Ogni tanto, durante un audit, arriva il momento imbarazzante. Chiediamo il registro dei trattamenti e ci arriva un PDF perfetto: font elegante, articoli citati, tutto formalmente in ordine. Poi domandi “e questo trattamento di videosorveglianza che avete in produzione, dov’è?” e cala il silenzio. Il registro descrive un’azienda che non esiste, comprata in saldo online a poche decine di euro.
Il kit in saldo esiste, il problema è cosa ci fai
Sgombriamo subito il campo: un modello non è il male. Tutti partiamo da un template, noi consulenti per primi. Un’informativa base, uno scheletro di registro, una procedura di esempio sono ottimi punti di partenza. Il problema nasce quando il punto di partenza diventa il punto di arrivo, e la cartella “Privacy” sul server viene scambiata per conformità.
Il “kit privacy a pochi euro” vende esattamente questa illusione: la carta al posto della sostanza. E la carta, il giorno dell’ispezione o del data breach, pesa quanto pesa, cioè poco. Il problema non è il prezzo basso in sé – ci sono cose ottime che costano poco – ma il deliverable vuoto spacciato per conformità, il modulo mai compilato venduto come se ti mettesse al riparo.
Perché il modello generico non regge alla prova dei fatti
Il GDPR è costruito sulla responsabilizzazione (accountability, art. 5(2)): non basta essere conformi, devi poterlo dimostrare, e la dimostrazione riguarda i TUOI trattamenti reali. Un kit generico fallisce proprio qui, per ragioni molto concrete.
- Il registro dei trattamenti (art. 30) descrive attività che non svolgi e ne omette altre che svolgi davvero: niente videosorveglianza, niente geolocalizzazione dei mezzi, niente gestionale in cloud fuori UE. Il primo controllo del Garante è confrontare la carta con la realtà.
- Le informative (artt. 13-14) sono copiaincollate: citano finalità che non ti riguardano, sbagliano la base giuridica, indicano tempi di conservazione a caso e a volte riportano ancora il nome dell’azienda da cui il modello è stato clonato.
- I consensi vengono raccolti male o dove non servono: consenso chiesto per adempimenti contrattuali (dove la base è un’altra), caselle pre-spuntate, un unico consenso per finalità multiple. Un consenso invalido equivale a non averlo.
- Le nomine dei responsabili (art. 28) mancano o sono generiche, mentre nella realtà hai cinque fornitori che trattano dati per tuo conto senza un contratto adeguato.
- Le misure di sicurezza (art. 32) elencate nel kit sono un catalogo di buone intenzioni scollegato da com’è fatta davvero la tua rete.
La procedura che nessuno ha mai applicato
Il capitolo più pericoloso del kit è la procedura di data breach. È scritta bene, cita le 72 ore dell’art. 33, ha persino un bel diagramma di flusso. Peccato che nessuno in azienda l’abbia mai letta, nessuno sappia chi chiamare e il modulo di notifica sia rimasto vuoto dal giorno dell’acquisto.
Il breach non aspetta che tu apra la cartella. Quando succede, e succede, la differenza tra chi ha una procedura vissuta e chi ha un PDF si misura in ore e in danni. Il primo isola, valuta, notifica e comunica agli interessati con lucidità. Il secondo cerca su Google “come si notifica un data breach” mentre il cronometro delle 72 ore e già partito.
Cosa guarda davvero il Garante
Chi immagina l’ispezione come un controllo dell’esistenza dei documenti ha capito il film al contrario. L’accertamento entra nella sostanza: intervista le persone, guarda i sistemi, chiede evidenze. Alcune domande tipiche smontano un kit in due minuti:
- “Mi mostra dove nel registro è tracciato questo trattamento che vedo attivo?”
- “Chi è il responsabile designato per questo fornitore e dov’è il contratto ex art. 28?”
- “Come avete informato gli interessati di quella violazione dell’anno scorso?”
- “Chi decide, e in quanto tempo, se un incidente va notificato?”
A queste domande non risponde un template. Risponde un’organizzazione che ha fatto il lavoro: mappato i trattamenti, scritto informative aderenti, nominato i responsabili, provato la procedura. Il documento è la fotografia di quel lavoro, non il suo sostituto.
Il danno concreto, oltre l’ironia
È facile ironizzare sui “kit compliance in saldo”, ma il punto serio è un altro. Un kit vuoto non è neutro: è peggio del nulla, perché genera un falso senso di sicurezza. L’imprenditore dorme tranquillo convinto di essere a posto, non investe, non forma le persone, non testa niente. Poi arriva l’incidente o la segnalazione, e la carta si rivela per quello che è.
In sede sanzionatoria, per giunta, un registro palesemente falso o un’informativa clonata non giocano a favore: dimostrano superficialità, non buona fede. E l’essersi attivati seriamente è uno degli elementi che contano quando si valuta una violazione.
Allora il template è inutile? No
Ripetiamolo, perché conta: il modello è un buon inizio. Anche noi consegniamo template. La differenza è tutta nel dopo: la personalizzazione sui trattamenti reali, l’intervista alle funzioni aziendali, la verifica dei fornitori, la prova della procedura, la formazione, il riesame periodico. È lavoro, non è un download. Il valore non è il PDF: è il fatto che, quando qualcuno bussa, dentro c’è un’azienda che sa cosa fa dei dati delle persone.
Il modello a pochi euro non ti salva da una sanzione per lo stesso motivo per cui un estintore mai controllato non spegne l’incendio: l’oggetto c’è, la funzione no. Nessuno ti vieta di comprarlo, ma non scambiarlo per il lavoro finito. Il lavoro comincia il giorno dopo l’acquisto, quando qualcuno si siede e chiede: questi documenti descrivono davvero cosa facciamo dei dati?
Hai comprato un kit e ora hai il dubbio che sia carta straccia? Facciamo un controllo di realtà insieme, la prima chiacchierata è gratuita.