Pacchetto protezione dati GDPR: quali informazioni servono per ricostruire il caso

A cura diAndrea DicantoConsulente tecnico · Pubblicato il 17/09/2026

Per ricostruire correttamente un caso con un pacchetto protezione dati GDPR non basta riunire informative o modelli già presenti in azienda. Occorre collegare i documenti ai processi effettivi: quali dati vengono gestiti, per quale attività, da chi, in quali archivi o strumenti e con quali soggetti esterni. Questo consente di ottenere un quadro iniziale utilizzabile, senza considerare completa una documentazione che potrebbe non riflettere più l’operatività quotidiana.

Le informazioni più utili riguardano quindi le attività aziendali che comportano gestione di dati personali, le categorie di persone interessate, i soggetti che accedono alle informazioni, gli strumenti impiegati e la documentazione disponibile. Se emergono differenze tra quanto accade nella pratica e quanto risulta dai documenti, la priorità è chiarire quella differenza prima di aggiornare testi o predisporre nuove nomine.

In sintesi

• Partire dalle attività concrete evita di ricostruire il caso solo sulla base di modelli preesistenti.
• È utile separare i dati gestiti per clienti, contatti, dipendenti, collaboratori e fornitori in base ai processi che li riguardano.
• Informative, incarichi, nomine e altri documenti acquistano significato solo se coerenti con soggetti e strumenti realmente utilizzati.
• Un fornitore non censito, un archivio condiviso o un accesso interno non chiarito sono elementi da verificare, non irregolarità già accertate.
• La prima valutazione serve a ordinare le priorità documentali e operative, non a promettere un risultato di conformità.

Da quale problema partire nella ricostruzione

Il problema si riconosce spesso quando l’impresa possiede alcuni documenti privacy ma non riesce a rispondere con precisione a domande semplici: quali archivi vengono usati dal personale, chi riceve i dati fuori dall’organizzazione, quali attività sono rimaste uguali e quali sono cambiate, oppure quali documenti si riferiscono ancora ai rapporti attivi.

In questa situazione conviene non partire dall’aggiornamento immediato di una singola informativa. Una modifica isolata può lasciare in ombra il processo a cui l’informativa si riferisce, gli accessi interni, i fornitori coinvolti o i documenti collegati. Il punto centrale del pacchetto protezione dati GDPR è ricostruire la relazione tra attività, informazioni gestite e documentazione.

Un esempio ricorrente è l’uso di una piattaforma per contatti commerciali, assistenza, fatturazione o amministrazione. Il controllo interno può verificare chi utilizza lo strumento, quali informazioni vi sono inserite, se interviene un soggetto esterno e se esiste documentazione coerente con questa configurazione. Non è necessario attribuire subito un’etichetta al problema: prima è preferibile descrivere con chiarezza ciò che avviene.

Percorso diagnostico per ordinare le informazioni

Un percorso diagnostico efficace procede per collegamenti verificabili, non per una raccolta indistinta di file. L’obiettivo è rendere leggibile il caso concreto e individuare le aree che richiedono una valutazione successiva.

1. Ricostruire le attività. Si elencano le attività nelle quali circolano dati personali: gestione dei rapporti con clienti e contatti, amministrazione del personale, comunicazioni, archivi cartacei, strumenti digitali e rapporti con consulenti o altri fornitori. Per ciascuna attività è utile indicare il referente aziendale che ne conosce il funzionamento.
2. Individuare dati, persone e archivi. Per ogni attività si descrivono le categorie di informazioni gestite, le persone a cui si riferiscono, il luogo o strumento in cui sono conservate e chi può consultarli. Non occorre trasmettere il contenuto dei dati: nella prima ricostruzione è sufficiente una descrizione fedele della loro presenza e del loro utilizzo.
3. Confrontare operatività e documenti. Si affiancano alla mappa i documenti già disponibili, come informative, nomine, autorizzazioni interne, elenchi di fornitori, procedure o registrazioni organizzative. Le differenze vanno annotate in modo separato: documento assente, testo non più attuale, soggetto non identificato, processo non descritto o responsabilità interna non chiara.
4. Definire una sequenza di priorità. Le incongruenze non hanno tutte lo stesso impatto operativo. Può essere ragionevole affrontare prima quelle che riguardano un processo attivo, un fornitore effettivamente utilizzato o un documento necessario per comprendere chi opera e con quali informazioni. Le valutazioni più complesse restano distinte dalle semplici correzioni organizzative.

Le nomine costituiscono un punto da analizzare insieme alla configurazione reale dei rapporti, non una formalità da compilare in automatico. Approfondisci quali nomine privacy possono essere rilevanti per dipendenti e fornitori quando occorre collegare ruoli, accessi e documentazione disponibile.

Incongruenze da chiarire prima di aggiornare i documenti

La ricostruzione è più affidabile se distingue i fatti noti dalle informazioni da confermare. Per esempio, un’informativa datata non consente da sola di stabilire se sia ancora adatta: va confrontata con i destinatari attuali, con le attività svolte e con gli strumenti effettivamente impiegati. Allo stesso modo, l’assenza di un documento nell’archivio non dimostra che il documento non sia mai esistito; può indicare una lacuna di reperimento o una gestione documentale da ordinare.

Tra le incongruenze che meritano attenzione rientrano i fornitori che gestiscono o ricevono informazioni senza comparire nell’elenco disponibile, gli strumenti adottati nel tempo senza un riesame documentale, i cambiamenti nella distribuzione degli accessi interni e gli archivi per i quali non è chiaro il criterio organizzativo di conservazione. Anche le attività occasionali possono richiedere una descrizione, se coinvolgono dati personali e soggetti esterni.

È buona pratica raccogliere questi elementi in una tabella di lavoro, distinguendo la fonte dell’informazione, il processo interessato, il documento già disponibile e il punto che resta da verificare. La tabella non sostituisce una valutazione professionale, ma evita che aggiornamenti successivi siano fondati su ricostruzioni parziali.

Quale decisione prendere dopo la prima ricostruzione

Una volta ordinati i dati disponibili, la decisione non è necessariamente predisporre un intero nuovo set documentale. Se attività e documenti risultano coerenti, può bastare programmare un controllo organizzativo mirato. Se invece emergono processi non descritti, rapporti con fornitori non ricostruiti o ruoli interni incerti, conviene definire una priorità e valutare gli interventi connessi.

Il coinvolgimento dello studio è particolarmente utile quando non è chiaro se un cambiamento operativo abbia effetti sulla documentazione, quando i documenti disponibili sono frammentari oppure quando occorre coordinare informazioni provenienti da amministrazione, personale, commerciale e fornitori. In base al caso concreto, alcuni passaggi possono richiedere il confronto con professionisti abilitati o con professionisti associati.

Alessio Ferretti STP, studio di commercialisti, può esaminare e gestire professionalmente il caso concreto nel perimetro del servizio: raccoglie le informazioni sui processi effettivi, verifica la documentazione disponibile, individua le lacune e organizza i successivi passaggi con priorità comprensibili.

Come preparare il primo contatto

Per una prima valutazione è utile descrivere nel form la situazione, il livello di urgenza e un elenco dei documenti già disponibili, indicando ad esempio informative, nomine, elenchi di fornitori, procedure o documenti organizzativi. Non occorre allegare dati personali, documenti riservati o archivi: l’eventuale trasmissione di documenti potrà avvenire dopo il contatto, tramite un canale sicuro concordato con lo studio.

Se occorre mettere ordine tra processi, soggetti e documenti, richiedi una consulenza per sottoporre il caso concreto ad Alessio Ferretti STP.