Dati dei clienti e GDPR: che cosa serve davvero

In Italia nessuno ti presume niente — e questo cambia il lavoro

Qui il diritto italiano si comporta diversamente da quello spagnolo, ed è il motivo per cui questo testo non somiglia allo stesso scritto per Madrid.

In Spagna una norma nazionale presume che trattare i dati di contatto di chi lavora per una persona giuridica rientri nell’interesse legittimo: l’imprenditore non deve dimostrare niente, se non esce dai limiti. In Italia una presunzione così non c’è. La conseguenza non è che non puoi — l’articolo 6 del Regolamento vale qui tale e quale — ma che la valutazione la fai tu.

E questa è la parte utile, perché la valutazione è tre righe e il Garante ti dice dove scriverle. Nel registro delle attività di trattamento, dice, accanto alla finalità «sarebbe opportuno indicare anche la base giuridica» e, se è il legittimo interesse, «la descrizione del legittimo interesse concretamente perseguito». Tradotto: una riga che dice perché tieni quei contatti. «Tengo nome, email di lavoro e ruolo delle persone di riferimento delle aziende con cui ho o cerco un rapporto commerciale, per poterle contattare su quel rapporto.» Fatto.

Due limiti, perché una base giuridica non è un lasciapassare.

Il primo: copre quello che serve a trovare qualcuno al lavoro. Un cellulare privato, l’indirizzo di casa, una nota sulla persona e non sul suo ruolo — quello esce dalla tua valutazione e ha bisogno di una giustificazione sua.

Il secondo è quello che conta: avere il diritto di trattare un dato non è avere il diritto di mandare pubblicità. Sono due permessi distinti e uno non implica l’altro. La posta commerciale in Italia la governa l’articolo 130 del Codice Privacy, e lì il regime è di consenso preventivo — anche verso un indirizzo aziendale, perché l’articolo 121, comma 1-bis, lettera f) definisce il «contraente» come «qualunque persona fisica, persona giuridica, ente o associazione». Se sei arrivato fin qui pensando che l’interesse legittimo ti apra il contatto a freddo via email, la risposta per esteso è in posso mandare questa email?.

Annota quello che usi, non quello che forse un giorno userai

Il principio si chiama minimizzazione e sta nell’articolo 5 del Regolamento. Il Garante lo riassume così: «i dati devono essere adeguati pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento». Suona come un peso e nella pratica è un filtro comodo.

La domanda non è «posso tenerlo?» ma «lo uso?». Un nome, una email di lavoro, un telefono e quello che vi siete detti: quello ti serve. Una data di nascita «nel caso un giorno facciamo gli auguri», no. E un campo che nessuno ha letto da due anni non ha più una finalità, ha un’abitudine.

Su una categoria conviene essere rigidi e non prudenti. Salute, opinioni politiche, convinzioni religiose, appartenenza sindacale, vita sessuale: sono le categorie particolari dell’articolo 9 del Regolamento, il loro trattamento è vietato salvo condizioni tassative, e non hanno niente da fare in una nota di vendita. Nemmeno di sfuggita, tipo «è stato fuori tre settimane per l’operazione alla schiena».

Per il resto delle note c’è una prova più semplice di qualsiasi norma: lo scriveresti se il cliente stesse leggendo sopra la tua spalla? Non è una metafora. Ha diritto di accesso ai dati che lo riguardano, e quell’accesso comprende le tue note su di lui, quindi la situazione è perfettamente reale.

Dieci anni, non sette: due termini e uno non ha una data

Qui un testo tradotto sbaglia, perché l’Italia non arriva allo stesso numero dei Paesi Bassi né a quello della Spagna.

Dieci anni, ed è il termine da cui partire. L’articolo 2220 del Codice Civile: le scritture devono essere conservate per dieci anni «dalla data dell’ultima registrazione». Guarda da quando contano: dall’ultima registrazione nei libri, non dalla data del documento. E il secondo comma allarga il perimetro a quello che ti riguarda ogni giorno: per lo stesso periodo vanno conservate «le fatture, le lettere e i telegrammi ricevuti e le copie delle fatture, delle lettere e dei telegrammi spediti». Nel 1942 erano telegrammi; oggi è la tua posta. Che le fatture in Nermio non si possano ancora fare è un punto a parte, e sta due paragrafi più sotto.

Dieci anni anche per la prescrizione, e questo è un termine diverso. L’articolo 2946 del Codice Civile: «Salvi i casi in cui la legge dispone diversamente, i diritti si estinguono per prescrizione con il decorso di dieci anni». Nessuno ti obbliga per questa via a conservare niente, ma finché quel termine corre tu o il tuo cliente potete ancora chiedervi qualcosa su un contratto — e senza il documento non puoi dimostrarlo. È il motivo per cui un preventivo accettato vale più di una email sparsa.

