Perchè la conformità in materia di dati in Italia è diversa
La conformità in materia di dati in Italia differisce da quella di altre giurisdizioni perché il GDPR si applica direttamente, ma opera insieme alle norme nazionali, agli obblighi specifici di settore, al diritto del lavoro, ai requisiti in materia di cybersicurezza e alla prassi applicativa dell’Autorità italiana per la protezione dei dati personali, comunemente nota come Garante. Una società non può considerare l’Italia come un mercato della privacy puramente conforme agli “standard UE” e presumere che un quadro GDPR generico sia sufficiente.
Il GDPR stabilisce il quadro normativo fondamentale: basi giuridiche del trattamento, trasparenza, diritti degli interessati, protezione dei dati fin dalla progettazione e per impostazione predefinita, misure di sicurezza, notifica delle violazioni, responsabilizzazione, accordi sul trattamento dei dati, valutazioni d’impatto sulla protezione dei dati e restrizioni ai trasferimenti al di fuori dello Spazio economico europeo. Il Codice italiano in materia di protezione dei dati personali integra tale quadro negli ambiti in cui il diritto nazionale continua ad assumere rilevanza, tra cui il lavoro, il trattamento di dati sensibili, i minori, il trattamento per motivi di interesse pubblico e le sanzioni.
La complessità pratica per le società straniere deriva dal fatto che la conformità in materia di dati raramente rimane circoscritta al dipartimento privacy. Banche dati delle risorse umane, sistemi di gestione delle retribuzioni, piattaforme per la gestione dei rapporti con i clienti, campagne di marketing, sistemi di videosorveglianza, monitoraggio delle e-mail, canali di segnalazione degli illeciti, strumenti cloud, cookie, commercio elettronico, assistenza clienti e comunicazioni infragruppo possono tutti comportare il trattamento di dati personali. Un singolo strumento operativo può comportare contemporaneamente informative sulla privacy, analisi della base giuridica, misure di sicurezza, regole sulla conservazione, accordi con i responsabili del trattamento, meccanismi di trasferimento e questioni relative alla consultazione dei dipendenti.
La cybersicurezza aggiunge un ulteriore livello. Le società che operano in settori critici o importanti possono rientrare nell’ambito di applicazione della normativa italiana di attuazione della NIS2, mentre le altre imprese devono comunque adottare misure tecniche e organizzative adeguate ai sensi del GDPR. Per una società straniera, la sfida consiste nel far funzionare i sistemi globali all’interno del quadro giuridico italiano senza creare lacune nella documentazione, nella trasparenza nei confronti dei dipendenti, nelle garanzie relative al trasferimento dei dati o nella risposta agli incidenti.
Legge sulla cybersicurezza e quadro normative sulla protezione dei dati in Italia
La cybersicurezza e la protezione dei dati in Italia non costituiscono ambiti di attività separati. Il GDPR richiede ai titolari e ai responsabili del trattamento di adottare misure tecniche e organizzative adeguate, mentre le norme italiane ed europee in materia di cybersicurezza impongono obblighi aggiuntivi ai soggetti che operano in settori considerati essenziali, importanti o comunque esposti a un rischio informatico sistemico.
Il quadro normativo fondamentale in materia di protezione dei dati è costituito dal GDPR, integrato dal Codice italiano in materia di protezione dei dati personali e dagli orientamenti, dai provvedimenti e dalla prassi applicativa del Garante. Tale quadro si applica alle società stabilite in Italia e, in determinati casi, alle società straniere che offrono beni o servizi a persone fisiche in Italia o ne monitorano il comportamento.
Conformità al GDPR: obblighi principali
La conformità al GDPR in Italia si fonda sulla responsabilizzazione. Una società non deve soltanto rispettare le norme, ma deve anche essere in grado di dimostrare come la conformità venga attuata nella pratica. Ciò richiede documentazione, attribuzione interna delle responsabilità e procedure operative coerenti con le effettive attività di trattamento dei dati della società.
- Il punto di partenza è la mappatura dei dati. La società deve comprendere quali dati personali tratta, per quali finalità, su quale base giuridica, da dove provengono i dati, chi li riceve, per quanto tempo vengono conservati e se vengono trasferiti al di fuori dello Spazio economico europeo. Senza questa mappatura, le informative sulla privacy, i contratti, le valutazioni dei trasferimenti e le misure di sicurezza risultano generalmente incompleti.
- La trasparenza costituisce una questione ricorrente. Dipendenti, clienti, fornitori, utenti dei siti web, candidati a posizioni lavorative e altri individui devono ricevere informative sulla privacy chiare, accurate e coerenti con le effettive attività di trattamento. Le informative generiche copiate da un’altra giurisdizione spesso risultano inadeguate perché non riflettono le prassi italiane in materia di risorse umane, gli strumenti locali, i periodi di conservazione, i cookie, i sistemi di videosorveglianza, i canali di segnalazione degli illeciti o le procedure di marketing.
