GDPR per freelance e Partita IVA: informativa, registro, cloud e clienti

Il GDPR riguarda anche freelance e professionisti con Partita IVA quando trattano dati personali di clienti, contatti, fornitori, collaboratori o utenti. Il regime forfettario non crea esenzioni privacy: gli obblighi dipendono dai trattamenti effettuati, non dal modo in cui paghi le imposte.

Per essere conformi non basta pubblicare una privacy policy sul sito. Occorre capire quali dati raccogli, perché li utilizzi, su quale base giuridica, con chi li condividi, per quanto tempo li conservi e quali misure adotti per proteggerli.

GDPR e Partita IVA: da dove partire

• mappa i dati personali che raccogli;
• individua finalità e base giuridica;
• prepara informative corrette;
• verifica fornitori e responsabili del trattamento;
• valuta se devi tenere il registro dei trattamenti;
• definisci tempi di conservazione;
• proteggi account, dispositivi, cloud e backup;
• predisponi una procedura per richieste degli interessati e data breach.

Il forfettario non cambia gli obblighi privacy

Essere in regime forfettario riguarda imposte, fatturazione e adempimenti fiscali. Il GDPR si applica invece al trattamento dei dati personali. Un freelance senza dipendenti può quindi avere obblighi privacy importanti se gestisce dati dei clienti in modo continuativo o tratta categorie particolari di dati.

Quali dati tratta normalmente un freelance

Anche un’attività molto piccola può trattare nome, cognome, email, telefono, indirizzo, codice fiscale, partita IVA, coordinate bancarie, dati contenuti in contratti e fatture, messaggi, file condivisi, credenziali o informazioni fornite durante la prestazione.

Professionisti sanitari, legali, consulenti del lavoro e altri soggetti possono inoltre trattare categorie particolari o dati relativi a condanne e reati, con obblighi più delicati.

Informativa privacy: quando serve

Gli articoli 13 e 14 del GDPR richiedono che l’interessato riceva informazioni chiare sul trattamento. L’informativa dovrebbe indicare almeno titolare, finalità, base giuridica, eventuali destinatari, trasferimenti, tempi di conservazione o criteri utilizzati, diritti dell’interessato e modalità per esercitarli.

L’informativa va adattata al contesto. Un modulo contatti, una newsletter, un incarico professionale e la gestione di dati per conto di un cliente possono richiedere documenti o ruoli diversi.

Consenso: non serve sempre

Uno degli errori più comuni è chiedere il consenso per qualsiasi trattamento. Il GDPR prevede più basi giuridiche. Per esempio, molti dati necessari a preparare un preventivo, eseguire un contratto, emettere fatture o rispettare obblighi di legge possono essere trattati senza basarsi sul consenso.

Il consenso può invece essere necessario in altri contesti, come determinate attività di marketing o trattamenti per i quali non esiste un’altra base giuridica adeguata. Va raccolto in modo libero, specifico, informato e revocabile.

Cliente, titolare e responsabile: capire il proprio ruolo

Un freelance può essere titolare del trattamento per i dati dei propri clienti e fornitori e, contemporaneamente, responsabile del trattamento quando tratta dati per conto di un cliente seguendone le istruzioni.

È il caso, per esempio, di alcuni sviluppatori, assistenti virtuali, consulenti marketing, software house o fornitori che accedono a CRM e database del cliente.

Contratto art. 28 con il cliente

Quando il professionista agisce come responsabile del trattamento, il rapporto deve essere disciplinato da un contratto o altro atto giuridico conforme all’articolo 28 GDPR. Il documento deve specificare natura e finalità del trattamento, durata, categorie di dati e interessati e gli obblighi del responsabile.

La designazione privacy non sostituisce il normale contratto con il cliente: i due documenti rispondono a finalità diverse e devono essere coordinati.

Registro delle attività di trattamento: quando è obbligatorio

Il Garante Privacy chiarisce che l’esenzione per organizzazioni con meno di 250 dipendenti è limitata. Il registro è richiesto anche sotto questa soglia quando il trattamento non è occasionale, può presentare rischi per i diritti e le libertà oppure riguarda categorie particolari di dati o dati relativi a condanne e reati.

