Che cosa comprende un check-up GDPR per una PMI?

A cura diDott. Alessio FerrettiDottore Commercialista · Pubblicato il 14/08/2026

Un check-up GDPR comprende una verifica organizzativa e documentale dei dati personali gestiti nell’attività: quali dati circolano, per quali finalità vengono usati, chi vi accede, dove sono conservati, quali fornitori intervengono e quali documenti descrivono queste scelte. Non coincide con una promessa di conformità assoluta né con una verifica tecnica completa dei sistemi informatici: serve a trasformare informazioni frammentate in un quadro iniziale leggibile e in priorità di lavoro concrete.

Per una PMI o uno studio professionale, il problema emerge spesso quando informative datate, incarichi del personale, piattaforme esterne e archivi cartacei sono stati gestiti in momenti diversi. Uno studio di commercialisti può partire dai processi effettivi, raccogliere le informazioni disponibili, verificare la coerenza della documentazione privacy e indicare quali aspetti meritano un approfondimento ulteriore.

In sintesi

• Ricostruisce i trattamenti svolti con clienti, contatti, fornitori, personale e collaboratori.
• Esamina finalità operative, categorie di dati, archivi, strumenti e soggetti che accedono alle informazioni.
• Controlla le informative disponibili e la loro coerenza con i canali realmente utilizzati.
• Raccoglie e rivede autorizzazioni interne, lettere di incarico e nomine riferite a soggetti esterni.
• Valuta se il registro dei trattamenti e le procedure organizzative disponibili sono proporzionati al caso concreto.
• Ordina le lacune emerse per priorità, senza sostituire eventuali valutazioni legali o tecniche specialistiche.

Il perimetro concreto di un check-up

Il punto di partenza non è il modulo da aggiornare, ma il modo in cui l’organizzazione lavora. Un’impresa può raccogliere dati attraverso il sito, richieste commerciali, contratti, email, colloqui, documenti amministrativi, gestione del personale o assistenza ai clienti. Il check-up mette questi punti in relazione, perché un’informativa ben scritta ma scollegata dal processo reale rischia di essere poco utile nella gestione quotidiana.

La prima area riguarda la mappatura preliminare. Si individuano le attività in cui sono trattati dati personali, i soggetti coinvolti, le categorie di informazioni utilizzate, le finalità dichiarate dall’impresa, gli archivi fisici e digitali e i flussi verso l’esterno. Non serve descrivere l’azienda in astratto: è più utile distinguere, per esempio, il ciclo di acquisizione di un contatto dal rapporto con un cliente già attivo o dalla gestione di un collaboratore.

La seconda area riguarda ruoli e accessi. Conviene chiarire chi opera internamente sui dati, chi riceve istruzioni operative, chi presta servizi per conto dell’impresa e quali strumenti possono ospitare o elaborare informazioni personali. Il controllo non parte dall’idea che vi sia un errore: verifica se le relazioni effettive sono state ricostruite e se le autorizzazioni interne, le lettere di incarico o le nomine disponibili corrispondono ancora all’assetto attuale.

La terza area riguarda documentazione e procedure. Il fascicolo può comprendere informative rivolte a soggetti diversi, documenti relativi ai fornitori, autorizzazioni, criteri di conservazione, modalità per ricevere e gestire richieste delle persone interessate e, quando appropriato al contesto, il registro dei trattamenti. Il valore del check-up non è accumulare documenti standard: è capire quali documenti hanno una funzione concreta e quali informazioni mancano per usarli con coerenza.

Per approfondire il tema del registro prima di trattarlo come un semplice adempimento, leggi anche il controllo documentale sul registro dei trattamenti.

Percorso diagnostico: dai processi ai documenti da sistemare

Un percorso diagnostico efficace procede per collegamenti verificabili tra attività, persone e carte disponibili. Tre controlli aiutano a evitare sia la raccolta indiscriminata di modelli sia la sottovalutazione dei passaggi quotidiani.

1. Ricostruire un trattamento partendo da un evento reale

Si sceglie un evento concreto, come la richiesta ricevuta dal sito, l’apertura di un rapporto con un cliente o l’inserimento di un nuovo dipendente. Per quell’evento si raccolgono le informazioni essenziali: da dove arrivano i dati, chi li consulta, con quali strumenti vengono gestiti, se vengono condivisi con soggetti esterni e quanto a lungo l’impresa prevede di conservarli. Questo passaggio rende visibili differenze che una sola informativa generale potrebbe non rappresentare.

