Chi raccoglie documenti tratta dati personali
Carte d'identità, codici fiscali, dati reddituali, atti di famiglia: una pratica di compravendita è, dal punto di vista privacy, un fascicolo di dati personali. L'agenzia o lo studio è titolare del trattamento e deve poter dimostrare come lo gestisce.
I quattro obblighi che incidono sull'operatività
- Base giuridica e informativa: la raccolta serve all'esecuzione del contratto di mandato e ad adempimenti di legge, incluso l'antiriciclaggio. L'informativa va data al momento della raccolta, non dopo.
- Minimizzazione: si chiede solo ciò che serve a quella pratica. Le richieste nominali per singolo documento aiutano proprio in questo: evitano la raccolta indiscriminata.
- Conservazione limitata: ogni categoria di documento ha un tempo di conservazione, legato ai termini fiscali e antiriciclaggio. Serve una regola scritta e applicata, non una cartella che cresce per anni.
- Sicurezza adeguata: cifratura in transito e a riposo, accessi limitati alle parti, link a scadenza, registro degli accessi.
Accountability: la parte spesso trascurata
Il regolamento non chiede soltanto di essere conformi, ma di poterlo dimostrare. Un registro degli eventi immodificabile, con chi ha caricato, visualizzato e scaricato cosa, è lo strumento più diretto per rispondere a una richiesta dell'interessato o a una verifica.
Responsabili del trattamento e fornitori
Il fornitore della piattaforma agisce come responsabile del trattamento: serve un accordo ex art. 28, l'indicazione dei sub-responsabili e la localizzazione dei dati. Ospitare i dati nell'Unione Europea semplifica la valutazione sui trasferimenti.
Data breach: prepararsi prima
In caso di violazione i termini sono stretti (72 ore verso l'autorità, quando ricorrono i presupposti). Sapere in anticipo quali dati sono coinvolti e chi vi ha avuto accesso è la differenza tra una notifica ordinata e una ricostruzione improvvisata.
Nota importante
Questo contenuto è informativo e non sostituisce una valutazione legale sulla singola organizzazione. Le misure tecniche descritte riguardano il funzionamento di un protocollo di scambio documentale e vanno inserite nel modello privacy dello studio o dell'agenzia.