Il GDPR protegge i dati personali dei cittadini europei. Anche le piccole imprese devono rispettare regole fondamentali per evitare sanzioni e costruire fiducia con i clienti.
I dati personali includono qualsiasi informazione che identifica una persona, come nome, email, numero di telefono o indirizzo IP. Anche le immagini e i dati di geolocalizzazione rientrano in questa categoria. Per una piccola impresa, gestire correttamente questi dati è un obbligo di legge. Identificare quali dati raccogli è il primo passo per essere in regola.
Ogni volta che raccogli dati, devi informare l'interessato. La tua informativa deve essere scritta in linguaggio semplice, non burocratico. Deve spiegare chi sei, perché raccogli i dati, per quanto tempo li conservi e come l'utente può chiedere di cancellarli. Pubblica questo documento sul tuo sito web e rendilo accessibile in ogni modulo di contatto.
La sicurezza non riguarda solo i software, ma anche le abitudini quotidiane. Usa password robuste, attiva l'autenticazione a due fattori e mantieni aggiornati i tuoi dispositivi. Se conservi documenti cartacei, chiudili in armadi a chiave. Limita l'accesso ai dati solo ai dipendenti che ne hanno strettamente bisogno per lavorare.
Non puoi usare i dati per scopi diversi da quelli dichiarati senza un nuovo consenso. Se invii newsletter, devi ottenere un consenso esplicito e separato, mai pre-selezionato. Gli utenti devono poter revocare il consenso con la stessa facilità con cui lo hanno dato. Tieni un registro aggiornato dei consensi ricevuti per dimostrare la tua conformità.
Anche le piccole imprese devono tenere traccia di come gestiscono i dati. Il registro dei trattamenti è un documento che elenca le tipologie di dati trattati e le finalità. Non deve essere complesso, ma deve essere veritiero. Consulta il sito ufficiale del Garante per la protezione dei dati personali per verificare se la tua attività richiede obblighi specifici aggiornati.
Non tutte le piccole imprese devono nominare un DPO. È obbligatorio solo se il trattamento è su larga scala o riguarda dati sensibili in modo sistematico. Verifica i criteri sul sito del Garante della Privacy.
In caso di violazione, devi valutare il rischio per le persone coinvolte. Se il rischio è elevato, devi comunicare l'accaduto al Garante entro 72 ore. Informa tempestivamente anche gli interessati se necessario.
No, i dati vanno conservati solo per il tempo necessario allo scopo per cui sono stati raccolti. Stabilisci dei periodi di conservazione e cancella o anonimizza i dati quando non servono più.
Sì, l'indirizzo email è un dato personale. Devi trattarlo con cura, proteggerlo da accessi non autorizzati e usarlo solo per le finalità comunicate all'utente al momento della raccolta.
Inizia subito mappando i dati che raccogli e pubblica un'informativa chiara per i tuoi clienti.