E poi c’è un termine fiscale che non è un numero ma una condizione. L’articolo 22 del DPR 600/1973 dice che le scritture contabili obbligatorie vanno conservate «fino a quando non siano definiti gli accertamenti relativi al corrispondente periodo d’imposta anche oltre il termine stabilito dall’articolo 2220 del codice civile». Più dei dieci anni, quindi, se l’accertamento è ancora aperto. Quando si chiude lo dice l’articolo 43: l’avviso va notificato entro il 31 dicembre del quinto anno successivo a quello in cui hai presentato la dichiarazione, e del settimo se la dichiarazione non c’è stata.

Tre chiarimenti, perché così diventa utilizzabile.

L’obbligo di conservare è un minimo; il termine del GDPR è un massimo. Tra i principi dell’articolo 5 c’è la «limitazione della conservazione»: i dati si tengono per un tempo non superiore a quello necessario rispetto agli scopi. Nel Regolamento non c’è nessun numero — il numero lo metti tu, e quello che devi poter fare è spiegarlo. Nella pratica sono due regimi che convivono: la documentazione del tuo lavoro resta dieci anni perché deve, e la scheda di un contatto che non ha mai risposto se ne va molto prima perché non giustifica più niente.

Il bello è che il Garante arriva allo stesso numero. Nella sua pagina sul registro dei trattamenti, come esempio di termine di cancellazione, scrive proprio: «in caso di rapporto contrattuale, i dati saranno conservati per 10 anni dall’ultima registrazione – v. art. 2220 del codice civile». E aggiunge la via d’uscita per quando un termine fisso non si può stabilire a priori: indicare un criterio, per esempio «in caso di contenzioso, i dati saranno cancellati al termine dello stesso».

Un avvertimento sulle fatture, perché sono l’esempio che fanno tutti: in Italia farle dentro Nermio non è ancora possibile, e il motivo è il Sistema di Interscambio — dal 2019 ogni fattura B2B tra soggetti stabiliti in Italia deve passare da lì, e finché non lo avremo costruito le tue fatture vivono nel tuo programma di fatturazione. I dieci anni dell’articolo 2220 si rispettano là, non qui. Qui restano le note, gli accordi e la corrispondenza — che l’articolo 2220 nomina anche loro.

Quando cancelli, cancelli: il «blocco» italiano non c’è più

Questo è il punto in cui l’Italia e la Spagna si sono separate, nello stesso anno e in direzioni opposte, e vale la pena saperlo perché cambia come usi qualsiasi strumento.

In Spagna, da una legge del 2018, quando rettifichi o cancelli un dato devi bloccarlo: metterlo da parte e impedirne ogni trattamento, anche la semplice visualizzazione, per il tempo della prescrizione. In Italia un obbligo così c’era e non c’è più. Il vecchio articolo 7 del Codice Privacy dava all’interessato il diritto di ottenere «la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge»; oggi quell’articolo, nel testo vigente, è una riga sola: «ARTICOLO ABROGATO DAL D.LGS. 10 AGOSTO 2018, N. 101». Con lui è andato via tutto il Titolo II.

Quello che resta non è italiano ma europeo: il diritto di limitazione del trattamento dell’articolo 18 del Regolamento. Il Garante lo spiega come un diritto «diverso e più esteso rispetto al blocco del trattamento di cui all’art. 7, comma 3, lettera a), del Codice», esercitabile per esempio anche mentre stai valutando una richiesta di rettifica. La differenza pratica è una sola e conta: la limitazione la chiede l’interessato in casi precisi, non scatta da sola ogni volta che tu fai pulizia.

Per te vuol dire che una cancellazione è una cancellazione. Quando elimini un’azienda o un contatto in Nermio, sparisce — e in Italia non devi costruirti una copia bloccata da nessuna parte. Come incastrarlo in una pulizia periodica sta in pulire il tuo elenco clienti. L’unica cosa che la limitazione richiede, dice il Garante, è che il dato possa essere «contrassegnato» in attesa di decisioni: in pratica, saper mettere una nota ben visibile su una scheda senza cancellarla.

Che cosa può chiederti il tuo cliente

Cinque diritti che in una piccola impresa si presentano davvero. Stanno negli articoli da 15 a 22 del Regolamento, quelli che il Codice Privacy stesso richiama quando parla di come devi poter essere raggiunto:

• Accesso: quali dati hai su di lui. Questo presuppone che tu li sappia trovare; «starà in qualche email» non è una risposta. E comprende le tue note.
• Rettifica: se qualcosa è sbagliato, lo correggi.
• Cancellazione, con il limite di quello che sei obbligato a conservare — i dieci anni di cui sopra valgono anche contro una richiesta di cancellare.
• Limitazione (articolo 18): il caso del paragrafo precedente, da segnare sulla scheda e non da cancellare.
• Portabilità (articolo 20): i suoi dati in un formato strutturato e leggibile da una macchina. Attenzione a un limite che quasi nessuno conosce, e che il Garante scrive chiaro: sono portabili «solo i dati trattati con il consenso dell’interessato o sulla base di un contratto stipulato con l’interessato», quindi non quelli che tieni per interesse legittimo. Saper esportare conviene comunque, e soprattutto a te — vedi portare via i tuoi dati.

