La condivisione dei dati è la linfa vitale del commercio moderno. Che si tratti di integrare un nuovo fornitore cloud, di collaborare con un'agenzia di marketing o di integrare un sistema HR di terze parti, i dati personali fluiscono costantemente tra le organizzazioni. Ma ecco la scomoda verità: la maggior parte delle aziende sottovaluta il campo minato legale che la condivisione dei dati rappresenta ai sensi del Regolamento generale sulla protezione dei dati (GDPR).
La posta in gioco è reale. Le multe possono raggiungere i 20 milioni di euro o il 4% del fatturato annuo globale, a seconda di quale sia l'importo più elevato. Oltre alle sanzioni pecuniarie, si rischiano danni alla reputazione, controlli normativi e richieste di risarcimento danni da parte dei soggetti interessati. L'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens, o AP) lo ha chiarito: l'ignoranza non è una difesa.
Questo articolo illustra sette rischi critici del GDPR che si presentano quando si condividono dati personali. Ogni rischio è basato su specifiche disposizioni del GDPR, illustrato con conseguenze concrete e accompagnato da indicazioni pratiche per aiutarvi a rimanere conformi. Che siate imprenditori, responsabili della conformità o professionisti legali che operano nei Paesi Bassi, comprendere queste insidie è essenziale.
1. Condivisione dei dati senza una valida base giuridica (articolo 6 GDPR)
Il rischio: non è possibile condividere dati personali solo perché è comodo o vantaggioso. Ogni caso di condivisione di dati richiede una valida base giuridica ai sensi dell'articolo 6 del GDPR.
Perché le aziende sbagliano: molte organizzazioni presumono che avere una ragione commerciale per condividere i dati sia sufficiente. Non lo è. Il GDPR prevede sei basi giuridiche per il trattamento dei dati: consenso, necessità contrattuale, obbligo legale, interessi vitali, interesse pubblico e interessi legittimi. Ognuna di esse ha requisiti e limitazioni specifici.
Ad esempio, gli "interessi legittimi" vengono spesso invocati per giustificare la condivisione dei dati con partner o fornitori di servizi. Ma questa base richiede un attento bilanciamento: i tuoi interessi non devono prevalere sui diritti e sulle libertà delle persone di cui stai trattando i dati. E devi documentare questa valutazione.
Fondamento giuridico: l'articolo 6 del GDPR elenca in modo esaustivo le basi giuridiche. L'articolo 5(1)(a) del GDPR stabilisce che tutti i trattamenti devono essere leciti, corretti e trasparenti.
Conseguenze concrete: l'Associated Press ha comminato sanzioni ad aziende che hanno condiviso i dati dei clienti con terze parti per scopi di marketing senza una valida base giuridica. Anche se i dati sono stati anonimizzati o aggregati, se è possibile la reidentificazione, si tratta comunque di dati personali e pertanto è necessaria una base legale.
Suggerimento pratico: prima di condividere dati personali, identifica e documenta la base giuridica applicabile. Se ti basi su interessi legittimi, conduci e documenta una valutazione degli interessi legittimi (LIA). Se utilizzi il consenso, assicurati che sia liberamente dato, specifico, informato e inequivocabile.
2. Confusione sui ruoli: Titolare del trattamento vs. Responsabile del trattamento (articolo 4(7)–(8) GDPR)
Il rischio: il GDPR distingue tra titolari del trattamento (che determinano le finalità e le modalità del trattamento) e responsabili del trattamento (che trattano i dati per conto del titolare del trattamento). Identificare erroneamente il proprio ruolo, o quello del proprio partner, può creare gravi lacune in termini di conformità.
Perché le aziende sbagliano: in pratica, i ruoli possono essere ambigui. Se si condividono dati con un fornitore SaaS, quest'ultimo è un titolare del trattamento o un responsabile del trattamento? E se utilizza i dati per migliorare i propri algoritmi? Molte aziende tendono a definire ogni fornitore come "responsabile del trattamento" senza analizzare adeguatamente la relazione.
L'errata classificazione è rilevante perché titolari e responsabili del trattamento hanno obblighi diversi. I titolari devono garantire che i responsabili del trattamento forniscano sufficienti garanzie di conformità (articolo 28 GDPR). I contitolari del trattamento devono concordare sulle rispettive responsabilità (articolo 26 GDPR). Un errore di classificazione potrebbe comportare la responsabilità per violazioni di cui non si era nemmeno a conoscenza.
Fondamento giuridico: l'articolo 4(7) e (8) del GDPR definiscono "titolare del trattamento" e "responsabile del trattamento". L'articolo 24 del GDPR delinea gli obblighi di responsabilità del titolare del trattamento.
