In azienda, gli HR maneggiano quotidianamente dati personali e sensibili: dettagli sui dipendenti, informazioni mediche, dati finanziari, fiscali e retributivi più altre informazioni riservate. Se questi dati non sono gestiti con cura, l’azienda rischia di trovarsi in situazioni critiche che possono rilevarsi ad alto impatto per la sua organizzazione e la sua reputazione.
Indice
Nuovi Strumenti per la sicurezza aziendale
L’evoluzione tecnologica ha introdotto una serie di strumenti che possono aiutare le HR a garantire la gestione dei dati in sicurezza in azienda. Questi strumenti vanno implementati con i necessari adempimenti richiesti dal GDPR. Perché la sicurezza utilizza delle informazioni personali sulle attività svolte dagli utenti. Gli strumenti esistenti sono i seguenti:
- Piattaforme di archiviazione criptata per proteggere documenti sensibili e ridurre i rischi di accessi non autorizzati.
- Soluzioni di monitoraggio delle attività sui dispositivi aziendali per garantire l’uso conforme di internet, e-mail e software aziendali.
- Strumenti di Data Loss Prevention (DLP) per evitare fughe di dati tramite e-mail o cloud.
- Strumento di gestione delle informazioni e degli eventi sulla sicurezza (SIEM) per riconoscere e affrontare potenziali minacce e vulnerabilità della sicurezza attraverso l’analisi dei log di accesso degli utenti.
I fondamenti di liceità e gli Adempimenti GDPR per le Risorse Umane
I dipartimenti HR devono attenersi a normative specifiche per il trattamento e la protezione dei dati. Di seguito i principali testi e strumenti in vigore:
- Statuto dei Lavoratori
Ogni attività di monitoraggio di dati che coinvolgono i dipendenti di un’azienda, come la videosorveglianza o il controllo delle attività e log di accesso per finalità di sicurezza, deve rispettare il diritto alla riservatezza dei lavoratori. Per esempio, queste attività, che potrebbero dare informazioni sulle abitudini lavorative dei dipendenti, richiedono preventivamente un accordo con i sindacati o l’autorizzazione della Direzione Territoriale del Lavoro, in conformità con l’articolo 4 dello Statuto. - Videosorveglianza sui Luoghi di Lavoro
La videosorveglianza deve essere limitata a scopi legittimi (es. sicurezza dei beni e delle persone) e mai utilizzare i dati per il controllo diretto dell’attività lavorativa. È obbligatorio seguire le linee guida del Garante in ambito, predisporre un’analisi d’impatto, comunicare un’informativa privacy ed affiggere cartelli di segnaletica visibili. - Disciplinare Tecnico sull’Uso dei Dispositivi Digitali, della Posta Elettronica e di Internet
Un regolamento interno deve chiarire le modalità d’uso dei dispositivi aziendali, indicando le finalità del trattamento dei dati, stabilendo eventuali limiti all’utilizzo privato e delineando i comportamenti corretti da tenere in azienda. La verifica dell’utilizzo deve essere trasparente e proporzionata. - Disciplinare per l’Uso dei Social Media
Le HR devono regolamentare l’uso dei social media per proteggere la reputazione aziendale e prevenire comportamenti lesivi. I dipendenti devono essere informati su cosa rappresenti una condotta accettabile e sulle eventuali ripercussioni legali.
Le sanzioni per una Gestione dei Dati non Conforme
L’inosservanza del GDPR comporta sanzioni fino al 4% del fatturato annuo globale, ma le conseguenze non si fermano alle multe. La violazione dei dati può esporre le PMI a rischi reputazionali, blocco dell’attività di trattamento in causa, perdita di fiducia e danni alle relazioni con clienti e dipendenti. Questi effetti negativi si estendono anche al morale dei lavoratori, che si aspettano che le proprie informazioni siano gestite in modo sicuro e riservato.
Casi Pratici di Comportamenti a Rischio di Violazione del GDPR in azienda
- Violazione di confidenzialità per condivisione di Dati riservati
- Un addetto HR condivide, in modo non intenzionale, una lista nominativa di dipendenti contenente dati sensibili (ad esempio, retribuzioni o dettagli sanitari) durante una riunione con un altro reparto.
- Violazione del principio di conservazione per dati non necessari
- Un dipendente lascia l’azienda, ma i suoi dati personali continuano a essere conservati per anni senza motivo legittimo e la sua posta elettronica è sempre accessibile. Tali comportamenti possono esporre l’azienda a rischi di violazione.
- Violazione di confidenzialità per Accessi ai dati non Autorizzati
- Un collaboratore accede al sistema di sicurezza degli accessi HR per visualizzare informazioni non pertinenti al proprio ruolo, come attività svolte da altri colleghi, navigazione su internet e lo divulga ad altri dipendenti.
- Violazione di disponibilità per Perdita di Documentazione Cartacea
- Contratti di lavoro e fascicoli personali sono lasciati incustoditi negli uffici o vengono smarriti durante un trasferimento, violando la riservatezza.
Di seguito, un esempio pratico di un incidente legato alla condivisione di dati sensibili a persone non autorizzate che si è verificato quando un’azienda ha accidentalmente condiviso informazioni personali di dipendenti durante un meeting interno a scopo di illustrazione del Gender gap. In un caso documentato, un addetto HR ha inviato una lista di dipendenti con dettagli sensibili, come retribuzioni e informazioni sanitarie, ad un reparto non autorizzato. Questo tipo di errore è stato attribuito ad una mancanza di istruzioni operative aziendali, indicazioni sulle misure di sicurezza da rispettare e assenza di formazione specifica sui principi del GDPR come la confidenzialità, la proporzionalità e la minimizzazione, pilastri della protezione dei dati. A seguito di un reclamo depositato, l’Autorità Garante ha effettuato un’ispezione presso l’azienda.
