GDPR e gestionale aziendale: cosa deve garantire il software

Fra GDPR e gestionale aziendale il legame è stretto, perché il gestionale è il posto dove stanno quasi tutti i dati personali dell'azienda: clienti, fornitori, dipendenti. Per rispettare il regolamento europeo, il programma deve raccogliere solo i dati necessari, proteggerli, conservarli per il tempo previsto e aiutarti a rispondere quando una persona chiede di vedere, correggere o cancellare i suoi dati. Chi fornisce il programma o lo gestisce per tuo conto va nominato responsabile del trattamento, con un accordo scritto.

Il GDPR lascia libera la scelta del software, e chiede che tu sappia quali dati tratti, perché, per quanto tempo e con quali protezioni. Un buon gestionale rende queste cose facili da fare e da dimostrare.

Quali dati personali contiene un gestionale?

Più di quanti si pensi. Oltre a nome, indirizzo, email e telefono dei clienti, un gestionale può contenere:

• codici fiscali e documenti d'identità;
• coordinate bancarie;
• dati dei dipendenti, come turni, presenze, ferie e a volte certificati medici;
• note dei commerciali sulle trattative, a volte con informazioni personali;
• registri degli accessi e delle operazioni, che sono anch'essi dati personali;
• documenti allegati, come contratti, foto e moduli firmati.

Alcuni di questi dati sono particolarmente delicati, come quelli sanitari, e il GDPR chiede per loro protezioni più forti. Il primo passo è sapere cosa c'è nel tuo programma, campo per campo.

Cosa significa protezione dei dati fin dalla progettazione?

È un principio dell'articolo 25 del GDPR: le protezioni vanno pensate già quando si costruisce o si sceglie il software. E le impostazioni predefinite devono essere le più protettive.

In pratica, quando progetto un gestionale lo traduco in scelte concrete:

• ogni campo ha un motivo per esistere, e quelli facoltativi restano facoltativi;
• i permessi partono dal minimo, e si allargano solo per chi ne ha bisogno;
• i dati delicati sono separati e visibili solo a chi deve vederli;
• per ogni tipo di dato è previsto per quanto tempo si conserva;
• le copie per le prove e lo sviluppo usano dati finti o resi anonimi, mai quelli veri dei clienti.

L'ultimo punto è spesso trascurato. Copiare il database dei clienti sul computer di uno sviluppatore per fare prove è un trattamento di dati, con tutti i rischi che comporta.

Per quanto tempo si possono tenere i dati?

Per il tempo necessario allo scopo per cui li hai raccolti, e non oltre. Il GDPR non fissa un numero valido per tutto: lo decidi tu, con chi ti segue sulla privacy, e lo scrivi nell'informativa.

Ci sono però obblighi di legge che impongono di conservare alcuni dati. Le fatture e le scritture contabili, per esempio, vanno conservate per dieci anni. In quel caso la conservazione è giustificata, ma solo per quei documenti e per quello scopo.

Un gestionale ben fatto aiuta in due modi. Segna la data dell'ultimo rapporto con ogni persona e ti propone le schede da rivedere, per esempio i contatti che non sono mai diventati clienti e sono fermi da anni. E permette di cancellare o rendere anonimi i dati personali mantenendo i documenti che devi conservare.

Come aiuta il gestionale con le richieste delle persone?

Il GDPR dà alle persone diritti precisi sui loro dati: sapere quali dati hai e averne una copia, farli correggere, chiederne la cancellazione quando non ci sono motivi per tenerli, riceverli in un formato leggibile da un altro programma. Hai un mese di tempo per rispondere, prorogabile nei casi complessi.

Senza strumenti, rispondere vuol dire cercare il nome della persona in cinque programmi diversi. Con un gestionale ben costruito bastano pochi clic:

• una scheda che raccoglie tutti i dati di una persona, compresi i documenti collegati;
• un'esportazione in un formato comune, come un file leggibile da altri programmi;
• una funzione di cancellazione o anonimizzazione che rispetta gli obblighi di conservazione.

Nel CRM questa parte è particolarmente utile, perché contiene anche i contatti di chi non è mai diventato cliente. Ne parlo nella guida sul CRM per piccole imprese.