Conseguenze concrete: La Corte di giustizia europea, nella sentenza Fashion ID (C-40/17), ha stabilito che anche la determinazione parziale delle finalità può rendervi contitolari del trattamento. Ciò significa che potete essere ritenuti corresponsabili per le violazioni del GDPR, anche se la causa è un'altra parte.
Suggerimento pratico: mappate i flussi di dati e stabilite chi decide perché e come i dati vengono elaborati. Documentate tutto per iscritto e assicuratevi che ogni parte comprenda il proprio ruolo e i propri obblighi.
3. Contratto di elaborazione dati mancante o inadeguato (articolo 28 GDPR)
Il rischio: se incarichi un responsabile del trattamento di gestire i tuoi dati personali per tuo conto, sei legalmente obbligato a stipulare un accordo scritto sul trattamento dei dati (DPA). Nessuna eccezione.
Perché le aziende sbagliano: è allettante saltare le formalità burocratiche, soprattutto con partner fidati o di lunga data. Ma senza un DPA conforme, si viola l'articolo 28 del GDPR fin dal primo giorno, anche se non si verifica alcun danno effettivo.
Un DPA adeguato deve includere clausole obbligatorie specifiche: l'oggetto e la durata del trattamento, la natura e le finalità del trattamento, la tipologia di dati personali, le categorie di interessati e gli obblighi e i diritti del titolare del trattamento. Deve inoltre disciplinare il sub-trattamento, la sicurezza dei dati e la notifica delle violazioni.
Fondamento giuridico: l'articolo 28(3) del GDPR elenca il contenuto obbligatorio di un DPA. L'articolo 28(4) del GDPR richiede l'autorizzazione esplicita per i sub-responsabili del trattamento.
Conseguenze concrete: l'Autorità Garante per la protezione dei dati (AP) ha sanzionato organizzazioni che si sono avvalse di responsabili del trattamento senza adeguati accordi sul trattamento dei dati (DPA). Anche se il responsabile del trattamento stesso è conforme, il titolare del trattamento può comunque essere multato per non aver stipulato un accordo appropriato.
Suggerimento pratico: utilizzare un modello di DPA standardizzato che copra tutti i requisiti dell'articolo 28(3). Rivedere gli accordi esistenti per assicurarsi che siano conformi al GDPR. Non integrare alcun nuovo responsabile del trattamento senza un DPA firmato.
4. Trasferimento illegittimo verso paesi terzi al di fuori del SEE (articoli 44–49 GDPR e Schrems II)
Il rischio: il trasferimento di dati personali al di fuori dello Spazio economico europeo (SEE) è soggetto a forti restrizioni. È possibile farlo solo se il Paese di destinazione offre un livello di protezione adeguato o se si implementano opportune misure di salvaguardia.
Perché le aziende sbagliano: molte aziende utilizzano servizi cloud, processori di pagamento o strumenti di analisi ospitati negli Stati Uniti o in Asia senza rendersi conto che stanno attivando le norme sul trasferimento internazionale dei dati. Anche se il contratto è stipulato con un'entità UE, se i dati vengono archiviati o consultati al di fuori dello Spazio economico europeo (SEE), si applicano le norme sul trasferimento dei dati.
La sentenza Schrems II (causa C-311/18) ha invalidato il Privacy Shield UE-USA e ha ribadito che le clausole contrattuali standard (SCC) da sole non sono sufficienti. È necessario effettuare anche una valutazione d'impatto del trasferimento (TIA) per valutare se la legislazione del paese di destinazione comprometta la protezione garantita dalle SCC.
Fondamento giuridico: Gli articoli 44-49 del GDPR disciplinano i trasferimenti internazionali. Il capitolo V del GDPR richiede decisioni di adeguatezza (articolo 45) o garanzie appropriate (articolo 46), come le clausole contrattuali standard (SCC).
Conseguenze concrete: l'AP può ordinare la sospensione o il divieto di trasferimento dati verso paesi terzi qualora non siano in atto adeguate misure di sicurezza. Le aziende hanno subito azioni coercitive e danni alla reputazione per aver trasferito dati negli Stati Uniti senza aver effettuato una TIA (Transaction Investment Assessment) a seguito della sentenza Schrems II.
Suggerimento pratico: identifica tutti i trasferimenti verso paesi terzi nei tuoi flussi di dati. Verifica se esiste una decisione di adeguatezza. In caso contrario, implementa le clausole contrattuali standard (SCC) ed esegui un'analisi dell'impatto sui trasferimenti (TIA). Documenta le misure supplementari, se necessarie (ad esempio, crittografia, pseudonimizzazione).
