La percezione comune lo riduce a un modulo di consenso e a un’informativa sul sito. Nella sostanza chiede altro: sapere quali dati si trattano e perché, per quanto tempo si conservano, chi può accedervi, e poterlo dimostrare. È il principio di responsabilizzazione, ed è la parte che quasi nessuna PMI ha realmente affrontato.
Le misure tecniche non sono un elenco fisso: vanno scelte in base al rischio. Uno studio medico che tratta dati sanitari deve fare più di un negozio che gestisce una lista di clienti, ed entrambi devono poter spiegare le proprie scelte.
Cosa chiede davvero, oltre l’informativa
La riduzione del GDPR a informativa e consenso è l’equivoco più diffuso. Il regolamento chiede all’organizzazione di sapere cosa fa con i dati e di poterlo dimostrare: è il principio di responsabilizzazione, e sposta l’onere dalla dichiarazione alla prova.
Sapere quali dati trattate e perché
Il registro dei trattamenti non è un adempimento formale: è l’inventario da cui parte ogni verifica. Compilarlo fa emergere quasi sempre trattamenti dimenticati e conservazioni senza motivo.
Limitare gli accessi a chi serve
La maggior parte dei provvedimenti riguarda accessi interni non giustificati, non attacchi esterni. Separare i permessi per ruolo è un lavoro di poche ore che riduce drasticamente il rischio più concreto.
Decidere per quanto conservare
Tenere tutto per sempre non è prudenza, è un rischio: più dati si conservano, più grande è il danno in caso di violazione, e la conservazione oltre il necessario è essa stessa una contestazione.
Regolare i fornitori
Chi tratta dati per vostro conto va nominato responsabile con istruzioni scritte. Vale per il fornitore informatico, per il gestionale in cloud, per il consulente del lavoro.
Le misure tecniche non sono un elenco fisso
Il regolamento non dice quali strumenti adottare: chiede misure adeguate al rischio. Uno studio medico che tratta dati sanitari deve fare più di un negozio con una lista di clienti, ed entrambi devono poter spiegare perché hanno scelto così.
Nella pratica, per una PMI l’adeguatezza si costruisce con poche cose fatte bene: accessi nominali con secondo fattore, permessi per ruolo, backup verificati, aggiornamenti applicati e tracciamento di chi accede ai dati più delicati. Sono anche le misure che riducono davvero il rischio, non solo quelle che si dichiarano.
Cosa guarda un controllo, in ordine
Le verifiche non partono dalla tecnologia. Partono dai documenti: registro dei trattamenti, informative, nomine dei responsabili, registro delle violazioni. Se quelli non esistono o descrivono una realtà superata, il resto conta poco.
Poi si passa ai fatti, e le domande sono concrete: chi ha accesso alle cartelle con i dati più delicati, come lo si dimostra, cosa succede quando una persona lascia l’organizzazione. È qui che emerge la distanza fra ciò che è scritto e ciò che accade.
I cinque documenti che servono davvero
La documentazione richiesta è meno di quanto si teme, ma va tenuta viva. Sono cinque cose, e le prime due bastano a rispondere alla maggior parte delle richieste.
Registro dei trattamenti
L’inventario di quali dati trattate, perché, per quanto e chi vi accede. È il documento da cui parte ogni verifica.
Informative
Quelle rivolte a clienti, dipendenti e fornitori. Devono descrivere quello che fate davvero, non un modello scaricato.
Nomine dei responsabili
Per ogni fornitore che tratta dati per vostro conto: gestionale, cloud, consulenti, manutentori con accesso remoto.
Registro delle violazioni
Anche di quelle non notificate, con la motivazione della scelta. È fra le prime cose richieste in caso di controllo, e quasi nessuno lo tiene.
Valutazione d’impatto, dove serve
Obbligatoria per i trattamenti ad alto rischio: dati sanitari su larga scala, videosorveglianza estesa, profilazione sistematica.
Perché conta per un’azienda
Le contestazioni più frequenti non riguardano attacchi esterni ma accessi interni non giustificati e conservazione oltre il necessario. Sono anche le due cose più semplici da correggere.
L’errore che vediamo più spesso
Il registro dei trattamenti compilato una volta e mai aggiornato è peggio di non averlo: documenta una situazione che non esiste più, e in sede di verifica lo si nota subito.