I sette principi del trattamento dati: una procedura operativa per ruolo

01

I principi che l'articolo 5 del GDPR impone al trattamento

L'articolo 5 del GDPR elenca sei principi: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza. Un settimo principio, l'accountability, impone al titolare del trattamento di essere competente per il rispetto dei primi sei e di saperlo comprovare.

02

Perché l'accountability cambia il modo di organizzare i ruoli

L'articolo 5, paragrafo 2, non chiede solo di rispettare i principi ma di dimostrarlo. Questo sposta il lavoro da una dichiarazione di intenti a un insieme di evidenze: chi decide le finalità, chi tratta i dati, chi conserva le prove delle scelte fatte. Il GDPR prevede inoltre che il titolare riesamini la valutazione d'impatto quando il rischio del trattamento cambia.

03

Una procedura per ruolo, dal titolare al responsabile

Passaggi

1. Il titolare del trattamento definisce finalità determinate, esplicite e legittime prima di raccogliere dati.
2. Il titolare verifica che i dati raccolti siano adeguati, pertinenti e limitati a quanto necessario.
3. Chi gestisce i dati nel tempo aggiorna o cancella tempestivamente le informazioni inesatte.
4. Il responsabile del trattamento tratta i dati solo su istruzione documentata del titolare, salvo obbligo legale diverso.
5. Il titolare riesamina la valutazione d'impatto quando cambia il livello di rischio del trattamento.

04

Esempio ipotetico: una PMI che affida la gestione paghe a un fornitore esterno

Esempio ipotetico. Un'azienda affida l'elaborazione delle buste paga a un fornitore esterno. Il titolare documenta le istruzioni date al fornitore, che agisce come responsabile del trattamento. Il responsabile garantisce la riservatezza del personale autorizzato, adotta le misure di sicurezza richieste e, alla fine del contratto, cancella o restituisce i dati secondo la scelta del titolare.

05

Verifiche da fare prima di considerare un trattamento conforme

• Le finalità del trattamento sono scritte e comunicate, non solo presunte.
• I dati raccolti sono limitati a quanto necessario per quella finalità.
• Esiste una procedura per correggere o cancellare dati inesatti.
• Il contratto con ogni responsabile del trattamento prevede istruzioni documentate.
• Il responsabile può dimostrare, con documenti, il rispetto dei propri obblighi.

06

Come un software gestionale può sostenere questa procedura

Un'azienda può chiedere al proprio partner software di configurare tracciabilità su chi inserisce, modifica o cancella dati personali, con ruoli distinti per titolare e responsabile del trattamento. È una scelta operativa, non un obbligo di legge legato a uno strumento specifico.

Può inoltre strutturare un registro interno delle finalità e dei tempi di conservazione, con revisione periodica collegata ai cambiamenti di rischio del trattamento, così da avere evidenze pronte in caso di verifica.

07

Chiarimenti frequenti sui principi dell'articolo 5

• I principi si applicano a ogni trattamento, indipendentemente dalle dimensioni dell'azienda, perché l'articolo 5 non introduce soglie dimensionali.
• L'accountability richiede prove concrete: contratti, registri, decisioni documentate, non solo policy generiche.
• Il riesame della valutazione d'impatto non è automatico ogni anno, ma necessario quando cambia il rischio del trattamento.

08

Prossimo passo pratico

Mappa oggi i trattamenti attivi in azienda assegnando a ciascuno un titolare, un responsabile (se esterno) e una finalità scritta: è il primo passo per rendere l'accountability verificabile.