GDPR per chi lavora in ufficio: i principi da conoscere

Il GDPR, il Regolamento europeo 2016/679 sulla protezione dei dati personali, viene spesso percepito come una questione da avvocati e moduli da firmare. In realtà riguarda chiunque, al lavoro, tratti informazioni su persone: clienti, cittadini, pazienti, colleghi, fornitori. E nella maggior parte degli uffici questo significa quasi tutti.

La buona notizia è che le regole di fondo sono poche e piuttosto intuitive.

Che cosa è un dato personale

È qualsiasi informazione che riguarda una persona identificata o identificabile. Non solo nome e codice fiscale: anche un indirizzo email nominativo, un numero di telefono, una targa, una fotografia, un numero di pratica collegato a una persona. Se attraverso quell'informazione si può risalire a qualcuno, è un dato personale.

I principi da applicare ogni giorno

Il Regolamento stabilisce alcuni principi generali. Tradotti nella pratica d'ufficio, diventano domande da farsi.

Liceità, correttezza e trasparenza. Abbiamo un motivo valido per trattare questi dati, e la persona sa che lo stiamo facendo? Di solito la risposta sta nell'informativa privacy che l'organizzazione fornisce.

Limitazione della finalità. Stiamo usando i dati per lo scopo per cui sono stati raccolti? L'indirizzo dato da un cittadino per una pratica edilizia non può diventare un contatto per inviargli comunicazioni di altro tipo.

Minimizzazione. Ci servono davvero tutti questi dati? Un modulo che chiede informazioni superflue, una copia di documento conservata "per sicurezza", un foglio di calcolo con più colonne del necessario sono rischi senza vantaggi.

Esattezza. I dati sono aggiornati? Un indirizzo sbagliato può far arrivare documenti riservati alla persona sbagliata.

Limitazione della conservazione. Quanto tempo dobbiamo tenerli? I dati non vanno conservati per sempre. Ogni organizzazione dovrebbe stabilire tempi di conservazione, e chi lavora in ufficio dovrebbe conoscerli per le pratiche che gestisce.

Integrità e riservatezza. I dati sono protetti? Password, accessi limitati, armadi chiusi, schermo bloccato quando ci si allontana: la sicurezza informatica e quella fisica sono parte del GDPR.

Responsabilizzazione. L'organizzazione deve poter dimostrare di rispettare queste regole. Per questo esistono procedure, registri e istruzioni: seguirle non è burocrazia, è la prova che i dati sono gestiti bene.

Chi fa cosa

Nel linguaggio del Regolamento, il titolare è l'organizzazione che decide perché e come trattare i dati: l'azienda, l'ente, il Comune. Il responsabile è un soggetto esterno che tratta dati per conto del titolare, come un fornitore di software o un consulente. Chi lavora nell'organizzazione agisce come persona autorizzata, seguendo le istruzioni ricevute.

Molte organizzazioni hanno anche un responsabile della protezione dei dati, il DPO: è la figura a cui rivolgersi per i dubbi e le situazioni insolite.

Quando una persona esercita i propri diritti

Chiunque può chiedere di accedere ai propri dati, di correggerli, di cancellarli in certi casi, di limitarne l'uso o di opporsi a determinati trattamenti. L'organizzazione ha in genere un mese per rispondere.

Se ricevi una richiesta di questo tipo, anche informale, anche al telefono, non lasciarla in fondo alla posta: inoltrala subito al referente privacy o al DPO, secondo la procedura interna.

E se qualcosa va storto

Un'email inviata alla persona sbagliata, un portatile smarrito, un accesso sospetto a un archivio: sono possibili violazioni di dati personali. Il titolare deve valutarle e, quando c'è un rischio per le persone, notificarle al Garante entro 72 ore da quando ne viene a conoscenza. Per questo la regola per chi lavora in ufficio è una sola: segnalare subito, senza aspettare di essere sicuri.

In sintesi

Pochi dati, usati per lo scopo giusto, conservati il tempo necessario e protetti bene. Se ogni persona in ufficio applica questi principi alle proprie pratiche, gran parte del lavoro di conformità è già fatto.