Il termine per rispondere, dice il Garante, è «per tutti i diritti (compreso il diritto di accesso), 1 mese», estendibile fino a tre mesi nei casi di particolare complessità — e in quel caso la proroga la comunichi entro il primo mese. Un riscontro va dato comunque, anche se è un diniego.

Due cose sul come, perché sono quelle che fanno inciampare. L’esercizio dei diritti è in linea di principio gratuito: non puoi far pagare la ricerca dei dati di qualcuno. E la richiesta non ha una forma obbligatoria: il Garante scrive che l’interessato «può presentare un’istanza al titolare, senza particolari formalità (ad esempio, mediante lettera raccomandata, fax, posta elettronica, ecc.)». Un modulo tuo va benissimo, ma non può essere l’unica porta.

Un caso che il diritto italiano ha scritto: il cliente che muore

Succede, e succede soprattutto con ditte individuali e aziende familiari. Il diritto italiano lo ha previsto; quello olandese e quello tedesco no.

Articolo 2-terdecies del Codice Privacy: i diritti degli articoli da 15 a 22 riferiti a una persona defunta «possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell’interessato, in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione».

C’è una particolarità italiana che vale la pena conoscere: l’interessato può vietarlo in vita, ma soltanto «limitatamente all’offerta diretta di servizi della società dell’informazione» — e in ogni caso quel divieto non può pregiudicare «i diritti patrimoniali che derivano dalla morte dell’interessato».

Il lato pratico è corto: se ti scrive un figlio o un erede, non è una richiesta strana da ignorare. Ha una base precisa, e il termine di risposta è il solito mese.

Il registro dei trattamenti: a te tocca, e non per le dimensioni

Molti pensano di esserne esentati perché hanno meno di 250 dipendenti. La pagina del Garante dice il contrario, e lo dice con una formula che non lascia margine: tra i soggetti privati obbligati c’è «qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti non occasionali».

Un elenco clienti non è occasionale per definizione: è permanente. Quindi il registro ci vuole, che i tuoi dati stiano in un CRM o in un foglio di calcolo. Deve avere forma scritta, anche elettronica, e va esibito al Garante se lo chiede.

La buona notizia è che è un documento corto e che il Garante dice campo per campo cosa ci va: la finalità e la base giuridica, le categorie di interessati e di dati, a chi li comunichi (compresi i fornitori a cui affidi dei trattamenti), gli eventuali trasferimenti fuori dall’Unione, i termini di cancellazione e una descrizione generale delle misure di sicurezza. Le misure, aggiunge, «possono essere descritte in forma riassuntiva e sintetica».

Chi ha meno di 250 dipendenti e ci è obbligato può comunque limitare il registro alle specifiche attività che lo rendono obbligatorio. E se pensi di non esserci dentro, il Garante lo raccomanda comunque: è il documento che ti dà «piena contezza del tipo di trattamenti svolti», ed è lo stesso foglio su cui scrivi la riga sull’interesse legittimo di cui sopra.

Quando usi il software di qualcun altro

Se tieni dati dei clienti in uno strumento non tuo — un CRM, la posta, la contabilità, il commercialista — quel fornitore è responsabile del trattamento e tu il titolare. Il rapporto va retto da un contratto: il Garante ricorda che il responsabile «è tenuto a collaborare con il titolare ai fini dell’esercizio dei diritti degli interessati» in forza dell’articolo 28, paragrafo 3, lettera e) del Regolamento.

Nella pratica il contratto lo mette il fornitore e a te tocca firmarlo e conservarlo. Chiedilo prima di mettere dentro i dati, non dopo. Un fornitore decente ce l’ha già pronto e non c’è niente da negoziare; se devi chiederlo e la risposta è vaga, quella è già un’informazione.

Chi vede cosa dentro la tua azienda è un’altra domanda, e sta in chi può fare che cosa nel tuo CRM.

Se qualcosa si rompe: a chi scrivi e in quanto tempo

Una violazione di dati personali non è solo un attacco informatico. Un portatile perso, un backup raggiungibile da internet o una email con cento indirizzi nel campo «A» invece che in Ccn lo sono altrettanto — il Garante elenca tra gli esempi «il furto o la perdita di dispositivi informatici contenenti dati personali».