Se, per esempio, un contatto commerciale viene gestito prima in email, poi in un gestionale e infine affidato a un collaboratore, il check-up esamina il flusso nel suo insieme. L’obiettivo è individuare i documenti e le istruzioni che possono accompagnare quel processo, non formulare giudizi automatici sull’operatività dell’impresa.

2. Confrontare il flusso con la documentazione disponibile

Dopo la mappatura, si confrontano le attività ricostruite con informative, moduli, nomine, autorizzazioni e procedure già in uso. Una informativa può richiedere una revisione quando descrive un canale non più utilizzato, trascura un soggetto coinvolto o non è allineata al linguaggio con cui l’impresa raccoglie i dati. Analogamente, un rapporto con un fornitore può meritare attenzione quando il fornitore tratta informazioni nell’ambito del servizio e la documentazione disponibile non riflette più la relazione operativa.

Questo confronto permette di distinguere ciò che può essere aggiornato con una sistemazione documentale da ciò che richiede prima una decisione aziendale. Ad esempio, se non esiste un criterio condiviso per conservare una certa categoria di documenti, non è prudente limitarsi a inserire una frase in un modello: può essere più utile definire prima chi conserva cosa, in quale archivio e con quale responsabilità organizzativa.

3. Stabilire una priorità e un responsabile interno

L’ultima parte del percorso traduce la verifica in attività gestibili. Una priorità può riguardare un’informativa utilizzata ogni giorno, l’aggiornamento delle autorizzazioni del personale, la ricostruzione dei fornitori che accedono ai dati o una procedura per gestire richieste ricevute da clienti e contatti. Per ogni intervento conviene associare il documento da recuperare, l’informazione ancora da chiarire e la persona interna che può contribuire alla raccolta.

Il risultato atteso è un ordine di lavoro: prima ciò che incide sui flussi correnti e sui documenti più usati, poi gli aspetti che dipendono da scelte organizzative o da un esame specialistico. In questo modo il check-up resta proporzionato all’attività e non si riduce a una cartella di file non collegati tra loro.

Quali documenti portare alla prima verifica

Non occorre disporre già di un archivio perfetto. Per avviare una prima lettura del caso è utile mettere a disposizione le informative usate con clienti, contatti, dipendenti o candidati, eventuali lettere di incarico e autorizzazioni interne, i documenti relativi a fornitori che gestiscono dati, il registro se presente e le procedure già adottate per archivi, conservazione o richieste degli interessati.

Aiutano anche informazioni non formalizzate: elenco dei principali software e servizi online, reparti o collaboratori che accedono ai dati, tipi di archivi cartacei, moduli impiegati sul sito e circostanze in cui vengono trasmessi dati a soggetti esterni. Se un documento non è disponibile, è preferibile segnalarlo: l’assenza diventa un elemento da valutare, non un motivo per ricostruire il contenuto per supposizione.

Per una raccolta più ordinata, approfondisci i documenti privacy da controllare in una PMI.

Confini del servizio e casi da approfondire

Un check-up documentale e organizzativo non equivale a una difesa legale completa, a un incarico di responsabile della protezione dei dati né a una valutazione della sicurezza informatica nel suo complesso. Il controllo può far emergere domande su contratti, scelte interpretative, sistemi, architetture tecniche o situazioni particolari; in base al caso concreto, questi passaggi possono richiedere il confronto con un professionista abilitato o con un consulente tecnico.

È opportuno coinvolgere lo studio in due momenti distinti: prima di introdurre un nuovo processo, un sito, un fornitore o un archivio che cambiano il flusso dei dati; e quando documenti esistenti risultano frammentati, datati o difficili da collegare alle attività svolte. Nel primo caso la verifica aiuta a impostare la raccolta delle informazioni; nel secondo aiuta a ordinare quanto già esiste e a individuare le priorità senza attribuire soluzioni preconfezionate.

Da verifica iniziale a piano di lavoro

Pacchettoprotezionedati propone questo servizio come verifica preventiva e sistemazione della documentazione privacy di base. Lo studio di commercialisti esamina il contesto operativo, i documenti disponibili e le informazioni da integrare, quindi organizza i prossimi passaggi in modo comprensibile per chi gestisce l’impresa. Per una prima valutazione è utile descrivere l’attività, indicare l’urgenza, segnalare i canali con cui vengono raccolti i dati e allegare o elencare i documenti già disponibili.

Hai informative, nomine o fornitori da ricostruire? Richiedi un check-up protezione dati indicando il contesto e il materiale da esaminare.