Quando l'azienda esternalizza parti dei servizi di sicurezza (gestione del DVR, sorveglianza sanitaria di II livello, monitoraggi specialistici), il destinatario e responsabile del trattamento ex GDPR art. 28. La minimizzazione richiede di trasferire solo i dati strettamente necessari. anonym.plus riduce gli export ai campi indispensabili.
Quando si applica
L'azienda affida a un consulente esterno l'aggiornamento del DVR di tutti i siti. L'export dal gestionale interno contiene anagrafiche complete; prima dell'invio, anonym.plus rimuove i dati non necessari al consulente, lasciando mansione, postazione e rischi.
Come lo gestisce anonym.plus
- Esporta i dati dal gestionale HSE in formato CSV o Excel.
- Carica l'export nell'app sul dispositivo del titolare.
- L'analisi individua nominativi, codici fiscali, recapiti.
- Oscura i dati non necessari al fornitore; mantieni codice anonimo dipendente.
- Verifica il dataset finale rispetto al contratto di trattamento.
- Trasmetti l'export ridotto al destinatario tramite canale sicuro.
Cosa serve fornire
- L'export dal gestionale HSE in CSV o Excel.
- Un'azione: Oscura i campi non previsti dal contratto di trattamento.
- Facoltativo: scheda contratto art. 28 che definisce i campi necessari.
Tipi di entità rilevati nei documenti HR
| Categoria | Tipo di entità anonym.plus | Esempio |
|---|---|---|
| Persona | PERSON | Lavoratore Sergio Vitti → [DIP_4521] |
| Codice fiscale | IT_FISCAL_CODE | VTTSRG80A01H501Z → [CF] |
| Mansione | PERSON | Saldatore reparto 3 → [MANS_SALDA] |
| Postazione | LOCATION | Postazione 12 → POST_12 |
| Recapito | EMAIL_ADDRESS | s.vitti@azienda.it → [EMAIL] |
| Data nascita | DATE_TIME | Nato il 10/05/1980 → [ANNO_NASCITA] |
Conformità raggiunta
- Rapporto con il fornitore - l'art. 28 GDPR pretende istruzioni documentate, obbligo di riservatezza, disciplina dei sub-responsabili e assistenza al titolare; il registro delle attivita dell'art. 30 deve rispecchiare esattamente cosa gli viene inviato.
- Quanto esportare - limitazione della finalita e minimizzazione degli artt. 5, par. 1, lett. b) e c), GDPR: al consulente servono rischi, mansioni e scadenze di sorveglianza sanitaria, non anagrafiche complete ne esiti clinici (art. 9).
- La responsabilita non si esternalizza - valutazione dei rischi e designazione del responsabile del servizio di prevenzione restano obblighi non delegabili del datore (art. 17 D.Lgs. 81/2008), anche quando ci si avvale di persone o servizi esterni ai sensi dell'art. 31.
- Trasferimenti e sicurezza - l'elaborazione avviene sul dispositivo, quindi non si apre alcun trasferimento verso paesi terzi ai sensi del Capo V del GDPR; AES-256-GCM cifra i file di lavoro a riposo (art. 32).
Anonimizza export di dati al destinatario esterno di sicurezza offline — vedi piani & inizia gratis →
Limiti & avvertenze
L'export va concordato con il fornitore in base al contratto di trattamento art. 28. L'eccessiva riduzione puo impedire l'erogazione del servizio. Verifica con il DPO la lista dei campi necessari. Non sostituisce la due diligence sul soggetto incaricato.
Domande frequenti
Quali campi posso oscurare nell'export al destinatario?
Tutti quelli non strettamente necessari al servizio. Il contratto di trattamento ex art. 28 elenca i dati ammessi; tutto il resto va minimizzato.
E sufficiente la pseudonimizzazione invece dell'oscuramento?
Spesso si. La pseudonimizzazione preserva la coerenza temporale del dato senza esporre l'identita; valuta in base alle finalita del soggetto esterno.
Devo notificare al lavoratore il trasferimento al fornitore?
Si, l'informativa privacy deve elencare i responsabili del trattamento. La minimizzazione e una garanzia ulteriore ma non sostituisce l'informazione.