Conformità aziendale.

Documenti che reggono un controllo.
Non modelli scaricati.

Adempimenti privacy, continuità operativa, DPO esterno e formazione dei dipendenti. Per aziende di ogni dimensione, a partire dalle più piccole: il registro dei trattamenti serve anche a chi ha tre dipendenti e un gestionale. Si parte da quello che l'azienda tratta davvero, non da un fascicolo prestampato.

Parliamo della tua azienda

Quattro ambiti di intervento, attivabili singolarmente o come percorso unico. Gli adempimenti privacy: piani, registro dei trattamenti, matrici dei rischi, nomine e revoche, secondo il Regolamento UE 2016/679. La continuità operativa: piani BCP, analisi d'impatto, strategie di ripresa, con l'orientamento a NIS 2 e DORA per i soggetti che vi ricadono. Il DPO esterno, articoli 37-39 del GDPR, con specializzazione sulle aziende di servizi legati alla finanza e al credito. La formazione del personale, realizzata e distribuita su piattaforma LMS con le attestazioni tracciate. Gli adempimenti che riguardano il canale digitale costituiscono un perimetro proprio, descritto nella pagina su conformità e accessibilità.

Privacy e adempimenti GDPR

Disegno: una persona appunta su una lavagna l'elenco dei dati trattati e di chi li tocca, accanto un lucchetto chiuso

Piani privacy, registro dei trattamenti, matrici di analisi dei rischi, piani di nomine e revoche. Il riferimento normativo è il Regolamento UE 2016/679.

Il registro dei trattamenti è l'elenco di cosa succede ai dati dentro l'azienda: quali si raccolgono, per farne cosa, per quanto tempo si tengono, chi li tocca dentro e chi fuori. L'articolo 30 del GDPR lo prevede, ed è anche il primo documento che viene chiesto in caso di controllo.

La differenza fra un registro che serve e uno che non serve è tutta qui: il primo descrive quello che l'azienda fa davvero, il secondo è un modello con il nome cambiato. Un registro che non corrisponde alla realtà non protegge, perché in un controllo la discordanza fra il documento e i fatti è più grave del documento mancante.

Per un'azienda piccola questo è spesso il primo documento vero che si trova in mano. Non richiede mesi: richiede di sedersi e ricostruire, insieme a chi quel lavoro lo fa, dove passano i dati dei clienti e dei dipendenti.

Le nomine e le revoche sono la parte che di solito manca. Chi è autorizzato a trattare quali dati, con quali istruzioni, e cosa succede quando quella persona cambia ruolo o esce dall'azienda: se non è scritto, gli accessi restano attivi per anni dopo che sono diventati impropri.

Continuità operativa

Disegno: una persona cammina tranquilla su un ponte, accanto al quale c'è un secondo ponte più piccolo pronto come riserva

Piani di continuità aziendale (BCP), matrici di analisi d'impatto, strategie di continuità. Orientamento alle normative NIS 2 e DORA per i soggetti che ci ricadono.

La domanda a cui serve rispondere è una sola: se domani un sistema si ferma, cosa resta in piedi e per quanto. Il piano serve a saperlo prima, non a scoprirlo durante.

L'analisi d'impatto è il passaggio che rende il piano utile invece che formale. Si prendono i processi dell'azienda e si stabilisce, per ognuno, quanto tempo può stare fermo prima che il danno diventi serio e quanti dati si può accettare di perdere. Sono due numeri, e fino a quando non sono scritti ogni discussione sulla continuità resta un'opinione.

Da quei numeri escono le strategie: cosa si duplica, cosa si può ricostruire a mano per qualche giorno, cosa va spostato su un fornitore diverso perché averlo tutto in un posto solo è il rischio. E chi decide, quando succede, senza dover cercare un responsabile al telefono.

Su NIS 2 e DORA il nostro lavoro è di orientamento: si verifica se l'azienda ci ricade e si costruisce il piano tenendo conto di cosa chiedono, dalla gestione del rischio dei fornitori alla segnalazione degli incidenti.

