Come individuare i trattamenti di dati personali svolti da una PMI?

A cura diDott. Alessio FerrettiDottore Commercialista · Pubblicato il 15/10/2026

Per individuare i trattamenti di dati personali svolti da una PMI conviene partire dal lavoro effettivo, non dai modelli privacy già presenti in archivio. Ogni attività nella quale l’impresa raccoglie, consulta, registra, usa, comunica, conserva o elimina informazioni riferibili a persone può costituire una voce da esaminare nella mappatura. L’obiettivo pratico è ottenere un elenco leggibile di attività distinte, ciascuna collegata a dati usati, persone coinvolte, strumenti, soggetti esterni e documenti da confrontare.

La distinzione decisiva non è tra documenti “presenti” e “mancanti”, ma tra processi diversi. Gestire candidature, amministrare il personale, emettere documenti commerciali, rispondere a richieste ricevute dal sito o usare una piattaforma condivisa sono situazioni da descrivere separatamente quando cambiano lo scopo operativo, le persone interessate, i dati utilizzati, chi può accedervi oppure il percorso delle informazioni. Questa ricostruzione consente di capire quali informative, incarichi, nomine, archivi e procedure meritano un controllo interno.

Partire dalle attività che muovono i dati

Una mappatura utile comincia con un inventario delle aree di lavoro e con una domanda semplice: in quale momento una persona consegna o genera dati che l’impresa utilizza? La risposta non va cercata soltanto nella posta elettronica o nelle cartelle condivise. Può emergere da un modulo, da una telefonata annotata, da un gestionale, da una piattaforma per appuntamenti, da una procedura di selezione, da un archivio cartaceo o dall’accesso di un fornitore a uno strumento aziendale.

Per ciascuna attività, è buona pratica annotare un nome operativo preciso. “Gestione clienti” è spesso troppo ampia; “raccolta richieste di preventivo”, “gestione ordini” e “assistenza successiva” rendono invece visibili passaggi diversi. Lo stesso criterio vale per il personale: candidature, inserimento, gestione quotidiana e cessazione del rapporto possono usare dati, archivi e interlocutori differenti.

Una voce della mappa diventa abbastanza concreta quando permette a chi lavora in azienda di riconoscere il processo senza interpretazioni astratte. Se una descrizione potrebbe riferirsi a tre uffici diversi, conviene spezzarla. Se due descrizioni indicano lo stesso passaggio, conviene accorparle e mantenere una sola voce con un responsabile interno di riferimento.

Schema operativo del fascicolo

1. Dal dato iniziale all’attività. Per ogni area aziendale si individua l’evento che avvia il flusso: una richiesta, un contratto, una candidatura, un contatto, un rapporto di lavoro o un accesso a un servizio. Si annotano le categorie di informazioni concretamente usate, evitando etichette generiche quando il processo richiede dati ulteriori o diversi.
2. Dall’attività agli strumenti e ai soggetti. Si ricostruisce dove passano i dati: archivio cartaceo, casella email, software gestionale, foglio di calcolo, servizio online o dispositivo aziendale. Accanto a ciascuno strumento si indicano le funzioni interne che lo usano e gli eventuali soggetti esterni coinvolti nel servizio.
3. Dagli strumenti ai documenti. Per ogni voce si confrontano l’informativa disponibile, le autorizzazioni interne, le lettere di incarico, le nomine dei fornitori, le istruzioni operative e gli eventuali riepiloghi già predisposti. Il confronto serve a far emergere se il documento descrive davvero l’attività osservata.
4. Dalla differenza alla decisione. Nel fascicolo, per ciascuna incongruenza rilevata si annota una scelta operativa: integrare la ricostruzione, aggiornare un testo, chiarire un ruolo, richiedere informazioni a un fornitore oppure separare due processi che erano stati riuniti. In questo modo il fascicolo non resta un elenco di carte, ma diventa una base per definire le priorità.

Questo flusso documentale aiuta anche a non confondere la gestione privacy con la sicurezza informatica tecnica. La mappatura descrive chi usa i dati, per quale attività e attraverso quali strumenti; non equivale a una verifica di firewall, backup, vulnerabilità o continuità dei sistemi.

Come riconoscere le incongruenze che meritano priorità

Il passaggio risolutivo consiste nel mettere affiancati processo e documento. Se un’informativa parla della raccolta di contatti commerciali, ma nella pratica il medesimo canale riceve anche candidature o richieste di assistenza, non è sufficiente registrare che esiste un’informativa: occorre distinguere le raccolte e capire quale documento le descrive. Analogamente, se un fornitore compare nella fatturazione ma utilizza anche un ambiente digitale con informazioni personali, il rapporto va ricostruito per il servizio effettivamente svolto, non soltanto per il nome riportato in contabilità.

Le incongruenze più utili da segnalare nel fascicolo sono quelle verificabili. Per esempio: un archivio usato da un ufficio non compare nella ricostruzione; una funzione interna accede a dati senza risultare nei documenti disponibili; un servizio esterno è noto al reparto operativo ma non alla persona che conserva le nomine; oppure un’attività continua a produrre dati mentre il criterio di conservazione non è stato definito nel percorso organizzativo. Queste differenze indicano gli elementi da confrontare prima di decidere come aggiornare la documentazione.

Conviene attribuire priorità alle voci che combinano più elementi: dati distribuiti su strumenti diversi, più persone coinvolte, accessi esterni, documenti non allineati o difficoltà nel ricostruire chi svolge una determinata operazione. Una semplice tabella con attività, referente interno, strumenti, soggetti coinvolti, documenti disponibili e decisione successiva può rendere la mappatura utilizzabile anche durante gli aggiornamenti futuri.

Quando il problema riguarda soprattutto testi datati, incarichi non coerenti o autorizzazioni interne da ricostruire, può essere utile approfondire gli errori in informative, nomine e autorizzazioni interne. L’approfondimento serve a leggere la documentazione dopo aver identificato il processo concreto, non a sostituire la ricostruzione iniziale.

Quando coinvolgere lo studio per ordinare la mappa

È opportuno coinvolgere lo studio quando l’impresa non riesce a ricostruire il collegamento tra attività, strumenti e documenti, oppure quando emergono fornitori, archivi o raccolte di dati che nessuno riesce ad attribuire con chiarezza a un processo. Alessio Ferretti STP, studio di commercialisti, può esaminare e gestire professionalmente il caso concreto nel perimetro del servizio: raccoglie le informazioni sui trattamenti effettivi, confronta la documentazione privacy disponibile e aiuta a ordinare lacune e priorità operative. Quando servono competenze ulteriori, il confronto può essere coordinato con professionisti associati.

Per orientare una prima valutazione senza trasformarla in un questionario, è sufficiente descrivere la situazione, l’urgenza e l’elenco dei documenti disponibili; risultano particolarmente utili le aree aziendali coinvolte, gli strumenti che non si riescono a ricostruire e i fornitori o archivi sui quali esiste un dubbio. Dopo il contatto si possono concordare le modalità di trasmissione delle informazioni necessarie.

Richiedi una consulenza per una prima valutazione senza impegno.