Diritti degli interessati GDPR: perché sono centrali per ogni azienda

Chi sono gli interessati e perché i loro diritti sono centrali nel GDPR

Q​​​ualche mese fa, durante una consulenza, ho fatto una domanda molto semplice a un imprenditore.

«Se domani un cliente ti chiedesse di sapere quali dati personali possiedi su di lui, cosa faresti?»

La risposta è arrivata immediatamente. «Nessun problema. Siamo a posto con il GDPR.»

Era una risposta sincera. L’informativa privacy era stata aggiornata, il banner cookie era stato sistemato e la documentazione necessaria era stata predisposta. L’azienda aveva investito tempo e denaro per adeguarsi alla normativa.

A quel punto ho provato a fare una seconda domanda.

«Perfetto. Chi si occuperebbe della richiesta?»

Silenzio.

«Dove sono conservati tutti i dati del cliente?»

Altro silenzio.

«Quanto tempo vi servirebbe per recuperarli?»

Nessuna risposta.

Non perché l’azienda stesse facendo qualcosa di scorretto. Il problema era un altro. Avevano lavorato sugli adempimenti, ma non avevano mai ragionato sui diritti delle persone. Ed è una situazione molto più comune di quanto si pensi.

Quando si parla di GDPR, infatti, l’attenzione si concentra quasi sempre sui documenti e molto meno sulle persone che quei documenti dovrebbero proteggere. Eppure il GDPR nasce esattamente da lì: dall’idea che chiunque affidi i propri dati a un’organizzazione continui a mantenere una serie di diritti su quelle informazioni. Quando il Regolamento parla di interessati, infatti, non sta parlando di una categoria giuridica astratta. Sta parlando dei tuoi clienti, dei tuoi utenti, dei tuoi dipendenti, dei tuoi fornitori, delle persone che compilano un modulo sul tuo sito, acquistano sul tuo e-commerce o che ogni giorno affidano una parte delle proprie informazioni alla tua organizzazione.

Ed è proprio qui che molte aziende commettono un errore. Pensano che il GDPR serva principalmente a produrre documenti. In realtà il GDPR serve soprattutto a garantire diritti. I documenti sono soltanto uno degli strumenti attraverso cui quei diritti vengono tutelati.

La differenza può sembrare sottile. In realtà cambia completamente la prospettiva. Perché se guardi il GDPR partendo dagli adempimenti, il problema è pubblicare un’informativa. Se invece guardi il GDPR partendo dagli interessati, il problema diventa capire se sei davvero in grado di rispettare i loro diritti quando decidono di esercitarli. Ed è una domanda molto più scomoda.

Hai bisogno di capire come applicare questi principi alla tua attività? Consulta la pagina dei servizi in materia di Privacy e trattamento dei dati oppure contattaci.

I diritti degli interessati non sono teoria: cosa significano per le aziende

C’è una convinzione che incontro spesso. «Tanto nessuno ci ha mai chiesto niente.»

Quando emerge il tema dei diritti degli interessati, molte aziende reagiscono così. Non è una posizione irragionevole. Se in anni di attività nessuno ha mai chiesto l’accesso ai dati, la cancellazione o la portabilità delle informazioni, è naturale pensare che il problema sia marginale.

Il punto è che i diritti degli interessati funzionano in modo particolare. La loro importanza non si misura dal numero di richieste che ricevi, ma dalla tua capacità di gestirle quando arrivano. Perché fino a quando nessuno esercita un diritto, è molto difficile capire se il sistema funziona davvero.

Un po’ come un estintore. Può rimanere appeso alla parete per anni, ma la sua utilità si scopre soltanto quando scoppia un incendio.

Con i diritti degli interessati accade qualcosa di simile. Fino a quando nessuno fa una richiesta, tutto sembra sotto controllo. Poi arriva una PEC, una mail o una richiesta inviata attraverso il sito e improvvisamente emergono domande che nessuno si era posto prima. Chi deve occuparsene? Quali sistemi bisogna controllare? Quali fornitori devono essere coinvolti? Come si verifica che la risposta sia completa?

È in quel momento che molte organizzazioni scoprono una realtà poco piacevole. Non stanno gestendo un problema giuridico. Stanno gestendo un problema organizzativo. E il GDPR, molto spesso, si limita a renderlo visibile.

Quali sono i diritti degli interessati previsti dal GDPR

Quando si affronta questo tema, il rischio è sempre lo stesso: trasformare i diritti degli interessati in un semplice elenco.

• Diritto di accesso.
• Diritto di rettifica.
• Diritto di cancellazione.
• Diritto alla portabilità.
• Diritto di opposizione.

È il modo in cui normalmente vengono spiegati. Il problema è che gli interessati non esercitano articoli del GDPR. Esercitano richieste.

Quando una persona vuole sapere quali informazioni possiedi su di lei, sta esercitando il diritto di accesso. Quando chiede di correggere dati inesatti, sta esercitando il diritto di rettifica. Quando domanda la cancellazione delle informazioni che la riguardano, sta esercitando il diritto alla cancellazione.

La differenza può sembrare soltanto terminologica, ma non lo è. Perché finché guardi questi diritti come articoli del Regolamento, rimangono un tema teorico. Quando inizi a guardarli come richieste che possono arrivare domani mattina, tutto cambia.

