← Torna alla pagina precedente
Privacy e dati
Il regolamento europeo sulla privacy vale anche per l'artigiano con tre dipendenti, ma non nella forma che spesso gli viene raccontata. Ecco l'essenziale, e le due cose che nella pratica fanno la differenza.
Il GDPR si applica a chiunque tratti dati personali per lavoro: clienti, fornitori, dipendenti, curriculum ricevuti, videosorveglianza. Non esiste una soglia sotto la quale non vale. Quello che cambia con la dimensione è la proporzione degli adempimenti: a un'impresa di dieci persone si chiede di sapere quali dati ha, dove stanno, chi li tocca e come li protegge, non di costruire l'apparato di una multinazionale.
• Il registro dei trattamenti: l'elenco di quali dati raccogli, perché, dove finiscono e per quanto tempo li tieni. È il documento da cui parte qualsiasi controllo.
• Le informative: sul sito, sui moduli di contatto, in fase di assunzione, nei contratti. Devono dire cose vere e verificabili, non formule copiate.
• Le nomine: chi tratta i dati per tuo conto — commercialista, consulente del lavoro, chi ti gestisce i sistemi informatici — va nominato responsabile del trattamento con un contratto.
• Le misure di sicurezza: accessi personali, password non condivise, backup, aggiornamenti. Il regolamento non elenca i prodotti da comprare, chiede che siano adeguate al rischio.
Se qualcuno entra nei tuoi sistemi, se sparisce un portatile con i dati dentro o se un virus cripta gli archivi, si tratta di una violazione di dati personali. In molti casi va valutata e, quando comporta un rischio per le persone coinvolte, notificata al Garante entro 72 ore dal momento in cui ne vieni a conoscenza. Settantadue ore sono pochissime se in quel momento devi ancora capire cosa è successo: per questo la differenza la fanno i registri di accesso ai sistemi e un backup da cui si riesce davvero a ripartire.
Leggi anche: backup che salvano davvero, la regola 3-2-1 →Le due cose che nella pratica cambiano tutto. La prima: ogni persona deve avere il proprio accesso, con la propria password. Gli account condivisi rendono impossibile sapere chi ha fatto cosa, e senza quella risposta non si chiude né una segnalazione al Garante né il questionario di un cliente. La seconda: chi lascia l'azienda deve perdere gli accessi lo stesso giorno, posta elettronica e cartelle condivise comprese.
Non facciamo consulenza legale e non siamo un DPO. Ci occupiamo della parte tecnica che la privacy richiede e che quasi sempre è quella scoperta: accessi personali, doppia verifica, gestione delle password, backup verificati, aggiornamenti, registri di chi entra nei sistemi, cifratura dei portatili. Poi mettiamo per iscritto come è configurato tutto, così il consulente privacy lavora su fatti e non su ricostruzioni. Per le aziende di Valdagno, Vicenza e provincia il primo confronto è gratuito.
Scopri i servizi di sicurezza informatica →Chi ti gestisce i sistemi va nominato responsabile: come lavoriamo →