Consulenza GDPR per studi
e imprese di Trieste

Cambia il regime: l’articolo 9 vieta in via generale il trattamento di dati come salute, convinzioni e appartenenza sindacale, e lo consente solo in presenza di una delle condizioni previste, alle quali per la sanità si affiancano le regole nazionali. Nella pratica quotidiana questo significa tre cose concrete: accessi ristretti per davvero e non solo sulla carta, un registro di chi ha aperto quale documento e conservazione limitata nel tempo. È anche il tipo di vincolo da cui è nato il progetto pii-legal, dove il riconoscimento dei dati personali avviene sul computer di chi lavora e il documento non lascia lo studio.

Ne fa una enorme. La pseudonimizzazione sostituisce i dati identificativi ma mantiene da qualche parte la corrispondenza per tornare indietro: il dato resta personale e il GDPR continua ad applicarsi per intero. L’anonimizzazione, per essere tale, deve rendere la reidentificazione non ragionevolmente possibile, e a quel punto il dato esce dal campo di applicazione. È una distinzione tecnica prima che giuridica, ed è esattamente il motivo per cui in pii-legal le due modalità sono separate e la seconda si sceglie alla creazione della pratica, senza possibilità di ripensamenti.

Si può, ma il livello di verifica sale rispetto a un’anagrafica ordinaria: dove risiedono i dati, chi sono i sub-fornitori del vostro fornitore, come sono cifrati, chi del suo personale può accedervi e con quali garanzie. In molti casi il risultato dell’analisi è che conviene tenere l’elaborazione in casa, e con i modelli che girano in locale oggi è tecnicamente praticabile anche su macchine ordinarie: è una scelta di architettura, e va fatta prima di costruire il sistema.

Sì, la sede operativa di Morfex è a Trieste in Via Giacinto Gallina 4. Per i progetti in città gli incontri di persona sono la norma, non l’eccezione: è il modo più rapido per allineare decisioni senza allungare i tempi con scambi di email.

Dalla mappatura, non dai documenti. Guardiamo quali dati personali trattate davvero e con quali strumenti: gestionale, email, cloud, fornitori esterni. Da lì nasce tutto il resto: registro, informative, nomine e la lista degli interventi tecnici. Partire dai moduli scaricati da internet è il modo più veloce per ritrovarsi con un raccoglitore che descrive un’azienda diversa dalla vostra.

La facciamo noi, ed è il motivo per cui siamo su questa pagina invece che in uno studio. Cancellazione selettiva dei dati, log degli accessi, tempi di conservazione, esportazioni: sono modifiche al software, non paragrafi da scrivere. A Trieste il tema si presenta soprattutto dove i dati sono delicati per natura: sanità, ricerca, assicurativo e studi professionali, dove il registro degli accessi non è un vezzo ma la prima cosa che vi verrà chiesta.

La ricognizione e la gap analysis richiedono di norma da tre a sei settimane, in base a quanti sistemi e fornitori ci sono di mezzo. Alla fine avete la mappa dei trattamenti, il registro, le informative, le nomine e, separata, la lista degli interventi tecnici con priorità e stima. Quella lista potete farla implementare a noi o a chi già mantiene i vostri sistemi: è scritta per essere eseguibile da chiunque.