GDPR: 5 verifiche prima di inviare dati personali

La scansione di un documento d’identità, una pratica HR, una lista di clienti: appena un file contiene dati che permettono di identificare una persona, il suo invio è un trattamento di dati personali ai sensi del GDPR — e lo strumento utilizzato ne diventa un anello. Ecco le cinque verifiche da fare prima di cliccare su "invia".

Ti riguarda? (spoiler: sì)

Il GDPR non si applica solo alle grandi piattaforme: lo studio contabile che riceve buste paga, il fotografo che consegna ritratti, la PMI che trasmette una pratica HR — tutti trattano dati personali. La responsabilità non si delega allo strumento, ma la scelta dello strumento impegna.

1. Dove sono ospitati i dati

Prima domanda da porre al tuo servizio di trasferimento: dove vengono archiviati i file? Un hosting nello Spazio Economico Europeo semplifica radicalmente la conformità; un trasferimento fuori dal SEE richiede garanzie supplementari (decisione di adeguatezza, clausole contrattuali standard). TransferNow ospita i dati in Europa, con scelta della località a seconda dell’abbonamento.

2. Il quadro contrattuale (DPA)

Se agisci per conto di una persona giuridica, il servizio di trasferimento è il tuo responsabile del trattamento ai sensi dell’articolo 28: un accordo sul trattamento dei dati (DPA) deve regolare il rapporto. Verifica che esista e che sia accessibile — è un documento che il tuo DPO chiederà. Il nostro è pubblico, linkato dalla nostra informativa sulla privacy.

3. La durata di conservazione

Il GDPR impone di non conservare i dati più a lungo del necessario. Tradotto in trasferimento di file: un link che scade è un vantaggio di conformità. Privilegia una durata adatta al bisogno reale — 7 giorni spesso bastano — e un servizio che permette di disattivare il link non appena la consegna è avvenuta.

4. La tracciabilità

In caso di domande — da parte di un cliente, di un’autorità — devi poter dire chi ha avuto accesso ai dati. La notifica nominativa a ogni download fornisce questa traccia senza procedure aggiuntive: chi ha recuperato il file, e quando.

5. La minimizzazione

Il principio più semplice e più dimenticato: invia solo ciò che è necessario. La cartella completa "per sicurezza" moltiplica l’esposizione. Prima di ogni invio sensibile, una domanda: questo destinatario ha bisogno di tutti questi file?

Questi cinque punti non sostituiscono una consulenza legale — ma coprono ciò che un DPO verificherà per primo. Per la parte tecnica, la nostra checklist sicurezza completa questa.