Conformità GDPR: documenti per imprese di 50-500 persone
Conformità GDPR per imprese di 50-500 persone: registro, informative, contratti, sicurezza e criteri per decidere se servono DPIA e DPO nel concreto.
Risposta rapida: Per la conformità GDPR, un'impresa di 50-500 persone documenta i trattamenti: registro scritto, informative, contratti con i responsabili e misure di sicurezza. La DPIA è necessaria prima dei trattamenti probabilmente ad alto rischio; il DPO richiede una verifica separata dei criteri di legge. Dimensione e modelli, da soli, non decidono.1,2,3
Sintesi in una mappa mentale
Conformità GDPR: documenti per imprese di 50-500 persone │ ├─ Attività e registro │ ├─ Descrivere ogni trattamento effettivo │ ├─ Indicare finalità, dati e destinatari │ └─ Valutare con cura la soglia dei 250 addetti │ ├─ Documenti collegati │ ├─ Informative e basi per ciascuna finalità │ ├─ Accordi per i veri responsabili │ └─ Misure di sicurezza e tempi verificabili │ ├─ Decisioni condizionate │ ├─ DPIA prima di un rischio elevato │ └─ DPO secondo i criteri delle attività │ └─ Fascicolo vivo ├─ Collegare ogni modifica ai documenti └─ Conservare le ragioni delle scelte
Da quali documenti partire
La domanda utile non è quanti modelli scaricare, ma quali operazioni con dati personali l'impresa svolge e chi ne risponde. Per una realtà commerciale con personale, clienti e fornitori, il fascicolo deve consentire di passare da un'attività concreta ai documenti che la descrivono. Il registro è il punto di orientamento: l'EDPB lo presenta come una visione d'insieme dei trattamenti, redatta per iscritto anche in forma elettronica.2 Una cartella piena di modelli non compilati non svolge questa funzione.
Un percorso pratico distingue documenti di base e documenti che dipendono da una condizione. Registro, informative adeguate alle raccolte di dati, accordi con i responsabili effettivi e prova delle misure di sicurezza rispondono a domande diverse. La valutazione d'impatto segue la probabilità di rischio elevato del singolo trattamento; la designazione del DPO segue presupposti propri.1 Non esiste, nelle fonti citate, una regola per cui tutte le imprese tra 50 e 500 persone debbano avere indistintamente ogni modulo.
La politica di protezione dei dati è un altro elemento da valutare, non un formulario magico. L'articolo 24, paragrafo 2, prevede politiche adeguate quando sono proporzionate alle attività di trattamento.1 Per questo la politica dovrebbe spiegare chi decide, chi opera e come una modifica arriva al responsabile del documento pertinente. Se descrive ruoli inesistenti, la sua sola presenza non aiuta a dimostrare le misure realmente adottate.
| Documento o decisione | Domanda che risolve | Quando rivederlo |
|---|---|---|
| Registro scritto | Quali trattamenti esistono? | Quando cambia un'attività o un destinatario.1,2 |
| Informativa | Che cosa viene comunicato agli interessati? | Quando cambia la raccolta o l'uso dei dati.1 |
| Contratto con responsabile | Chi tratta dati per conto del titolare e a quali condizioni? | Quando cambia il fornitore o il servizio.1 |
| Misure di sicurezza | Quali rischi sono stati valutati e quali controlli operano? | Quando mutano sistemi, accessi o rischi.3 |
| Esito DPIA e DPO | Si verificano i rispettivi presupposti? | Quando cambia il trattamento o l'attività principale.1 |
Quali attività entrano nel registro
L'articolo 30, paragrafo 3, richiede che i registri siano tenuti per iscritto, anche in formato elettronico.1 L'EDPB suggerisce di individuare le attività che comportano trattamento di dati personali, come selezione, paghe, formazione, gestione degli accessi e contatti commerciali.2 Per un'impresa di 50-500 persone, una riga indistinta chiamata “amministrazione” nasconde differenze rilevanti: finalità, dati, destinatari e conservazione possono cambiare da un'attività all'altra.
