GDPR e documenti: cosa dice la legge sul caricamento dei PDF

Trascini una fattura in uno strumento online gratuito per ridurne le dimensioni. Contiene il nome di un cliente, un indirizzo, magari una partita IVA. Cinque secondi dopo hai un file più piccolo e tiri avanti. È appena successo qualcosa di rilevante dal punto di vista legale?

Secondo il GDPR, molto probabilmente sì. E quasi nessuno ci pensa, perché il documento sembrava innocuo e lo strumento sembrava gratuito.

Questo non è un parere legale. Non sono il tuo avvocato e ogni situazione ha i suoi dettagli. Ma vale la pena capire la forma delle regole, perché cambia il modo in cui dovresti gestire i documenti che contengono dati di altre persone.

Cosa il GDPR chiama “trattamento”

La gente dà per scontato che il GDPR riguardi i database e le liste di marketing. La definizione reale è molto più ampia. Il trattamento è quasi tutto ciò che fai con i dati personali: raccoglierli, conservarli, leggerli, modificarli, condividerli, eliminarli. Il regolamento elenca letteralmente la “consultazione” e l‘“uso” come forme di trattamento.

Quindi quando il tuo PDF contiene dati personali (un nome più un numero di telefono è già sufficiente) e fai qualcosa con quel file, stai trattando dati personali. Comprimerlo conta. Unirlo conta. Convertirlo conta.

Questo di per sé non è un problema. Le aziende trattano dati personali tutto il giorno. La domanda che pone il GDPR è come lo fai, e chi altro tocca i dati lungo il percorso.

Perché il caricamento porta in gioco un “responsabile”

Ecco dove conta la parte cloud. Quando carichi quella fattura su un servizio esterno, il file esce dal tuo controllo e finisce sui server di qualcun altro. Quell’azienda ora tratta i dati personali per tuo conto. Il GDPR ha un nome per loro: un responsabile del trattamento. Tu, quello che ha deciso di farlo, sei il titolare del trattamento.

Nel momento in cui è coinvolto un responsabile, il titolare assume obblighi concreti. Quello principale è l’Articolo 28: ti serve un contratto scritto con quel responsabile, spesso chiamato accordo sul trattamento dei dati. Deve specificare cosa possono fare con i dati, come li proteggono, quando li eliminano e se possono cederli a qualcun altro.

Fermati a pensare allo strumento PDF gratuito che hai usato il mese scorso. Hai firmato un accordo sul trattamento con loro? Hai letto dove si trovano i loro server? Hai verificato chi sono i loro sub-responsabili? Quasi sicuramente no. Hai caricato un file con i dati personali di qualcun altro su un’azienda con cui non hai alcun contratto. È questa la falla.

La trappola del trasferimento internazionale

La cosa si fa più spinosa quando i server sono fuori dall’UE. Inviare dati personali a un fornitore in un altro paese è un trasferimento, e il GDPR li limita. Ti serve una base giuridica valida, come le clausole contrattuali standard o una decisione di adeguatezza per quel paese.

La maggior parte degli strumenti gratuiti non ti dice dove gira. Il file potrebbe essere elaborato in un data center su un altro continente, fatto passare attraverso una coda, messo in cache in un bucket di archiviazione, e tu non avresti modo di saperlo. Per una foto personale delle vacanze, va bene. Per un contratto pieno di dati di clienti, hai fatto in silenzio un trasferimento internazionale che non puoi documentare.

La minimizzazione, il principio che tutti dimenticano

Il GDPR ha un principio chiamato minimizzazione dei dati. Dovresti trattare solo i dati personali di cui hai effettivamente bisogno, nel modo meno invasivo. C’è anche un principio cugino: pensa alla privacy quando progetti un processo, non dopo.

Applica tutto questo a un compito semplice come comprimere un PDF. Hai bisogno di inviare il contratto di un cliente a un server di terze parti per rimpicciolirlo? No. La compressione può avvenire sulla tua macchina. Mandarlo fuori aggiunge un responsabile, un contratto che non hai e magari un trasferimento che non puoi giustificare, tutto per un cambio di dimensione del file. È l’opposto della minimizzazione.

Perché l’elaborazione locale evita gran parte di tutto questo

Ecco la parte che rende l’intero problema più piccolo. Se il file non lascia mai il tuo dispositivo, nessuna terza parte lo tratta. Nessun responsabile significa nessun contratto ex Articolo 28 da inseguire. Niente attraversa un confine, quindi non c’è alcun trasferimento da giustificare. Resti comunque il titolare, devi comunque all’interessato la solita diligenza, ma una bella fetta di burocrazia semplicemente non si applica, perché nessun altro ha toccato i dati.

È questa l’idea dietro gli strumenti che girano interamente nel tuo browser. Il codice fa il lavoro in locale, nella memoria del tuo computer, e il tuo PDF resta dov’è. È così che abbiamo costruito reader.me. Quando comprimi un PDF, il file viene elaborato nel tuo browser e non raggiunge mai un nostro server. Apri i DevTools del browser, osserva la scheda Network e potrai confermare che niente del tuo documento esce.

Passi pratici per aziende e liberi professionisti

Alcune abitudini che ti tengono dalla parte giusta:

• Tratta qualsiasi documento con nomi, documenti d’identità o recapiti come dati personali. Fatture, contratti, CV e moduli medici rientrano tutti in questa categoria.
• Prima di caricare qualcosa su uno strumento cloud, chiediti chi è il responsabile del trattamento. Nessun accordo sul trattamento, nessuna risposta chiara sulla posizione dei server? Non farci passare i dati dei clienti.
• Usa di default strumenti locali per i lavori di routine come comprimere, unire o dividere. Se può girare nel tuo browser, non c’è alcun responsabile da verificare.
• Tieni un breve registro di quali servizi toccano dati personali. Il GDPR si aspetta comunque che i titolari lo sappiano.
• Quando hai davvero bisogno di un servizio cloud, scegline uno che offra un vero accordo sul trattamento e ti dica dove risiedono i dati.

Le regole suonano pesanti, ma la soluzione quotidiana è leggera. La maggior parte del lavoro con i PDF non ha affatto bisogno di un server. Tieni il file sulla tua macchina e gran parte del peso legale, tanto per cominciare, non ricade mai su di te.