Sotto il GDPR, il trattamento dei dati personali inizia nel momento in cui il titolare decide come e perché trattare quei dati, non quando li raccoglie fisicamente. Questo significa che le misure di protezione — privacy by design, valutazione del rischio, aggiornamento del registro — devono essere operative prima che il primo dato entri nel sistema. Per uno studio legale, ignorare questa logica espone a contestazioni del Garante anche in assenza di violazioni sui dati già raccolti.
Punti chiave
- Punto 1 — Il GDPR impone misure di protezione già nella fase progettuale, prima di qualsiasi raccolta dati.
- Punto 2 — Il registro dei trattamenti ex art. 30 GDPR deve riflettere le decisioni organizzative, non solo i flussi attivi.
- Punto 3 — La DPIA va condotta prima dell’avvio del trattamento, non dopo aver riscontrato criticità operative.
Per uno studio legale che assiste clienti in materia di compliance privacy, questa lettura del GDPR sposta il perimetro della consulenza. Non basta verificare che i dati raccolti siano trattati correttamente: occorre presidiare il momento in cui il cliente decide di trattarli, cioè la fase progettuale. Chi arriva tardi su quel momento, arriva tardi su tutto.
Lo spunto arriva da un’analisi pubblicata da Agenda Digitale, secondo cui il trattamento dei dati personali non prende avvio con la raccolta ma con la decisione organizzativa che la precede. Da questa impostazione deriva una lettura del GDPR centrata su progettazione, valutazione del rischio e controllo continuo.
Il contesto normativo
L’art. 4, n. 2, GDPR definisce il trattamento come «qualsiasi operazione» eseguita su dati personali, inclusa la «raccolta» come primo atto di una sequenza più ampia. L’art. 25 GDPR — privacy by design e by default — traduce questa sequenza in obbligo: le misure tecniche e organizzative adeguate vanno integrate prima del trattamento, non in corso d’opera. L’art. 35 GDPR impone la DPIA prima dell’avvio dei trattamenti ad alto rischio. Il Garante italiano, con i provvedimenti in materia di accountability (da ultimo, Provv. n. 9978728 del 9 giugno 2022 su Clearview AI), ha ribadito che la responsabilizzazione del titolare si misura sulla coerenza tra decisioni iniziali e misure adottate, non solo sui risultati finali.
Cosa cambia per lo studio
- Revisione del registro ex art. 30 GDPR: il registro delle attività di trattamento deve documentare le decisioni organizzative che precedono la raccolta, non limitarsi a fotografare i flussi già attivi. Se il cliente ha avviato un nuovo progetto senza aggiornarlo, la lacuna è già una non conformità.
- Anticipare la DPIA: per i trattamenti che rientrano nell’elenco del Garante (Provv. 11 ottobre 2018), la valutazione d’impatto va completata prima del go-live. Assisterla solo dopo l’avvio espone il cliente a sanzioni anche in assenza di data breach.
- Contratti con fornitori e DPA: gli accordi ex art. 28 GDPR con i responsabili del trattamento vanno stipulati prima che i dati transitino verso terzi, non contestualmente o successivamente. Controllare la sequenza temporale è parte della due diligence.
- Privacy by design nelle istruttorie contrattuali: quando si redige o si rivede un contratto che implica trattamento dati — HR, CRM, cloud — inserire nella checklist la verifica delle misure by design adottate dal cliente prima della firma.
- Formazione del personale: le istruzioni agli incaricati ex art. 29 GDPR devono precedere l’accesso ai dati. Un’istruzione postuma non copre il periodo scoperto e, in caso di ispezione, risulta formalmente tardiva.
Attenzione a
Confondere compliance documentale con compliance sostanziale. Avere un registro aggiornato e una DPIA firmata non basta se le misure descritte non corrispondono a processi reali. Il Garante, nelle ispezioni, incrocia documenti e prassi operative: una difformità tra i due piani vale quanto l’assenza totale di documentazione.
Sottovalutare il momento della decisione interna del cliente. Molti titolari avviano trattamenti nuovi — nuovi software, nuove campagne di profilazione, nuovi archivi HR — senza coinvolgere il DPO o il consulente legale nella fase decisionale. Se lo studio presidia solo la fase a valle, perde la finestra in cui l’intervento è ancora preventivo e il rischio ancora gestibile.
Domande frequenti
Quando inizia formalmente il trattamento dei dati personali secondo il GDPR?
L’art. 4, n. 2, GDPR include nella definizione di trattamento qualsiasi operazione sui dati, a partire dalla raccolta. La prassi del Garante e l’art. 25 GDPR (privacy by design) collocano però gli obblighi del titolare nella fase progettuale che precede la raccolta stessa. Il trattamento, ai fini della compliance, inizia con la decisione organizzativa di avviarlo.
Cosa rischia un titolare che non fa la DPIA prima di avviare un trattamento ad alto rischio?
L’omissione della DPIA preventiva ex art. 35 GDPR è una violazione autonoma, sanzionabile dal Garante indipendentemente dal verificarsi di un data breach. Le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, secondo l’art. 83, par. 4, GDPR.
Il registro dei trattamenti deve essere aggiornato prima o dopo l’avvio di un nuovo trattamento?
Prima. L’art. 30 GDPR impone al titolare di documentare le attività di trattamento in modo continuo e aggiornato. Avviare un nuovo trattamento senza averlo inserito nel registro integra già una non conformità, rilevabile in caso di ispezione del Garante anche in assenza di altri illeciti.
Fonte di riferimento: AgendaDigitale