- Le società devono inoltre gestire i diritti degli interessati, tra cui accesso, rettifica, cancellazione, limitazione, opposizione, portabilità e revoca del consenso nei casi in cui venga utilizzato il consenso. Tali diritti richiedono una procedura interna di risposta e non soltanto una formulazione all’interno di un’informativa sulla privacy.
- I trattamenti a rischio più elevato possono richiedere una valutazione d’impatto sulla protezione dei dati. Ciò assume particolare rilevanza in caso di monitoraggio sistematico, dati sensibili, strumenti di monitoraggio dei dipendenti, trattamenti su larga scala, tecnologie innovative, strumenti basati sull’intelligenza artificiale, profilazione, geolocalizzazione, sistemi biometrici o utilizzo esteso dei dati dei clienti. Qualora la società nomini un responsabile della protezione dei dati, il ruolo deve essere adeguatamente integrato nella governance, anziché essere considerato una nomina meramente simbolica.
Trasferimento transfrontaliero dei dati in Italia
Il trasferimento transfrontaliero dei dati è una delle questioni più importanti per le società straniere che operano in Italia. In molti gruppi multinazionali, i dati di dipendenti, clienti, fornitori o utenti italiani sono accessibili dalla sede centrale, da centri regionali, centri di servizi condivisi, fornitori di servizi cloud, sistemi di gestione dei rapporti con i clienti, piattaforme per le risorse umane, fornitori di servizi per la gestione delle retribuzioni o fornitori di servizi informatici situati al di fuori dello Spazio economico europeo.
Ai sensi del GDPR, i trasferimenti al di fuori dello Spazio economico europeo richiedono un valido meccanismo di trasferimento. Questo può includere una decisione di adeguatezza, clausole contrattuali standard, norme vincolanti d’impresa o un altro strumento riconosciuto dal GDPR. Qualora vengano utilizzate clausole contrattuali standard, la società deve inoltre valutare se la legge e la prassi del Paese di destinazione incidano sull’efficacia delle garanzie.
Nella pratica, la conformità dei trasferimenti transfrontalieri inizia con l’individuazione dei flussi di dati. Molte società sottovalutano i trasferimenti perché considerano soltanto il luogo in cui sono situati i server, mentre l’analisi dei trasferimenti ai sensi del GDPR considera anche l’accesso da remoto, i servizi di assistenza, le comunicazioni infragruppo, l’amministrazione dei servizi cloud e il ricorso a subfornitori da parte dei fornitori.
I flussi di dati tra UE e Stati Uniti, i trasferimenti infragruppo, i sistemi per le risorse umane tra Cina e UE, le piattaforme globali per la gestione dei rapporti con i clienti e gli strumenti informatici condivisi richiedono spesso una revisione coordinata. La società italiana deve essere in grado di spiegare quali dati lasciano lo Spazio economico europeo, perché vengono trasferiti, chi li riceve, quali garanzie si applicano e se gli individui siano stati adeguatamente informati.
Una gestione errata dei trasferimenti può incidere sulla continuità operativa. Un trasferimento non conforme può richiedere la sospensione, la rinegoziazione degli accordi con i fornitori, modifiche tecniche o interventi correttivi prima di un’operazione, di un audit o di una richiesta dell’autorità di regolamentazione. Per questo motivo, l’analisi dei trasferimenti dovrebbe essere parte integrante, fin dall’inizio, della progettazione dei sistemi, della selezione dei fornitori e della governance della conformità del gruppo.
Requisiti in materia di sicurezza e governance di dati
La sicurezza dei dati in Italia deve essere progettata in funzione dei rischi specifici dell’attività di trattamento. Il GDPR non impone un unico standard tecnico universale per ogni società, ma richiede misure adeguate alla natura, all’ambito, al contesto e alle finalità del trattamento, nonché al rischio per gli individui.
Le misure pratiche di sicurezza comprendono spesso l’accesso basato sui ruoli, le politiche relative alle password, l’autenticazione a più fattori, la crittografia, la pseudonimizzazione, le procedure di backup e ripristino, la registrazione delle attività, la gestione delle vulnerabilità, i controlli sui dispositivi, la cancellazione sicura, la segnalazione degli incidenti e la verifica della sicurezza dei fornitori. La società deve inoltre essere in grado di dimostrare che tali misure sono attuate, riesaminate e aggiornate.
La governance è altrettanto importante. I ruoli in materia di protezione dei dati dovrebbero essere assegnati chiaramente tra titolari del trattamento, responsabili del trattamento, contitolari del trattamento, entità locali, società madri, fornitori di servizi e dipartimenti interni. Gli accordi sul trattamento dei dati devono riflettere il rapporto effettivo e non soltanto un modello standard. Qualora più società del gruppo accedano agli stessi dati, la ripartizione delle responsabilità dovrebbe essere documentata.
I dati dei dipendenti richiedono particolare attenzione in Italia. I sistemi per le risorse umane, gli account di posta elettronica, gli strumenti di produttività, i sistemi di videosorveglianza, la geolocalizzazione, i badge di accesso e il monitoraggio sul luogo di lavoro possono comportare non soltanto questioni relative al GDPR, ma anche vincoli derivanti dal diritto del lavoro. Un’attività di monitoraggio tecnicamente possibile può comunque essere illecita se la trasparenza, la proporzionalità, le procedure previste dal diritto del lavoro o le politiche interne non sono gestite adeguatamente.