Per ogni operazione il registro deve rendere leggibili finalità e categorie di dati, chi riceve le informazioni, eventuali trasferimenti fuori dallo Spazio economico europeo, periodi di conservazione quando possibili e una descrizione generale delle misure di sicurezza.2 Un buon controllo consiste nel scegliere una riga e chiedere al reparto coinvolto se descrive il lavoro quotidiano. Se l'attività non si riconosce nella riga, occorre correggere il registro oppure la pratica, non inventare una formula più ampia.
La soglia dei 250 dipendenti richiede attenzione. L'articolo 30, paragrafo 5, non concede una deroga generale: il registro resta richiesto se il trattamento può comportare un rischio per i diritti e le libertà delle persone, non è occasionale, oppure comprende categorie particolari di dati o dati relativi a condanne penali e reati.1 Anche un'attività occasionale può dunque richiedere il registro per il rischio o per la natura dei dati. L'EDPB precisa che le attività puramente occasionali possono essere omesse solo quando ricorrono le condizioni della deroga.2 Una gestione periodica delle buste paga non diventa episodica perché l'impresa conta 80 persone. Chi invoca la deroga dovrebbe indicare quale attività ha escluso e perché.
Questa scelta influisce sul resto del fascicolo. Se il registro distingue il trattamento del personale da quello dei clienti, anche informative, fornitori e tempi di conservazione possono essere confrontati con le rispettive righe. La guida sui ruoli di titolare e responsabile aiuta a non confondere chi determina il trattamento con chi esegue istruzioni per conto altrui.
Informative e basi giuridiche
Il registro interno e l'informativa hanno lettori diversi. Il primo orienta l'organizzazione e può essere mostrato all'autorità; l'altra comunica alle persone come i loro dati vengono trattati. Gli articoli 13 e 14 del GDPR disciplinano le informazioni da fornire quando i dati sono raccolti presso l'interessato o ottenuti altrove.1 Un'impresa dovrebbe quindi distinguere, per esempio, dati dei clienti raccolti direttamente e dati ricevuti da un partner, senza copiare la medesima frase in entrambe le situazioni.
La base giuridica non si sceglie dopo aver scritto una formula generica. L'articolo 6 distingue sei condizioni di liceità; per ogni finalità occorre verificare quale ricorre, senza trattare il consenso come scelta automatica.1
| Base dell'articolo 6 | Quando può applicarsi |
|---|---|
| Consenso | L'interessato acconsente al trattamento per una o più finalità specifiche.1 |
| Contratto | Il trattamento è necessario per eseguire un contratto con l'interessato o misure precontrattuali richieste da lui.1 |
| Obbligo legale | Il trattamento è necessario per adempiere a un obbligo legale del titolare.1 |
| Interessi vitali | Il trattamento è necessario per proteggere interessi vitali dell'interessato o di un'altra persona fisica.1 |
| Compito pubblico | Il trattamento è necessario per un compito di interesse pubblico o per esercitare pubblici poteri attribuiti al titolare.1 |
| Interesse legittimo | Il trattamento è necessario per un interesse legittimo del titolare o di terzi, salvo che prevalgano diritti, libertà o interessi dell'interessato; la base non copre le autorità pubbliche nell'esecuzione dei loro compiti.1 |
Gli articoli 13 e 14 richiedono che l'informativa indichi, fra l'altro, identità e recapiti del titolare e, se del caso, del DPO; finalità e base giuridica del trattamento; eventuali interessi legittimi; destinatari; trasferimenti verso paesi terzi; durata di conservazione o criteri per definirla; diritti dell'interessato e diritto di reclamo; eventuali decisioni automatizzate, compresa la profilazione. Quando i dati provengono da altra fonte, vanno indicati anche categorie e fonte dei dati; per la raccolta diretta, se il conferimento è obbligatorio e le conseguenze della mancata comunicazione.1 Una tabella interna può associare a ogni attività del registro la sua finalità, la base individuata e l'informativa che la espone.
