Adeguamento GDPR
Costruiamo un modello privacy operativo e dimostrabile, integrabile con sistemi ISO e con i requisiti AI Act.
Cos'è il GDPR e quando si applica
Il Regolamento (UE) 2016/679 — GDPR — disciplina il trattamento dei dati personali nell'Unione. Si applica a titolari e responsabili che trattano dati di persone fisiche, anche nelle PMI, con obblighi di accountability e dimostrabilità.
Cosa comporta per le aziende
- Ruolo e obblighi. Chi determina finalità e mezzi del trattamento (titolare) o tratta dati per conto terzi (responsabile) deve mappare i trattamenti, definire basi giuridiche, informative, misure di sicurezza e, dove richiesto, DPIA e DPO.
- Cosa fare per adeguarsi. Assessment e mappatura trattamenti; registro delle attività; informative e basi giuridiche; DPIA dove necessaria; policy, istruzioni ai responsabili e formazione del personale — con evidenze aggiornate nel tempo.
- L'art. 83 del GDPR prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, e fino a 20 milioni o al 4% per le violazioni più gravi (si applica l'importo più elevato). Un modello privacy operativo riduce rischio e interrompe le “carte da cassetto”.
Date chiave
- Adozione27 aprile 2016
- Applicazione25 maggio 2018
- FonteReg. (UE) 2016/679
Cosa facciamo
Costruiamo un modello privacy operativo e dimostrabile, integrabile con sistemi ISO e con i requisiti AI Act quando i sistemi AI trattano dati personali.
- Assessment. Mappatura dei trattamenti e dei rischi privacy.
- Registro. Registro delle attività di trattamento aggiornato e utilizzabile.
- Informative e basi giuridiche. Testi e scelte coerenti con i trattamenti reali.
- DPIA. Valutazione d'impatto dove richiesta dal regolamento.
- Policy e formazione. Regole interne e sensibilizzazione del personale.
- Raccordo AI Act. Coordinamento quando i sistemi AI trattano dati personali.
AB Horizon fornisce consulenza di adeguamento GDPR. Non sostituisce l'Autorità Garante né svolge il ruolo di DPO se non espressamente incaricata.
Prossimo passo
Valutiamo insieme preliminare: definiamo ambito, gap e piano di lavoro con tempi chiari.
Cosa ottieni
- Report assessment privacy
- Registro trattamenti aggiornato
- Informative e basi giuridiche
- DPIA (dove richiesta)
- Policy privacy e materiali di formazione
- Piano adeguamento con priorità
A chi serve
Il GDPR si applica a chi tratta dati personali: in azienda industriale spesso HR, clienti, fornitori, videosorveglianza e cloud, non solo il sito web.
- PMI con trattamenti «vivi». CRM, paghe, badge, qualità, reclami: il registro va allineato a come si lavora oggi, non a un modello del 2018.
- Chi ha cambiato tool o fornitori. Passaggio a cloud, HR in outsourcing o nuove piattaforme: informative, nomine e basi giuridiche da aggiornare.
- Chi usa AI su dati personali. Restano accountability, informative e, dove serve, DPIA: l'AI Act non sostituisce il GDPR.
- Chi deve decidere sul DPO. Non è automatico per ogni PMI: si valuta sull'art. 37 (larga scala, dati particolari, monitoraggio sistematico), non per abitudine.
Errori comuni
Questi errori lasciano informative e registro scollegati dai trattamenti reali.
- Informativa copiata dal web. Testo generico che non descrive i trattamenti dell'azienda non regge in reclamo o in ispezione.
- Registro mai aggiornato. Cloud, HR e CRM cambiano: un elenco fermo al primo adeguamento è il gap più frequente.
- DPO «perché lo fanno tutti». Nomina inutile o, al contrario, mancata quando l'art. 37 la impone: si decide sull'attività, non sul settore.
- Niente procedura data breach. Senza ruoli e traccia, le 72 ore dall'avvenuta conoscenza (art. 33) restano teoriche.
- DPIA su ogni software, o su nessuno. L'art. 35 chiede rischio elevato, non un modulo per ogni applicazione in uso.