5. Mancata esecuzione della valutazione d'impatto sulla protezione dei dati (articolo 35 GDPR)
Il rischio: una valutazione d'impatto sulla protezione dei dati (DPIA) è obbligatoria quando la condivisione dei dati può comportare un rischio elevato per i diritti e le libertà delle persone fisiche. Ciò include il trattamento su larga scala di categorie particolari di dati, il monitoraggio sistematico o l'utilizzo di nuove tecnologie.
Perché le aziende sbagliano: molte organizzazioni considerano le DPIA (Valutazioni d'impatto sulla protezione dei dati) come facoltative o rilevanti solo per i progetti "di grandi dimensioni". In realtà, la condivisione di dati sanitari con una piattaforma di analisi di terze parti, l'implementazione di strumenti di profilazione basati sull'intelligenza artificiale o la combinazione di set di dati provenienti da più fonti possono far scattare l'obbligo di DPIA.
Una DPIA non è solo un esercizio di spunta di caselle. È un processo strutturato per identificare i rischi, valutarne la gravità e definire misure per mitigarli. Se i rischi residui rimangono elevati, è necessario consultare l'AP prima di procedere.
Fondamento giuridico: l'articolo 35 del GDPR impone la valutazione d'impatto sulla protezione dei dati (DPIA) per i trattamenti ad alto rischio. L'Autorità Garante per la protezione dei dati (AP) ha pubblicato delle linee guida su quando è necessaria una DPIA.
Conseguenze concrete: la mancata esecuzione di una DPIA quando richiesta costituisce di per sé una violazione del GDPR. L'Autorità Garante per la protezione dei dati (AP) ha multato organizzazioni per aver proceduto alla condivisione di dati ad alto rischio senza aver completato una DPIA, anche in assenza di una reale violazione dei dati.
Suggerimento pratico: esaminate tutte le attività di condivisione dei dati per individuare eventuali elementi che potrebbero far scattare una valutazione d'impatto sulla protezione dei dati (DPIA). In caso di dubbio, effettuatene una. Coinvolgete il vostro responsabile della protezione dei dati (DPO) e documentate accuratamente il processo di valutazione.
6. Informazioni inadeguate agli interessati (articoli 13 e 14 GDPR)
Il rischio: la trasparenza è un principio cardine del GDPR. Ogni volta che raccogli o condividi dati personali, devi informare gli interessati su chi riceverà i loro dati, per quale scopo e su quale base giuridica.
Perché le aziende sbagliano: le informative sulla privacy sono spesso vaghe o obsolete. Frasi come "potremmo condividere i tuoi dati con partner fidati" non sono sufficienti. È necessario specificare le categorie di destinatari (ad esempio, "fornitori di servizi di cloud hosting", "agenzie di marketing") e, ove pertinente, nominarli.
Quando i dati vengono ottenuti indirettamente, ad esempio da un broker di dati o da un altro titolare del trattamento, l'articolo 14 del GDPR impone ulteriori obblighi informativi, tra cui la fonte dei dati.
Base giuridica: gli articoli 13 e 14 del GDPR elencano le informazioni che devono essere fornite agli interessati. L'articolo 5, paragrafo 1, lettera a), del GDPR richiede trasparenza in tutte le attività di trattamento.
Conseguenze concrete: l'Associated Press ha sanzionato aziende per non aver informato gli utenti della condivisione dei loro dati con terze parti. Anche se la condivisione in sé fosse legale, la mancanza di trasparenza costituisce di per sé una violazione.
Suggerimento pratico: rivedi e aggiorna le tue informative sulla privacy per descrivere chiaramente le pratiche di condivisione dei dati. Assicurati che le informative siano facilmente accessibili e scritte in un linguaggio semplice. Quando condividi dati con nuovi partner, aggiorna le tue informative prima che la condivisione abbia inizio.
7. La pseudonimizzazione come falso senso di sicurezza
Il rischio: la pseudonimizzazione, ovvero la sostituzione degli identificatori diretti con codici o token, è incoraggiata dal GDPR come misura di sicurezza. Tuttavia, non rende i dati anonimi. Se i dati possono ancora essere ricondotti a un individuo, rimangono dati personali e sono soggetti all'intero ambito di applicazione del GDPR.
Perché le aziende sbagliano: spesso le aziende presumono che i dati pseudonimizzati siano "sicuri" da condividere senza restrizioni. In pratica, la pseudonimizzazione riduce solo il rischio, non lo elimina. Se si condividono dati pseudonimizzati con un partner che ha accesso alla chiave o ad altri set di dati che consentono la reidentificazione, si stanno comunque elaborando dati personali.
