Il GDPR si applica anche alla mia azienda se non ho dipendenti?
Il Regolamento generale sulla protezione dei dati non fa distinzioni in base alle dimensioni dell'azienda. Non esiste alcun limite minimo nel testo normativo in relazione al numero di dipendenti o al fatturato al di sotto del quale le norme non si applicano. La domanda determinante è una sola: elaborare dati personali? Non appena registrate un nome cliente, un indirizzo e-mail, un indirizzo per una fattura o dati di un candidato, state effettuando un'elaborazione ai sensi del GDPR, anche se siete l'unico dipendente della vostra azienda.
Ciò significa nella pratica che praticamente ogni azienda, dalla ditta individuale all'impresa di grandi dimensioni, rientra in qualche misura nell'ambito di applicazione del GDPR. La differenza non sta nel fatto che la legge si applichi o meno, ma nell'ambito e nella natura di ciò che elaborate: un libero professionista che emette tre fatture all'anno ha un compito pratico diverso da un negozio online con migliaia di profili cliente. Gli obblighi diventano più gravosi man mano che l'elaborazione diventa più rischiosa o più ampia, ma il presupposto rimane lo stesso per tutti.
Ciò che invece determina quanto il GDPR pesa su di voi
Il GDPR prevede un'unica eccezione concreta legata alle dimensioni aziendali: l'obbligo di mantenere un registro delle attività di elaborazione in linea di principio non si applica alle organizzazioni con meno di 250 dipendenti, a meno che l'elaborazione non sia occasionale, comporti un rischio per i diritti degli interessati, o riguardi categorie particolari di dati personali come i dati sanitari. Nella pratica, la maggior parte delle PMI rientra comunque in una di queste eccezioni, semplicemente perché i dati dei clienti vengono elaborati in modo strutturale e quindi non occasionale. L'eccezione è quindi più ristretta di quanto non appaia a prima vista.
Più importante di quella singola eccezione è la natura di ciò che elaborate. Se elaborate solo dati di contatto commerciali di altri operatori commerciali, il rischio è generalmente limitato. Se elaborate dati di consumatori, personale, candidati o immagini da telecamere, si applicano gli stessi obblighi di una grande azienda: una base giuridica per l'elaborazione, chiarezza verso gli interessati, accordi con soggetti che elaborano dati per vostro conto, e un piano per il caso qualcosa vada storto.
Situazioni in cui il GDPR si applica chiaramente a voi
Se avete un negozio online, elaborate dati dei clienti, dati di ordini e spesso dati tramite un fornitore di servizi di pagamento o un servizio di consegna. Se avete dipendenti, elaborate dati sui salari, dati sull'assenza dal lavoro e talvolta un numero di identificazione fiscale. Se lavorate con candidati, elaborate curriculum vitae e lettere di motivazione. Se utilizzate videosorveglianza presso una sede, elaborate materiale video di visitatori e dipendenti. In tutti questi casi il GDPR si applica indiscutibilmente, indipendentemente dal fatto che lavoriate da soli o con dieci persone.
Situazioni in cui pesa meno, ma non scompare
Un libero professionista che fattura esclusivamente a clienti commerciali e non ha dipendenti o consumatori, in genere elabora dati meno sensibili e in volumi minori. Questo rende il compito pratico più gestibile, ma non significa che la legge non si applichi. Anche in questo caso dovete essere in grado di spiegare perché conservate i dati, per quanto tempo, e con chi potete eventualmente condividerli, ad esempio tramite un software di contabilità o un servizio cloud. Le linee guida dell'EDPB e la spiegazione dell'Autorità olandese per la protezione dei dati sottolineano costantemente che gli obblighi si adattano al rischio, non che scompaiano nei soggetti più piccoli.
Come verificare questa situazione per il vostro caso
La domanda più utile non è "sono abbastanza grande per contare", ma "quali dati personali elaboro, di chi, e perché". Passate in rassegna i vostri principali processi aziendali: fatturazione, contatto con i clienti, amministrazione del personale, marketing, sicurezza. In ogni processo in cui compare un nome, un indirizzo e-mail o un altro dato identificabile, il GDPR è in gioco. Chi non ha ancora una visione chiara di questo, trova nei banca di conoscenze con spiegazioni per ogni situazione un punto di partenza per determinare quali obblighi si applicano a quale tipo di trattamento.
Anche le domande più frequenti di altri imprenditori danno una buona idea di dove si concentra il dubbio; si trovano raccolte sulla pagina con risposte alle domande che gli imprenditori delle PMI pongono frequentemente. Se desiderate sapere come nascono le informazioni su gdpria.eu e quale fonte corrisponde a quale risposta, leggete quanto spiegato sulla pagina che illustra da dove provengono le informazioni utilizzate.
La valutazione finale della vostra situazione spetta a voi, eventualmente con un avvocato o con l'Autorità Garante per la protezione dei dati personali come punto di riferimento per chiarimenti generali. Quello che offriamo su queste pagine è una struttura per poter fare tale valutazione, non il consiglio stesso.
Se volete vedere rapidamente e senza impegno quali obblighi si applicano al vostro tipo di impresa, potete creare un account aziendale e costruire il quadro generale per la vostra situazione specifica. La prima esplorazione, compresa l'indicazione della fonte di ogni risposta, è e rimane gratuita.