La risposta breve
Il GDPR si applica a quasi tutte le organizzazioni che trattano dati personali, indipendentemente dalle dimensioni. Ciò significa che anche un'azienda di installazione con quattro dipendenti, un'attività individuale con clienti o un'organizzazione no-profit con volontari rientrano in linea di massima nel campo di applicazione del regolamento non appena vengono registrati nomi, indirizzi e-mail, dati salariali o altri dati personali. Per la tenuta di un registro dei trattamenti, il GDPR prevede un'eccezione per le organizzazioni con meno di 250 dipendenti, ma tale eccezione si applica solo se sono contemporaneamente soddisfatti diversi requisiti.
In pratica, poche PMI soddisfano tutti questi requisiti, semplicemente perché un'amministrazione del personale, un database di clienti o una registrazione video sono già considerati trattamenti strutturali. Stabilire se l'eccezione si applica esattamente alla vostra organizzazione è qualcosa che potete verificare al meglio consultando il testo normativo stesso o con un legale; questo articolo descrive quando la questione diventa rilevante e su quali aspetti prestare attenzione.
Cosa significa esattamente l'eccezione
Il GDPR stabilisce nell'articolo 30, paragrafo 5, che l'obbligo di tenere un registro dei trattamenti non si applica alle organizzazioni con meno di 250 dipendenti, a meno che il trattamento che effettuano comporti un rischio per i diritti e le libertà degli interessati, non sia occasionale oppure riguardi categorie particolari di dati personali come i dati sanitari. Tutte queste eccezioni all'eccezione hanno una ragione: il legislatore voleva esentare le piccole organizzazioni solo dall'obbligo formale di tenere un registro in casi specifici e limitati, non dal mantenere una visione d'insieme.
La parola "occasionale" è in questo contesto la più determinante. Un'amministrazione dei salari gestita mensilmente, un database di clienti che aggiornate quotidianamente o telecamere che registrano continuamente immagini non sono trattamenti occasionali. Non appena un trattamento diventa parte strutturale dell'operatività aziendale, l'eccezione diventa difficile da applicare.
Quando la questione vi riguarda
La domanda "questo vale per me" è particolarmente rilevante per i lavoratori autonomi senza personale e senza un database fisso di clienti, che inviano una fattura di tanto in tanto e altrimenti raccolgono pochi dati personali. Per loro, in teoria, l'eccezione potrebbe applicarsi. Non appena viene assunto personale, viene utilizzato un sistema CRM, vengono conservate candidature o un sito web raccoglie dati dei visitatori tramite cookie o moduli di contatto, nella maggior parte dei casi si tratta di trattamenti strutturali e l'eccezione non è più applicabile.
Un'azienda di installazione con un'amministrazione del personale, un sistema di pianificazione con dati dei clienti e magari una telecamera al cantiere quindi non rientra nell'eccezione. Un responsabile delle risorse umane che gestisce dati di candidati, fascicoli di assenza e dati salariali effettua comunque un trattamento strutturale. Per queste aziende un registro dei trattamenti non è solo una questione legale, ma anche praticamente utile: fornisce a colpo d'occhio una panoramica di quali sistemi contengono quali dati, chi vi ha accesso e per quanto tempo i dati vengono conservati.
Perché il registro è utile anche senza obbligo
Indipendentemente dal fatto che l'eccezione si applichi esattamente, i clienti, le assicurazioni e i soggetti appaltanti chiedono sempre più spesso di dimostrare che un'organizzazione ha il controllo dei suoi dati personali. Un registro dei trattamenti è il primo documento che viene richiesto. Chi deve spiegare quali strumenti SaaS vengono utilizzati, quali accordi di trattamento vi sono associati e chi è responsabile di cosa, ha vantaggio nel tenere già un registro, invece di doverne compilare uno all'ultimo momento.
Questa panoramica non deve essere complicata. Si tratta di registrare per ogni trattamento quali dati sono coinvolti, con quale scopo vengono trattati, chi vi ha accesso, se è coinvolta una terza parte e per quanto tempo i dati vengono conservati. Nel portale informativo con argomenti GDPR per situazione specifica che cosa rientra concretamente in ogni tipo di trattamento, con il riferimento al testo ufficiale.
Come valutate questa situazione per il vostro caso specifico
Se la vostra azienda rientra nell'eccezione dipende dalla natura precisa e dalla frequenza dei trattamenti che effettuate, e questa è una valutazione che varia da un'organizzazione all'altra. L'Autorità Garante per la protezione dei dati personali pubblica linee guida sulla portata dell'obbligo di registro, e per un parere sulla vostra situazione specifica è consigliabile consultarle o rivolgersi a un legale. Quello che facciamo su gdpria.eu è portare struttura: spiegare che cosa significa la norma, con la fonte, in modo che possiate valutare da soli dove vi trovate. Su la pagina su dove provengono le nostre informazioni potete leggere come funziona esattamente questo collegamento con il testo normativo e le linee guida.
I casi dubbi più frequenti, come un lavoratore autonomo con un solo cliente fisso o un'associazione con soli volontari, si ritrovano in le domande frequenti sul GDPR nella pratica. Spesso emerge che la discussione sull'eccezione è meno importante di quanto si pensi, perché un registro chiaro comunque aiuta a rispondere alle domande dei clienti o a gestire una richiesta dell'interessato.
In breve
Il GDPR si applica a quasi ogni organizzazione che tratta dati personali. L'eccezione all'obbligo di registro è ristretta e vale solo se il trattamento è occasionale, non comporta rischi e non riguarda dati particolari. Per la maggior parte delle piccole e medie imprese con dipendenti, clienti o un sito web, quell'eccezione è fuori portata, e una panoramica dei propri trattamenti ha soprattutto un'utilità pratica.
Volete vedere subito dove si trova la vostra situazione? Fate la scansione rapida gratuita o sfogliate gli argomenti su creare un account commerciale e iniziare.