Che cos'è
Il GDPR è il regolamento europeo sulla protezione dei dati personali. Riguarda ogni azienda, di qualunque dimensione: se hai dipendenti, clienti o fornitori, tratti dati personali. L'adeguamento non è un timbro una tantum: registri dei trattamenti, informative, nomine dei fornitori e misure di sicurezza devono riflettere la realtà di oggi, non quella di quando li hai scritti.
Chi è obbligato
Tutti. Non esistono soglie dimensionali. Cambia solo la profondità degli adempimenti: alcune realtà devono anche nominare un DPO (Data Protection Officer, il Responsabile della Protezione dei Dati). La nomina è obbligatoria quando le attività principali comportano un monitoraggio regolare e sistematico delle persone su larga scala, oppure il trattamento su larga scala di categorie particolari di dati (come i dati sanitari) o di dati su condanne penali.
Il caso più frequente che troviamo: adeguamento fatto nel 2018, mai più rivisto. Nel frattempo sono arrivati nuovi gestionali, il lavoro da remoto, i canali social e gli strumenti di intelligenza artificiale, che quasi sempre trattano dati personali. Sulla carta sei a posto; nella realtà, no.
Cosa rischi
Il Garante Privacy può applicare sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore; per violazioni come la mancata nomina del DPO si arriva a 10 milioni o al 2%. E le sanzioni ai danni delle PMI non sono teoria: i provvedimenti del Garante colpiscono regolarmente aziende di ogni dimensione, spesso a partire da un reclamo di un ex dipendente o di un cliente. A questo si sommano i risarcimenti civili e il danno di fiducia.
Come ti aiuta Quaterr
Rimettiamo in ordine la privacy e la teniamo aggiornata:
- 01Audit di aggiornamento: fotografiamo la distanza tra le carte e la realtà
- 02Rimettiamo in ordine registri, informative, nomine e misure di sicurezza
- 03Valutiamo se ti serve il DPO e, se sì, lo forniamo noi in canone
- 04Presidio continuativo: ogni nuovo strumento o trattamento viene valutato prima, non dopo
Domande frequenti
Siamo una piccola S.r.l.: il GDPR vale anche per noi?
Sì, integralmente. Cambiano le misure proporzionate alla dimensione, non l'obbligo.
Il DPO è obbligatorio per tutti?
No: dipende dai trattamenti, non dalla dimensione. Una piccola azienda sanitaria può doverlo nominare, una media manifatturiera magari no. Lo verifichiamo in audit.
Ogni quanto va aggiornato l'adeguamento?
Ogni volta che cambia qualcosa nei trattamenti: un nuovo gestionale, un nuovo canale di vendita, uno strumento di AI. Come regola pratica, una revisione annuale è il minimo.
Usiamo ChatGPT e strumenti simili: c'entra la privacy?
Moltissimo. Cosa ci caricate dentro, con quali garanzie e con quale base giuridica: sono esattamente le domande che un audit aggiornato deve farsi (e che si collegano anche all'AI Act).
Cosa succede in caso di ispezione o reclamo?
Il Garante chiede di esibire registri, informative e misure. Se sono fermi da anni, la violazione è già nella carta. Arrivare preparati cambia l'esito.