Pubblicato il

Prenotazioni, recensioni e telecamere in sala: i dati che il ristorante tratta ogni sera

Copertina dell'articolo sulla privacy nei ristoranti a Napoli tra prenotazioni, recensioni e telecamere

Quando si parla di privacy nei ristoranti a Napoli la prima reazione è quasi sempre la stessa: noi serviamo da mangiare, che dati trattiamo. In una serata un locale raccoglie nomi e numeri di telefono dalle prenotazioni, indirizzi email dalle iscrizioni alla newsletter, preferenze e intolleranze annotate nel gestionale, immagini dalle telecamere in sala e sull’ingresso, dati dei dipendenti e dei collaboratori stagionali, e le informazioni che transitano dalle piattaforme di prenotazione e consegna. È un trattamento tutt’altro che marginale, e il settore è tra quelli in cui i reclami arrivano più facilmente, perché il cliente scontento ha il telefono in mano.

La prenotazione non è solo un tavolo

Il nome e il numero di telefono raccolti per tenere un tavolo servono a eseguire quel servizio. Usarli per mandare la promozione del venerdì, l’auguri di compleanno o l’invito all’inaugurazione del nuovo locale è un’altra cosa: è marketing, e ha bisogno di una base giuridica propria. È il punto su cui nascono più contestazioni in assoluto, e che abbiamo trattato nell’articolo su email marketing, consenso e soft spam.

A questo si aggiunge il tema delle intolleranze e delle allergie. L’annotazione che un cliente non può mangiare un certo alimento, se collegata a una condizione di salute, entra nella categoria dei dati che il Regolamento protegge in modo rafforzato. Annotarla nel gestionale e conservarla per anni, insieme alla cronologia delle prenotazioni, non è un dettaglio organizzativo.

Privacy nei ristoranti a Napoli: le telecamere

Le telecamere in sala e sulla cassa sono ormai la regola, e sono anche la fonte più ricorrente di problemi, per due ragioni. La prima riguarda i clienti: l’informativa deve essere visibile prima di entrare nel raggio di ripresa, e l’impianto deve riprendere ciò che serve e non l’intero locale a scopo generale. La seconda riguarda il personale: la videosorveglianza da cui derivi anche solo potenzialmente un controllo a distanza dell’attività dei lavoratori incontra i limiti posti dalla disciplina giuslavoristica, e senza accordo sindacale o autorizzazione dell’ispettorato manca la base giuridica. Il quadro è quello descritto nell’articolo sulla videosorveglianza sul luogo di lavoro.

Nelle contestazioni il passaggio più delicato è quasi sempre quello successivo: chi può rivedere le registrazioni, da dove, e per quanto tempo restano. Un sistema accessibile dall’applicazione sul telefono del titolare, senza alcuna tracciabilità, è esattamente ciò che in verifica non regge.

Il personale, e il fornitore che nessuno ha nominato

Un locale lavora con figure che cambiano spesso: stagionali, collaboratori, studenti. Ogni persona che accede al gestionale delle prenotazioni o al sistema di cassa tratta dati personali, e dovrebbe farlo sulla base di istruzioni documentate. Nella pratica le credenziali sono spesso condivise, e quando serve ricostruire chi ha esportato l’elenco clienti non lo si può fare.

C’è poi la catena dei fornitori: il software gestionale, la piattaforma di prenotazione online, il servizio di consegna, il consulente del lavoro, la società che gestisce il sito e la newsletter. Sono responsabili del trattamento, e il rapporto va regolato di conseguenza; in assenza, il titolare risponde di una filiera che non ha mai governato. Ne abbiamo scritto parlando della nomina del responsabile del trattamento, e la questione si complica quando le piattaforme hanno server fuori dall’Unione europea: si veda l’articolo sul trasferimento dei dati extra UE.

Quanto può costare

Le violazioni relative ai principi, alle basi giuridiche e ai diritti degli interessati rientrano nella fascia più alta prevista dall’articolo 83 del GDPR; quelle su sicurezza e rapporti con i responsabili nella fascia inferiore, che resta comunque significativa per una piccola impresa. Al di là dell’importo, il Garante può ordinare la cancellazione dei dati trattati illecitamente e vietare il trattamento: per un locale significa perdere la base clienti costruita in anni.

