Adeguamento GDPR per PMI: una conformità che si dimostra, non una cartella di documenti.

Nessuno ti cerca. Sei tu che finisci sotto esame nel giorno peggiore.

"Sono una piccola azienda, chi vuoi che venga a controllare me" è il ragionamento più diffuso, e nasce da un equivoco: si immagina il rischio come un'ispezione a sorpresa. Nella realtà i controlli partono quasi sempre da un innesco, cioè il reclamo di un cliente o di un ex dipendente, oppure la segnalazione di una violazione dei dati. Il problema non è essere cercati: è essere esaminati quando qualcosa è già andato storto.

A quel punto contano i giorni, non le buone intenzioni. Un data breach va gestito in tempi strettissimi e un reclamo va riscontrato con documentazione che deve esistere già. Le sanzioni previste dal GDPR arrivano, nei casi più gravi, fino a 20 milioni di euro o al 4 per cento del fatturato annuo mondiale, e non esiste un importo minimo: l'entità dipende dalla gravità, dalla condotta e dalla cooperazione dell'azienda.

Nessuno può garantirti zero sanzioni, e diffida di chi lo promette: l'esito di un procedimento dipende dal Garante, non dal consulente. Quello che si può costruire prima è un impianto solido e dimostrabile, che è esattamente ciò che l'autorità valuta. L'accountability si costruisce quando le acque sono calme, non mentre corrono i termini di legge.