La revisione deve riguardare anche i cambiamenti. Un reparto che comincia a usare dati di acquisto per una nuova finalità non può fare affidamento sulla sola informativa per la vendita originaria. Il responsabile del processo dovrebbe segnalare la nuova finalità prima di avviarla; il referente documentale verifica base, testo informativo, registro e possibili destinatari. Questa è una procedura organizzativa proposta per mantenere coerenti documenti che hanno funzioni diverse, non una nuova categoria di obbligo.
Per un'impresa che opera in più mercati, la guida sull'ambito territoriale del GDPR tratta la questione dell'applicazione oltre i confini. Qui l'esame resta quello dei documenti necessari per i trattamenti effettivi, senza sostituire la scelta della base con una lista universale.
Contratti con i responsabili
Quando un fornitore tratta dati personali per conto del titolare, l'articolo 28, paragrafo 3, richiede un contratto o altro atto giuridico vincolante. Deve definire oggetto, durata, natura e finalità del trattamento, tipi di dati, categorie di interessati, obblighi e diritti del titolare.1 Un semplice ordine d'acquisto che identifica il prezzo non risponde necessariamente a queste domande. Viceversa, non ogni soggetto che riceve dati è automaticamente un responsabile: occorre capire il suo ruolo nel trattamento concreto.
La prova documentale inizia dall'elenco dei fornitori collegati alle attività del registro. Per ciascuno, l'impresa può annotare il servizio, quali dati riceve, per quale finalità e quale rapporto giuridico governa il trattamento. Un fornitore di paghe e un fornitore che decide autonomamente un proprio servizio non si valutano per il solo nome commerciale. L'analisi del ruolo precede la scelta del documento. La guida al contratto con il responsabile approfondisce il contenuto dell'accordo.
Il contratto deve corrispondere al servizio effettivo. Se la descrizione cita solo “servizi informatici”, mentre il fornitore gestisce un processo specifico con dati del personale, l'impresa non riesce a collegare facilmente contratto, riga del registro e istruzioni operative. Per mantenere il collegamento, il fascicolo può indicare l'ultima versione dell'accordo e la riga del registro cui si riferisce. È una scelta pratica di organizzazione, utile quando un servizio viene sostituito o ampliato.
| Situazione | Prima domanda | Documento conseguente |
|---|---|---|
| Il fornitore opera per conto dell'impresa | Che dati e istruzioni riceve? | Accordo conforme all'articolo 28, paragrafo 3.1 |
| Il fornitore determina finalità proprie | Quale ruolo assume in quella specifica attività? | Valutazione distinta del rapporto, senza chiamarlo automaticamente responsabile.1 |
| Il servizio cambia | Le attività contrattuali descrivono ancora l'uso reale? | Revisione di accordo e registro, se necessaria.1,2 |
Sicurezza e cancellazione
La sicurezza non si documenta con la sola parola “protetto”. L'EDPB chiede di considerare i rischi per riservatezza, integrità e disponibilità dei dati, di attuare e verificare i controlli pianificati e di seguire i piani d'azione risultanti dalle verifiche periodiche.3 Un fascicolo utile collega il rischio a un controllo e a un riscontro: per esempio chi può accedere a un archivio, come viene verificato quell'accesso e chi segue un problema emerso.
Un documento sulle misure tecniche e organizzative può distinguere attività svolte, controlli previsti e verifica effettuata. Non basta l'elenco di strumenti acquistati; conta il loro impiego nel trattamento. La descrizione generale delle misure compare anche nel registro, quando possibile, secondo l'EDPB.2 Il fascicolo più dettagliato può indicare responsabili interni e prove di controllo, mentre il registro conserva una sintesi. I due documenti devono essere coerenti, non identici.
La conservazione richiede un'altra distinzione. L'EDPB include nel registro, quando possibile, il periodo per cui i dati sono utili sul piano operativo e dell'archiviazione.2 Il GDPR richiama il principio di limitazione della conservazione all'articolo 5, paragrafo 1, lettera e.1 Un'impresa può collegare a ciascuna attività una regola di durata, l'evento da cui essa decorre e il modo in cui verifica la cancellazione. Senza un evento iniziale, una cifra isolata in un foglio non dice quando scadrà un dato concreto.