Le conseguenze per l’azienda possono essere significative:
- Legali: L’azienda può incorrere in sanzioni da parte dell’Autorità Garante per la protezione dei dati. In questo caso, l’azienda ha ricevuto una sanzione amministrativa significativa poiché non aveva implementato procedure adeguate e misure di sicurezza per prevenire la condivisione non autorizzata di informazioni sensibili. In aggiunta, l’Autorità Garante ha richiesto l’implementazione delle raccomandazioni definite nel provvedimento sanzionatorio entro 30 giorni.
- Reputazionali: Anche se l’incidente è interno, i dipendenti coinvolti possono perdere fiducia nell’organizzazione e lasciare il posto di lavoro, specialmente se i dati sensibili divulgati includono informazioni riservate considerate altamente personali. Il provvedimento sanzionatorio dell’Autorità Garante, diventando pubblico può ledere la reputazione dell’azienda che potrebbe incontrare difficoltà nell’assunzione di nuovi talenti e nella partecipazione a gare pubbliche.
- Operative: Per riparare ai danni, l’azienda deve correre al riparo nel rispetto della scadenza comunicata dall’Autorità Garante, introdurre nuove policy, formare il personale e cambiare radicalmente i sistemi di gestione dei dati, comportando costi aggiuntivi significativi e interruzioni operative.
- Finanziarie: Per rispettare le scadenze imposte dall’Autorità Garante, la società deve agire in fretta rischiando di dover supportare un costo sproporzionato ed ottenere un risultato superficiale e senza efficacità che non sia calato nel proprio contesto aziendale.
Un caso simile ha mostrato come la condivisione di dati protetti per legge e non essenziali alla finalità perseguita, può esporre sia i dipendenti che l’azienda a rischi significativi. Per evitare tali violazioni di legge, è fondamentale adottare misure di sicurezza tecniche con sistemi di gestione dei dati che limitano gli accessi in funzione del ruolo aziendale (need to know) e condurre una formazione periodica per garantire che il personale sappia come trattare i dati in conformità al GDPR nel rispetto dei diritti e delle libertà delle persone coinvolte.
Come Le Risorse Umane Possono Promuovere la Conformità al GDPR
Il dipartimento HR, con il supporto di professionisti esperti, può implementare azioni per migliorare la sicurezza e la gestione dei dati. Tuttavia, ogni soluzione deve essere personalizzata sulle esigenze aziendali specifiche e richiede una consulenza approfondita.
Ecco alcune aree chiave su cui focalizzarsi:
- Modello organizzativo e autorizzazioni interne
I dipendenti possono agire e utilizzare dati personali solo in funzione del loro ruolo e delle loro esigenze lavorative seguendo specifiche istruzioni di sicurezza e di confidenzialità. I dipendenti ricevono specifiche autorizzazioni operative.
- Sensibilizzazione e Formazione Interna
I dipendenti devono comprendere l’importanza della protezione dei dati e conoscere la legge da applicare nel contesto operativo aziendale. Il personale va supportato con dei processi operativi definiti in conformità con la legge.
- Valutazione dei Processi Interni
È fondamentale analizzare ogni fase della gestione dei dati per identificare vulnerabilità, rischi di violazione, rispetto dei diritti delle persone fisiche ed inefficienze operative. Questa valutazione va effettuata su processi esistenti e sui progetti con l’applicazione del Principio di Privacy By Design e By Default del GDPR.
- Minimizzazione e proporzionalità dei Dati
Conservare solo i dati necessari e per il tempo strettamente richiesto dalle normative per il raggiungimento delle finalità operative. Limitare l’accesso ai dati personali in azienda e classificare i dati in funzione del loro livello di confidenzialità.
- Sicurezza Tecnologica e Operativa
Collaborare con il dipartimento IT per definire protocolli di sicurezza adeguati e adottare tecnologie che proteggano l’accesso ai dati e diminuiscono le vulnerabilità aziendali.
Perché è Importante Rivolgersi a Esperti
La protezione dei dati è regolamentata dal GDPR, leggi locali e linee guida specifiche dell’Autorità, la sua applicazione richiede competenze specialistiche ed aggiornamento continuativo. In molti casi, è necessario lavorare con professionisti che possiedono un discreto livello di conoscenza in settori di attività diversi e un’esperienza consolidata per gestire la pluralità di situazioni che si possono presentare in azienda. Il ruolo principale del professionista in carico alla protezione dei dati personali è di:
- Comprendere i processi
- Identificare e mitigare i rischi nascosti.
- Creare procedure su misura per ogni realtà aziendale.
- Erogare una formazione specifica
- Supportare l’azienda in caso di ispezioni o reclami.
Il GDPR non è solo un obbligo legale, ma un’opportunità per le PMI che permette di migliorare la fiducia dei dipendenti e la propria reputazione sul mercato. Contatta un consulente esperto per capire come proteggere il tuo business.
Vuoi sapere come adattare queste strategie alla tua azienda? Contattaci per una consulenza personalizzata. Roberto Tamponi esperto in politiche HR e Fabienne Flesia esperta di GDPR ti supporteranno passo dopo passo.