Per questo molti professionisti che trattano stabilmente dati dei clienti rientrano nell’obbligo. Il Garante raccomanda comunque il registro anche fuori dai casi obbligatori, perché è uno strumento utile di accountability.

Cosa inserire nel registro

• categorie di interessati e dati;
• finalità del trattamento;
• base giuridica, quando opportuno;
• destinatari;
• eventuali trasferimenti extra SEE;
• tempi di cancellazione o criteri di conservazione;
• misure tecniche e organizzative di sicurezza.

Il registro deve essere aggiornato quando cambiano strumenti, finalità, categorie di dati o fornitori.

Cloud, Google Drive, Dropbox e software SaaS

Usare servizi cloud non è vietato, ma devi capire quale ruolo svolge il fornitore, quali dati riceve, dove vengono trattati, quali garanzie contrattuali offre e se sono previsti trasferimenti verso Paesi terzi.

Non basta quindi scegliere uno strumento perché è popolare. Per servizi che trattano dati per tuo conto verifica accordo sul trattamento, misure di sicurezza, sub-responsabili e localizzazione dei dati.

Email, newsletter e CRM

L’email utilizzata per gestire un incarico può basarsi sull’esecuzione del contratto o su altre basi adeguate. L’invio di comunicazioni promozionali richiede invece una valutazione specifica e non va confuso con la normale gestione del cliente.

Se utilizzi piattaforme di newsletter o CRM, queste possono essere responsabili del trattamento e devono essere incluse nella mappatura dei fornitori.

Quanto tempo conservare i dati

Il GDPR non stabilisce un unico termine valido per ogni dato. Devi definire tempi coerenti con finalità, obblighi legali, necessità contrattuali e difesa dei diritti. I documenti fiscali possono essere soggetti a tempi di conservazione diversi rispetto a lead commerciali, richieste di preventivo, registrazioni di call o file di progetto.

Sicurezza: misure minime operative per un freelance

• password uniche e gestore password;
• autenticazione a due fattori;
• aggiornamenti di sistema e software;
• cifratura del dispositivo quando disponibile;
• backup protetti;
• accessi limitati ai soli dati necessari;
• revoca degli accessi a collaboratori che terminano l’incarico;
• attenzione a phishing e condivisioni pubbliche involontarie.

Data breach: cosa fare se perdi o esponi dati

Un data breach può derivare da furto del computer, invio di un file al destinatario sbagliato, account compromesso, ransomware o condivisione pubblica accidentale. La violazione va analizzata rapidamente per capire rischio, misure da adottare e se ricorrono gli obblighi di notifica all’autorità e agli interessati previsti dal GDPR.

Privacy policy del sito e informativa clienti non sono la stessa cosa

La privacy policy del sito descrive i trattamenti legati alla navigazione, ai moduli e agli strumenti online. L’informativa fornita ai clienti può invece riguardare contratto, fatturazione, gestione dell’incarico e altri trattamenti professionali. Copiare una policy generica dal web rischia quindi di lasciare scoperti trattamenti effettivamente svolti.

Errori da evitare

• chiedere sempre il consenso senza verificare la base giuridica;
• non distinguere titolare e responsabile;
• usare fornitori cloud senza verificarne le condizioni privacy;
• conservare dati “per sempre” senza criterio;
• pensare che sotto 250 dipendenti il registro non serva mai;
• usare un’unica informativa per trattamenti molto diversi;
• non proteggere account email e cloud con 2FA;
• non avere una procedura per data breach e richieste degli interessati.

Checklist GDPR per freelance

1. Elenca dati e trattamenti.
2. Definisci finalità e basi giuridiche.
3. Aggiorna informative.
4. Verifica contratti art. 28.
5. Controlla se devi tenere il registro.
6. Definisci tempi di conservazione.
7. Verifica trasferimenti extra SEE.
8. Proteggi account e dispositivi.
9. Prepara gestione dei data breach.
10. Rivedi periodicamente strumenti e fornitori.

Fonti ufficiali

• Garante Privacy – FAQ sul registro delle attività di trattamento
• Garante Privacy – come trattare correttamente i dati
• Regolamento UE 2016/679 – GDPR

Domande frequenti sul GDPR per freelance