Dal 2018, il RGPD fa tremare le PMI. Circolano storie di sanzioni da 20 milioni di euro e paralizzano i piccoli imprenditori che si dicono "sono fregato, non sono in conformità".
La realtà è più semplice. La CNIL non ha mai sanzionato una PMI che fa uno sforzo ragionevole di conformità. Si attacca ai giganti del web, alle aziende che vendono dati personali, ai recidivi. Non all'idraulico che ha un file Excel di clienti.
Questo non vi dispensa dal fare la vostra parte. Ma il livello di sforzo è ampiamente gestibile.
Le 5 azioni che coprono l'80% dei vostri obblighi
Azione 1: il registro dei trattamenti (la base)
È il documento centrale del RGPD. Elenca i dati personali che raccogliete, perché, e per quanto tempo li conservate.
Per una PMI tipica, sta su una pagina:
| Trattamento | Dati raccolti | Finalità | Durata di conservazione |
|---|---|---|---|
| Archivio clienti | Nome, email, telefono, indirizzo | Gestione commerciale | 3 anni dopo ultimo contatto |
| Contabilità | Nome, indirizzo, n° fattura | Obbligo legale | 10 anni |
| Busta paga (se dipendenti) | Stato civile, n° SS, IBAN | Gestione stipendi | 5 anni dopo partenza |
| Sito web | Cookie, IP, modulo contatti | Marketing, analytics | 13 mesi (cookie), 3 anni (modulo) |
| Newsletter | Comunicazione | Fino al disiscrizione |
La CNIL propone un modello gratuito sul suo sito. Compilatelo in 30 minuti e aggiornatelo una volta all'anno.
Azione 2: l'informazione delle persone
Dovete informare le persone i cui dati raccogliete. In pratica:
-
Sul vostro sito web: una pagina "Politica sulla privacy" (o "Protezione dei dati") accessibile dal footer. Descrivete in linguaggio semplice quali dati raccogliete, perché, per quanto tempo li conservate, e come esercitare i propri diritti.
-
Nei vostri moduli: una frase sotto ogni modulo di contatto: "I dati raccolti sono utilizzati per rispondere alla vostra richiesta. Potete esercitare i vostri diritti contattandoci a [email]. Consultate la nostra politica sulla privacy."
-
Per i vostri dipendenti: un documento consegnato all'assunzione che elenca i dati raccolti nel contesto della relazione di lavoro.
Azione 3: la gestione dei cookie
Se il vostro sito utilizza cookie di misurazione dell'audience (Google Analytics, Matomo) o pubblicitari, dovete ottenere il consenso esplicito del visitatore PRIMA di depositare questi cookie.
L'azione: installate un banner di cookie conforme. Soluzioni gratuite come Tarteaucitron.js o Cookiebot (gratuito fino a 100 pagine) svolgono il lavoro.
Eccezione: i cookie strettamente necessari al funzionamento del sito (autenticazione, carrello) non richiedono consenso.
Alternativa: utilizzate Matomo in configurazione "esente da consenso" (dichiarazione CNIL). Mantenete i vostri analytics senza banner di cookie.
Azione 4: la sicurezza dei dati
Il RGPD impone di proteggere i dati personali con "misure tecniche e organizzative appropriate". Per una PMI, significa:
- Password robuste e univoche (vedete l'articolo sulla cybersicurezza)
- Aggiornamenti di sicurezza applicati
- Backup regolari
- Accesso limitato ai dati (non tutti accedono a tutto)
- Crittografia dei computer portatili
Non è né più né meno che le buone pratiche di cybersicurezza che dovreste applicare comunque.
Azione 5: la gestione dei diritti delle persone
Il RGPD conferisce alle persone diritti sui loro dati: accesso, rettifica, cancellazione, portabilità. In pratica, le PMI ricevono pochissime richieste di questo tipo.
L'azione: designate un interlocutore (voi stessi o un collaboratore) e un indirizzo email di contatto (tipo dati@vostrazienda.it). Quando arriva una richiesta, rispondete entro un mese. È tutto.
Quello che può aspettare
Il DPO (delegato alla protezione dei dati) — obbligatorio solo per le aziende che trattano dati su larga scala o dati sensibili. Una PMI di 5 persone non ha bisogno di DPO.
L'analisi di impatto (DPIA) — obbligatoria solo per i trattamenti ad alto rischio (videosorveglianza su larga scala, profilazione sistematica, dati sanitari). L'archivio clienti della vostra falegnameria non è un trattamento ad alto rischio.
La certificazione RGPD — nessuna certificazione è obbligatoria. Le aziende che vi vendono "certificazioni RGPD" sfruttano la paura. La conformità è un processo continuo, non un'etichetta.
In caso di violazione di dati
Se dati personali fuggono (attacco informatico, perdita di chiavetta USB, email inviata al destinatario sbagliato), avete 72 ore per notificare la CNIL se la violazione presenta un rischio per le persone.
Il modulo di notifica è online sul sito della CNIL. Compilatelo onestamente: cosa è successo, quante persone sono interessate, quali misure avete preso.
La CNIL è più indulgente con un'azienda che notifica rapidamente che con un'azienda che nasconde l'incidente.
Il RGPD non è un mostro burocratico per le PMI. È un quadro di buon senso: proteggete i dati dei vostri clienti come vorreste che proteggessero i vostri.