Vale infine ricordare che molte strutture ricettive e di ristorazione gestiscono anche documenti di identità: il punto è stato affrontato nell’articolo sulle copie dei documenti degli ospiti.

Una verifica prima del reclamo

Lo studio assiste imprese della ristorazione e dell’ospitalità in tutta Italia e ha sede a Napoli; sul sito trova la pagina di servizio sulla consulenza e compliance privacy e quella sull’analisi di conformità del sito web, che per un locale con prenotazioni online è il primo punto esposto. I profili amministrativi e contenziosi collegati all’attività d’impresa sono trattati su avvocatoelioerrichiello.it.

Se gestisce un ristorante e non ha mai verificato questi aspetti, ci scriva dalla pagina contatti indicando quali strumenti utilizza per prenotazioni, marketing e videosorveglianza: ne ricaveremo un esame preliminare e l’indicazione di ciò che, in caso di reclamo, verrebbe chiesto per primo.

Avv. Elio Errichiello

Pubblicato il

Chi tocca i dati in azienda, e con quali istruzioni

Copertina dell'articolo sugli autorizzati al trattamento dei dati e sulle istruzioni del titolare

Gli autorizzati al trattamento dei dati sono l’anello che nelle verifiche si rompe per primo. Il registro dei trattamenti c’è, l’informativa è pubblicata, il DPO è designato: poi si chiede chi, materialmente, apre quel gestionale, chi può esportare l’elenco clienti, chi accede alle cartelle condivise, e la risposta è un elenco di nomi che nessuno ha mai messo per iscritto. Da lì in avanti ogni altra misura diventa difficile da dimostrare.

Che cosa dice la norma, in sintesi

Il GDPR stabilisce che chiunque agisca sotto l’autorità del titolare o del responsabile e abbia accesso a dati personali non possa trattarli se non è istruito in tal senso dal titolare, salvo che lo richieda il diritto dell’Unione o degli Stati membri. La stessa regola è richiamata fra le misure di sicurezza che il titolare e il responsabile devono adottare.

Il Codice in materia di protezione dei dati personali completa il quadro, prevedendo che il titolare o il responsabile possano prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento siano attribuiti a persone fisiche espressamente designate, che operano sotto la loro autorità.

Due conseguenze pratiche. La prima: l’autorizzato non è un titolare né un responsabile, e non assume una posizione autonoma; opera dentro il perimetro che qualcun altro ha disegnato. La seconda: quel perimetro deve esistere, essere documentato e corrispondere a ciò che accade davvero.

Autorizzati al trattamento dei dati: dove nascono le contestazioni

Gli scenari si ripetono con una costanza quasi monotona.

  • Designazioni assenti o generiche. Una lettera uguale per tutti, che ripete il testo della norma e non dice nulla su quali dati la persona può trattare e per fare che cosa.
  • Istruzioni scollegate dalla realtà. Il documento prevede che l’accesso sia limitato ai dati necessari; nei fatti ogni utente vede tutto, perché i profili del gestionale non sono mai stati configurati.
  • Credenziali condivise. Un unico utente per l’ufficio, usato da quattro persone. Quando si deve ricostruire chi ha fatto cosa, non lo si può fare, e l’assenza di tracciabilità pesa.
  • Nessuna revoca all’uscita. Il dipendente se ne va, l’account resta attivo. È una delle situazioni che emergono più spesso dopo un incidente.
  • Nessuna vigilanza. La designazione è stata firmata nel 2018 e non è stata più toccata, benché nel frattempo siano cambiati sistemi, mansioni e persone.

