Dati personali in azienda: 5 errori che possono costarti caro (e come prevenirli)

Negli ultimi anni, la protezione dei dati personali è diventata uno dei pilastri della governance aziendale.
Il Regolamento (UE) 2016/679 (GDPR) e il Codice Privacy italiano (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018) impongono alle imprese una serie di obblighi concreti in tema privacy: dalla trasparenza verso gli interessati, alla sicurezza dei sistemi informativi, fino alla dimostrazione della accountability, cioè della capacità di provare in ogni momento di aver agito in conformità alla normativa.

Nonostante ciò, moltissime aziende — anche di medie dimensioni — continuano a commettere errori ricorrenti che possono trasformarsi in sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale (art. 83 GDPR), senza contare i danni reputazionali e le perdite di fiducia dei clienti.
Vediamo nel dettaglio i cinque errori più comuni e le buone pratiche per evitarli.

Se sei interessato a questa tematica leggi la nostra guida privacy per aziende.

Copiare la privacy policy da un altro sito

L’informativa sul trattamento dei dati personali è disciplinata dagli articoli 13 e 14 del GDPR e rappresenta il primo atto di trasparenza nei confronti degli interessati.
Molte imprese, tuttavia, copiano testi reperiti online o utilizzano generatori automatici, senza verificare che le informazioni corrispondano ai trattamenti effettivamente svolti.

Questo comportamento è rischioso: un’informativa generica o fuorviante equivale a una violazione degli obblighi di trasparenza e può essere sanzionata dal Garante (si veda, ad esempio, Provv. Garante 4 aprile 2019 – Eni Gas e Luce, con sanzione da 8,5 milioni di euro).

⚖️ Soluzione legale: ogni informativa deve descrivere in modo preciso:

• le finalità e le basi giuridiche del trattamento (art. 6 GDPR);
• i destinatari o le categorie di destinatari dei dati;
• i tempi di conservazione;
• i diritti dell’interessato (artt. 15–22 GDPR).
  È consigliabile che sia redatta o almeno verificata da un consulente legale specializzato, in base alla reale organizzazione aziendale.

Non mantenere aggiornato il registro dei trattamenti

L’art. 30 del GDPR impone ai titolari e ai responsabili del trattamento la tenuta di un registro aggiornato delle attività di trattamento, che deve essere sempre disponibile in caso di controllo dell’Autorità.
Molte aziende compilano il registro una sola volta — magari in fase di prima consulenza — e poi lo dimenticano.

Tuttavia, ogni nuova procedura interna (assunzione di personale, apertura di una nuova sede, adozione di un gestionale o di un CRM) modifica il flusso dei dati e rende necessario un aggiornamento.
Un registro incompleto o obsoleto costituisce una violazione formale ma significativa, poiché dimostra l’assenza di un sistema di governance effettivo (cfr. art. 83, par. 4, lett. a) GDPR).

⚖️ Soluzione legale: mantenere un registro dinamico, collegato ai processi aziendali e integrato con le schede di valutazione dei rischi.
Il registro dovrebbe indicare per ciascun trattamento: finalità, categorie di dati, base giuridica, responsabili esterni, misure di sicurezza, tempi di conservazione e trasferimenti verso Paesi terzi.

Leggi la guida sul DPO.

Trascurare la formazione del personale autorizzato

L’art. 29 GDPR (e l’art. 2-quaterdecies del Codice Privacy) stabilisce che i dipendenti e collaboratori che trattano dati personali devono agire sotto l’autorità del titolare o del responsabile e devono ricevere istruzioni adeguate.
Molte imprese si limitano a far firmare una nomina ad incaricato del trattamento, senza realizzare alcuna attività formativa.

Questo approccio è insufficiente: la maggior parte dei data breach nasce da errori umani (invio errato di email, perdita di dispositivi, condivisione non autorizzata di file).

⚖️ Soluzione legale: prevedere un piano di formazione periodico — almeno annuale — documentato tramite registri di presenza o piattaforme e-learning.
Il Garante considera la formazione un elemento essenziale della accountability (Linee Guida EDPB 1/2022).

Utilizzare software o servizi cloud senza verifica contrattuale

Sempre più imprese affidano i propri dati a piattaforme di marketing automation, sistemi CRM, gestionali e servizi cloud.
Ma pochi verificano la conformità dei fornitori al GDPR, in particolare quando si tratta di responsabili del trattamentoai sensi dell’art. 28.

Molti servizi statunitensi (ad esempio strumenti di analytics o email marketing) comportano trasferimenti di dati verso Paesi extra-UE. In questi casi, il titolare deve assicurarsi che il trasferimento sia lecito ai sensi degli artt. 44–49 GDPR, verificando l’esistenza di una Decisione di adeguatezza o di Clausole Contrattuali Standard (SCC).

⚖️ Soluzione legale: prima di utilizzare una piattaforma, occorre:

• firmare un Data Processing Agreement conforme all’art. 28 GDPR;
• verificare la sede dei server e il regime di trasferimento dati;
• aggiornare il registro dei trattamenti e le informative.
  È opportuno evitare strumenti che trasferiscano dati verso Paesi non sicuri, salvo la presenza di garanzie supplementari.

Non gestire correttamente le richieste degli interessati

Ogni individuo ha diritto di accedere ai propri dati, ottenerne la rettifica o la cancellazione, opporsi al trattamento o chiederne la portabilità (artt. 15–22 GDPR).
Le aziende devono essere in grado di rispondere entro 30 giorni e documentare la gestione delle richieste.

Molti titolari, invece, ignorano o ritardano le risposte, talvolta perché non dispongono di una procedura interna o perché non sanno chi sia il referente designato.
Il Garante ha sanzionato diverse imprese proprio per mancata risposta alle richieste di accesso (si veda Provv. Garante 15 luglio 2021, n. 261).

⚖️ Soluzione legale: definire una procedura interna per la gestione dei diritti privacy, nominando un referente (anche interno) che riceva e coordini le istanze.
È utile predisporre modelli standard di risposta e un registro delle richieste ricevute, per garantire la tracciabilità e la prova di conformità.

Accountability e cultura della protezione dei dati

Oltre agli adempimenti formali, il GDPR introduce un principio cardine: la responsabilizzazione (accountability, art. 5, par. 2).
Ciò significa che il titolare non solo deve rispettare la normativa, ma deve poter dimostrare in ogni momento di averlo fatto, tramite documenti, procedure e comportamenti coerenti.

L’approccio corretto, dunque, non è quello di “fare la privacy per evitare multe”, ma di integrare la tutela dei dati nella strategia aziendale.
Un sistema di gestione privacy solido aumenta la fiducia di clienti e partner commerciali, riduce i rischi di violazioni e migliora la reputazione complessiva dell’impresa.