Quali dati dei clienti puoi conservare — e quali hanno bisogno di una base propria

Una piccola attività non raccoglie dati dei clienti per curiosità, ma perché senza non funziona. Un appuntamento ha bisogno di un nome e di un numero, una fattura di un indirizzo, il secondo trattamento del risultato del primo. Il GDPR non vieta niente di tutto questo. Chiede solo che per ogni voce tu sappia dire a che cosa serve.

Da lì dipende tutto il resto: la finalità decide la base giuridica, la base giuridica decide la conservazione, e le due insieme decidono se un'annotazione è un innocuo promemoria o una categoria di dati con regole più severe. Questo articolo divide la materia in tre secchi e mostra su un esempio dove passa il confine. È un orientamento: sul tuo caso concreto decidono il Garante per la protezione dei dati personali o una consulenza legale.

L'art. 5 del GDPR mette all'inizio sei principi, e tre ti riguardano ogni giorno. Limitazione della finalità: i dati si raccolgono per finalità determinate ed esplicite e non si trattano ulteriormente in modo incompatibile con quelle. Minimizzazione: solo ciò che serve a quella finalità. Limitazione della conservazione: solo finché la finalità regge.

Si aggiunge l'art. 6, par. 1, con l'elenco dei motivi per cui un trattamento è lecito. Per un'attività di servizi ne contano quattro: l'esecuzione di un contratto comprese le misure precontrattuali (lett. b), l'adempimento di un obbligo legale (lett. c), il legittimo interesse (lett. f) e il consenso (lett. a). Nella pratica il consenso sta più spesso dove non servirebbe affatto.

Non è solo sistematica. Chi conserva un appuntamento soltanto perché è stato dato un consenso resta senza base nel momento in cui il consenso viene revocato, benché l'appuntamento serva alla prestazione stessa. Al contrario, il contratto non regge la newsletter, per quanto cordiale sia il rapporto. La base giuridica segue la finalità, non la comodità. E non si può scambiare dopo, quando la prima si rivela inadatta.

Dividi una volta il tuo schedario in tre secchi. L'esercizio dura mezz'ora e dopo risponde da solo alla maggior parte delle domande singole. Solo il secondo non lo decidi tu: lì la durata la fissa il termine di conservazione previsto per quel tipo di documento.

Il terzo secchio è quello che dà lavoro, non perché sia vietato, ma perché nasce senza che nessuno lo decida. Un campo «compleanno» viene creato perché il software lo propone; tre anni dopo nessuno sa più se serviva per gli auguri o per la verifica dell'età. Sono legittimi entrambi — ma con basi diverse e termini diversi.

Alla terza riga appartiene una particolarità che ti toglie decisioni: contro il trattamento a fini di marketing diretto chiunque può opporsi in qualsiasi momento, ai sensi dell'art. 21, par. 2 del GDPR. Senza motivazione, senza bilanciamento. Un'opposizione così non è una richiesta su cui decidi tu: è la fine di quel trattamento.

Qui la teoria si decide. Scrivi un'annotazione sull'appuntamento — tre varianti, tre situazioni giuridiche diverse:

• «colore 7.3, quaranta minuti di posa»: un'indicazione sulla prestazione. Contratto, nessun problema.
• «controllare i freni posteriori al prossimo appuntamento»: un'indicazione sulla cosa, non sulla persona. Anche qui nessun problema.
• «cuoio capelluto irritato, intolleranza all'ammoniaca»: un'indicazione sulla salute. E quindi un altro articolo del regolamento.

L'art. 9, par. 1 del GDPR vieta in linea di principio il trattamento delle categorie particolari di dati personali, e i dati relativi alla salute sono nominati espressamente. L'art. 4, n. 15 li definisce come dati da cui emergono informazioni sullo stato di salute, e il considerando 35 intende la definizione in senso ampio, comprese le informazioni che sorgono nel corso della prestazione di un servizio.