Perché pesa in un procedimento

Quando il Garante contesta un trattamento illecito o una misura di sicurezza inadeguata, l’assetto delle autorizzazioni è l’elemento su cui si misura l’effettività di tutto il resto. Le violazioni dei principi e delle condizioni di liceità, come quelle in materia di sicurezza, rientrano nelle fasce sanzionatorie dell’articolo 83 del GDPR, e la gradazione tiene conto del grado di responsabilità del titolare avuto riguardo alle misure tecniche e organizzative messe in atto.

Un elenco di autorizzati aggiornato, con profili coerenti e tracciabilità degli accessi, non elimina il rischio: cambia però radicalmente la posizione dell’ente nel procedimento. È la differenza fra un incidente accaduto nonostante le misure e un incidente accaduto perché non c’erano misure. Il punto lo abbiamo visto bene parlando di accessi forzati al dossier sanitario e, sul fronte della sicurezza, di password in chiaro e credenziali deboli.

Il confine con il responsabile esterno

Una confusione frequente riguarda la qualificazione dei soggetti esterni. Il consulente, la società di assistenza informatica, lo studio che elabora le buste paga non sono autorizzati: sono responsabili del trattamento, e il rapporto va regolato con il contratto previsto dall’articolo 28, con tutto ciò che ne consegue. Trattare un fornitore come un autorizzato, o viceversa, produce un assetto documentale che non regge al primo esame: ne abbiamo scritto nell’articolo sulla nomina del responsabile del trattamento, e il collegamento con il registro dei trattamenti è diretto, perché è lì che la struttura dei ruoli dovrebbe emergere.

Un assetto che regga a una verifica

Ricostruire chi tratta quali dati, con quale profilo e sotto quali istruzioni è un lavoro che si fa una volta e poi si mantiene. Richiede di guardare insieme l’organigramma, i permessi configurati nei sistemi e le prassi effettive dell’ufficio, che quasi mai coincidono. Sul sito trova la pagina dedicata alla consulenza e compliance privacy e quella sui diritti degli interessati, che da quell’assetto dipendono direttamente; i profili giudiziari collegati sono sul sito dello studio legale avvocatoelioerrichiello.it.

Lo studio assiste aziende, studi professionali ed enti in tutta Italia e ha sede a Napoli. Se vuole sapere se le designazioni in uso nella sua organizzazione reggerebbero una verifica, può inviarci il modello che utilizza e l’elenco dei sistemi dalla pagina contatti: ne faremo un esame preliminare, indicando i punti che verrebbero contestati per primi.

Avv. Elio Errichiello

Pubblicato il

Lo studio professionale tratta i dati più delicati che esistono

Privacy studi professionali Napoli: copertina dell'articolo su fascicoli, gestionali in cloud e segreto professionale

Quando si parla di privacy studi professionali Napoli, la reazione più diffusa fra avvocati, commercialisti, consulenti del lavoro e notai è una scrollata di spalle: siamo piccoli, non facciamo marketing, non vendiamo dati. È una lettura comprensibile e sbagliata, perché confonde la dimensione dell’organizzazione con la delicatezza di ciò che tratta. Uno studio professionale di tre persone può custodire dati più sensibili di quelli di un’azienda con duecento dipendenti.

Che cosa c’è davvero dentro un fascicolo

Basta aprire un armadio per rendersene conto. In uno studio legale passano dati relativi a condanne penali e reati, che l’art. 10 del GDPR circonda di cautele particolari; dati sanitari e, in materia di famiglia o di lavoro, informazioni che rientrano nelle categorie particolari dell’art. 9; dati di terzi che non sono clienti e che spesso non sanno nemmeno di essere menzionati in un atto. In uno studio di consulenza del lavoro transitano buste paga, certificati, provvedimenti disciplinari, dati di tutti i dipendenti delle aziende assistite. In uno studio commercialistico, la situazione patrimoniale di famiglie e imprese.

Non è un trattamento accessorio rispetto all’attività professionale: è l’attività professionale. E questo sposta completamente il baricentro del rischio.