La conservazione dei dati rappresenta un’altra carenza ricorrente. Le società spesso conservano documenti, e-mail, fascicoli delle risorse umane, dati dei clienti, registri e contatti di marketing più a lungo del necessario perché nessuno è responsabile della loro cancellazione. Un quadro giustificabile in materia di conservazione costituisce parte integrante sia della conformità in materia di privacy sia della preparazione al contenzioso.
Applicazione della normative e risposta delle autorità di regolamentazione in Italia
L’attività di enforcement in materia di dati in Italia è guidata dal Garante, che dispone di poteri di indagine, correttivi e sanzionatori ai sensi del GDPR e della normativa italiana. L’attività di enforcement può derivare da reclami, ispezioni, violazioni dei dati, questioni relative alla segnalazione di illeciti, pratiche dei siti web, monitoraggio dei dipendenti, attività di marketing, cookie, strumenti di intelligenza artificiale o indagini specifiche di settore.
Quando si verifica una violazione dei dati, la risposta è soggetta a tempistiche stringenti. La società deve valutare l’incidente, contenerlo, documentare quanto accaduto, stabilire se sia necessaria la notifica al Garante e valutare se debbano essere informati anche gli individui interessati. Ai sensi del GDPR, la notifica all’autorità di controllo deve generalmente essere effettuata entro 72 ore dal momento in cui si viene a conoscenza della violazione, a meno che sia improbabile che la violazione comporti un rischio per gli individui.
I primi giorni della risposta sono importanti. Uno scarso coordinamento interno può determinare informazioni incomplete, notifiche tardive, comunicazioni incoerenti e una maggiore esposizione sul piano regolamentare. L’ufficio legale, il reparto informatico, la direzione, la comunicazione, le risorse umane e i fornitori esterni possono tutti dover operare sulla base della stessa documentazione relativa all’incidente.
La risposta alle autorità di regolamentazione non si limita alle violazioni. Una società può ricevere una richiesta di informazioni, un reclamo da parte di un individuo, una contestazione da parte di un dipendente o un questionario di due diligence da parte di una controparte o di un investitore. La società dovrebbe essere in grado di produrre informative sulla privacy, registri delle attività di trattamento, valutazioni d’impatto sulla protezione dei dati, accordi sul trattamento dei dati, documentazione relativa ai trasferimenti, politiche di sicurezza, registri delle violazioni, regole sulla conservazione ed elementi che dimostrino la loro effettiva attuazione.
Nella pratica, la difesa più efficace non viene predisposta dopo che il Garante ha contattato la società. Viene costruita attraverso la documentazione, la governance, la formazione e una procedura di risposta collaudata prima che abbia inizio l’attività di enforcement.
Il nostro ruolo come studio legale specializzato in cybersicurezza e conformità in materia di dati in Italia
In qualità di studio legale specializzato in cybersicurezza e conformità in materia di dati con una practice italiana, D’Andrea & Partners assiste le società straniere che, operando in Italia, devono conformarsi al GDPR, alle norme italiane in materia di protezione dei dati, agli obblighi di cybersicurezza e ai requisiti relativi ai trasferimenti transfrontalieri di dati.
I nostri avvocati specializzati in protezione dei dati assistono i clienti nella mappatura dei dati, nelle informative sulla privacy, nei registri delle attività di trattamento, negli accordi sul trattamento dei dati, nelle valutazioni d’impatto sulla protezione dei dati, nella conformità in materia di cookie e marketing, nella governance dei dati delle risorse umane, nelle valutazioni relative al monitoraggio dei dipendenti, nei meccanismi di trasferimento transfrontaliero, nella verifica dei fornitori, nella risposta alle violazioni e, ove richiesto, nelle comunicazioni con il Garante.
Poiché la conformità in materia di dati raramente costituisce un ambito a sé stante, il nostro team collabora con le nostre practice in materia di diritto del lavoro, diritto societario, contratti commerciali, contenzioso e conformità normativa. Il monitoraggio dei dipendenti può richiedere una valutazione ai sensi del diritto del lavoro; un contratto relativo a servizi cloud può richiedere clausole sul trattamento dei dati e garanzie per i trasferimenti; un’operazione di fusione e acquisizione può richiedere una due diligence in materia di privacy; una violazione può comportare obblighi di notifica contrattuale, una risposta alle autorità di regolamentazione e un’esposizione al contenzioso.
Per la maggior parte dei clienti, ciò significa disporre di un unico team coordinato che gestisce il ciclo di vita dei dati in Italia: dall’analisi iniziale delle carenze e dalla documentazione, passando per l’implementazione dei sistemi e la contrattualizzazione con i fornitori, fino alla risposta alle violazioni o alle richieste delle autorità di regolamentazione, ove necessario. L’obiettivo è rendere il quadro relativo ai dati in Italia conforme, operativo e allineato alla più ampia struttura internazionale di conformità del gruppo.