La cancellazione effettiva dipende dai sistemi e dai flussi. La documentazione dovrebbe chiarire quali archivi sono coinvolti e chi conferma che la regola sia stata applicata. Questo non implica una durata identica per clienti, dipendenti e candidature. Una revisione periodica delle righe del registro consente di individuare archivi che sono stati aggiunti senza aggiornare la descrizione del trattamento. Il risultato atteso è una regola verificabile per ogni attività, non una promessa generica di eliminare tutto “appena possibile”.
Quando occorre la DPIA
La valutazione d'impatto sulla protezione dei dati, o DPIA, è obbligatoria prima del trattamento quando questo può presentare un rischio elevato per i diritti e le libertà delle persone, secondo l'articolo 35, paragrafo 1.1 La condizione riguarda il trattamento progettato, non il semplice fatto di avere 50, 100 o 500 dipendenti. L'EDPB descrive la DPIA come valutazione scritta dell'operazione prevista, delle garanzie e dei rischi.2
Il fascicolo dovrebbe contenere una decisione riconoscibile. Per un progetto nuovo, l'impresa descrive finalità, dati, persone interessate, tecnologia e potenziali conseguenze; poi valuta se la soglia di rischio elevato è probabile. Se lo è, la DPIA deve precedere l'avvio.1 Se non lo è, una breve motivazione conserva la traccia della valutazione. Il documento non dovrebbe riportare “DPIA non necessaria” senza indicare quale attività sia stata esaminata.
L'EDPB elenca esempi e criteri pratici, fra cui valutazione delle persone, monitoraggio sistematico, dati sensibili, grandi quantità di dati e combinazione di archivi.2 Questi elementi aiutano a fare domande più precise; non sostituiscono la condizione giuridica del rischio elevato. Se un progetto cambia finalità o ampiezza dopo la prima valutazione, va esaminata la nuova configurazione. Tenere insieme progetto, esito e data della verifica rende la decisione ricostruibile per chi subentra nella gestione.
Un confronto fra due iniziative interne mostra il metodo. La prima aggiorna un modulo esistente senza cambiare i dati trattati; la seconda combina grandi archivi per valutare persone. Non si può attribuire lo stesso esito a entrambe solo perché appartengono alla stessa impresa. Il punto è individuare la differenza di rischio prima dell'avvio, senza trasformare la DPIA in un allegato standard per ogni pratica.1,2
In parole, l'albero si legge così: si parte dalle attività reali e dal registro scritto. Per ogni fornitore che tratta dati per conto del titolare si valuta l'accordo previsto dall'articolo 28. Per ogni progetto si verifica se il rischio elevato richiede la DPIA prima dell'avvio. La nomina del DPO segue una verifica separata dei criteri di legge.1,2
Quando nominare un DPO
Il responsabile della protezione dei dati, o DPO, non è il nome da dare automaticamente alla persona che custodisce i documenti. L'articolo 37, paragrafo 1, richiede la designazione in tre casi: il trattamento è effettuato da un'autorità pubblica o un organismo pubblico, esclusi i tribunali nell'esercizio delle loro funzioni giurisdizionali; le attività principali del titolare o del responsabile consistono in trattamenti che richiedono monitoraggio regolare e sistematico degli interessati su larga scala; oppure le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.1 Il numero dei dipendenti non è, da solo, uno di questi criteri.
Per valutare la situazione, l'impresa descrive le proprie attività principali e il ruolo che i trattamenti vi svolgono. Una scheda di decisione può riportare i fatti esaminati e la conclusione: designazione necessaria oppure presupposti non riscontrati. Se l'attività cambia, la scheda va riesaminata. Questo evita sia una nomina meramente simbolica sia l'idea che una società sotto una certa dimensione sia sempre esclusa.
