante tiene conto delle dimensioni dell'azienda, della gravità, della collaborazione e di quanto hai fatto per metterti in regola.
Per questo avere i documenti in ordine è la difesa migliore: dimostra che hai preso la privacy sul serio.
Ci sono poi i rischi che non arrivano per lettera: un cliente che perde fiducia dopo un furto di dati, un dipendente che fa causa, un fornitore pubblico che ti chiede la documentazione e tu non ce l'hai.
Chi fa cosa
Prima di cominciare bisogna capire chi è chi. Ogni ruolo ha il suo documento.
| Ruolo | Chi è, in pratica | Documento |
|---|---|---|
| Titolare | L'azienda: decide perché e come usare i dati. Risponde di tutto. | Registro, informative, DPIA |
| Responsabile esterno (art. 28) | Chi tratta i tuoi dati da fuori: commercialista, consulente del lavoro, tecnico informatico, gestionale in cloud, ditta delle telecamere. | Contratto o nomina firmata |
| Personale autorizzato (art. 29) | I dipendenti e collaboratori che usano i dati nel lavoro di tutti i giorni. | Lettera di autorizzazione con le istruzioni |
| Amministratore di sistema | Chi gestisce PC, server, rete e password, interno o esterno. | Designazione scritta |
| DPO (art. 37) | Un esperto privacy che controlla l'azienda. Obbligatorio solo per enti pubblici e per chi controlla persone su larga scala o tratta molti dati sanitari. La maggior parte delle PMI non ne ha bisogno. | Designazione e comunicazione al Garante |
| Interessato | La persona a cui appartengono i dati: dipendente, cliente, fornitore, candidato. | Riceve l'informativa e può esercitare i suoi diritti |
Passo per passo: mettersi in regola
Si fa una volta sola e richiede qualche ora. Poi basta tenerlo aggiornato.
- Fai l'inventario dei dati. Prendi un foglio e scrivi cosa fate con i dati delle persone:
- paghiamo i dipendenti
- facciamo fatture ai clienti
- abbiamo fornitori
- abbiamo un sito, magari una newsletter
- abbiamo telecamere o GPS sui mezzi?
- Scrivi il registro dei trattamenti (art. 30). Una riga per ogni attività del punto 1. Per ognuna indichi:
- perché usi quei dati e con quale motivo legale (contratto, obbligo di legge, consenso, legittimo interesse);
- di chi sono e che dati sono;
- a chi li passi;
- per quanto tempo li tieni;
- come li proteggi.
- Valuta i rischi. Per ogni attività chiediti cosa può andare storto (furto, perdita, occhi indiscreti) e cosa fai per evitarlo: password, backup, antivirus, armadi chiusi, accessi limitati. Se il rischio è alto, serve la DPIA (vedi sotto).
- Fai firmare le nomine ai fornitori che vedono i tuoi dati (commercialista, consulente del lavoro, tecnico del computer, software in cloud).
- Consegna le lettere di autorizzazione ai dipendenti, con le istruzioni su come usare i dati. Designa per iscritto gli amministratori di sistema, se ci sono.
- Prepara le informative per dipendenti, clienti, fornitori, candidati e per il sito. Se hai telecamere, metti anche i cartelli.
- Forma il personale con un breve corso e conserva le firme di presenza o gli attestati.
- Metti tutto in un posto solo: documenti firmati, contratti, attestati. Se arriva un controllo, li tiri fuori in cinque minuti.
Come mantenere la conformità nel tempo
Una volta in regola, la privacy chiede pochi minuti, ma con costanza.
Ogni giorno, o almeno ogni settimana: controlla le scadenze. C'è una nomina da rinnovare, una richiesta a cui rispondere, un corso da fare? Se sì, fallo.
Quando succede qualcosa:
| Cosa succede | Cosa fai |
|---|---|
| Arriva un nuovo dipendente | Gli dai l'informativa e la lettera di autorizzazione; lo iscrivi al corso privacy. |
| Arriva un nuovo fornitore che vede i tuoi dati | Gli fai firmare la nomina a responsabile esterno. |
| Inizi qualcosa di nuovo (telecamere, GPS, nuovo software, nuovo sito) | Aggiorni il registro e i rischi; se serve fai la DPIA; per telecamere e GPS sui dipendenti chiedi prima l'accordo sindacale o l'autorizzazione dell'Ispettorato. |
| Qualcuno chiede i suoi dati, di correggerli o di cancellarli | Lo annoti e rispondi entro un mese (prorogabile di altri due nei casi complessi, avvisando la persona). |
| Succede un guaio: PC rubato, virus, email alla persona sbagliata, chiavetta persa | Lo annoti subito nel registro delle violazioni. Se c'è un rischio per le persone, avvisi il Garante entro 72 ore. Se il rischio è alto, avvisi anche le persone coinvolte. |
Una volta l'anno: rileggi il registro. È cambiato qualcosa? Nuovi fornitori, programmi, attività? Aggiorna, poi stampa o salva in PDF il registro con la data, come prova dell'aggiornamento.