Improvvisamente il diritto di accesso non è più una norma, ma la necessità di sapere dove si trovano i dati. La rettifica non è più una definizione giuridica, ma la capacità di aggiornare correttamente informazioni distribuite in più sistemi. La cancellazione non è più un principio, ma la necessità di capire cosa può essere eliminato e cosa deve essere conservato.

Ed è qui che molte aziende scoprono che il problema non è conoscere i diritti. Il problema è essere preparate a gestirli.

Vuoi capire qual è la soluzione più adatta al tuo caso? Consulta la pagina dei servizi in materia di Privacy e trattamento dei dati oppure richiedi una consulenza.

Come devono essere gestiti i diritti degli interessati

A questo punto emerge una domanda. Come si costruisce un sistema in grado di gestire queste richieste?

La risposta che sento più spesso è sempre la stessa. «Abbiamo una procedura.»

È una buona notizia. Ma non è necessariamente una soluzione.

Perché una procedura, da sola, non risolve nulla. Immagina di ricevere una richiesta di accesso ai dati. Apri la procedura, leggi il documento e poi scopri che nessuno sa dove si trovano tutte le informazioni richieste. La procedura è corretta, ma il problema rimane.

È una situazione molto più frequente di quanto si creda. Per anni il mercato ha affrontato la compliance privacy concentrandosi soprattutto sui documenti. Oggi il vero tema è diverso. Il vero tema è il governo dei dati.

Perché i diritti degli interessati non mettono alla prova la qualità dei documenti. Mettono alla prova la capacità dell’organizzazione di conoscere ciò che fa con i dati. E se questa conoscenza manca, nessuna procedura può compensarla.

Se oggi ricevi una richiesta, sei davvero in grado di gestirla?

Voglio proporti un esercizio molto semplice.

Immagina di ricevere oggi una richiesta di accesso. Non una richiesta generica. Una richiesta reale. Un cliente vuole sapere quali dati personali possiedi su di lui. Hai trenta giorni per rispondere.

La prima domanda è semplice. Sai chi dovrebbe prendere in carico quella richiesta?

La seconda è più interessante. Sai dove si trovano tutti i dati che riguardano quella persona?

CRM. Gestionale. Software di fatturazione. Piattaforme di marketing. Ticket di assistenza. Provider esterni. Mail aziendali.

La terza domanda è quella che normalmente crea più difficoltà. Come verificheresti che la risposta sia completa?

Se leggendo queste domande hai percepito una certa incertezza, non sei il solo. È esattamente ciò che accade a moltissime organizzazioni.

Ed è proprio per questo che i diritti degli interessati rappresentano uno degli strumenti più efficaci per valutare la maturità di un sistema privacy. Perché costringono l’azienda a confrontarsi con la realtà operativa, non con quella documentale.

Hai bisogno di capire come applicare questi principi alla tua attività? Consulta la pagina dei servizi in materia di Privacy e trattamento dei dati oppure contattaci.

Le richieste degli interessati: cosa deve fare concretamente il titolare del trattamento

C’è un errore che può trasformare una richiesta semplice in un problema.

Pensare che la risposta debba iniziare quando arriva la richiesta.

In realtà dovrebbe iniziare molto prima. Quando una richiesta viene ricevuta, il titolare del trattamento dovrebbe già sapere chi interviene, quali verifiche devono essere effettuate e quali sistemi devono essere coinvolti. Perché il tempo disponibile non è infinito e soprattutto perché ogni passaggio richiede coordinamento.

Occorre comprendere cosa sta chiedendo l’interessato, verificare la sua identità, individuare i dati coinvolti, coinvolgere eventuali fornitori, preparare la risposta e documentare le attività svolte.

Sulla carta sembra un processo lineare. Nella pratica può diventare sorprendentemente complesso, soprattutto quando i dati sono distribuiti tra piattaforme diverse e nessuno ha mai costruito una visione d’insieme.

Ed è proprio qui che si crea la differenza tra un’organizzazione che reagisce alle richieste e un’organizzazione che le governa.

Cosa puoi ottenere da un audit GDPR strutturato

Molte aziende decidono di verificare il proprio livello di conformità dopo aver ricevuto una richiesta. È comprensibile. Il problema è che a quel punto la richiesta è già arrivata. Ed è proprio in quel momento che emergono criticità che sarebbero potute essere individuate prima.

Dati distribuiti in più sistemi. Responsabilità poco chiare. Fornitori coinvolti senza procedure condivise. Flussi di informazioni che nessuno aveva mai mappato realmente.

La buona notizia è che questi problemi raramente nascono con la richiesta. La richiesta si limita a renderli visibili.

Ed è esattamente questo il valore di un audit GDPR strutturato. Non produrre documenti. Non aggiungere adempimenti. Ma comprendere come i dati circolano realmente all’interno dell’organizzazione.

Perché il vero obiettivo non è essere pronti per un controllo. Il vero obiettivo è essere pronti quando una persona decide di esercitare un proprio diritto.

Ed è proprio in quel momento che scopri se il tuo sistema privacy è stato costruito per rispettare una norma oppure per rispettare le persone che quella norma protegge.