Fondamento giuridico: l'articolo 4(5) del GDPR definisce la pseudonimizzazione. Il considerando 26 del GDPR chiarisce che i dati pseudonimizzati restano dati personali a meno che non siano effettivamente anonimizzati (ossia, la reidentificazione non sia più possibile con alcun mezzo ragionevole).
Conseguenze nel mondo reale: l'Associated Press ha chiarito nelle sue linee guida che la pseudonimizzazione non è una "carta jolly" per evitare sanzioni. Se la reidentificazione è fattibile, si applicano tutti gli obblighi del GDPR, tra cui la necessità di una base giuridica, l'esecuzione di valutazioni d'impatto sulla protezione dei dati (DPIA) e la garanzia di un'adeguata sicurezza.
Suggerimento pratico: trattate i dati pseudonimizzati come dati personali, a meno che non abbiate seguito un rigoroso processo di anonimizzazione convalidato da esperti. Documentate le misure tecniche e organizzative adottate per prevenire la reidentificazione.
Domande frequenti
Quando è consentita la condivisione dei dati ai sensi del GDPR?
La condivisione dei dati è legittima solo se sussiste una valida base giuridica ai sensi dell'Articolo 6 del GDPR. Le sei basi giuridiche sono: consenso, necessità contrattuale, obbligo di legge, interessi vitali, compito pubblico e interessi legittimi. È inoltre necessario rispettare i principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione dei dati, accuratezza, limitazione della conservazione, integrità e riservatezza (Articolo 5 del GDPR). In pratica, ciò significa documentare chiaramente il motivo per cui si condividono i dati, garantire che la finalità sia coerente con il motivo per cui sono stati originariamente raccolti e informare gli interessati della condivisione.
Qual è la differenza tra un controller e un processore?
Il titolare del trattamento determina le finalità e le modalità del trattamento dei dati personali. Il responsabile del trattamento elabora i dati per conto del titolare del trattamento secondo istruzioni specifiche. Questa distinzione è importante perché i titolari del trattamento sono i principali responsabili della conformità al GDPR, mentre i responsabili del trattamento hanno obblighi più limitati (principalmente garantire la sicurezza e la riservatezza). Se si condividono dati con un fornitore che li elabora secondo le istruzioni dell'utente, ad esempio un fornitore di servizi di elaborazione paghe o un servizio di archiviazione cloud, quest'ultimo è in genere un responsabile del trattamento. Se decide anche come utilizzare i dati per le proprie finalità, potrebbe essere un (contitolare) del trattamento. L'errata identificazione dei ruoli può comportare lacune in termini di responsabilità e di corresponsabilità per le violazioni.
Quando è obbligatorio un accordo sul trattamento dei dati (DPA)?
Un DPA è obbligatorio ogni volta che si affida a un responsabile del trattamento il trattamento dei dati personali per proprio conto (articolo 28 del GDPR). Ciò si applica indipendentemente dalle dimensioni dell'organizzazione o dal volume di dati trattati. Il DPA deve essere redatto per iscritto e includere clausole obbligatorie specifiche, come l'oggetto e la durata del trattamento, la natura e la finalità, le tipologie di dati e le categorie di interessati, nonché gli obblighi di entrambe le parti in materia di sicurezza, notifica delle violazioni e sub-trattamento. In assenza di un DPA conforme, si è in presenza di una violazione dal momento in cui il responsabile del trattamento inizia il trattamento, anche in assenza di danni.
Posso condividere i dati dei clienti con una parte al di fuori dell'UE?
Sì, ma solo se vengono soddisfatte condizioni rigorose. Ai sensi degli articoli 44-49 del GDPR, è possibile trasferire dati verso un paese terzo se: (a) la Commissione europea ha emesso una decisione di adeguatezza per tale paese, oppure (b) sono state messe in atto garanzie adeguate, come le clausole contrattuali standard (SCC). A seguito della sentenza Schrems II , è inoltre necessario effettuare una valutazione d'impatto del trasferimento (TIA) per valutare se le leggi del paese di destinazione (ad esempio, la sorveglianza governativa) compromettano la protezione garantita dalle SCC. Se permangono dei rischi, è necessario implementare misure supplementari, come la crittografia o la minimizzazione dei dati. I trasferimenti senza garanzie adeguate possono comportare azioni coercitive da parte dell'autorità garante della protezione dei dati, inclusa la sospensione del trasferimento.
Quando è richiesta una DPIA per la condivisione dei dati?