Privacy studi professionali Napoli: da dove nasce la contestazione

I procedimenti dell’Autorità che riguardano i professionisti raramente partono da un’ispezione. Partono da una persona: un ex cliente che chiede la cancellazione dei propri dati e non riceve risposta; una controparte che si vede notificare un atto contenente informazioni che non immaginava fossero in circolazione; un ex collaboratore; un dipendente dello studio. Il reclamo apre l’istruttoria, e l’istruttoria non si limita al fatto segnalato.

A quel punto le domande sono sempre le stesse, e sono quelle a cui uno studio senza un impianto documentale fatica a rispondere: esiste il registro delle attività di trattamento previsto dall’art. 30? Chi sono i responsabili del trattamento designati ai sensi dell’art. 28 — il gestionale in cloud, il consulente informatico, il servizio di conservazione, il data center dove sta il backup — e con quale atto sono stati nominati? Per quanto tempo vengono conservati i fascicoli definiti e sulla base di quale decisione? Chi, nello studio, ha accesso a che cosa?

I tre punti su cui si inciampa più spesso

  • La conservazione senza fine. L’art. 5, paragrafo 1, lettera e) del Regolamento impone di conservare i dati per un tempo non superiore a quello necessario. La prassi dello studio professionale è l’opposto: non si butta via niente, perché non si sa mai. Un archivio ventennale non è solo un problema di spazio, è un’estensione proporzionale dell’area esposta in caso di violazione.
  • I fornitori mai inquadrati. Il gestionale è in cloud, la posta è su un servizio esterno, i backup stanno altrove, il sito lo gestisce un’agenzia. Ciascuno di questi soggetti tratta dati per conto dello studio e dovrebbe essere designato responsabile con un atto che ne definisca il perimetro. Nella maggior parte dei casi quell’atto non esiste, oppure è una clausola nelle condizioni generali che nessuno ha letto.
  • La sicurezza delle credenziali. Il Garante ha sanzionato con 85.000 euro, in un provvedimento reso noto nel maggio 2026, una società che conservava le password in parte in chiaro e in parte con metodi di cifratura non conformi, mantenendo per di più le credenziali di sistemi ormai obsoleti. Il principio vale identico per uno studio professionale, con la differenza che nello studio quelle credenziali aprono fascicoli, non anagrafiche commerciali.

Il segreto professionale non è uno scudo

È un equivoco frequente: poiché il professionista è tenuto al segreto, l’adempimento in materia di protezione dei dati sarebbe superfluo o quantomeno attenuato. Non è così. Segreto professionale e disciplina sulla protezione dei dati personali sono piani distinti, che rispondono a logiche e ad autorità diverse. Il segreto vincola il professionista verso l’esterno; il Regolamento gli impone di governare il trattamento anche all’interno dello studio, e di esserne responsabile verso gli interessati.

Semmai è vero il contrario: proprio perché il materiale è coperto da segreto, una violazione che lo esponga produce conseguenze più gravi, sul piano sanzionatorio e su quello disciplinare.

Quanto si rischia, in concreto

L’art. 83 del GDPR gradua le sanzioni su due fasce: fino a 10 milioni di euro o al 2 per cento del fatturato mondiale annuo per le violazioni degli obblighi di titolare e responsabile, fra cui quelli di sicurezza; fino a 20 milioni o al 4 per cento per le violazioni dei principi del trattamento e dei diritti degli interessati. Gli importi effettivamente irrogati ai professionisti sono ovviamente di ordine diverso, ma il punto non è questo.

Il punto è che un procedimento davanti all’Autorità assorbe tempo e attenzione, può concludersi con l’ordine di modificare o cessare un trattamento su cui l’operatività dello studio si regge, e apre quasi sempre il fronte della responsabilità civile verso l’interessato. Per uno studio professionale, il danno reputazionale di una contestazione che riguarda la gestione dei dati dei clienti è difficilmente recuperabile.

Sul sito trovi la pagina dedicata all’assistenza privacy per studi legali e professionisti e la guida al GDPR per avvocati. Per i profili che riguardano i rapporti con i fornitori è utile l’articolo sulla nomina del responsabile del trattamento ai sensi dell’art. 28, mentre sui tempi di archiviazione è pertinente quello sui tempi di conservazione dei dati personali. L’attività giudiziale dello studio è descritta sul sito dell’avv. Elio Errichiello.

