Dati personali e fiduciaria: disciplinare gli scambi di documenti

Fatture, stipendi, coordinate bancarie e documenti di identità circolano spesso in una pratica gestita da una fiduciaria. La questione non è soltanto trovare un luogo dove depositarli. Occorre sapere perché ogni informazione è utile, chi può consultarla e cosa accade quando l'incarico termina. Un'organizzazione chiara protegge le persone e facilita anche il lavoro quotidiano.

Mappare i dati e gli usi effettivi

Iniziate dagli incarichi: contabilità, paghe, dichiarazioni, costituzione di fascicoli o consulenza. Per ciascuno, elencate le persone interessate e le categorie di dati utili. Un file delle retribuzioni e una fattura di un fornitore non presentano le stesse esigenze di accesso. Identificate anche i canali effettivamente utilizzati, compresi i documenti che arrivano tramite messaggistica quando era stato previsto un portale.

Applicate la minimizzazione dei dati: richiedete gli elementi necessari, senza raccogliere per abitudine un intero fascicolo personale. Questa regola non giustifica la cancellazione di documenti giustificativi richiesti dalla legge. In caso di dubbio, fate spiegare la finalità della richiesta e la base applicabile. Il consenso non è una soluzione universale: alcuni trattamenti si basano su un contratto, un obbligo legale o un'altra base prevista dal regolamento.

Determinare le responsabilità per trattamento

Il titolare del trattamento decide le finalità e i mezzi essenziali. Il responsabile del trattamento ai sensi del GDPR tratta i dati per suo conto. Una stessa relazione commerciale può comprendere più situazioni. Per esempio, occorre analizzare separatamente l'esecuzione di una prestazione su istruzioni e i trattamenti effettuati dallo studio per i propri obblighi. Non firmate una qualifica generale senza verificare cosa comprende.

Quando vi è un trattamento affidato a un responsabile, il quadro scritto previsto dall'articolo 28 deve precisare il trattamento e gli obblighi rispettivi. Fate adattare le clausole ai dati, ai servizi e agli strumenti effettivamente utilizzati. Un allegato generico che non descrive né i destinatari né il destino dei file alla fine dell'incarico è di scarso aiuto per risolvere un incidente concreto. Prevedete inoltre come saranno trasmesse e trattate le richieste di esercizio dei diritti.

Organizzare gli accessi e gli scambi

Definite le persone autorizzate a caricare, consultare, modificare o convalidare i documenti. Preferite accessi individuali e riesaminateli quando un incarico cambia o una persona lascia il team. Verificate anche la possibilità di ripristinare i dati e il metodo di tracciamento degli scambi. Uno strumento presentato come sicuro non è sufficiente se poi un collegamento viene condiviso troppo ampiamente o se tutti utilizzano lo stesso account.

Per le procedure amministrative, consultate la guida agli accessi MyGuichet. Alcuni inviti offrono una visibilità più ampia della sola procedura prevista. Preparate un processo preciso per i documenti relativi alle paghe e le informazioni sensibili, quindi testate l'organizzazione con file dimostrativi. Le istruzioni devono essere abbastanza semplici affinché le persone le applichino anche durante il periodo di chiusura o di assenza.

Esaminare fornitori e luoghi di trattamento

Chiedete quali altri soggetti o strumenti partecipano alla prestazione e a quali condizioni. Una soluzione può archiviare i file in un Paese e consentire assistenza a distanza da un altro. Identificate i trasferimenti o gli accessi interessati e fate verificare i meccanismi applicabili. La sola parola «cloud», così come la sola menzione di un hosting europeo, non descrive l'intera catena di trattamento.

Precisate come saranno annunciati ed esaminati i cambiamenti dei responsabili del trattamento successivi quando si applica il regime del trattamento affidato a un responsabile. Richiedete elementi concreti sulle misure di protezione adeguate al rischio, senza esigere un accumulo di etichette non pertinenti all'incarico. Le risposte devono consentire di comprendere chi tratta quali dati, per quale finalità e con quali obblighi. Conservate la versione del fascicolo contrattuale effettivamente applicabile.

Preparare conservazione, uscita e incidenti

Stabilite i periodi o i criteri di conservazione per categoria di documenti, tenendo conto degli obblighi legali e delle esigenze giustificate. La fine dell'incarico non impone sempre la cancellazione immediata di tutti i documenti; non giustifica neppure una conservazione illimitata. Organizzate la restituzione, i formati leggibili, la revoca degli accessi e il trattamento delle copie. Il GDPR deve essere preso in considerazione durante tutta questa transizione.

In caso di invio errato, perdita o accesso non autorizzato, avvisate immediatamente gli interlocutori designati e preservate i fatti utili all'analisi. Il titolare deve valutare la notifica all'autorità, in linea di principio senza ingiustificato ritardo e, se possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che non sussista un rischio ai sensi del regolamento. Il responsabile del trattamento informa il titolare senza attendere tale termine. Documentate l'incidente ed esaminate separatamente l'informazione alle persone quando il rischio è elevato.

La tabella per passare all'azione

La vostra checklist di preparazione

• Descrivere gli incarichi e i dati utilizzati.
• Verificare la necessità e la base applicabile.
• Qualificare i ruoli per trattamento.
• Adattare il contratto con il responsabile del trattamento, se richiesto.
• Limitare e riesaminare gli accessi.
• Esaminare i soggetti coinvolti e i trasferimenti.
• Preparare conservazione e restituzione.
• Designare i contatti in caso di incidente.

Domande frequenti

Una fiduciaria è sempre responsabile del trattamento?

La qualifica dipende dal trattamento effettivamente svolto. Occorre distinguere le prestazioni per conto del cliente dalle finalità proprie dello studio.

Il GDPR impone di cancellare tutto alla partenza del cliente?

No. Il destino dei dati deve tenere conto degli obblighi legali di conservazione, del ruolo degli attori e del quadro contrattuale applicabile.

Tutti gli errori comportano una notifica identica?

I fatti e il rischio devono essere analizzati e documentati. La notifica all'autorità e l'informazione alle persone rispondono a condizioni distinte.

I termini utili di questa guida

• GDPR — protezione dei dati personali
• Responsabile del trattamento ai sensi del GDPR
• Minimizzazione dei dati

Le domande da porre al professionista

• Quali trattamenti svolgiamo ciascuno e con quale ruolo?
• Chi ha accesso ai dati e da dove?
• Come si svolgono la restituzione e l'avviso in caso di incidente?

Per precisare l'incarico da affidare, consultate anche il nostro dossier sulla contabilità.

E per la vostra situazione?

Preparate l'elenco degli incarichi, degli strumenti e dei documenti scambiati. Cercate nel nostro annuario un professionista per chiarire l'organizzazione del fascicolo con il vostro team e, quando necessario, con il vostro consulente in materia di protezione dei dati.