Sul termine delle 72 ore: la Commissione UE ha proposto, con il "Digital Omnibus", di portarlo a 96 ore e solo per i casi ad alto rischio. A ottobre 2026 la proposta era ancora in discussione e non in vigore (fonte): per ora valgono le 72 ore.
La DPIA: quando serve e come si fa
La DPIA (valutazione d'impatto, art. 35 GDPR) è un documento che dimostra per iscritto che un'attività "rischiosa" è sotto controllo. Si fa prima di iniziare quell'attività.
Serve davvero? Per le attività normali (stipendi, fatture, fornitori) di solito no. Serve quando l'attività può creare un rischio alto per le persone. Esempi tipici:
- telecamere che riprendono in modo continuo dipendenti o luoghi aperti al pubblico;
- GPS su auto e furgoni aziendali o app che tracciano i dipendenti;
- dati sanitari in quantità: studi medici e dentistici, laboratori, case di riposo;
- impronte digitali o riconoscimento del volto, per esempio per le presenze;
- punteggi o decisioni automatiche sulle persone (profilazione);
- dati di persone fragili (minori, pazienti, anziani) su larga scala;
- nuove tecnologie, come l'intelligenza artificiale, usate sui dati delle persone.
Il Garante ha pubblicato l'elenco dei casi in cui è obbligatoria. Regola pratica: se la tua attività ha almeno due di queste caratteristiche, falla. Nel dubbio, falla.
Come si fa, in 5 passi:
- Descrivi l'attività: cosa fai, con quali dati, di chi, perché, con quali strumenti, chi li vede, per quanto li tieni.
- Spiega perché è necessaria e proporzionata. Usi solo i dati indispensabili? C'è un modo meno invasivo? La telecamera deve riprendere tutto o basta l'ingresso?
- Elenca i rischi per le persone: dati rubati, visti da chi non dovrebbe, usati per controllare i dipendenti, persi. Per ognuno valuta quanto è probabile e quanto sarebbe grave.
- Scrivi le misure che li riducono: accessi limitati, cancellazione automatica dopo un certo numero di giorni, cartelli e informative, accordo sindacale, crittografia, backup.
- Tira le somme. Il rischio che resta è accettabile? Se sì, firmi e conservi la DPIA. Se resta alto, aggiungi altre misure; se non basta, chiedi un parere al Garante prima di partire (art. 36). Capita di rado.
Se hai un DPO, il suo parere va scritto nella DPIA. La DPIA non si manda al Garante: la tieni tu e la rileggi quando cambia qualcosa.
Rapporti con il Garante
Quasi niente. Con il GDPR i documenti si tengono in azienda e si mostrano solo se il Garante li chiede.
| Si tiene in azienda | Si manda al Garante |
|---|---|
| Registro dei trattamenti | Notifica di data breach, entro 72 ore, se la violazione crea un rischio per le persone (procedura online sul sito del Garante) |
| DPIA | Dati di contatto del DPO, solo se l'azienda lo ha nominato |
| Informative, nomine, autorizzazioni | Consultazione preventiva, solo se dopo la DPIA il rischio resta alto (raro) |
| Registro interno delle violazioni, anche quelle non notificate | Le risposte e i documenti chiesti dal Garante in caso di reclamo o ispezione |
| Registro della formazione |
Per telecamere e GPS sui dipendenti non si scrive al Garante, ma servono l'accordo sindacale o l'autorizzazione dell'Ispettorato del Lavoro.
