Conformità al GDPR e piccole imprese

No, non lo sono. Il GDPR si applica ogni volta che un’azienda raccoglie dati personali da una persona che si trova nell’UE. Questo vale sia che tu abbia un’attività individuale sia che tu abbia uffici in sei continenti.

Detto questo, non devi tenere un registro scritto delle attività di trattamento dei dati se hai meno di 250 dipendenti, a meno che:

• Le attività di trattamento dei dati possano incidere sui diritti e sulle libertà delle persone

• Elabori dati soggetti all’articolo 9 del GDPR. Si tratta di dati che rivelano:
  • Razza o etnia
  • Opinioni politiche, convinzioni religiose o filosofiche
  • Appartenenza sindacale
  • Dati genetici o biometrici, oppure dati sulla salute o sulla sessualità della persona

• Tratti dati personali coperti dall’articolo 10, ovvero dati relativi a reati penali e condanne

• Elabori dati personali su base regolare

Molte piccole imprese e molti lavoratori autonomi non rientreranno nelle prime tre esenzioni.

Ma che dire del quarto punto? La Commissione belga per la privacy ha suggerito che non l'intera elaborazione dati è "regolare", anche se potresti farlo quotidianamente. Secondo questa interpretazione, non è necessario conservare i registri dei dati personali che usi, per esempio, per effettuare ordini o comunicare con i clienti. Ma un documento di posizione del Gruppo di lavoro ex articolo 29 — il predecessore del Comitato europeo per la protezione dei dati — sembra suggerire che tu debba interpretare “regolare” in senso letterale. E il Comitato europeo per la protezione dei dati è d’accordo. Poiché la posizione è così poco chiara, è una buona idea conservare i registri, anche se pensi di esserne esentato. Meglio prevenire che curare.

Sì. Il GDPR si applica alle aziende statunitensi se:

• Fanno affari nell’UE

• Non fai affari nell’UE, ma raccogli o monitori dati personali appartenenti a persone che si trovano fisicamente nell’UE (questo include le persone in viaggio nell’UE che non vi abitano normalmente). Potresti farlo senza nemmeno rendertene conto. Ad esempio, se i cookie del tuo sito web potrebbero essere utilizzati per identificare un individuo, vengono considerati dati personali ai sensi del GDPR

Se vuoi continuare a fare affari nell’UE, devi rispettare il GDPR. In caso contrario, rischi di ricevere una multa salata. Se non fai affari nell’UE, hai due opzioni:

• Rispetta comunque il GDPR

• Limita l’accesso al sito Web, così non può raccogliere dati personali da persone che si trovano nell’UE

Quando il GDPR è entrato in vigore, molti siti Web statunitensi hanno bloccato gli utenti dell’UE per non incorrere in violazioni del GDPR. Ad esempio, oltre 1.1 siti di notizie degli Stati Uniti non erano accessibili nell'Unione Europea a partire da agosto 2018. Alcuni editori hanno deciso di ritirarsi definitivamente dall’UE. Il portavoce di Lee Enterprises, Charles Arms, ha commentato: “Il traffico Internet sui nostri siti di notizie locali proveniente dall’UE e dallo SEE è de minimis, e riteniamo che bloccare quel traffico sia nell’interesse dei nostri clienti dei media locali.” Detto questo, molti siti Web statunitensi sono riusciti a tornare online nell’UE senza alcun problema. E anche il sito Web della tua piccola impresa può essere disponibile nell’UE senza avere problemi. E questo ci porta al punto successivo.

Mettere la tua piccola impresa sulla strada della conformità al GDPR non è così difficile come potresti pensare. Ecco un elenco di controllo per la conformità al GDPR da cui partire.

1. Quali dati personali raccogli?

Devi sapere quali informazioni personali raccogli e se alcune sono sensibili, cioè se rientrano nelle categorie degli articoli 9 e 10 del GDPR. Dovresti anche porti queste domande:

• Da dove provengono le informazioni?

• Perché le stai raccogliendo?

• Cosa ne stai facendo?

