Il GDPR si applica anche alla vostra azienda?
Il Regolamento generale sulla protezione dei dati (GDPR) si applica a praticamente ogni impresa che tratta dati personali, indipendentemente dalle dimensioni dell'azienda. Non appena registrate, conservate o utilizzate dati di clienti, dipendenti, candidati o visitatori del sito web, dovete conformarvi alla GDPR. Non esiste un'esenzione generale per le piccole imprese o le ditte individuali.
Ciò che varia, invece, è quanto vi viene richiesto. Un negozio online che tratta dati dei clienti, dati di pagamento e indirizzi per newsletter ha obblighi diversi da un'impresa di installazione che gestisce solo un'amministrazione del personale. La domanda non è quindi tanto "mi riguarda" quanto piuttosto "quale parte mi riguarda e quanto pesantemente".
Quando avete praticamente certezza di averne a che fare
Ci sono alcune situazioni che si verificano in praticamente ogni impresa e che quasi sempre rientrano nella GDPR. Pensate a un database di clienti con nomi e dati di contatto, un fascicolo del personale con dati su stipendi e assenze, una procedura di selezione in cui ricevete CV, un modulo di contatto o una newsletter sul vostro sito web, e il monitoraggio tramite telecamere sul luogo di lavoro o nel negozio. In tutti questi casi trattate dati personali, e questo è esattamente di cosa parla la GDPR.
Anche se condividete tali dati con un'altra azienda, ad esempio un commercialista, un partner logistico o un'agenzia di marketing, siete comunque responsabili di come ciò avviene. Ciò vale indipendentemente dal fatto che conserviate i dati voi stessi o li facciate conservare da un fornitore di servizi.
Quando la situazione è meno chiara
Ci sono anche situazioni in cui la questione è meno univoca. Una relazione puramente commerciale tra due imprese, in cui scambiate solo nomi aziendali, numeri di iscrizione al registro delle imprese e dati di contatto generici di un'organizzazione, rientra nella GDPR diversamente da quando registrate il nome di una specifica persona di contatto. Non appena un dato è riconducibile a un individuo, anche in un contesto commerciale, è probabile che si tratti di un dato personale. Dove esattamente si traccia il confine nella vostra situazione è qualcosa che un avvocato o l'Autorità garante per la protezione dei dati personali può valutare; questo articolo fornisce solo un orientamento, non una risposta conclusiva per il vostro caso specifico.
Questo tipo di casi limite spesso si combina con altri obblighi. Un negozio online che consegna in più paesi dell'UE può affrontare contemporaneamente questioni di sicurezza dei prodotti, imballaggi e accessibilità oltre alla GDPR. vedere quali piattaforme ci sono fornisce una panoramica dei settori in cui ciò può verificarsi, così non dovrete ricercare da capo per ogni obbligo dove esattamente vi trovate.
Ciò che le dimensioni della vostra azienda cambiano e non cambiano
Le dimensioni dell'impresa non influiscono sulla questione se la GDPR si applica, ma bensì su alcuni obblighi concreti. Ad esempio, la questione se dovete nominare un responsabile della protezione dei dati o quanto dettagliato deve essere un registro dei trattamenti dipende dalla natura e dalla portata del trattamento dei dati. Un'impresa che tratta dati sensibili su larga scala, come dati sanitari, ha requisiti diversi da un'impresa che registra solo dati clienti basilari per la fatturazione. I confini e le definizioni precisi si trovano nel testo ufficiale della GDPR e nelle linee guida dell'Autorità garante per la protezione dei dati personali; questi sono i riferimenti a cui ricorrere se volete determinarli per la vostra azienda.
Come lo chiarite per la vostra azienda
Un modo pratico per iniziare è fare un elenco di dove entrano i dati personali: il sito web, l'amministrazione del personale, il servizio clienti, eventuali telecamere e i soggetti esterni con cui condividi i dati. Per ciascuno di questi punti puoi stabilire quali dati sono esattamente e perché li conservi. Questo inventario è anche la base per un registro dei trattamenti, ed è un lavoro che in ultima analisi devi fare tu stesso o con un giurista; nessuna piattaforma può fare questa valutazione sostanziale per te.
Quello che reglia fa a questo riguardo è mantenere i tuoi dati aziendali e di prodotto in un unico luogo, in modo che non devi inserirli di nuovo in ogni piattaforma di compliance non appena stabilisci che un obbligo si applica a te. Come funziona esattamente e cosa accade e non accade ai tuoi dati è spiegato su la pagina su come funziona regliaDomande sulla pratica quotidiana, come cosa succede quando i dati vengono condivisi tra piattaforme, sono raccolte su la pagina delle domande frequenti.
Una volta stabilito quali obblighi si applicano alla tua azienda, probabilmente vorrai anche sapere come i tuoi dati sono protetti a questo proposito. È descritto su la pagina su sicurezza e privacy.
Lettura ulteriore
Il GDPR è uno dei regolamenti con cui un'impresa può dover affrontare, insieme ad esempio alla sicurezza dei prodotti, agli imballaggi o all'accessibilità. Curioso di sapere quali piattaforme ci sono e quale parte dei tuoi obblighi coprono? Guarda quali soluzioni ci sono e quale si adatta alla tua situazione.