DPO esterno

Disegno: una persona con una cartella sotto il braccio sta in piedi fra due scrivanie e fa da tramite fra le due

Assumiamo il ruolo di Responsabile della protezione dei dati ai sensi degli articoli 37-39 del GDPR, con specializzazione sulle aziende di servizi legati alla finanza e al credito.

Non è una consulenza a progetto, è un incarico continuativo: sorveglianza sugli adempimenti, parere sulle valutazioni d'impatto, punto di contatto verso il Garante e verso gli interessati che esercitano i loro diritti.

Il DPO è obbligatorio in tre casi, elencati dall'articolo 37: enti pubblici, trattamenti su larga scala di dati particolari, monitoraggio sistematico su larga scala. Fuori da quei casi resta facoltativo, e diverse aziende lo nominano comunque perché avere una figura che sorveglia conviene più che scoprire il problema dopo.

La ragione per cui il ruolo si affida spesso all'esterno è l'indipendenza: il GDPR chiede che il DPO non sia in conflitto di interessi, e dentro un'azienda piccola la persona che conosce i dati è quasi sempre la stessa che li gestisce, cioè quella che non può controllare se stessa.

La specializzazione sulla finanza e sul credito viene dal lavoro fatto per una società di servizi del settore, su un perimetro con dati di debitori e controparti: informative, designazione dei responsabili del trattamento, valutazione d'impatto, misure sugli accessi.

Formazione dei dipendenti

Disegno: tre persone seguono un corso davanti a un computer portatile, accanto un elenco con due spunte

Realizziamo i corsi e li distribuiamo su piattaforma LMS: ogni dipendente accede con il suo profilo, il percorso resta tracciato, le attestazioni restano documentate.

La formazione è la parte che decide se il resto funziona. I piani li scrivono i consulenti, i dati li maneggiano le persone: se chi risponde al telefono non sa cosa può dire e cosa no, il registro dei trattamenti non serve a niente.

Il tracciamento non è burocrazia fine a se stessa. Gli articoli 29 e 32 del GDPR chiedono che chi tratta dati lo faccia secondo istruzioni e con misure adeguate: poter dimostrare chi ha seguito cosa, e quando, è la differenza fra una misura dichiarata e una documentata.

E siccome i corsi stanno su una piattaforma e non in un'aula, chi entra in azienda a marzo fa lo stesso percorso di chi c'era a gennaio, senza aspettare la prossima sessione.

Da dove si comincia

Si comincia guardando, non producendo documenti.

01 Ricognizione. Una sessione con chi in azienda tocca i dati per capire cosa c'è già e cosa manca. Spesso qualcosa c'è: una vecchia informativa, un modulo di consenso, una nomina fatta anni fa. Serve sapere da dove si parte prima di decidere cosa scrivere.

02 Priorità. Non tutto ha la stessa urgenza. Si mette in fila quello che manca in base a due criteri: cos'è obbligatorio e cosa espone di più. Il resto viene dopo, dichiarato come tale invece che nascosto.

03 Costruzione. I documenti si scrivono sui trattamenti veri, con i nomi e i ruoli dell'azienda dentro. Nomine, istruzioni, registro, piani.

04 Manutenzione. La conformità non è un progetto che finisce. Quando cambia un fornitore, un gestionale o una persona, i documenti vanno aggiornati, altrimenti in due anni tornano a descrivere un'azienda che non esiste più.

Due perimetri distinti

La distinzione merita di essere resa esplicita, perché nella pratica i due ambiti vengono confusi con frequenza. Questa pagina riguarda gli adempimenti dell'organizzazione: registri, nomine, piani di continuità, designazione del DPO, formazione del personale. La conformità del canale digitale — informativa redatta sui trattamenti che il sito effettua realmente, gestione dei cookie, raccolta e archiviazione dei consensi, accessibilità — costituisce un perimetro tecnico a sé, descritto nella pagina su conformità e accessibilità.

