GDPR per startup: cosa fare davvero, fase per fase

Il GDPR si applica anche a una startup di tre persone?

Sì. Il Regolamento (UE) 2016/679 non prevede una soglia minima di fatturato o di dipendenti: si applica a chi tratta dati personali nell'ambito delle attività di uno stabilimento nell'Unione (art. 3). Una startup con sede in Italia che raccoglie email, account o dati di pagamento è titolare del trattamento dal primo giorno, che sia già iscritta come startup innovativa o no.

La dimensione conta solo per alcuni obblighi, come il registro dei trattamenti, e anche lì con eccezioni che un prodotto digitale incontra quasi sempre. Il Regolamento vale anche per le società fuori dall'UE che offrono beni o servizi a persone che si trovano nell'Unione o ne monitorano il comportamento: un concorrente americano con utenti italiani ha i tuoi stessi obblighi.

Il tetto delle sanzioni fa notizia, ma per una startup la prima verifica può arrivare prima e da altre parti: il questionario di sicurezza di un cliente aziendale, o la due diligence di un investitore che trova dati raccolti senza una base giuridica.

Cosa deve fare una startup per essere in regola con il GDPR?

Deve trasformare i principi del Regolamento in otto abitudini, in quest'ordine. È la nostra checklist operativa: copre il minimo serio per un prodotto early stage e va completata con un consulente privacy o un avvocato man mano che dati e clienti crescono.

Serve il registro dei trattamenti se hai meno di 250 dipendenti?

Quasi sempre sì. L'art. 30, par. 5, esonera le organizzazioni sotto i 250 dipendenti solo se il trattamento è occasionale, non presenta rischi per le persone e non riguarda dati particolari o giudiziari. Una startup che gestisce ogni giorno account e dati dei clienti tratta dati in modo tutt'altro che occasionale.

Il Garante lo spiega nelle sue FAQ sul registro: il registro va tenuto in forma scritta, anche elettronica, da chi tratta dati in modo non occasionale; fuori dai casi obbligatori lo raccomanda comunque a tutti, e per le PMI mette a disposizione un modello semplificato.

Una startup deve nominare un DPO?

Dipende da cosa fa il prodotto, non da quanto è grande l'azienda. L'art. 37 rende obbligatorio il responsabile della protezione dei dati (DPO) quando le attività principali consistono nel monitoraggio regolare e sistematico di persone su larga scala, oppure nel trattamento su larga scala di dati particolari (per esempio sanitari) o relativi a reati. Un'app di salute digitale o un servizio di tracciamento comportamentale possono rientrarci anche con pochi dipendenti. Se il tuo prodotto non fa nessuna di queste cose su larga scala, la nomina non è obbligatoria, ma resta una scelta possibile.

Cosa chiede il Garante per il banner dei cookie?

Chiede che i cookie e gli altri strumenti di tracciamento non tecnici partano solo dopo un consenso esplicito. Le linee guida del Garante del 10 giugno 2021 fissano regole molto concrete:

• chiudere il banner con la X equivale a mantenere le impostazioni predefinite, cioè nessun tracciamento non tecnico;
• lo scroll, da solo, non vale come consenso;
• il cookie wall (accesso bloccato a chi non accetta) è in linea di massima illegittimo, salvo un'alternativa equivalente senza tracciamento, da valutare caso per caso;
• dopo un rifiuto il banner non va riproposto prima di sei mesi, salvo cambiamenti nelle condizioni del trattamento;
• gli analytics possono essere trattati come cookie tecnici solo a condizioni rigorose, tra cui il mascheramento di almeno una parte dell'indirizzo IP e l'uso per statistiche aggregate;
• deve restare sempre disponibile un modo per rivedere le scelte.

Vale anche per la landing page di validazione: se installi un pixel pubblicitario, serve il consenso prima che parta. Gli altri obblighi del sito di una startup innovativa sono nella guida sul sito web della startup innovativa.

Si possono usare strumenti americani per cloud, email e analytics?

Sì, se il trasferimento dei dati ha una base valida. Dal 10 luglio 2023 la Commissione europea consente il trasferimento verso le società statunitensi che aderiscono all'EU-US Data Privacy Framework (pagina della Commissione); per gli altri fornitori servono strumenti come le clausole contrattuali standard. Il quadro attuale nasce dopo la sentenza Schrems II della Corte di giustizia (luglio 2020): per i fornitori critici conviene sapere in anticipo quale sarebbe l'alternativa.

Come si applica la privacy by design a un MVP?

Decidendo nel codice, non nell'informativa, quali dati raccogliere. L'art. 25 chiede di integrare la protezione dei dati fin dalla progettazione e di trattare per impostazione predefinita solo i dati necessari. Su un MVP vuol dire: niente campi obbligatori che non servono, ruoli e permessi dal primo rilascio, log senza dati personali in chiaro, un modo per cancellare davvero un account. Se il prodotto usa modelli di intelligenza artificiale sui dati dei clienti, le domande in più sono nella guida su GDPR e intelligenza artificiale.

Quando arrivi al round, la privacy diventa una voce della due diligence come il codice e i contratti: ne parliamo nella guida al seed round e ai business angel.

Cosa fare in caso di data breach?

Notificarlo al Garante senza ingiustificato ritardo e, se possibile, entro 72 ore da quando ne sei venuto a conoscenza, a meno che sia improbabile un rischio per le persone (art. 33). Dal 1° luglio 2021 la notifica si fa con la procedura online del Garante, che offre anche uno strumento di autovalutazione (pagina sul data breach). Se il rischio è elevato vanno avvisate anche le persone coinvolte (art. 34). Ogni violazione va comunque documentata, anche quella che non notifichi.