Il divieto non è la fine, è l'inizio. L'art. 9, par. 2, lett. a lo rimuove se la persona ha prestato il proprio consenso esplicito. «Esplicito» chiede qui più del solito: un assenso consapevole e nominato proprio per quell'informazione, non una spunta sotto condizioni generali. In pratica non è un grande impegno: una riga nella scheda di accoglienza o nell'anamnesi, che dice che l'informazione è facoltativa, per che cosa viene usata e che si può ritirare in qualsiasi momento.

Lo stesso confine tocca l'annotazione sul bambino («non tollera il lattice»), l'indicazione alimentare per la festa e la nota sulla mobilità ridotta. La domanda di verifica è sempre la stessa: c'è scritto qualcosa sulla condizione della persona o sulla prestazione? Dove non riesci a rispondere con certezza, tratta l'informazione come un dato sulla salute. È la direzione d'errore più economica.

La minimizzazione suona come una rinuncia ed è in realtà un alleggerimento. Ogni campo che esiste prima o poi viene riempito; ogni voce riempita va poi mantenuta, nominata in una risposta di accesso e prima o poi cancellata. Il momento più economico per liberarsi di un dato è quello precedente alla sua nascita.

Tre domande prima di ogni campo nuovo:

1. Che cosa faccio di diverso se qui c'è scritto qualcosa? Se la risposta è «niente», il campo non ti serve.
2. Basta un'indicazione più grossolana? «Maggiorenne: sì» invece della data di nascita. «Preferisce la mattina» invece degli orari di lavoro di una persona.
3. Chi nell'attività deve vederlo? Un'annotazione di trattamento appartiene a chi esegue il trattamento — non a uno schermo alla cassa, dove chi aspetta legge insieme.

Alla terza domanda deve rispondere il software, non la disciplina. Dove appuntamenti, schede e fatture stanno comunque in un sistema, la separazione per ruoli è un'impostazione; dove sono sparsi fra foglietti, calendario a muro e foglio di calcolo, resta un buon proposito. Come si presenta per un salone lo mostra il software per saloni, per un'autofficina il software per autofficine. La domanda resta la stessa, qualunque strumento tu scelga.

Dai tre secchi nasce un prospetto, e quel prospetto è già il nucleo di ciò che l'art. 30 del GDPR chiede come registro delle attività di trattamento: finalità, categorie di dati e di interessati, destinatari, termini di cancellazione previsti e una descrizione generale delle misure tecniche e organizzative.

L'art. 30, par. 5 contiene un'eccezione per le imprese con meno di 250 dipendenti — che in pratica non si applica quasi mai. Viene meno appena il trattamento può presentare un rischio per i diritti e le libertà degli interessati, appena non è occasionale, oppure appena si trattano categorie particolari ai sensi dell'art. 9. Uno schedario clienti attivo non è un trattamento occasionale. Chi invoca l'eccezione invoca di regola un criterio che la propria attività non soddisfa.

La buona notizia: il registro non è una perizia. Una tabella con una riga per trattamento — presa appuntamenti, fatturazione, newsletter, candidature, videosorveglianza se c'è — soddisfa il requisito. Va tenuto per iscritto, e la forma elettronica basta (art. 30, par. 3); all'autorità di controllo va solo su richiesta (par. 4).

Da tutto questo non discende un responsabile della protezione dei dati. L'art. 37, par. 1 lo richiede in tre casi che a una piccola attività di servizi tipicamente non si applicano: soggetto pubblico, monitoraggio regolare e sistematico su larga scala come attività principale, oppure trattamento su larga scala di categorie particolari come attività principale. In alcuni Stati membri si aggiungono soglie nazionali — la Germania, per esempio, ne ha una legata al numero di persone che trattano dati in modo automatizzato. In Italia una soglia dimensionale del genere non c'è: il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018) adatta la disciplina nazionale ma non aggiunge un criterio di dimensione, quindi restano i tre casi dell'art. 37.