I due percorsi si incrociano di frequente, ma rispondono a interlocutori diversi: il presidio sul sito nasce di norma dall'area marketing o dal fornitore tecnico, quello sugli adempimenti da chi risponde della conformità. Mantenerli distinti, anche nel modo in cui li presentiamo, evita l'equivoco più costoso: ritenere assolto l'uno per avere affrontato l'altro.

Se non sai da dove partire, è il caso normale: scrivici e facciamo la ricognizione, poi ti diciamo cosa manca davvero e in che ordine conviene affrontarlo. Siamo EON Works, di Rapolano Terme: lavoriamo da remoto con aziende in tutta Italia. Rispondiamo entro 24 ore.

Domande sulla conformità

  • Da che dimensione di azienda serve mettersi in regola col GDPR?

    Da subito. Il Regolamento UE 2016/679 non ha una soglia di dipendenti o di fatturato: si applica a chiunque tratti dati personali, quindi anche a una ditta individuale che ha un elenco clienti e un gestionale. Quello che cambia con la dimensione non è l'obbligo, è la quantità di documenti che serve produrre. Un'impresa piccola con pochi trattamenti chiude con un registro snello, non con il faldone di una multinazionale.

  • Cos'è il registro dei trattamenti e chi deve averlo?

    È l'elenco di cosa fa l'azienda con i dati personali: quali raccoglie, per quale finalità, per quanto tempo li tiene, chi li tocca dentro e fuori. Lo prevede l'articolo 30 del GDPR. È anche il primo documento che viene chiesto in caso di controllo, ed è il motivo per cui conviene averlo scritto sui trattamenti veri e non copiato da un modello: un registro che non corrisponde a quello che succede in azienda peggiora la posizione invece di migliorarla.

  • Il DPO è obbligatorio per la mia azienda?

    L'articolo 37 del GDPR lo rende obbligatorio in tre casi: enti pubblici, trattamenti su larga scala di dati particolari, e monitoraggio sistematico su larga scala. Fuori da questi casi è facoltativo, ma diverse aziende lo nominano comunque perché avere una figura che sorveglia gli adempimenti e fa da punto di contatto con il Garante conviene. Noi assumiamo il ruolo dall'esterno, con specializzazione sulle aziende di servizi legati alla finanza e al credito.

  • NIS 2 e DORA riguardano la mia azienda?

    NIS 2 riguarda soggetti in settori individuati come essenziali o importanti, DORA riguarda il settore finanziario e i suoi fornitori di servizi informatici. Le due normative non si applicano a tutti, ma quando si applicano chiedono cose che somigliano a un piano di continuità: analisi d'impatto, strategie di ripresa, gestione del rischio dei fornitori. Il nostro lavoro qui è di orientamento: si guarda se l'azienda ci ricade e si costruisce il piano di continuità tenendo conto di cosa chiedono.

  • La formazione dei dipendenti sul GDPR è obbligatoria?

    Sì, nel senso che gli articoli 29 e 32 del GDPR chiedono che chi tratta dati lo faccia secondo istruzioni e con misure adeguate, e questo implica che le persone sappiano cosa fare. Non serve un corso lungo: serve che sia documentato e che resti traccia di chi lo ha seguito. Per questo distribuiamo i corsi su piattaforma LMS, dove ogni dipendente accede col suo profilo e le attestazioni restano registrate.

  • Questa pagina copre anche la conformità del sito web?

    I due perimetri sono distinti. Qui si trattano gli adempimenti dell'organizzazione: registri, piani, nomine, continuità operativa, designazione del DPO, formazione del personale. La conformità del canale digitale, cioè informativa, gestione dei cookie, archiviazione dei consensi e accessibilità secondo le WCAG, è descritta nella pagina dedicata. Nella maggior parte dei casi servono entrambi i presidi, ma restano due incarichi con interlocutori e competenze differenti.