Un esame preliminare della documentazione in essere — registro, informative, designazioni, contratti con i fornitori — dice in poche ore dove uno studio è davvero esposto. Se vuoi farlo, scrivici dalla pagina contatti.

Avv. Elio Errichiello

Pubblicato il

Privacy per le strutture ricettive a Napoli: le copie dei documenti degli ospiti non si tengono in cassetto

Privacy strutture ricettive Napoli: copie dei documenti degli ospiti dopo Alloggiati Web

Il tema della privacy per le strutture ricettive a Napoli è diventato concreto per migliaia di attività nel giro di poche settimane, e non perché sia cambiata la legge: perché il Garante ha detto ad alta voce una cosa che quasi nessuno faceva. Le copie dei documenti di identità degli ospiti, dopo la comunicazione alle autorità di pubblica sicurezza, non si conservano.

In una città dove alberghi, bed and breakfast, case vacanza e locazioni brevi convivono a densità altissima, la portata pratica è considerevole: la fotocopia della carta d’identità archiviata “per sicurezza” è, nella maggior parte delle strutture, una prassi consolidata da anni.

Che cosa ha chiarito il Garante

Con un intervento del 29 aprile 2026, il Garante per la protezione dei dati personali ha ricordato agli albergatori che la normativa impone ai gestori delle strutture ricettive di identificare i clienti e di trasmettere i relativi dati alle autorità di pubblica sicurezza attraverso il portale Alloggiati Web.

Quell’obbligo, però, non autorizza nulla di più. Una volta completata la trasmissione, le eventuali copie dei documenti acquisite per quella finalità devono essere immediatamente cancellate o distrutte. L’unico documento che va conservato è la ricevuta generata automaticamente dal portale, da mantenere per cinque anni come prova dell’avvenuto adempimento.

È una distinzione netta e facile da ricordare: si conserva la ricevuta, non il documento.

Le prassi che il Garante ha indicato come rischiose

Nel merito, l’Autorità ha segnalato che pratiche come fotografare i documenti con lo smartphone o chiederne l’invio tramite applicazioni di messaggistica espongono ingiustificatamente gli interessati a rischi concreti: furti di identità e accessi illeciti ai dati personali.

Chi gestisce una struttura sa quanto quelle prassi siano diffuse, e per ragioni comprensibili: il check-in a distanza, l’ospite che arriva a notte fonda, la gestione da remoto di più appartamenti. Il punto è che la comodità organizzativa non costituisce una base giuridica, e la valutazione di chi indaga parte dai dati che si trovano, non dalle ragioni per cui ci sono finiti.

Dove si annida il problema, in concreto

Nelle strutture che seguiamo, le copie dei documenti si trovano quasi sempre in tre posti, e quasi mai in quello che il gestore indica per primo.

Il primo è la casella di posta elettronica: gli ospiti inviano il documento in allegato prima dell’arrivo, e quell’email resta nella casella per anni. Il tema si collega a quello che abbiamo trattato parlando del controllo della posta elettronica e dei tempi di conservazione.

Il secondo è il telefono personale di chi fa i check-in, con le foto nella galleria e il backup automatico verso un servizio cloud: un trasferimento che, a seconda del servizio, può portare quei dati fuori dall’Unione europea, con tutto quello che ne consegue in termini di garanzie per il trasferimento extra UE.

Il terzo è il gestionale o il channel manager, che conserva gli allegati del booking secondo impostazioni decise dal fornitore e mai riviste da nessuno. Qui il fornitore tratta dati per conto della struttura e va inquadrato come responsabile del trattamento: sui difetti tipici di quella nomina abbiamo scritto a proposito della nomina ex art. 28.

Non è solo il documento

La struttura ricettiva tratta anche altro, e spesso senza accorgersene. Le preferenze dell’ospite, le richieste particolari, le note interne sui clienti difficili, le registrazioni delle telecamere negli spazi comuni, i dati delle carte di pagamento a garanzia della prenotazione. Su alcuni di questi fronti il Garante è già intervenuto in passato, anche in materia di profilazione delle abitudini dei clienti e di videosorveglianza.