Settantadue ore. Il Garante lo scrive così: il titolare del trattamento, «senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza», deve notificare la violazione al Garante, a meno che sia improbabile che comporti un rischio per i diritti e le libertà delle persone. L’obbligo è del titolare, cioè tuo: il tuo fornitore avvisa te, e non è il tuo commercialista a farlo. Se il rischio è elevato devi informare anche le persone coinvolte.

E va per un canale solo. Dal 1° luglio 2021 la notifica «deve essere inviata al Garante tramite un’apposita procedura telematica, resa disponibile nel portale dei servizi online dell’Autorità». Non per email, non per PEC. Vale la pena guardare come funziona un martedì qualunque, perché è esattamente ciò che non vuoi scoprire il giorno in cui ti serve. Il Garante mette anche a disposizione uno «strumento di autovalutazione (self assessment)» per capire quali azioni servono dopo un incidente.

C’è poi una norma italiana che riguarda quasi ogni lettore di questo testo, e su cui vale la pena essere precisi. L’articolo 2-quaterdecies.1 del Codice Privacy dice che «le imprese con meno di cinque dipendenti si avvalgono, per l’adempimento dell’obbligo di cui all’articolo 33 del regolamento, di una specifica procedura di notifica», che il Garante disciplina «prevedendo il ricorso a strumenti di autovalutazione guidata e un canale di assistenza semplificata». La norma esiste; se il provvedimento che la mette in pratica sia già stato adottato non siamo riusciti a verificarlo. Se hai meno di cinque dipendenti, è la prima cosa da chiedere.

E a quale autorità? Per te, con una sede sola in Italia, al Garante per la protezione dei dati personali.

Con i fornitori funziona diversamente, e conviene non confondere le due cose. Il Garante spiega che l’autorità di controllo capofila è «l’autorità dello stabilimento principale o unico nell’Ue del titolare o responsabile del trattamento» — è la nozione che l’articolo 56 del Regolamento introduce. Quella di un fornitore olandese, Nermio compreso, è dunque l’autorità olandese e non il Garante. Questo non ti toglie niente: l’articolo 77 del Regolamento ti lascia presentare reclamo all’autorità del tuo Stato, e per te quella è il Garante.

Una cosa in più che solo l’Italia scrive, e che è meglio sapere prima: reclamo e giudice sono alternativi. L’articolo 140-bis del Codice Privacy dice che «il reclamo al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è stata già adita l’autorità giudiziaria», e che presentare il reclamo rende improponibile una domanda successiva al giudice tra le stesse parti e sullo stesso oggetto. Scegli una strada, non due.

Che cosa puoi fare oggi

Non serve aprire un progetto. Cinque cose si portano via quasi tutto il rischio, e la prima è mezza giornata una volta sola:

1. Scrivi il registro delle attività di trattamento. Una riga per tipo di trattamento — clienti, fornitori, dipendenti — con finalità, base giuridica, categorie di dati, destinatari e termine di conservazione. Il Garante dice campo per campo cosa ci va, quindi è compilare e non redigere.
2. Metti nero su bianco il tuo interesse legittimo, in una frase, dentro quel registro. In Italia non te lo presume nessuno: una riga adesso vale più di una discussione dopo.
3. Ripassa i campi delle note e togli quello che non usi. Soprattutto il vecchio, che col tempo è diventato personale.
4. Decidi quanto conservi e perché. Tieni separati i dieci anni dell’articolo 2220 per la documentazione di un rapporto dal termine del GDPR per tutto il resto: sono due cose diverse e mescolarle è l’errore solito. Per un contatto che non ha mai risposto, il termine giusto è molto più corto.
5. Raccogli i contratti dei fornitori dove ci sono dati dei clienti e mettili in una cartella. Se ne manca uno, chiedilo.
6. Provalo una volta su una scheda finta: tirare fuori tutti i dati di una persona, cancellarla, e segnare un’opposizione alla pubblicità in modo che anche un collega la veda. Se il tuo strumento non sa fare queste tre cose, non è un problema teorico.

Questa è una spiegazione, non una consulenza legale

E la scrive un fornitore di software: ci conviene che non ti sembri complicato. Se hai dati sensibili, volumi grandi, o qualcosa di cui davvero non sei sicuro, guarda direttamente sul sito del Garante o chiedi a un avvocato. Lo stesso vale per i termini di conservazione nel tuo settore: il Codice Civile dà il minimo, le norme di settore a volte danno di più.

E diffida di tutto quello che ti vende la protezione dei dati come prodotto — bollini, certificati, pacchetti. Per un’azienda di cinque persone il lavoro sono i sei punti qui sopra, e nessuno costa soldi.