Il RGPD si applica anche alla mia azienda?
Sì, nella stragrande maggioranza dei casi. Il Regolamento generale sulla protezione dei dati non prevede una soglia di fatturato, numero di dipendenti o settore. Non appena la vostra azienda elabora dati personali, come nomi, indirizzi e-mail o dati salariali, il regolamento si applica a tale elaborazione. Questo vale per una ditta individuale con un solo cliente esattamente come per un'azienda di installazione con cinquanta dipendenti.
La differenza rispetto a normative come NIS2, CSRD o lo standard VSME è che queste operano con soglie relative alla dimensione dell'azienda o al settore. La GDPR funziona diversamente: non è la dimensione della vostra azienda a essere determinante, ma la questione se e come vengono elaborati i dati personali. Per questo motivo la GDPR tocca nella pratica praticamente ogni azienda, anche se non sempre lo sembra.
Cosa il regolamento intende per dati personali
La GDPR distingue i dati personali come qualsiasi informazione riguardante una persona fisica identificata o identificabile. È più ampio di quanto molti imprenditori pensino. Un elenco di indirizzi di clienti, un fascicolo del personale, una lettera di candidatura ancora nella casella di posta, o riprese video all'ingresso: rientra tutto in questa definizione. Anche una partita IVA che invia solo fatture con nome e indirizzo elabora già dati personali.
Il regolamento fa una distinzione tra il titolare del trattamento, che decide perché e come i dati vengono elaborati, e il responsabile del trattamento, che lo fa per conto di altri. Un ufficio di amministrazione del personale è ad esempio responsabile del trattamento per i dati salariali del vostro personale, mentre voi stessi siete titolari del trattamento. Quale ruolo si applica alla vostra azienda e quali obblighi ne derivano è qualcosa che varia a seconda della situazione e su cui l'autorità di controllo e un consulente legale possono dare chiarimenti.
Perché questo argomento compare nel questionario del vostro cliente
I clienti chiedono sempre più spesso ai loro fornitori non solo informazioni su sostenibilità o sicurezza informatica, ma anche sulla gestione dei dati personali. Ciò accade ad esempio quando elaborate dati dei dipendenti o dei clienti finali del vostro cliente per suo conto, oppure quando avete accesso a sistemi in cui sono conservati tali dati. In questo caso il cliente vuole sapere se esiste un accordo di responsabile del trattamento, se viene mantenuto un registro dei trattamenti e come viene segnalata una violazione di dati.
Queste domande spesso si sovrappongono al questionario sulla sicurezza informatica, perché la sicurezza delle informazioni e la protezione dei dati nella pratica sono strettamente correlate. Un'azienda che fornisce software o servizi amministrativi ai clienti incontra queste domande più frequentemente di un'impresa di installazione che svolge principalmente lavoro fisico. Chi incontra ripetutamente questo tipo di domande in diversi formati da clienti diversi, può nella banca dati per argomento leggere qual è lo sfondo di tale domanda e dove trovare il testo ufficiale.
Cosa significa questo nella pratica
Se la GDPR impone specificamente obblighi come un responsabile della protezione dei dati, un accordo di responsabile del trattamento o un registro dei trattamenti dipende dalla natura e dall'ambito del trattamento all'interno della vostra azienda. Non è una domanda a cui si possa rispondere in senso generale; il regolamento stesso e le linee guida dell'autorità di controllo nazionale forniscono i criteri per questo. Per la maggior parte delle PMI il punto di partenza è semplice: mappare quali dati personali vengono elaborati, da chi e per quale scopo.
Questo quadro è utile anche quando un cliente vi pone domande in merito. Conservate documenti come un accordo di responsabile del trattamento o una dichiarazione sulla privacy in un luogo fisso, in modo da non dover cercarli ogni volta da capo. Come funziona all'interno di un unico fascicolo della catena e come i dati in esso contenuti vengono protetti lo potete leggere nella pagina su come i dati e la privacy sono protetti.
Desiderate prima vedere quali questionari e argomenti sono rilevanti per la vostra azienda, inclusa la questione se la protezione dei dati svolge un ruolo? Fate il gratis check in poche domande per una prima indicazione, oppure leggete in risposte alle domande frequenti come altri imprenditori affrontano questa questione. Per la propria situazione rimane consigliabile consultare in caso di dubbio l'autorità di vigilanza competente o un legale.