GDPR per PMI: cosa è davvero obbligatorio

Il Regolamento UE 2016/679 si applica a chiunque tratti dati personali di persone fisiche nell’ambito di attività economica — clienti, dipendenti, fornitori, candidati, visitatori. «Trattare» significa raccogliere, archiviare, consultare, inviare, cancellare. Anche una rubrica Excel con email e telefono è trattamento. La PMI non è esentata per dimensione, anche se alcuni adempimenti si semplificano e il principio di accountability resta: dovete poter dimostrare di aver fatto il possibile.

Il Garante italiano e le linee guida europee hanno chiarito che microimprese con trattamenti a basso rischio non devono nominare obbligatoriamente un DPO, ma restano responsabili del trattamento. Il titolare — di solito l’imprenditore o l’amministratore — decide finalità e mezzi; può delegare operatività ma non la responsabilità finale. Confondere «non serve DPO» con «non serve fare nulla» è l’errore più costoso.

Registro dei trattamenti: il documento base

Art. 30 GDPR: se avete più di 250 dipendenti o trattamenti non occasionali che comportano rischio, il registro è obbligatorio. Nella pratica quasi ogni PMI con clientela ricorrente, buste paga e marketing rientra nel secondo caso. Il registro elenca finalità, categorie di dati, destinatari, trasferimenti extra UE, tempi di conservazione e misure di sicurezza — per ogni trattamento significativo.

Non deve essere un romanzo: una tabella aggiornata quando introducete CRM nuovo, gestionale cloud o newsletter vale più di un PDF del 2018 mai rivisto. Collegate ogni riga a un responsabile interno e, se usate fornitori, al contratto di nomina a responsabile (DPA) o alle clausole standard del SaaS.

Esempi di trattamenti tipici in PMI

Gestione commerciale e fatturazione (dati anagrafici, P.IVA, storico ordini). Risorse umane (CV, buste paga, presenze). Videosorveglianza ingresso. Sito web con form contatti e cookie analytics. Posta elettronica aziendale. Backup che contengono copie di tutto quanto sopra. Ognuno va descritto con base giuridica: contratto, obbligo legge, consenso, legittimo interesse documentato.

Per allineare misure tecniche e registro trattamenti potete integrare il percorso cybersecurity e protezione dati.

Informative e consensi

Chi raccoglie dati deve informare l’interessato: chi siete, perché trattate, per quanto tempo, diritti, reclamo al Garante. L’informativa va sul sito (privacy policy), sui moduli cartacei e nelle email di primo contatto. Il consenso serve solo dove non avete altra base giuridica — marketing a prospect freddi, newsletter non legate al contratto, profilazione non necessaria. Deve essere libero, specifico, documentato e revocabile facilmente.

Per dipendenti molto si fonda su contratto e obblighi legali; per clienti B2B spesso contratto e fatturazione. Evitate checkbox preselezionate e muri di testo illeggibili: il Garante premia chi è chiaro. Cookie non tecnici richiedono banner e preferenze conformi alle linee guida ePrivacy nazionali.

Diritti degli interessati e tempi di risposta

Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione: richieste vanno gestite senza ritardo ingiustificato, in genere entro un mese. Serve un procedimento interno — anche una casella privacy@ e un modello di risposta — per non improvvisare. La cancellazione non è assoluta se dovete conservare per fatturazione o contenzioso; spiegate il motivo legale.

Se un ex cliente chiede di essere dimenticato, verificate backup e sistemi collegati: cancellare dal CRM ma lasciare l’indirizzo nel NAS di tre mesi fa non basta se quel backup non è giustificato o non è protetto.

Misure di sicurezza tecniche e organizzative

Art. 32: pseudonimizzazione, cifratura, capacità di ripristino, test, controllo accessi. Per una PMI concreta significa password robuste e MFA su email e gestionale, backup cifrati, aggiornamenti patch, antivirus gestito, policy su laptop persi, formazione anti-phishing. Proporzionalità: uno studio con due segretarie non ha gli stessi requisiti di una clinica, ma entrambi devono evitare negligence evidente.

Valutazione d’impatto (DPIA) è obbligatoria solo per trattamenti ad alto rischio — profilazione sistematica, dati sanitari su larga scala, videosorveglianza invasiva. Molte PMI non la richiedono formale, ma un mini risk assessment scritto prima di progetti nuovi (app con geolocalizzazione dipendenti, biometria timbrature) evita sorprese.

Fornitori, cloud e responsabile del trattamento

Se un SaaS tratta dati per vostro conto (hosting gestionale, payroll cloud, mail marketing), è responsabile del trattamento: contratto art. 28, sub-responsabili, sede dati, notifica breach. Leggete DPA e SCC se i dati escono da UE. «Accetto i termini del fornitore» cliccando in fretta non esonera voi dal verificare adeguatezza.

Elenco fornitori critici con data ultima revisione. In caso di cambio gestionale, aggiornate registro e informate clienti se cambia la finalità o il destinatario in modo rilevante.

Data breach: notifica entro 72 ore

Violazione di dati personali con rischio per diritti e libertà va notificata al Garante entro 72 ore dalla consapevolezza, salvo improbabilità di rischio. Gli interessati vanno avvisati se rischio alto. Documentate ogni incidente anche se non notificabile: cosa è successo, contenimento, lezioni apprese. Ransomware che cifra server con anagrafiche clienti è scenario classico che richiede analisi legale immediata.

