GDPR e dati dei clienti, spiegato a una piccola azienda

Il GDPR, il regolamento europeo sulla protezione dei dati personali, spaventa molte piccole aziende più del necessario. Per chi tiene un elenco di clienti, in pratica si riduce a poche regole di buon senso: usare i dati per quello che servono, tenerli al sicuro, non tenerli per sempre, e saper dire dove sono.

Questa è una guida pratica, non una consulenza legale. Per i casi particolari (dati sanitari, minori, grandi volumi) rivolgiti a un consulente privacy.

1. Per cosa puoi usare i dati

Ogni uso dei dati deve avere una ragione valida. Per una piccola azienda le più comuni sono:

Cosa fai	Su che base
Fare un preventivo, eseguire un ordine, fatturare, dare assistenza	Serve per il contratto: non chiedi un consenso
Conservare fatture e documenti fiscali	Obbligo di legge
Mandare newsletter e offerte	Di regola serve il consenso; ai clienti già acquisiti puoi proporre prodotti simili via email, purché possano opporsi facilmente e lo sappiano

Il punto chiave: i dati raccolti per un preventivo non diventano automaticamente una lista per le promozioni.

2. Informare le persone

Chi ti dà i suoi dati ha diritto di sapere chi sei, cosa ne fai, per quanto li tieni e come può chiederti di vederli o cancellarli. È l'informativa privacy: va sul sito, sui moduli di contatto, e va richiamata nei preventivi o nei contratti.

3. Dove tenere i dati

• Un posto solo, non cinque file Excel su cinque computer e tre chiavette. Un CRM o un gestionale con gli accessi personali è più sicuro di un file che gira per email.
• In Europa, se possibile. Se il fornitore conserva i dati fuori dall'Unione Europea deve garantire una protezione equivalente: chiedilo.
• Con gli accessi giusti: ognuno con il suo nome utente, e ognuno vede solo quello che gli serve.
• Con le copie di sicurezza, provate: un backup che nessuno ha mai provato a ripristinare non è un backup.

4. Cosa chiedere al fornitore del CRM o del gestionale

Se un fornitore tiene i dati dei tuoi clienti sui suoi server, per il GDPR è un responsabile del trattamento e deve firmare con te un accordo (articolo 28). Prima di scegliere, chiedi:

1. Firmate la nomina a responsabile del trattamento?
2. Dove sono i server?
3. Chi del vostro personale può vedere i dati, e perché?
4. Che backup fate, e ogni quanto?
5. Posso esportare tutti i dati quando voglio, in un formato aperto?
6. A fine contratto cosa succede ai dati, e in quanto tempo li cancellate?

5. Per quanto tempo

I dati si tengono finché servono. I documenti fiscali vanno conservati per gli anni previsti dalla legge; un contatto che ha chiesto un preventivo cinque anni fa e non è mai diventato cliente, invece, di solito non ha più motivo di stare nell'elenco. Una pulizia una volta l'anno è una buona abitudine (la guida sui doppioni aiuta anche qui).

6. Quando un cliente chiede i suoi dati

Le persone possono chiedere di vedere i dati che hai su di loro, di correggerli, di cancellarli (se non devi tenerli per legge) o di riceverne una copia. Devi rispondere senza ritardo, di regola entro un mese. Con i dati in un posto solo e la possibilità di esportarli, è questione di minuti.

7. Se qualcosa va storto

Un computer rubato, una email inviata a tutti in chiaro, un accesso abusivo: è una violazione dei dati. Se c'è un rischio per le persone va notificata al Garante entro 72 ore da quando te ne accorgi, e nei casi gravi vanno avvisate anche le persone coinvolte. Annota sempre cosa è successo e cosa hai fatto, anche quando decidi che non serve notificare.

8. Il registro dei trattamenti

È un documento che elenca quali dati tratti, perché, per quanto e con quali protezioni. Le aziende sotto i 250 dipendenti ne sono esentate solo in casi limitati: quando il trattamento dei dati è abituale, come la gestione dei clienti, di solito va tenuto. Anche quando non è obbligatorio, scriverlo aiuta a mettere ordine.

In breve

• Usa i dati per lo scopo per cui li hai avuti; per le promozioni serve il consenso.
• Un posto solo, accessi personali, backup provati.
• Fornitori con la nomina firmata, server in Europa, dati esportabili.
• Non tenere i dati per sempre.
• Sappi rispondere a chi chiede i suoi dati, e reagire a una violazione.

Hai una domanda su questa guida o un caso che non è previsto? Scrivici a info@ibisense.it: ti risponde una persona.