Korevium Privacy: gestione integrata degli adempimenti GDPR e Codice privacy
Korevium Privacy segue gli stessi passi di questa guida: compili il registro una volta e il programma prepara il resto.
| Passo della guida | In Korevium Privacy |
|---|---|
| Inventario dei dati | Questionario di raccolta dati da inviare al cliente; modelli pronti per settore |
| Registro dei trattamenti | Registro del titolare e del responsabile (art. 30), stampa in PDF ed esportazione in Excel |
| Rischi e DPIA | Analisi dei rischi per ogni trattamento, avviso automatico quando serve la DPIA, DPIA guidata con documento in Word |
| Nomine e autorizzazioni | Nomine art. 28, autorizzazioni art. 29, amministratori di sistema, contitolarità, DPO: tutto in Word |
| Informative | Generate dal registro per dipendenti, clienti, fornitori, candidati e sito |
| Documenti firmati | Allegati collegati a ogni azienda: contratti, attestati, documenti |
| Data breach e richieste | Registro violazioni con calcolo delle 72 ore; registro richieste con calcolo del termine |
| Formazione | Registro della formazione del personale |
| Tenere in ordine | Scadenziario unico e riepilogo di conformità con punteggio ed elenco di cosa manca |
Cosa devi fare per la privacy in azienda
La regola di base: l’azienda usa dati di persone (dipendenti, clienti, fornitori). La legge chiede di usarli solo per motivi giusti, di proteggerli e di avere tutto scritto e firmato. Il tuo lavoro è tenere in ordine queste carte.
La prima volta: metti in ordine
1. Fai la lista di cosa fa l’azienda con i dati delle persone.
Gira per l’ufficio e chiedi. Per esempio:
- paghiamo gli stipendi → dati dei dipendenti
- facciamo fatture → dati dei clienti
- compriamo da fornitori → dati dei fornitori
- abbiamo le telecamere → immagini delle persone
- abbiamo il sito e la newsletter → email dei clienti
Ogni voce di questa lista è un “trattamento”. In Korevium scegli quelli che corrispondono dai modelli già pronti.
2. Fai la lista di chi, da fuori, vede i nostri dati.
Per esempio il commercialista, il consulente del lavoro che fa le buste paga, il tecnico del computer, la ditta delle telecamere, il programma di fatturazione online.
Ognuno di loro deve firmare una nomina: un foglio in cui si impegna a trattare bene i nostri dati. Il programma la prepara, tu la fai firmare.
3. Fai firmare una lettera a ogni collega che usa i dati.
Per esempio la segretaria che archivia i curriculum o il magazziniere che vede gli indirizzi di consegna. La lettera dice cosa può fare con i dati e come comportarsi: non lasciare documenti sulla scrivania, non dare la password, bloccare il PC quando si alza.
4. Dai l’informativa a chi ci lascia i dati.
È il foglio che spiega alla persona cosa facciamo con i suoi dati. Per esempio:
- al nuovo dipendente, il primo giorno
- al cliente, sul contratto o sul sito
- per le telecamere, il cartello all’ingresso
5. Metti via tutto in un posto solo.
Nomine firmate, lettere firmate, contratti. Se arriva un controllo, devi trovarli in cinque minuti. In Korevium li alleghi direttamente all’azienda o al fornitore.
Poi, tutti i giorni
Ogni mattina: guarda se c’è qualche scadenza (in Korevium c’è lo scadenziario). Se non c’è niente, hai finito.
Quando succede qualcosa:
| Succede che… | Tu fai… |
|---|---|
| Arriva un nuovo collega | Gli dai l’informativa e la lettera da firmare. |
| Arriva un nuovo fornitore che vede i nostri dati | Gli fai firmare la nomina prima che inizi. |
| Un cliente chiede “che dati avete su di me?” o “cancellatemi” | Lo segni subito e avvisi il responsabile: c’è un mese per rispondere. |
| Succede un guaio: PC rubato, chiavetta persa, email con dati inviata alla persona sbagliata, virus | Lo segni subito e avvisi il responsabile nello stesso giorno: in alcuni casi bisogna avvisare il Garante entro 72 ore. |
| L’azienda vuole mettere telecamere, GPS sui furgoni o un nuovo programma | Avvisi il responsabile prima: potrebbe servire una valutazione dei rischi e, per telecamere e GPS sui dipendenti, l’accordo con i sindacati. |
Una volta l’anno
Rileggi la lista dei trattamenti e dei fornitori: è cambiato qualcosa? Aggiorni, poi stampi il registro con la data e lo conservi.
In una frase: fai firmare a chi deve firmare, dai l’informativa a chi lascia i dati, segna subito ogni guaio e ogni richiesta, e tieni tutto in un posto solo.