Per rispettare il GDPR da freelance devi sapere quali dati personali utilizzi, per quali scopi e con quali responsabilità. Anche un indirizzo email professionale nominativo può essere un dato personale: lavorare senza dipendenti non ti esonera dalle regole.
La priorità è rendere tracciabili le decisioni, senza accumulare documenti generici. Parti dal ruolo che assumi in ogni incarico, poi organizza raccolta, accessi e cancellazione.
Titolare o responsabile: il ruolo dipende dall’attività
Nel lavoro digitale puoi ricoprire entrambi i ruoli, ma per trattamenti diversi.
Quando gestisci la tua attività
Se decidi finalità e mezzi essenziali del trattamento, sei titolare. Succede normalmente quando gestisci i contatti dei tuoi clienti, prepari preventivi o conservi dati per gli adempimenti fiscali.
Devi quindi individuare la base giuridica, fornire l’informativa e proteggere gli archivi. La qualifica dipende dalle decisioni effettive: scrivere una definizione diversa nel contratto non modifica ciò che fai.
Quando lavori sui dati del cliente
La gestione delle newsletter di un e-commerce è un caso d’uso concreto. Se utilizzi gli indirizzi degli iscritti per conto dell’impresa e secondo le sue istruzioni, puoi essere responsabile del trattamento.
Serve allora un accordo conforme all’articolo 28, con attività, durata, dati coinvolti e obblighi delle parti. Tra le clausole del contratto freelance, chiarisci anche istruzioni, fornitori autorizzati e gestione degli incidenti.
Informativa e consenso hanno funzioni diverse
Prima di raccogliere informazioni, collega ogni utilizzo a uno scopo preciso. Questo passaggio evita richieste inutili e autorizzazioni generiche.
Spiega cosa fai con i dati
Quando raccogli direttamente i dati come titolare, fornisci un’informativa accessibile al momento della raccolta. Indica identità e contatti, finalità, basi giuridiche, destinatari e tempi di conservazione, oppure i criteri per determinarli.
Includi inoltre i diritti delle persone e la possibilità di presentare reclamo al Garante. Se ricevi dati da altre fonti, possono applicarsi ulteriori obblighi informativi: riceverli dal committente non chiarisce automaticamente le tue responsabilità.
Scegli la base giuridica corretta
Il consenso è una delle basi giuridiche, non un’autorizzazione universale. Per i dati necessari a eseguire un contratto con la persona puoi fondarti sul contratto; per determinati adempimenti fiscali, sull’obbligo legale.
Non trasformare quindi l’accettazione dell’informativa in un consenso obbligatorio a qualsiasi utilizzo. Una newsletter promozionale richiede una valutazione separata: il fatto che qualcuno ti abbia chiesto un preventivo non ti autorizza automaticamente a iscriverlo.
Proteggi accessi, cloud e strumenti di intelligenza artificiale
Il GDPR richiede misure adeguate al rischio. Per i tuoi strumenti digitali, imposta password uniche, autenticazione a più fattori e permessi limitati alle persone necessarie. Aggiorna i dispositivi e prova il ripristino dei backup.
Nei servizi cloud considera anche gli accordi sul trattamento e gli eventuali trasferimenti fuori dallo Spazio economico europeo. Il marchio conosciuto non basta a definire le garanzie applicabili.
Prima di inserire documenti in servizi di intelligenza artificiale, definisci quali materiali puoi utilizzare e a quali condizioni. Eliminare i nomi non rende necessariamente anonimo un testo, se altri dettagli permettono di riconoscere le persone.
Infine, distingui protezione dei dati e segretezza commerciale: un accordo di riservatezza per freelance può tutelare informazioni aziendali, ma non sostituisce gli obblighi GDPR. Questa distinzione fa parte della cultura digitale professionale.
Organizza una procedura per ogni incarico
Il registro dei trattamenti descrive le attività che svolgi sui dati. L’esenzione sotto i 250 dipendenti non è automatica: conta anche se il trattamento è occasionale, comporta rischi o riguarda categorie particolari di dati.
Puoi utilizzare un foglio elettronico, anche in Google Sheets, con accessi riservati. Riporta le informazioni richieste, comprese finalità, categorie di dati e interessati, destinatari, conservazione e misure di sicurezza.
Per ogni nuovo progetto, segui questa sequenza:
- Elenca i dati necessari e il tuo ruolo, evitando di raccogliere informazioni estranee all’incarico.
- Collega ogni archivio alla finalità, alla base giuridica e alle persone autorizzate ad accedervi.
- Stabilisci tempi o criteri di conservazione, distinguendo materiali operativi e documenti soggetti a obblighi legali.
- Alla chiusura, revoca gli accessi inutili e applica restituzione o cancellazione secondo gli accordi e gli obblighi applicabili.
Prepara anche un canale per le richieste di accesso, rettifica o cancellazione. Quando operi come responsabile, trasmettile al titolare secondo le istruzioni ricevute.
In caso di violazione, distingui i tuoi obblighi
Un file inviato al destinatario sbagliato o un account compromesso può causare una violazione dei dati personali. Contieni l’incidente, conserva le informazioni utili e documenta ciò che è accaduto.
Se sei titolare, le indicazioni del Garante sui data breach prevedono la notifica senza ingiustificato ritardo, ove possibile entro 72 ore dalla conoscenza della violazione. L’obbligo non scatta quando è improbabile un rischio per i diritti e le libertà delle persone.
Se invece sei responsabile, avvisa tempestivamente il titolare: non aspettare di aver ricostruito ogni dettaglio.
La procedura telematica di notifica consente l’invio al Garante. La comunicazione alle persone coinvolte è un obbligo distinto, previsto quando il rischio è elevato, salvo le eccezioni applicabili. Come titolare, documenta anche le violazioni che non notifichi.
Parti da un archivio, rendi chiaro il processo
Gestire il GDPR da freelance richiede coerenza tra ciò che dichiari e ciò che fai. La tua procedura deve rendere riconoscibili responsabilità, accessi e destinazione finale dei dati.
Prima del prossimo incarico, scegli un archivio clienti e ricostruiscine il percorso. Se sai perché esiste, chi può usarlo e quando eliminarlo, hai una base concreta su cui lavorare.
