Intorno al GDPR si è costruito molto rumore, con offerte di pacchetti documentali che promettono la conformità in un pomeriggio. La realtà è più semplice e insieme più impegnativa: servono poche cose, ma vanno tenute vive nel tempo, perché un documento aggiornato al 2018 non descrive più l'azienda di oggi.
Il punto di partenza: sapere che dati avete
Prima di ogni documento, va fatta una mappa. Quali dati personali tratta l'azienda, da chi arrivano, dove sono conservati, chi vi accede, per quanto tempo restano. Nella pratica di una piccola impresa si tratta quasi sempre di: dipendenti, clienti, fornitori, candidature ricevute, contatti dal sito, eventuali immagini di videosorveglianza.
Questa mappa è il registro dei trattamenti, che nella maggior parte dei casi è obbligatorio anche sotto i 250 dipendenti, perché i trattamenti sono abituali e comprendono dati di dipendenti. Può stare in un foglio di calcolo ben fatto.
Cosa serve concretamente
- Registro dei trattamenti, aggiornato quando cambiano gestionali o fornitori.
- Informative chiare per dipendenti, clienti, fornitori e visitatori del sito. Non devono essere lunghe: devono dire cosa fate con i dati, per quanto li tenete e a chi li comunicate.
- Nomine dei responsabili esterni: il consulente del lavoro, il commercialista, il fornitore del gestionale, chi ospita il sito, il fornitore dei servizi cloud. Ognuno tratta dati per vostro conto e serve un contratto che lo regoli.
- Istruzioni al personale: chi può accedere a cosa e come si comporta. Anche una pagina, purché firmata e spiegata.
- Misure di sicurezza effettivamente applicate. È qui che si gioca la partita vera.
- Procedura per le richieste degli interessati: chi risponde se qualcuno chiede accesso o cancellazione dei propri dati, e in che tempi.
- Procedura per le violazioni: cosa si fa se i dati vengono persi o rubati.
Le misure di sicurezza che contano
Il regolamento non fornisce un elenco: chiede misure adeguate al rischio. Nella pratica, per una piccola azienda, un insieme ragionevole è questo:
- Utenze nominali e non condivise, con password gestite in modo serio.
- Autenticazione a due fattori su posta e accessi da remoto.
- Permessi assegnati per ruolo: non tutti devono vedere tutto.
- Backup funzionante, con copia non modificabile, e ripristini provati.
- Sistemi aggiornati e antivirus gestito centralmente.
- Cifratura dei portatili che escono dalla sede.
- Cancellazione sicura dei dispositivi dismessi.
- Revoca immediata degli accessi quando una persona lascia l'azienda.
Chi ha questo elenco in ordine è, nella sostanza, molto più conforme di chi ha trenta documenti perfetti e le password su un foglio attaccato al monitor.
Gli errori più frequenti
- Comprare un pacchetto di modelli e non adattarlo alla propria realtà: in caso di controllo la discrepanza è evidente.
- Dimenticare i fornitori cloud fra i responsabili esterni.
- Conservare candidature e curriculum per anni senza una regola di cancellazione.
- Installare telecamere senza cartelli e senza informativa ai lavoratori.
- Non aggiornare nulla dopo aver cambiato gestionale o fornitore di servizi.
Conclusione
La conformità di una piccola azienda sta in un registro reale, informative chiare, contratti con i fornitori e misure di sicurezza effettivamente in funzione. È un lavoro iniziale di qualche giornata e poi una revisione annuale. Se volete affrontare la parte tecnica — accessi, backup, cifratura, tracciamento — possiamo occuparcene e fornirvi la documentazione delle misure adottate.