C’è poi il capitolo delle violazioni di sicurezza, che nel settore alberghiero non è teorico: un accesso non autorizzato al gestionale espone anagrafiche, documenti e dati di pagamento di migliaia di persone, e fa scattare gli obblighi che abbiamo descritto parlando della notifica del data breach.

Quanto si rischia

La conservazione di dati oltre quanto necessario alla finalità perseguita viola i principi di limitazione della conservazione e di minimizzazione, che rientrano nella fascia più alta dell’art. 83 del Regolamento: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo, se superiore. Per una struttura di medie dimensioni il riferimento al fatturato contiene l’importo, ma l’ordine di grandezza resta lontanissimo dalla percezione diffusa che si tratti di una formalità.

Da dove conviene cominciare

Dalla ricognizione: dove sono, oggi, le copie dei documenti degli ospiti che questa struttura ha raccolto negli ultimi anni. È una domanda semplice a cui quasi nessun gestore sa rispondere al primo tentativo, ed è esattamente la domanda che verrebbe posta in una verifica.

Da lì in poi le scelte — che cosa cancellare, come documentare la cancellazione, come riorganizzare il check-in, come regolare i rapporti con il gestionale e con chi collabora alla reception — dipendono dalla struttura concreta e dagli strumenti che usa. Lo studio assiste strutture ricettive, aziende ed enti in tutta Italia, con sede a Napoli, in materia di consulenza e compliance privacy, formazione del personale e incarichi di DPO esterno. Per il contenzioso amministrativo che tocca le attività ricettive è disponibile il sito dello studio legale dell’avv. Elio Errichiello.

Ci scriva dalla pagina contatti indicando come avviene oggi il check-in nella sua struttura: un esame preliminare della documentazione basta a capire quali dati sono conservati senza titolo e da dove conviene partire.

Avv. Elio Errichiello

Pubblicato il

Trasferimento dati extra UE: sono già fuori dall’Europa e nessuno l’ha scritto

Trasferimento dati extra UE: garanzie del Capo V del GDPR e sanzioni dell'art. 83

Il trasferimento dati extra UE è la violazione che le aziende scoprono per ultima, perché è l’unica che non si vede. Nessuno ha firmato niente, nessuno ha spedito niente: semplicemente il gestionale è in cloud, il servizio di assistenza ha il supporto tecnico in un altro continente, l’analytics del sito conserva i log altrove, il fornitore del CRM ha un data center fuori dallo Spazio economico europeo. I dati hanno attraversato il confine mentre in azienda si discuteva del banner dei cookie.

La cosa interessante è che il Capo V del Regolamento non vieta affatto i trasferimenti. Li condiziona. È questa distinzione a rendere l’adempimento insidioso: non c’è un divieto da rispettare, c’è una struttura da costruire, e se non è stata costruita il trasferimento è illecito anche quando il fornitore è affidabilissimo.

Le tre strade, in ordine decrescente di comodità

La prima è la decisione di adeguatezza della Commissione europea (art. 45). Quando esiste, il trasferimento verso quel paese si svolge come se fosse interno all’Unione: non serve altro. È il caso, tra gli altri, del quadro deciso dalla Commissione nel luglio 2023 per gli Stati Uniti, che però funziona solo verso le organizzazioni statunitensi effettivamente aderenti e certificate, non verso qualsiasi soggetto con sede negli Stati Uniti. La differenza non è formale: è la prima cosa che si verifica in un controllo.

La seconda è quella delle garanzie adeguate (art. 46): clausole contrattuali tipo adottate dalla Commissione, norme vincolanti d’impresa per i gruppi, codici di condotta e meccanismi di certificazione. È la strada percorsa dalla stragrande maggioranza delle imprese italiane.

La terza è quella delle deroghe per situazioni particolari (art. 49), che sono appunto deroghe: eccezionali, non ripetitive, non utilizzabili come base strutturale per un flusso ordinario di dati. Sono il paracadute, non il mezzo di trasporto.

