Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Un allegato individuale può essere più delicato di un elenco molto più grande. Prima di decidere gli adempimenti bisogna leggere quali informazioni contiene, verificare chi lo ha ricevuto e ricostruire le copie possibili.
La situazione.
Scenario illustrativo fittizio. Uno studio trasmette a un referente aziendale il cedolino di un dipendente di un’altra società assistita. Il documento contiene retribuzione, codice fiscale, coordinate parziali e una voce che potrebbe rivelare un’assenza protetta. Il referente informa lo studio e dice di averlo aperto sul telefono personale.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Occorre chiarire se lo studio opera come responsabile del trattamento per la società cui appartiene il dipendente.
- 02
Le voci del documento possono rivelare informazioni ulteriori rispetto al semplice importo della retribuzione.
- 03
L’apertura su un telefono personale introduce copie e sincronizzazioni da verificare, non da presumere inesistenti.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
La prima domanda organizzativa riguarda i ruoli. Se tratta i dati per conto del datore di lavoro, lo studio deve informare il titolare senza ingiustificato ritardo, mettendolo nelle condizioni di valutare il rischio. Il contratto può prevedere tempi operativi più stringenti, ma non può trasformare lo studio nel soggetto che decide autonomamente tutti gli adempimenti del cliente.
La presenza di un solo interessato non rende il caso trascurabile. Dati retributivi, eventuali trattenute e informazioni che consentono inferenze sulla salute o sulla vita familiare possono avere effetti concreti. Il titolare valuta separatamente la notifica dell’articolo 33 e la comunicazione dell’articolo 34 GDPR. Documentare l’episodio serve anche se la conclusione motivata è che un obbligo di notifica non sussista.
Cosa fare, in pratica.
- 01
Ritirare il collegamento o interrompere la distribuzione del documento, evitando di chiedere l’inoltro del cedolino ad altre caselle per analizzarlo.
- 02
Informare il corretto titolare, quando lo studio agisce per suo conto, con una descrizione tempestiva dei fatti noti e delle incertezze residue.
- 03
Contattare il destinatario per eliminare allegato, download e copie sincronizzate, chiedendo una conferma circostanziata delle azioni effettivamente svolte.
- 04
Esaminare le voci del cedolino e il rapporto fra destinatario e interessato: la possibilità di riconoscerlo o contattarlo cambia la valutazione.
- 05
Separare i flussi dei clienti nello strumento di invio e verificare se l’abbinamento errato derivi da nomi di file ambigui o da un processo ripetibile.
L’errore da evitare.
Limitarsi a sostituire l’allegato e scrivere «ignori il precedente», senza avvisare il titolare e senza considerare i dati già letti.
Tre verifiche da portare con te.
- Ruolo dello studio e titolare identificati.
- Categorie del cedolino analizzate senza nuove diffusioni.
- Misura correttiva collegata alla causa dell’abbinamento errato.
La gravità dipende anche dalla qualità dell’informazione. Poche persone e un documento molto dettagliato possono richiedere grande attenzione.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.