Chi fornisce il gestionale è responsabile del trattamento?

Se tratta i dati per tuo conto, sì. È il caso del fornitore di un software in abbonamento, che conserva i tuoi dati sui suoi server, e dello sviluppatore che ospita il tuo gestionale o vi accede per l'assistenza.

L'articolo 28 del GDPR chiede in questi casi un accordo scritto, che dica cosa può fare il responsabile con i dati, quali misure di sicurezza adotta, se si avvale di altri fornitori e cosa succede ai dati quando il rapporto finisce. Senza questo accordo il trattamento non è in regola, e in caso di problemi è più difficile dimostrare di aver scelto un fornitore affidabile.

Prima di scegliere un fornitore chiedi l'accordo sul trattamento dei dati, l'elenco dei suoi sub-fornitori e dove si trovano i server.

Dove devono stare i server?

Il modo più semplice di stare tranquilli è usare server nell'Unione europea. Il GDPR permette anche trasferimenti verso paesi extraeuropei, ma solo con garanzie specifiche: una decisione di adeguatezza della Commissione europea, come quella del 2023 per le aziende statunitensi aderenti al Data Privacy Framework, oppure clausole contrattuali approvate.

Queste regole cambiano nel tempo e dipendono anche da decisioni dei tribunali europei. Per un gestionale con dati delicati, server in Europa e fornitori con sede in Europa riducono i problemi alla radice. Va controllato anche dove stanno le copie di sicurezza e dove operano i servizi esterni collegati, come l'invio delle email o un servizio di intelligenza artificiale.

Cosa succede in caso di violazione dei dati?

Se i dati personali vengono persi, rubati o visti da chi non doveva, il GDPR chiede di valutare il rischio per le persone. Se c'è un rischio, la violazione va notificata al Garante privacy entro settantadue ore da quando te ne sei accorto. Se il rischio è elevato, vanno avvisate anche le persone coinvolte.

Il gestionale aiuta a capire in fretta cosa è successo: quali dati, di quante persone, da quale utente. Per questo il registro delle operazioni e le protezioni sugli accessi sono così importanti. Ne parlo nella guida sulla sicurezza dei dati nel gestionale.

Serve una valutazione d'impatto?

In alcuni casi sì. Il GDPR la richiede quando un trattamento può presentare un rischio elevato per le persone, per esempio quando si trattano su larga scala dati sanitari, quando si monitorano in modo sistematico le persone o quando si usano tecnologie nuove con dati delicati.

Per la maggior parte dei gestionali di una piccola impresa non è obbligatoria. Diventa da valutare con attenzione quando il programma tratta dati sanitari, come in un centro medico o di salute e benessere, o quando registra la posizione dei dipendenti. La valutazione la fa il titolare del trattamento, con chi lo segue sulla privacy. Il software deve fornire le informazioni tecniche necessarie.

Serve il registro dei trattamenti?

Il registro delle attività di trattamento è un documento che elenca quali dati tratti, per quali scopi, per quanto tempo e con quali misure di sicurezza. Il GDPR lo rende obbligatorio per le organizzazioni con almeno duecentocinquanta dipendenti, ma anche per quelle più piccole quando il trattamento non è occasionale, può presentare rischi o riguarda dati particolari.

In pratica, un'azienda che gestisce con continuità dati di clienti e dipendenti rientra spesso in questi casi, e il Garante privacy ne raccomanda comunque la tenuta. Con chi ti segue sulla privacy conviene verificarlo.

Il gestionale non scrive il registro al posto tuo, ma può renderlo facile da compilare: sapere quali campi esistono, chi vi accede e per quanto tempo si conservano i dati è esattamente l'informazione che il registro chiede.

Ne parliamo?

Se vuoi capire se il tuo gestionale ti aiuta o ti ostacola nel rispetto del GDPR, raccontami quali dati contiene e chi lo usa. Ti propongo le modifiche concrete al programma, da affiancare al lavoro di chi ti segue sulla privacy. Trovi come lavoro nella pagina sul gestionale su misura, gli esempi per gli studi professionali e mi scrivi dalla pagina contatti.

Crediti delle immagini

• Copertina: foto di Viktor Talashuk su Unsplash