Devi essere in grado di rispondere a queste domande, se richiesto.

2. Hai il consenso?

A meno che tu non abbia una base giuridica per usare i dati personali, le persone devono dare il loro consenso. Deve essere:

• Dato liberamente

• Specifico

• Informato

• Inequivocabile

È necessario conservare una documentazione scritta del consenso. Devi anche rendere il ritiro del consenso rapido e semplice. In questo caso può essere utile un software di gestione delle relazioni con i clienti conforme al GDPR. In particolare, deve:

• Tenere un registro scritto dei nomi delle persone e dei dati personali che conservi su di loro

• Registrare il loro consenso, specificando per cosa hanno acconsentito che tu usi i loro dati (per esempio, per ricevere la newsletter mensile)

• Offrire alle persone un modo semplice per ritirare il consenso se cambiano idea, per esempio tramite script di annullamento dell’iscrizione con un clic

3. I dati sono al sicuro?

La tua azienda è responsabile dei dati personali che raccoglie. E rischi una multa se finiscono nelle mani sbagliate. Allora:

• Usa un software di crittografia quando memorizzi o trasmetti dati personali online

• Proteggi la tua rete I dipendenti distratti sono la causa principale delle violazioni dei dati, quindi è indispensabile disporre di una solida politica IT. Dovresti anche investire in software di sicurezza, incluso un firewall

• Crea avvisi relativi ai cookie e all’informativa sulla privacy conformi al GDPR. Questi esempi di modelli di cookie e modelli di criteri di privacy possono essere utili. Per altre informazioni sulle procedure consigliate per il GDPR, è anche possibile consultare il centro protezione Microsoft

• Controllare i fornitori per conformità al GDPR

4. E se si verifica una violazione grave?

Devi segnalare le violazioni gravi all’autorità di controllo entro 72 ore, altrimenti rischi una multa. Assicurati di avere procedure di segnalazione già pronte. E, cosa ancora più importante, insegna ai dipendenti a:

• Essere consapevoli

• Capire che cos’è una violazione grave

• Riconoscere i segnali di allarme

Qual è stato finora l’impatto del GDPR sulle piccole imprese?

Non c’è dubbio. La conformità al GDPR richiede tempo ed è costosa. In vista del 25 maggio 2018, le piccole imprese del Regno Unito hanno dedicato circa 600 ore ciascuna alla preparazione per il GDPR. E questo senza contare il costo finanziario. A livello globale, le piccole e medie imprese hanno speso 1,3 milioni di dollari per la conformità al GDPR. Allo stesso modo, la mancata conformità può avere un impatto pesantissimo sui profitti. Nel primo caso GDPR di sempre, un social network tedesco è stato multato per 20.000 € (circa 22.600 dollari) per non aver protetto i dati personali degli utenti dopo che un hacker aveva rubato 330.000 indirizzi email e password. Ma anche se potresti essere tentato di vederlo come un peso, la conformità al GDPR ha avuto anche un impatto positivo sulle piccole imprese. Ecco perché:​ I consumatori non hanno mai preso la privacy così sul serio. E si aspettano che anche le aziende con cui condividono le proprie informazioni la pensino allo stesso modo. In uno studio recente, il 69% dei consumatori statunitensi ha persino detto che vorrebbe vedere l’adozione di una legge simile al GDPR negli Stati Uniti. E soprattutto, uno studio del CMO Council ha rilevato che i membri che erano preparati al GDPR hanno registrato un coinvolgimento migliore, una maggiore fidelizzazione e una fiducia più alta da parte dei consumatori. Chiaramente, il GDPR è molto più di un insieme di regole da seguire per non prendere una multa. A nessuno piace che le proprie informazioni private vengano prese senza il proprio consenso. O conservate in un posto dove i criminali potrebbero metterci le mani sopra. Quindi, adottando misure per raggiungere la conformità al GDPR, puoi presentare la tua piccola impresa come un’azienda che si prende davvero cura dei dati privati dei clienti. E questo potrebbe darti un vantaggio rispetto alla concorrenza.