Le decisioni del Garante privacy, spiegate a chi ha un'impresa.

1. Sapere quali dati tratti

Il registro dei trattamenti è obbligatorio dai 250 dipendenti in su e, sotto questa soglia, per chi tratta dati in modo non occasionale, per esempio quelli di dipendenti e clienti (articolo 30 del GDPR).

2. Un'informativa vera

Chi usa i dati, perché, a chi li passa e per quanto li tiene. Quella copiata da un modello generico è il primo punto che il Garante contesta. Le regole.

3. Una risposta entro un mese

Le richieste di accesso, cancellazione e opposizione possono arrivare a qualunque indirizzo aziendale. Qualcuno deve leggerle e rispondere.

4. Un contratto con i fornitori

Consulente paghe, gestionale in cloud, agenzia di marketing o di recupero crediti trattano dati per tuo conto: serve la nomina a responsabile del trattamento e qualche controllo.

5. Sicurezza e piano per il data breach

Password protette, accessi per ruolo, backup. E sapere chi fa cosa se un attacco o un errore espone dati: la notifica al Garante va fatta entro 72 ore. Le regole.

6. Regole scritte per email, telecamere e GPS

Informativa ai dipendenti e, per gli strumenti che possono controllarli a distanza, accordo sindacale o autorizzazione dell'Ispettorato. Le regole.

7. Consensi marketing dimostrabili

Per ogni contatto a cui mandi pubblicità devi poter dire quando e come ha dato il consenso, e i «no» devono valere in tutti i sistemi. Le regole.

8. Persone autorizzate e istruite

Chi in azienda tratta dati personali deve essere autorizzato e sapere cosa può fare. La maggior parte dei casi qui sotto nasce da un errore di una persona, non da un attacco.