Esperienza tipica
Contesto tipico: documenti del primo adeguamento e trattamenti che nel frattempo sono andati sul cloud.
PMI industriale — registro e informative allineati ai tool attuali
Una PMI aveva informative e registro fermi al primo adeguamento, mentre HR e CRM erano passati su piattaforme cloud. Abbiamo ricostruito i trattamenti reali (dipendenti, clienti, videosorveglianza, fornitori), aggiornato il registro art. 30 e le informative, verificato se servisse un DPO e dove una DPIA fosse giustificata. Abbiamo definito una procedura di data breach con ruoli e tempi, e segnalato i punti di contatto con l'AI Act dove tool di terzi trattavano dati personali.
Esito
Quadro privacy coerente con l'operatività attuale e piano di chiusura dei gap. AB Horizon fa consulenza di adeguamento: non sostituisce il Garante né assume il ruolo di DPO se non incaricata.
Checklist operativa
Cosa avere allineato ai trattamenti reali, non a un modello d'archivio.
- TrattamentiMappa aggiornata (HR, clienti, fornitori, cloud, videosorveglianza)
- Registro art. 30Coerente con i trattamenti; esenzione <250 verificata in concreto
- InformativeBasi giuridiche e destinatari allineati a come si lavora
- DPODecisione motivata sull'art. 37, con nomina solo se dovuta
- DPIAValutata dove il rischio per gli interessati può essere elevato
- BreachProcedura, ruoli e traccia per la notifica entro 72 ore
Domande frequenti
La mia PMI deve ancora adeguarsi al GDPR?
Sì, se trattate dati personali: il regolamento è applicabile dal 25 maggio 2018. Molte PMI hanno registro, informative o nomine non aggiornati rispetto a come lavorano oggi (cloud, HR, CRM). Valutiamo insieme lo stato reale.
Serve un DPO?
Non in automatico per ogni PMI. L'art. 37 lo impone in casi tipici (autorità pubblica; trattamenti che richiedono monitoraggio regolare e sistematico su larga scala; categorie particolari / dati giudiziari su larga scala). Lo si decide sull'attività reale, non per abitudine.
Il registro dei trattamenti è obbligatorio?
Sì, per titolari e responsabili (art. 30). L'esenzione dell'art. 30(5) per meno di 250 dipendenti non vale se il trattamento non è occasionale, riguarda categorie particolari o dati giudiziari, o può comportare un rischio per i diritti: basta una di queste condizioni. Per la maggior parte delle imprese industriali il registro resta lo strumento di base.
Quando serve una DPIA?
Quando un trattamento, in particolare con nuove tecnologie, può presentare un rischio elevato per i diritti delle persone (art. 35): profilazione su larga scala, monitoraggio sistematico, dati particolari in certi contesti. Non ogni software in azienda richiede una DPIA: va valutato il rischio concreto.
Cosa fare in caso di data breach?
Valutare senza ritardo se c'è una violazione di dati personali. Se non è improbabile un rischio per gli interessati, notifica al Garante entro 72 ore dal momento in cui se ne viene a conoscenza (art. 33); se il rischio è elevato, informare anche gli interessati (art. 34). Servono procedura, ruoli e traccia di cosa è successo.
Quali sanzioni prevede il GDPR?
Secondo l'art. 83 del Regolamento (UE) 2016/679, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, e fino a 20 milioni o al 4% per le violazioni più gravi (importo più elevato). L'importo dipende dal caso, non da un tariffario fisso.
Come si collega all'AI Act?
Se un sistema AI tratta dati personali restano base giuridica, informative, diritti e accountability del titolare. L'AI Act aggiunge obblighi su rischio, ruoli e trasparenza dei sistemi: i due piani si sovrappongono, non si sostituiscono.
Progetto tecnologico
Serve anche sviluppo IA? Il progetto è Next Be
Next Be traduce l’IA in strumenti operativi: sviluppo tecnologico, automazione dei processi e formazione applicata. Dal bisogno al risultato, senza restare sulla teoria.