Il DPO, quando richiesto, svolge un ruolo distinto da quello del titolare e dal referente incaricato di aggiornare il registro. Non è corretto presentare il suo eventuale incarico come prova che informative, contratti e misure di sicurezza siano già adeguati. L'analisi dei documenti prosegue per ciascun trattamento. Allo stesso modo, un'azienda che conclude motivatamente di non dover designare un DPO conserva comunque gli altri obblighi applicabili.
La fonte citata consente di descrivere i criteri generali, ma non decide se le attività principali di una determinata impresa raggiungano la scala rilevante. Occorrono dati sul processo concreto, non una deduzione dal settore commerciale o dal numero di persone in organico. Questa è una delle decisioni che il fascicolo deve rendere riesaminabili, soprattutto se nuovi servizi modificano l'attività principale.
Mantenere il fascicolo utile
Il fascicolo perde valore se il registro viene aggiornato da un reparto, i contratti da un altro e le informative restano ferme. Una procedura interna può collegare l'avvio o la modifica di un trattamento a quattro domande: cambia la finalità, cambia un destinatario, cambia il rischio, cambia il periodo di conservazione? Ogni risposta positiva indica un documento da riesaminare. La logica nasce dal contenuto che registro, accordi e valutazioni devono rappresentare.1,2,3
Un controllo periodico può seguire una singola attività dall'inizio alla fine. Si prende una riga del registro, si chiede a chi esegue l'operazione se i dati e i destinatari sono esatti, si confronta l'informativa, si verifica il rapporto con il fornitore e si controlla la prova delle misure di sicurezza. Questo metodo mette in luce discrepanze specifiche. Una firma annuale su una checklist generica, invece, non mostra quale trattamento sia stato verificato.
Il responsabile organizzativo del fascicolo dovrebbe poter ricevere segnalazioni dai reparti prima che una modifica venga resa operativa. Il reparto non deve conoscere ogni articolo del regolamento; deve sapere quali cambiamenti comunicare. Una nuova piattaforma, un archivio condiviso o una finalità aggiunta sono esempi di eventi da sottoporre alla verifica documentale. L'EDPB richiama anche audit periodici di sicurezza e il monitoraggio dei relativi piani d'azione ai livelli più alti dell'organizzazione.3
Infine, l'impresa dovrebbe conservare le ragioni delle decisioni condizionate: perché una certa attività figura nel registro, perché un fornitore è considerato responsabile, perché una DPIA è stata svolta o esclusa, e come è stato valutato il DPO. Il fascicolo non può garantire da solo che il trattamento sia corretto. Permette però a chi decide di vedere dove la documentazione corrisponde ai fatti e dove occorre un nuovo esame. Se i trattamenti comprendono sistemi di IA, la guida al governo di IA e dati aggiunge il contesto per quelle attività.
Cosa fare ora
Si può iniziare da un trattamento reale e seguire il suo percorso: registro, informativa, base giuridica, eventuale fornitore, sicurezza e durata.1,2,3 La GDPR Accountability Documentation genera, in base alle risposte dell'impresa, il registro dei trattamenti e gli accordi con i fornitori dichiarati quando le risposte li richiedono. Poi si applicano separatamente i test per DPIA e DPO, registrando il motivo delle conclusioni.1,2,3
Domande frequenti
Quali documenti GDPR servono davvero a un'impresa di 50-500 dipendenti?
L'esenzione sotto i 250 dipendenti elimina il registro dei trattamenti?
Quando serve un contratto con il responsabile del trattamento?
La DPIA è obbligatoria per ogni progetto che usa dati personali?
Un'impresa di 50-500 persone deve sempre nominare un DPO?
Bastano modelli di informativa e registro scaricati online?
Come si mantiene aggiornato il fascicolo GDPR?
Fonti
Vuole questa analisi sulla Sua azienda?
AI Foundation Audit — una valutazione strutturata della Sua impronta di IA: rischi di integrazione, lacune di governance, opportunità di ROI. Consegnata come un report completo su cui può agire.
Riceve il Suo Report esecutivo e il Brief di implementazione — su misura per la Sua azienda e consegnati subito.