Perché le clausole contrattuali tipo, da sole, non bastano

È il punto che genera più contenzioso ed è anche il più frainteso. Con la sentenza Schrems II del 16 luglio 2020 la Corte di giustizia dell’Unione europea ha invalidato il Privacy Shield e, insieme, ha chiarito una cosa che ha cambiato la vita a molte funzioni compliance: le clausole contrattuali tipo restano valide, ma chi le usa deve verificare che la legislazione del paese di destinazione non vanifichi le tutele che quelle clausole promettono.

In altre parole, un contratto non è una garanzia se nell’ordinamento di arrivo le autorità possono accedere ai dati con poteri che il contratto non è in grado di limitare. Da qui l’obbligo di svolgere una valutazione del quadro normativo del paese terzo e di adottare, se necessario, misure supplementari.

La contestazione tipo, quando arriva, è esattamente questa: clausole firmate, valutazione mai fatta, misure supplementari mai adottate. Il fascicolo è già formato, perché è il titolare stesso ad aver documentato il trasferimento senza documentarne la legittimità.

Dove il Garante trova il problema

Quasi mai in un’ispezione a sorpresa. Molto più spesso in tre documenti che l’azienda ha già prodotto da sola.

Il registro delle attività di trattamento, che deve indicare i trasferimenti verso paesi terzi e, per le ipotesi dell’art. 49, la documentazione delle garanzie: un registro che non ne menziona nessuno, in un’azienda che usa servizi cloud internazionali, è una dichiarazione contro sé stessi.

L’informativa, che ai sensi dell’art. 13 deve dire all’interessato se i dati vengono trasferiti fuori dall’Unione e in base a quali garanzie. Il silenzio dell’informativa su un trasferimento che c’è è una violazione autonoma, indipendente dalla legittimità del trasferimento stesso.

E il contratto con il responsabile del trattamento, dove spesso l’intero tema è affidato a un rinvio generico ai termini di servizio del fornitore. Sui difetti di quella catena abbiamo scritto parlando della nomina del responsabile ex art. 28.

Quanto costa

Le violazioni del Capo V rientrano nella fascia più alta dell’art. 83 del Regolamento: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Non è la fascia dei 10 milioni riservata agli adempimenti organizzativi: è quella dei principi.

Va aggiunto un aspetto che le aziende sottovalutano: l’ordine di sospendere il flusso. Una misura correttiva che impone di interrompere un trasferimento verso un fornitore critico può pesare, sul piano operativo, molto più della sanzione pecuniaria, perché colpisce un servizio su cui l’azienda ha costruito processi. Ce ne siamo occupati anche parlando dell’entità delle sanzioni privacy.

Il punto da cui partire

Nessuna azienda sa davvero dove vanno i propri dati finché non lo verifica fornitore per fornitore, sub-responsabile per sub-responsabile. È una ricognizione che richiede di leggere i contratti, non di fidarsi delle rassicurazioni commerciali, e di ricostruire la catena completa, perché il trasferimento può avvenire due livelli sotto il fornitore con cui si è firmato.

Da lì in poi la strada da percorrere cambia radicalmente a seconda del paese, del tipo di dati e del ruolo delle parti: sono scelte che si fanno sui documenti reali di quell’azienda, e non esiste un modello da scaricare che le sostituisca. Lo studio assiste aziende ed enti in tutta Italia, con sede a Napoli, in materia di protezione dei dati personali e incarichi di DPO esterno, e la consulenza in materia di compliance privacy parte proprio da questa mappatura. Ulteriori approfondimenti in materia di diritto amministrativo si trovano sul sito dello studio legale dell’avv. Elio Errichiello.

Se vuole capire quali flussi extra UE esistono nella sua organizzazione e su quali basi giuridiche poggiano, ci scriva dalla pagina contatti: un esame preliminare dei contratti con i fornitori e della documentazione privacy è il modo più rapido per sapere dove si è esposti.

Avv. Elio Errichiello