Avere playbook: chi chiama il legale, chi isola la rete, chi preserva log. Senza backup integri il breach diventa anche perdita definitiva di dati — doppia crisi.

Sanzioni e mitigazione

Le multe possono arrivare fino a 4% del fatturato globale, ma per PMI il Garante spesso usa correttivi e prescrizioni se c’è buona fede e collaborazione. L’assenza totale di registro, informativa falsa o breach occultato peggiora la posizione. Investire qualche giornata all’anno in aggiornamento documentale costa meno di un contenzioso.

Organizzazione minima che regge

Nominate un referente privacy interno (non deve essere DPO certificato). Calendario annuale: revisione registro, test backup, refresh formazione, verifica fornitori. Allineate IT e amministrazione: quando comprate software, la domanda «che dati tratta?» viene prima del prezzo.

Bandi e clienti enterprise chiedono sempre più spesso autocertificazioni GDPR e misure di sicurezza: essere pronti apre mercati, non solo evita multe.

Dati dei dipendenti e smart working

Buste paga, giustificativi malattia, valutazioni performance e timbrature sono trattamenti ad alto impatto reputazionale. Accesso HR solo su ruolo, cifratura laptop, divieto di copiare anagrafiche su USB personale. Lo smart working amplia il perimetro: VPN, policy BYOD chiara, cancellazione remota se il device è perso. Il registro deve citare esplicitamente strumenti di videoconferenza e chat se registrate riunioni o log di presenza.

La videosorveglianza in azienda richiede informativa visibile, inquadramento proporzionato e retention limitata — non tenete mesi di registrazioni «tanto abbiamo spazio». Il Garante sanziona PMI che usano telecamere come controllo sistematico dei dipendenti senza base giuridica.

Clienti, newsletter e CRM

Acquisire contatti a fiere o da form web impone informativa al momento della raccolta e base giuridica per successive comunicazioni commerciali. Importare liste acquistate o scrape da internet è ad alto rischio. Nel CRM segregate prospect da clienti attivi, impostate scadenze per contatti inattivi e procedure di cancellazione quando qualcuno chiede stop.

Errori frequenti nelle PMI italiane

Privacy policy copiata da un template senza adattamento. Registro mai aggiornato dopo migrazione cloud. Consenso marketing come condizione per vendere. Tenere CV di candidati non assunti anni dopo. Condividere login gestionale. Usare WhatsApp personale per ordini clienti senza policy. Ignorare videocamere senza informativa all’ingresso.

I bandi pubblici e i clienti corporate chiedono sempre più spesso autocertificazione GDPR e misure di sicurezza: avere registro e policy pronti accelera gare e due diligence. Non è burocrazia fine a se stessa — è requisito di accesso al mercato per molte PMI che vogliono crescere verso filiere strutturate.

Documentate anche i trattamenti «dimenticati»: telefono cellulare aziendale con rubrica clienti, gruppi WhatsApp informali di reparto, registrazioni vocali su segreteria. Se esistono nella pratica quotidiana, devono comparire nel registro o essere eliminati con policy chiara.

Se trattate categorie particolari di dati — salute, sindacato, biometria oltre timbrature — alzate il livello di protezione: accesso ristretto, log, cifratura, valutazione legale preventiva. Una PMI sanitaria, cooperativa sociale o azienda con medicina del lavoro interna non può applicare lo stesso schema di un’officina meccanica senza adattamenti.

Conservate evidenza di formazione privacy: attestati, email di invito, slide. In caso di incidente da errore umano, dimostrare che avete formato il personale mitiga responsabilità e aiuta a cambiare comportamento reale, non solo casella su registro.

Subfornitori e catena del dato

Ogni nuovo SaaS — chat, ticketing, backup, AI — va registrato con base giuridica e, se tratta dati per voi, con DPA firmato o termini equivalenti. In due diligence B2B vi chiederanno elenco sub-responsabili: tenetelo aggiornato nel registro, non in email sparse. Revocate accesso fornitore cessato entro uscita contratto, come per dipendenti.

Checklist GDPR operativa PMI

Verificate con titolare, amministrazione e referente IT questi punti almeno una volta l’anno.

• Registro dei trattamenti aggiornato con tutti i software e fornitori cloud in uso.
• Informative pubblicate su sito e moduli, coerenti con i trattamenti reali.
• Procedure per richieste diritti interessati e tempi di risposta definiti.
• DPA o termini verificati per payroll, CRM, email e backup cloud.
• MFA e backup attivi sui sistemi che contengono dati personali.
• Playbook incidenti con contatti legale/Garante e ruoli interni.
• Formazione periodica staff su phishing e gestione dati sensibili.

In caso di ispezione o richiesta del Garante, poter mostrare registro, informative e log di formazione staff dimostra accountability. Non serve perfezione assoluta: serve traccia ragionevole di cosa avete fatto e quando l’avete aggiornato. Un gap riconosciuto con piano di remediation è meglio di silenzio o documenti copiati senza adozione reale.

Allineate il DPO esterno o il consulente privacy con chi gestisce server e backup: troppe PMI hanno policy cartacea e NAS senza cifratura. Il GDPR chiede coerenza tra carta e sistemi.

Il GDPR per una PMI non è un mostro burocratico: è un modo per ordinare ciò che già fate con i dati di clienti e dipendenti. Documentazione essenziale, sicurezza proporzionata e trasparenza verso chi vi affida le proprie informazioni costruiscono fiducia e riducono il rischio di essere impreparati quando — non se — qualcosa andrà storto.