Una DPIA è obbligatoria ai sensi dell'articolo 35 del GDPR quando il trattamento può comportare un rischio elevato per i diritti e le libertà delle persone. Ciò include: il trattamento su larga scala di categorie particolari di dati (ad esempio, dati sanitari, biometrici, genetici), il monitoraggio sistematico di aree accessibili al pubblico, il processo decisionale automatizzato con effetti giuridici o di analoga rilevanza e l'uso di nuove tecnologie. Quando si condividono dati, una DPIA è spesso richiesta se si combinano set di dati, si condividono informazioni sensibili o si utilizzano i dati per la profilazione o l'analisi basata sull'intelligenza artificiale. L'AP ha pubblicato un elenco di operazioni di trattamento che richiedono una DPIA. In caso di dubbio, è consigliabile condurne una: prevenire è meglio che curare.
Quali sanzioni possono essere inflitte alle aziende per violazione del GDPR?
Il GDPR prevede due livelli di sanzioni. Il livello inferiore, fino a 10 milioni di euro o il 2% del fatturato annuo globale, si applica a violazioni quali la mancata implementazione di misure di sicurezza adeguate o la mancata esecuzione di una DPIA quando richiesto. Il livello superiore, fino a 20 milioni di euro o il 4% del fatturato annuo globale, si applica a violazioni più gravi, tra cui la mancanza di una base giuridica per il trattamento, i trasferimenti internazionali illeciti o la violazione dei diritti degli interessati. L'AP determina l'importo della sanzione in base a fattori quali la natura e la gravità della violazione, la natura intenzionale o negligente della stessa, il numero di persone interessate e le eventuali misure di mitigazione adottate. Le recenti misure di applicazione mostrano che l'AP è disposta a imporre sanzioni sostanziali, in particolare per violazioni sistemiche o deliberate.
È sempre sicuro condividere dati pseudonimizzati?
No. La pseudonimizzazione riduce il rischio, ma non lo elimina. Ai sensi dell'articolo 4(5) del GDPR, la pseudonimizzazione consiste nella sostituzione di identificatori diretti (come i nomi) con codici o pseudonimi. Tuttavia, se i dati possono ancora essere ricondotti a una persona, ad esempio utilizzando informazioni aggiuntive in possesso dell'utente o del destinatario, rimangono dati personali e sono pienamente soggetti al GDPR. Ciò significa che è comunque necessaria una base giuridica, è necessario informare gli interessati e garantire un'adeguata sicurezza. Solo la vera anonimizzazione, ovvero quando la reidentificazione non è più possibile con mezzi ragionevoli, esclude i dati dall'ambito di applicazione del GDPR. Nella pratica, ottenere una vera anonimizzazione è difficile e richiede la convalida di esperti.
Cosa devo fare se la mia azienda subisce una violazione dei dati a causa della condivisione illegale di dati?
Se scopri una violazione dei dati personali, inclusa una causata da condivisione illecita dei dati, hai 72 ore di tempo per notificarla all'Autorità Garante per la protezione dei dati personali (AP) ai sensi dell'articolo 33 del GDPR (a meno che la violazione non comporti un rischio per i diritti e le libertà delle persone fisiche). Devi inoltre notificare senza indebito ritardo le persone interessate se la violazione è suscettibile di comportare un rischio elevato per loro (articolo 34 del GDPR). Le azioni immediate includono: contenere la violazione, valutarne la portata e l'impatto, documentare l'accaduto e le azioni intraprese al riguardo e notificare l'AP tramite il suo portale online. La mancata notifica può comportare una sanzione pecuniaria. L'AP valuterà se sono necessarie azioni coercitive in base alla gravità della violazione e alla tua risposta.
Proteggi la tua attività: ottieni consulenza legale da esperti
La condivisione dei dati è inevitabile, ma le violazioni del GDPR non devono esserlo. I sette rischi sopra descritti non sono teorici: sono tratti da casi concreti di applicazione della legge, sentenze dei tribunali e linee guida normative. Ognuno di essi può comportare sanzioni, richieste di risarcimento danni e danni alla reputazione.
La buona notizia? Con il giusto quadro giuridico, una documentazione chiara e misure di conformità proattive, è possibile condividere i dati in modo sicuro e legale. Ma per farlo correttamente è necessario più di una consulenza generica: è necessario un supporto legale personalizzato che comprenda la tua attività, i tuoi flussi di dati e i rischi specifici che corri.
Non aspettare che l'AP bussi alla tua porta. Se non sei sicuro che le tue pratiche di condivisione dei dati siano conformi al GDPR, o se hai bisogno di aiuto per redigere DPA, condurre DPIA o gestire trasferimenti internazionali, contatta un avvocato specializzato in privacy. La tua azienda, e i tuoi clienti, non meritano niente di meno.
