CNIL e privacy: trattamenti relativi a fornitori e associazioni senza DPIA

Trattamenti di gestione delle relazioni con i fornitori.

Trattamenti a:

• - per svolgere operazioni amministrative relative: ai contratti;   Ai comandi;   Ricevimenti;  Bollette   Regolamenti   contabilità della gestione della contabilità clienti:
• - per stabilire i documenti di pagamento (bozze, assegni, note su ordinazione,);
• - stabilire le statistiche finanziarie e di fatturato per fornitore;
• - fornire selezioni dei fornitori per le esigenze dell'azienda o dell'organizzazione;
• - per mantenere la documentazione sui fornitori.

Trattamenti attuati da un'associazione, fondazione o altra istituzione senza scopo di lucro per la gestione dei suoi membri e donatori nel corso delle sue attività abituali, purché i dati non siano sensibili.

Trattamenti che consentono:

- la gestione amministrativa dei membri e dei donatori, in particolare la gestione delle quote;
- stabilire per soddisfare le esigenze di gestione, dichiarazioni statistiche o elenchi di membri o contatti, soprattutto al fine di inviare newsletter, citazioni, giornali.   (i criteri scelti per essere obiettivi e basati esclusivamente su caratteristiche che corrispondono allo scopo legale dell'organizzazione);
- stabilire le directory dei membri, anche quando queste directory sono rese disponibili al pubblico o su Internet;
- effettuare attraverso qualsiasi mezzo di comunicazione operazioni idonee relative ad azioni di prospezione a membri, donatori e prospettive.

Alcune parole sono rimaste simili al francese, ma facilmente comprensibili.

In breve cosa si individua ?

Una affermazione che ho chiesto in più tavoli di ribadire. Se la mia attività è vendere pane, non posso essere obbligato a DPIA solo perchè tratto dati sanitari dei dipendenti qualora si ammalino.

La mia attività principale non è trattare i dati dei dipendenti malati. E' attività occasionale, obbligatoria per gli adempimenti contrattuali e di legge.

Ma tutti hanno paura di applicare il GDPR con equilibrio, temendo che se ne approfitti. Giustamente o meno, chi ne va di mezzo sono tutti coloro ai quali certi adempimenti, per contesto (il GDPR richiede una valutazione del contesto) non trattano sistematicamente dati personali per la loro attività.

Più facile dire che un qualsiasi trattamento sia anche sistematico e obbligatorio. Responsabilizza meno. Ma amplia immotivamente l'applicazione del GDPR che ha tanti obblighi, ma non tutti per tutti.

L'esenzione di DPIA non esclude la valutazione, scritta, che non è obbligatoria.