Domande: le piccole imprese cosa devono fare?

Valentina, Centro Estetico chiede:

Ho provato a leggere il regolamento e la normativa ma non mi è chiaro cosa effettivamente una piccola impresa dovrebbe fare. Inviare un modulo per accettazione a tutti i clienti? E i fornitori? Mi aiuterebbe a far chiarezza?

Risponde Luigi Duraccio

Precisiamo intanto che il GDPR riguarda i dati personali di cittadini UE. La prima cosa da fare quindi è valutare se l’azienda tratta dati personali e in che misura. Quindi anche una piccola azienda sarà chiamata ad adeguarsi al regolamento qualora trattasse dati personali (clienti, lavoratori), in relazione alla propria attività.  Allo stesso modo, una piccola azienda con pochi dipendenti che tuttavia gestisse grosse liste di utenti (es.: clienti e-commerce, iscritti a mailing list, ecc.) sarebbe tenuto a verificare la propria compliance.

Molte altre invece prescrizioni dipendono dal tipo di attività svolta e soprattutto dal tipo dati con cui entra in contatto.

Inviare un modulo a tutti i clienti e i fornitori non è una misura richiesta dal GDPR (il consenso informato è una cosa diversa).

In linea generale esistono degli schemi da seguire, ovviamente da personalizzare, basati sulle prescrizioni della norma e delle indicazioni del Garante: la invitiamo a questo scopo a consultare i documenti disponibili sul sito del Garante Privacy – ad esempio in merito alla responsabilizzazione del titolare del trattamento –  o quelli presenti in questo blog (area download) che possono essere molto utili a capire le nuove regole.

Quello che possiamo consigliare è di effettuare su quanti e di quale natura sono i trattamenti che effettuate ed una valutazione del rischio di impatto del vostro trattamento dati in relazione alla loro tutela (DPIA): se questi si riferiscono ai dati personali degli interessati o meno, alla natura specifica dei dati (es. dati sanitari?) e alla categoria di interessati (es. minori?). Solo dopo una analisi di questo tipo è possibile definire le responsabilità in qualità di titolare o di responsabile per conto di altri titolari e quindi le azioni da mettere in campo.